スパチュラ

このAnsibleロールは、Palo Alto Networksデバイスにセキュリティのベストプラクティステンプレートを適用します。

目的

このロールは、Iron Skilletベストプラクティステンプレートを利用して、PAN-OSファイアウォールがPalo Alto Networksのベストプラクティス推奨事項に従って構成されるようにします。これらのテンプレートは、プレイブックを実行する際に以下のGitHubリポジトリからダウンロードされ、各デバイスまたはPanorama管理コンソールに適用されます。

• https://github.com/PaloAltoNetworks/iron-skillet

これらのテンプレートが適用された後、ベストプラクティス評価を実行して、結果として得られた構成の有効性を評価することができます。

要件

このロールは、以下のPythonライブラリを利用します。全てPyPIから入手可能で、pipインストーラを使ってインストールできます。システムライブラリの競合を避けるために、virtualenvの使用を推奨します。

• pandevice - Palo Alto NetworksデバイスとAPIでやり取りするためのフレームワーク
• pan-python - Palo Alto Networks PAN-OS、Panorama、WildFire、およびAutoFocus用のマルチツールセット
• xmltodict - XML文字列とPython dictの間を変換
• passlib - 30以上のスキームをサポートする包括的なパスワードハッシングフレームワーク

ロール変数

このロールで使用される変数は、デフォルト値と共に以下の表に示されています（defaults/main.ymlを参照）。 __小文字__の変数はプレイブックの変数で、__大文字__の変数は構成テンプレート内でJinja2変数の置換に使用されます。いくつかの変数はPanorama専用とマークされており、他の変数はPanoramaとファイアウォールの両方に適用されます。

依存関係

このロールは、次のGalaxyロールに含まれる公式のPalo Alto Networks Ansibleモジュールに依存しています。

• PaloAltoNetworks.paloaltonetworks

Palo Alto Networks Ansibleモジュールは、インベントリと認証情報を渡すためにdictを利用します。このdictは、プレイブック内で一度定義され、ip_address、username、およびpasswordの各変数の値が、サポートされている任意の方法で渡されます。

vars:
  credentials:
    ip_address: '{{ ip_address }}'
    username: '{{ username }}'
    password: '{{ password }}'

サンプルプレイブック

以下は、このロールを利用してPanoramaやファイアウォールにセキュリティのベストプラクティステンプレートを適用するAnsibleプレイブックの例です。

Panorama:

---
- name: PAN-OS 9.0用のベストプラクティステンプレートでPanoramaを準備する
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ username }}'
      password: '{{ password }}'
    device_type: 'panorama'
    template_version: 'panos_v9.0'
  vars_files:
    - panorama_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

ファイアウォール:

---
- name: PAN-OS 8.1用のベストプラクティステンプレートでファイアウォールを準備する
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ admin }}'
      password: '{{ password }}'
    device_type: 'panos'
    template_version: 'panos_v8.1'
  vars_files:
    - fw_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

ライセンス

Apache 2.0

著者情報

このロールはRobert Hagen（@stealthllama）によって作成されました。