Ansibleを使用してNW機器設定を自動化する（PaloAlto-サービスグループ編②）

• 当記事は、前回の記事「Ansibleを使用してNW機器設定を自動化する（PaloAlto-サービスグループ編①）」からの改善となります。
  設定情報がベタ書きで使い勝手が悪い点　を　設定情報をまとめてINPUT（JSON）できる使い勝手の良い仕組みとしました！！
  これにより、Anibleとの連携ができるようになりますので、ご参考になれば幸いです。
  ※前回記事：https://blog.usize-tech.com/ansible-automation-paloalto-servicegroup-1/
• 当記事は、日常の運用業務（NW機器設定）の自動化により、運用コストの削減　および　運用品質の向上　を目標に
  「Ansible」を使用し、様々なNW機器設定を自動化してみようと　試みた記事です。
• Ansibleは、OSS版（AWX）＋OSS版（Ansible）を使用しております。

 

PaloAltoの「Objects-サービスグループ」の登録／変更／削除を実施してみた

事前設定

• Templateを作成し、インベントリーと認証情報を設定する。
• インベントリー：対象機器（ホスト）の接続先を設定。　※ホストには以下変数で接続先IPを指定

  ansible_host: xxx.xxx.xxx.xxx

• 認証情報：対象機器へのログイン情報（ユーザ名／パスワード）を設定。

  ユーザ名は　　変数：ansible_user　　　に保持される
  パスワードは　変数：ansible_password　に保持される

 

事前設定２：設定情報をまとめてINPUT（JSON）できるように、「Survey」を活用

• テンプレートが読み込むことができる変数（Survey）を設定する。※今回は、各設定のデフォルト値に値を設定する。
  
• 実際の値（JSON）

  ・input_servicegroup1:{"name":"test_servicegroup001","value":"test_service001"}
  ・input_servicegroup2:{"name":"test_servicegroup001","value":"test_service002"}
  ・input_servicegroup3:{"name":"test_servicegroup001","value":['test_service001','test_service003']}
  ・input_servicegroup4:{"name":"test_servicegroup001","value":"test_service003"}

 

Playbook作成（YAML）

使用モジュール

• paloaltonetworks.panos.panos_service_group　を使用。
  ※参考ページ：
  
  Ansible Galaxy

  galaxy.ansible.com

 

接続情報（provider）の設定

• providerには、ip_address／username／password　の指定が必要。

  vars:
    provider:
      ip_address: '{{ ansible_host }}'　　　←　インベントリーのホストで設定
      username: '{{ ansible_user }}'　　　　←　認証情報で設定
      password: '{{ ansible_password }}'　　←　認証情報で設定

 

変数（Survey）の値取得

• vars で　各変数（Survey）の値取得。
  ※各変数（Survey）の値は、構造化データのように見えて「文字列」なので、ディクショナリ（構造化データ）として正しく扱えるように、from_json フィルターを使用すること！！              

  vars:
    wk_input1: '{{ input_servicegroup1 | from_json}}'
    wk_input2: '{{ input_servicegroup2 | from_json}}'
    wk_input3: '{{ input_servicegroup3 | from_json}}'
    wk_input4: '{{ input_servicegroup4 | from_json}}'

 

Objects-サービスグループの登録　★変数（Survey）の値をそのまま使用した場合…エラーとなる

• 接続情報と　サービスグループとサービスの関連付け（Survey：input_servicegroup1）　を指定して登録（state: ‘present’）を行う。

  - name: Present ServiceGroup1
    paloaltonetworks.panos.panos_service_group:
      provider: '{{ provider }}'
      name: '{{ input_servicegroup1.name }}'
      value: '{{ input_servicegroup1.value }}'
      state: 'present'
    register: wk_result

• 実行結果：構造化データではないので、オブジェクトに項目が無いというエラーとなる。　※Ansibleの実行結果を抜粋

  "msg": "The task includes an option with an undefined variable.
         The error was: 'ansible.utils.unsafe_proxy.AnsibleUnsafeText object' has no attribute 'name'. 
         ...

 

 

 

• 接続情報と　サービスグループとサービスの関連付け　を指定して、サービスグループの変更（state: ‘replaced’）を行う。　※replacedの場合は、既存設定の置き換えとなる　（注意：関連付け後の状態を指定すること！！）

  - name: Replaced AddressGroup1
    paloaltonetworks.panos.panos_service_group:
      provider: '{{ provider }}'
      name: '{{ wk_input3.name }}'
      value: '{{ wk_input3.value }}'
      state: 'replaced'
    register: wk_result

• 実行結果：既存のサービスグループが上書き更新された。　※Ansibleの実行結果（diff）を抜粋

  "before": "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_servicegroup001\">\n\t<members>\n\t\t<member>test_service002</member>\n\t</members>\n</entry>\n",
  "after" : "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_servicegroup001\">\n\t<members>\n\t\t<member>test_service001</member>\n\t\t<member>test_service003</member>\n\t</members>\n</entry>\n"

• 接続情報と　サービスグループとサービスの関連付け　を指定して、サービスグループの変更（state: ‘merged’）を行う。　※mergedの場合は、既存設定を維持した更新（Append）となる。その為、特定サービスの関連付け解除はできない　（注意：サービスの関連付け解除をしたい場合は　state: ‘replaced’　を使用する必要がある！！） 

  - name: Merged AddressGroup1
    paloaltonetworks.panos.panos_service_group:
      provider: '{{ provider }}'
      name: '{{ wk_input4.name }}'
      value: '{{ wk_input4.value }}'
      state: 'merged'
    register: wk_result

• 実行結果：既存のサービスグループが更新（Append）された。既存設定が維持されていることを確認。　※Ansibleの実行結果（diff）を抜粋

  "before": "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_servicegroup001\">\n\t<members>\n\t\t<member>test_service002</member>\n\t</members>\n</entry>\n",
  "after" : "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_servicegroup001\">\n\t<members>\n\t\t<member>test_service002</member>\n\t\t<member>test_service003</member>\n\t</members>\n</entry>\n"

• 接続情報と　サービスグループ　を指定して情報収集（state: ‘gathered’）を行う。

  - name: gathered AddressGroup1
    paloaltonetworks.panos.panos_service_group:
      provider: '{{ provider }}'
      name: '{{ wk_input4.name }}'
      state: 'gathered'
    register: wk_result

• 実行結果：対象サービスグループの情報が取得できた。　※Ansibleの実行結果（gathered_xml）を抜粋

  "gathered_xml": "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_servicegroup001\">\n\t<members>\n\t\t<member>test_service001</member>\n\t\t<member>test_service003</member>\n\t</members>\n</entry>\n"

 

Objects-サービスグループの削除　※変更のつづき

• 接続情報と　サービスグループと関連付いているサービス　を指定して、削除（state: ‘absent’）を行う。　（注意：関連付いているサービスが削除されるのではなく、サービスグループが削除される！！） 

  - name: Absent AddressGroup1
    paloaltonetworks.panos.panos_service_group:
      provider: '{{ provider }}'
      name: '{{ wk_input4.name }}'
      state: 'absent'
    register: wk_result

  実行結果：対象のサービスグループが削除された。　※Ansibleの実行結果（diff）を抜粋

  "before": "<?xml version=\"1.0\" encoding=\"utf-8\"?>\n<entry name=\"test_servicegroup001\">\n\t<members>\n\t\t<member>test_service001</member>\n\t\t<member>test_service003</member>\n\t</members>\n</entry>\n",
  "after" : ""

最後に

• 今回、変数（Survey）を活用したことで、AnsibleにINPUT（JSON）を設定できるようになりました。
  設定情報がYAMLにベタ書きではなくなったので、使い勝手は増しましたが、
  都度　変数（Survey）のデフォルト値に値を設定しての実行の為、まだまだ　使い勝手が悪い。。。               

  今後　外部からAnsibleのINPUT（JSON）に値を連携し実行させる仕組みを試みたいと思います。