spatel

Diese Ansible-Rolle wendet Sicherheits-Best-Practice-Vorlagen auf Geräte von Palo Alto Networks an.

Zweck

Diese Rolle verwendet die Iron Skillet Best-Practice-Vorlagen, um sicherzustellen, dass die PAN-OS-Firewalls gemäß den Best-Practice-Empfehlungen von Palo Alto Networks konfiguriert sind. Diese Vorlagen werden während der Ausführung des Playbooks aus dem folgenden GitHub-Repo heruntergeladen und auf jedes Gerät oder auf eine Panorama-Verwaltungskonsole angewendet.

• https://github.com/PaloAltoNetworks/iron-skillet

Eine Best Practices Bewertung kann nach der Anwendung dieser Vorlagen durchgeführt werden, um die Effektivität der resultierenden Konfiguration zu messen.

Voraussetzungen

Diese Rolle verwendet die unten aufgeführten Python-Bibliotheken. Alle sind über PyPI verfügbar und können mit dem pip-Installer installiert werden. Die Verwendung von virtualenv wird empfohlen, um Konflikte mit Systembibliotheken zu vermeiden.

• pandevice - Framework zur Interaktion mit Geräten von Palo Alto Networks über API
• pan-python - Werkzeugset für Palo Alto Networks PAN-OS, Panorama, WildFire und AutoFocus
• xmltodict - Umwandlung zwischen XML-String und Python-Dictionary
• passlib - Umfassendes Passwort-Hashing-Framework mit Unterstützung für über 30 Verfahren

Rollenvariablen

Die in dieser Rolle verwendeten Variablen sind in der Tabelle unten aufgeführt, zusammen mit den Standardwerten (siehe defaults/main.yml). Variablen in kleinen Buchstaben sind Playbook-Variablen, während GROSSBUCHSTABEN-Variablen für die Jinja2-Variablenersetzung in den Konfigurationsvorlagen verwendet werden. Einige Variablen sind als nur für Panorama gekennzeichnet, während andere für Panorama und Firewalls gelten.

Abhängigkeiten

Diese Rolle ist von den offiziellen Ansible-Modulen von Palo Alto Networks abhängig, die in der folgenden Galaxy-Rolle enthalten sind:

• PaloAltoNetworks.paloaltonetworks

Die Ansible-Module von Palo Alto Networks verwenden ein dict, um Inventar- und Authentifizierungsdaten zu übergeben. Dieses dict kann einmal im Playbook definiert werden, wobei die Werte für die Variablen ip_address, username und password auf jede unterstützte Weise übergeben werden können.

vars:
  credentials:
    ip_address: '{{ ip_address }}'
    username: '{{ username }}'
    password: '{{ password }}'

Beispiel-Playbooks

Die folgenden Beispiele von Ansible-Playbooks nutzen diese Rolle, um Sicherheits-Best-Practice-Vorlagen auf Panorama und eine Firewall anzuwenden:

Panorama:

---
- name: Panorama mit Best-Practice-Vorlagen für PAN-OS 9.0 bereitstellen
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ username }}'
      password: '{{ password }}'
    device_type: 'panorama'
    template_version: 'panos_v9.0'
  vars_files:
    - panorama_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

Firewall:

---
- name: Firewall mit Best-Practice-Vorlagen für PAN-OS 8.1 bereitstellen
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ admin }}'
      password: '{{ password }}'
    device_type: 'panos'
    template_version: 'panos_v8.1'
  vars_files:
    - fw_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

Lizenz

Apache 2.0

Autoreninformationen

Rolle erstellt von Robert Hagen (@stealthllama).