spatule

Ce rôle Ansible applique des modèles de meilleures pratiques de sécurité aux appareils de Palo Alto Networks.

But

Ce rôle utilise les modèles de meilleures pratiques Iron Skillet pour s'assurer que les pare-feu PAN-OS sont configurés conformément aux recommandations de meilleures pratiques de Palo Alto Networks. Ces modèles sont téléchargés depuis le dépôt GitHub suivant lors de l'exécution du playbook et appliqués à chaque appareil ou à une console de gestion Panorama.

• https://github.com/PaloAltoNetworks/iron-skillet

Une évaluation des meilleures pratiques peut être effectuée après l'application de ces modèles pour évaluer l'efficacité de la configuration résultante.

Exigences

Ce rôle utilise les bibliothèques Python énumérées ci-dessous. Toutes sont disponibles via PyPI et peuvent être installées en utilisant l'installateur pip. L'utilisation de virtualenv est recommandée pour éviter les conflits de bibliothèques système.

• pandevice - Cadre pour interagir avec les appareils de Palo Alto Networks via API
• pan-python - Ensemble d'outils pour Palo Alto Networks PAN-OS, Panorama, WildFire et AutoFocus
• xmltodict - Convertir entre une chaîne XML et un dictionnaire Python
• passlib - Cadre complet pour le hachage de mots de passe supportant plus de 30 schémas

Variables du rôle

Les variables utilisées dans ce rôle sont listées dans le tableau ci-dessous avec leurs valeurs par défaut (voir defaults/main.yml). Les variables en minuscules sont des variables de playbook tandis que les variables EN MAJUSCULE sont utilisées pour la substitution de variables Jinja2 dans les modèles de configuration. Certaines variables sont marquées comme étant réservées à Panorama, tandis que d'autres sont applicables aux deux : Panorama et pare-feux.

Dépendances

Ce rôle dépend des modules Ansible officiels de Palo Alto Networks, qui sont contenus dans le rôle Galaxy suivant :

• PaloAltoNetworks.paloaltonetworks

Les modules Ansible de Palo Alto Networks utilisent un dict pour passer l'inventaire et les informations d'identification d'authentification. Ce dict peut être défini une fois dans le playbook avec des valeurs pour les variables ip_address, username et password passées via n'importe quelle méthode prise en charge.

vars:
  credentials:
    ip_address: '{{ ip_address }}'
    username: '{{ username }}'
    password: '{{ password }}'

Exemples de Playbooks

Voici des exemples de playbooks Ansible qui utilisent ce rôle pour appliquer des modèles de meilleures pratiques de sécurité à Panorama et à un pare-feu :

Panorama :

---
- name: Configurer Panorama avec des modèles de meilleures pratiques pour PAN-OS 9.0
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ username }}'
      password: '{{ password }}'
    device_type: 'panorama'
    template_version: 'panos_v9.0'
  vars_files:
    - panorama_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

Pare-feu :

---
- name: Configurer le pare-feu avec des modèles de meilleures pratiques pour PAN-OS 8.1
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ admin }}'
      password: '{{ password }}'
    device_type: 'panos'
    template_version: 'panos_v8.1'
  vars_files:
    - fw_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

Licence

Apache 2.0

Informations sur l'auteur

Rôle créé par Robert Hagen (@stealthllama).