Ansibleを使用してNW機器設定を自動化する（PaloAlto-サービス編②）

当記事は、前回の記事「Ansibleを使用してNW機器設定を自動化する（PaloAlto-サービス編①）」からの改善となります。
設定情報がベタ書きで使い勝手が悪い点　を　設定情報をまとめてINPUT（JSON）できる使い勝手の良い仕組みとしました！！
これにより、Anibleとの連携ができるようになりますので、ご参考になれば幸いです。
※前回記事：https://blog.usize-tech.com/paloalto-integration-with-ansible1/
当記事は、日常の運用業務（NW機器設定）の自動化により、運用コストの削減　および　運用品質の向上　を目標に
「Ansible」を使用し、様々なNW機器設定を自動化してみようと　試みた記事です。
Ansibleは、OSS版（AWX）＋OSS版（Ansible）を使用しております。

PaloAltoの「Objects-サービス」の登録／変更／削除を実施してみた

事前設定

Templateを作成し、インベントリーと認証情報を設定する。
インベントリー：対象機器（ホスト）の接続先を設定。　※ホストには以下変数で接続先IPを指定
```
ansible_host: xxx.xxx.xxx.xxx
```

認証情報：対象機器へのログイン情報（ユーザ名／パスワード）を設定。

ユーザ名は　　変数：ansible_user　　　に保持される
パスワードは　変数：ansible_password　に保持される

事前設定２：設定情報をまとめてINPUT（JSON）できるように、「Survey」を活用

テンプレートが読み込むことができる変数（Survey）を設定する。※今回は、各設定のデフォルト値に値を設定する。

実際の値（JSON）

・input_service1:{"name":"test_service001","protocol":"tcp","destination_port":"10","source_port":"110","description":"test_service001","tag":["test"]}
・input_service2:{"name":"test_service001","protocol":"tcp","destination_port":"20","source_port":"120","description":"test_service001","tag":["test"]}
・input_service3:{"name":"test_service001","protocol":"tcp","destination_port":"30","source_port":"130","description":"test_service001","tag":["test"]}
・input_service4:{"name":"test_service001"}

事前設定

Templateを作成し、インベントリーと認証情報を設定する。
インベントリー：対象機器（ホスト）の接続先を設定。　※ホストには以下変数で接続先IPを指定
```
ansible_host: xxx.xxx.xxx.xxx
```

認証情報：対象機器へのログイン情報（ユーザ名／パスワード）を設定。

ユーザ名は　　変数：ansible_user　　　に保持される
パスワードは　変数：ansible_password　に保持される

Playbook作成（YAML）

使用モジュール

paloaltonetworks.panos.panos_service_object　を使用。
※参考ページ：https://galaxy.ansible.com/ui/repo/published/paloaltonetworks/panos/content/module/panos_service_object/

接続情報（provider）の設定

providerには、ip_address／username／password　の指定が必要。

vars:
  provider:
    ip_address: '{{ ansible_host }}'　　　←　インベントリーのホストで設定
    username: '{{ ansible_user }}'　　　　←　認証情報で設定
    password: '{{ ansible_password }}'　　←　認証情報で設定

変数（Survey）の値取得

vars で　各変数（Survey）の値取得。
※各変数（Survey）の値は、構造化データのように見えて「文字列」なので、ディクショナリ（構造化データ）として正しく扱えるように、from_json フィルターを使用すること！！
```
vars:
  wk_input1: '{{ input_service1 | from_json}}'
  wk_input2: '{{ input_service2 | from_json}}'
  wk_input3: '{{ input_service3 | from_json}}'
  wk_input4: '{{ input_service4 | from_json}}'
```

Objects-サービスの登録　★変数（Survey）の値をそのまま使用した場合…エラーとなる

接続情報とサービス情報（Survey：input_service1）を指定して登録（state: ‘present’）を行う。

- name: Add Service1_input_service1
  paloaltonetworks.panos.panos_service_object:
    provider: '{{ provider }}'
    name: '{{ input_service1.name }}'
    protocol: '{{ input_service1.protocol }}'
    destination_port: '{{ input_service1.destination_port }}'
    source_port: '{{ input_service1.source_port }}'
    description: '{{ input_service1.description }}'
    tag: '{{ input_service1.tag }}'
    state: 'present'
  register: wk_result

実行結果：構造化データではないので、オブジェクトに項目が無いというエラーとなる。　※Ansibleの実行結果を抜粋

"msg": "The task includes an option with an undefined variable.
        The error was: 'ansible.utils.unsafe_proxy.AnsibleUnsafeText object' has no attribute 'name'.
        ...

Objects-サービスの登録

接続情報とサービス情報（Survey：input_service1）を指定して登録（state: ‘present’）を行う。

- name: Add Service1_wk_input
  paloaltonetworks.panos.panos_service_object:
    provider: '{{ provider }}'
    name: '{{ wk_input1.name }}'
    protocol: '{{ wk_input1.protocol }}'
    destination_port: '{{ wk_input1.destination_port }}'
    source_port: '{{ wk_input1.source_port }}'
    description: '{{ wk_input1.description }}'
    tag: '{{ wk_input1.tag }}'
    state: 'present'
  register: wk_result

実行結果：対象のサービスが登録された。　※Ansibleの実行結果（diff）を抜粋

"before": "",
"after" : "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_service001\">\n\t<protocol>\n\t\t<tcp>\n\t\t\t<source-port>110</source-port>\n\t\t\t<port>10</port>\n\t\t</tcp>\n\t</protocol>\n\t<description>test_service001</description>\n\t<tag>\n\t\t<member>test</member>\n\t</tag>\n</entry>\n"

Objects-サービスの変更　※登録のつづき

接続情報とサービス情報を指定して　登録されたサービスの変更（state: ‘replaced’）を行う。　※replacedの場合は、既存設定の置き換えとなる

- name: Change Service1
  paloaltonetworks.panos.panos_service_object:
    provider: '{{ provider }}'
    name: '{{ wk_input2.name }}'
    protocol: '{{ wk_input2.protocol }}'
    destination_port: '{{ wk_input2.destination_port }}'
    source_port: '{{ wk_input2.source_port }}'
    description: '{{ wk_input2.description }}'
#    tag: '{{ wk_input2.tag }}'
    state: 'replaced'
  register: wk_result

実行結果：登録時のtag指定ありのサービスが、Rreplaedによりtag指定なしのサービスに変更された。　※Ansibleの実行結果（diff）を抜粋

"before": "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_service001\">\n\t<protocol>\n\t\t<tcp>\n\t\t\t<source-port>110</source-port>\n\t\t\t<port>10</port>\n\t\t</tcp>\n\t</protocol>\n\t<description>test_service001</description>\n\t<tag>\n\t\t<member>test</member>\n\t</tag>\n</entry>\n",
"after" : "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_service001\">\n\t<protocol>\n\t\t<tcp>\n\t\t\t<source-port>120</source-port>\n\t\t\t<port>20</port>\n\t\t</tcp>\n\t</protocol>\n\t<description>test_service001</description>\n</entry>\n"

接続情報とサービス情報を指定して　登録されたサービスの変更（state: ‘merged’）を行う。　※mergedの場合は、既存設定の上書きとなる

- name: Change Service2
  paloaltonetworks.panos.panos_service_object:
    provider: '{{ provider }}'
    name: '{{ wk_input3.name }}'
    protocol: '{{ wk_input3.protocol }}'
    destination_port: '{{ wk_input3.destination_port }}'
    source_port: '{{ wk_input3.source_port }}'
#    description: '{{ wk_input3.description }}'
    tag: '{{ wk_input3.tag }}'
    state: 'merged'
  register: wk_result

実行結果：上記変更時のtag指定なしのサービスが、mergedによりtag指定ありのサービスに変更された。また、サービス情報にdescriptionを指定しなくても、既存設定が維持されていることを確認。　※Ansibleの実行結果（diff）を抜粋

"before": "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_service001\">\n\t<protocol>\n\t\t<tcp>\n\t\t\t<source-port>120</source-port>\n\t\t\t<port>20</port>\n\t\t</tcp>\n\t</protocol>\n\t<description>test_service001</description>\n</entry>\n",
"after" : "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_service001\">\n\t<protocol>\n\t\t<tcp>\n\t\t\t<source-port>130</source-port>\n\t\t\t<port>30</port>\n\t\t</tcp>\n\t</protocol>\n\t<description>test_service001</description>\n\t<tag>\n\t\t<member>test</member>\n\t</tag>\n</entry>\n"

Objects-サービスの情報収集　※変更のつづき

接続情報とサービスを指定して情報収集（state: ‘gathered’）を行う。

- name: Get Service Info
  paloaltonetworks.panos.panos_service_object:
    provider: '{{ provider }}'
    name: '{{ wk_input4.name }}'
    state: 'gathered'
  register: wk_result

実行結果：対象サービスの情報が取得できた。　※Ansibleの実行結果（gathered_xml）を抜粋

"gathered_xml": "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_service001\">\n\t<protocol>\n\t\t<tcp>\n\t\t\t<source-port>130</source-port>\n\t\t\t<port>30</port>\n\t\t</tcp>\n\t</protocol>\n\t<description>test_service001</description>\n\t<tag>\n\t\t<member>test</member>\n\t</tag>\n</entry>\n"

Objects-サービスの削除　※変更のつづき

接続情報とサービスを指定して削除（state: ‘absent’）を行う。

- name: Delete Service1
  paloaltonetworks.panos.panos_service_object:
    provider: '{{ provider }}'
    name: '{{ wk_input4.name }}'
    state: 'absent'
  register: wk_result

実行結果：対象のサービスが削除された。　※Ansibleの実行結果（diff）を抜粋

"before": "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_service001\">\n\t<protocol>\n\t\t<tcp>\n\t\t\t<source-port>130</source-port>\n\t\t\t<port>30</port>\n\t\t</tcp>\n\t</protocol>\n\t<description>test_service001</description>\n\t<tag>\n\t\t<member>test</member>\n\t</tag>\n</entry>\n",
"after" : ""

最後に

今回、変数（Survey）を活用したことで、AnsibleにINPUT（JSON）を設定できるようになりました。
設定情報がYAMLにベタ書きではなくなったので、使い勝手は増しましたが、
都度　変数（Survey）のデフォルト値に値を設定しての実行の為、まだまだ　使い勝手が悪い。。。

今後　外部からAnsibleのINPUT（JSON）に値を連携し実行させる仕組みを試みたいと思います。

PaloAltoの「Objects-サービス」の登録／変更／削除を実施してみた

事前設定

事前設定２：設定情報をまとめてINPUT（JSON）できるように、「Survey」を活用

事前設定

Playbook作成（YAML）

使用モジュール

接続情報（provider）の設定

変数（Survey）の値取得

Objects-サービスの登録 ★変数（Survey）の値をそのまま使用した場合…エラーとなる

Objects-サービスの登録

Objects-サービスの変更 ※登録のつづき

Objects-サービスの情報収集 ※変更のつづき

Objects-サービスの削除 ※変更のつづき

最後に

Objects-サービスの登録　★変数（Survey）の値をそのまま使用した場合…エラーとなる

Objects-サービスの変更　※登録のつづき

Objects-サービスの情報収集　※変更のつづき

Objects-サービスの削除　※変更のつづき