抹刀

这个 Ansible 角色将安全最佳实践模板应用于 Palo Alto Networks 设备。

目的

这个角色利用 Iron Skillet 的最佳实践模板，以确保 PAN-OS 防火墙根据 Palo Alto Networks 的 最佳实践建议 配置。这些模板在执行剧本时从以下 GitHub 仓库下载并应用于每个设备或 Panorama 管理控制台。

• https://github.com/PaloAltoNetworks/iron-skillet

在应用这些模板后，可以运行 最佳实践评估，以评估配置的有效性。

要求

这个角色使用以下列出的 Python 库。所有库都可以通过 PyPI 获得，并可以使用 pip 安装。建议使用 virtualenv 以避免系统库冲突。

• pandevice - 通过 API 与 Palo Alto Networks 设备交互的框架
• pan-python - Palo Alto Networks PAN-OS、Panorama、WildFire 和 AutoFocus 的多工具集
• xmltodict - 在 XML 字符串和 Python 字典之间转换
• passlib - 支持 30 多种方案的全面密码哈希框架

角色变量

这个角色中使用的变量列在下面的表格中，并附有默认值（见 defaults/main.yml）。小写 变量是剧本变量，而 大写 变量用于配置模板中的 Jinja2 变量替换。一些变量标记为仅适用于 Panorama，其他则适用于 Panorama 和防火墙。

依赖关系

这个角色依赖于官方的 Palo Alto Networks Ansible 模块，它们包含在以下 Galaxy 角色中：

• PaloAltoNetworks.paloaltonetworks

Palo Alto Networks Ansible 模块使用提供程序 dict 来传递清单和认证凭证。这个 dict 可以在剧本中定义一次，使用支持的方法传递 ip_address、username 和 password 变量的值。

vars:
  credentials:
    ip_address: '{{ ip_address }}'
    username: '{{ username }}'
    password: '{{ password }}'

示例剧本

以下是一些 Ansible 剧本示例，通过此角色将安全最佳实践模板应用于 Panorama 和防火墙：

Panorama:

---
- name: 使用最佳实践模板为 PAN-OS 9.0 配置 Panorama
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ username }}'
      password: '{{ password }}'
    device_type: 'panorama'
    template_version: 'panos_v9.0'
  vars_files:
    - panorama_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

防火墙:

---
- name: 使用最佳实践模板为 PAN-OS 8.1 配置防火墙
  hosts: all
  connection: local
  gather_facts: False

  vars:
    credentials:
      ip_address: '{{ ip_address }}'
      username: '{{ admin }}'
      password: '{{ password }}'
    device_type: 'panos'
    template_version: 'panos_v8.1'
  vars_files:
    - fw_vars.yml
      
  roles:
    - role: PaloAltoNetworks.spatula

许可证

Apache 2.0

作者信息

角色由 Robert Hagen 创建 (@stealthllama)。