spatula

Rola Ansible zastosowuje szablony najlepszych praktyk zabezpieczeń do urządzeń Palo Alto Networks.

Cel

Celem tej roli jest wykorzystanie najlepszych praktyk zawartych w Iron Skillet do zapewnienia, że zapory PAN-OS są skonfigurowane zgodnie z zaleceniami najlepszych praktyk firmy Palo Alto Networks. Szablony te są pobierane z poniższego repozytorium GitHub podczas wykonywania playbooka i stosowane do każdego urządzenia lub konsoli zarządzającej Panorama.

• https://github.com/PaloAltoNetworks/iron-skillet

Po zastosowaniu tych szablonów można przeprowadzić Oceny Najlepszych Praktyk, aby ocenić skuteczność otrzymanej konfiguracji.

Wymagania

Ta rola wykorzystuje poniżej wymienione biblioteki Pythona. Wszystkie są dostępne przez PyPI i mogą być zainstalowane za pomocą instalatora pip. Zaleca się korzystanie z virtualenv, aby uniknąć konfliktów z bibliotekami w systemie.

• pandevice - Framework do interakcji z urządzeniami Palo Alto Networks za pośrednictwem API
• pan-python - Zestaw narzędzi do Palo Alto Networks PAN-OS, Panorama, WildFire i AutoFocus
• xmltodict - Konwertowanie między łańcuchem XML a słownikiem Pythona
• passlib - Wszechstronny framework do haszowania haseł, wspierający ponad 30 schematów

Zmienne roli

Zmienne używane w tej roli są wymienione w tabeli poniżej, wraz z wartościami domyślnymi (patrz defaults/main.yml). Zmienne w małych literach to zmienne playbooka, podczas gdy zmienne DUŻYMI LITERAMI są używane do podstawienia zmiennych Jinja2 w szablonach konfiguracyjnych. Niektóre zmienne są oznaczone jako tylko dla Panorama, inne są stosowane zarówno dla Panorama, jak i zapór.

Zależności

Ta rola jest zależna od oficjalnych modułów Ansible firmy Palo Alto Networks, które są zawarte w następującej roli Galaxy:

• PaloAltoNetworks.paloaltonetworks

Moduły Ansible firmy Palo Alto Networks wykorzystują słownik dict do przekazywania danych inwentarza i poświadczeń uwierzytelniających. Ten dict można zdefiniować raz w playbooku, z wartościami dla zmiennych ip_address, username oraz password, przekazanymi w dowolny obsługiwany sposób.

vars:
  credentials:
    ip_address: '{{ ip_address }}'
    username: '{{ username }}'
    password: '{{ password }}'

Przykłady Playbooków

Poniżej znajdują się przykłady playbooków Ansible, które wykorzystują tę rolę do stosowania szablonów najlepszych praktyk zabezpieczeń do Panorama i zapory:

Panorama:

---
- name: Przykład Panorama z szablonami najlepszych praktyk dla PAN-OS 9.0
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ username }}'
      password: '{{ password }}'
    device_type: 'panorama'
    template_version: 'panos_v9.0'
  vars_files:
    - panorama_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

Zapora:

---
- name: Przykład zapory z szablonami najlepszych praktyk dla PAN-OS 8.1
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ admin }}'
      password: '{{ password }}'
    device_type: 'panos'
    template_version: 'panos_v8.1'
  vars_files:
    - fw_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

Licencja

Apache 2.0

Informacje o autorze

Rola stworzona przez Roberta Hagena (@stealthllama).