Vault - CIS hardening playbook (Ansible)

category: solutionz · date: 2024-12-31 · updated: 2026-10-02 · author: LALA
Vault Solution · Config document · referenced from Linux hardening
The Ansible playbook that applied the CIS Benchmark to one server, using the community RHEL8-CIS role. Every rule of the benchmark is listed and switched on or off explicitly, which makes the file long and makes every deviation visible.
Item	Value
Path on the host	`/home/recovery/<fqdn>.yml`
Shown here	`prod-vault-node1`
Deployed on	every server, one playbook per host
Role	`RHEL8-CIS`, CIS Oracle Linux 8 Benchmark v2.0.0
Run with	Ansible 2.9, one benchmark section at a time, first with `--check`
The file

yaml
- name: CIS benchmark 2.0
  hosts: prod-vault-node1.example.net
  remote_user: recovery
  become: true

  vars:
      rhel8cis_rule_1_1_1_1: true
      rhel8cis_rule_1_1_1_2: true
      rhel8cis_rule_1_1_1_3: true
      rhel8cis_rule_1_1_2_1: true
      rhel8cis_rule_1_1_2_2: true
      rhel8cis_rule_1_1_2_3: true
      rhel8cis_rule_1_1_2_4: true
      rhel8cis_rule_1_1_3_1: true
      rhel8cis_rule_1_1_3_2: true
      rhel8cis_rule_1_1_3_3: true
      rhel8cis_rule_1_1_3_4: true
      rhel8cis_rule_1_1_4_1: true
      rhel8cis_rule_1_1_4_2: true
      rhel8cis_rule_1_1_4_3: true
      rhel8cis_rule_1_1_4_4: true
      rhel8cis_rule_1_1_5_1: true
      rhel8cis_rule_1_1_5_2: true
      rhel8cis_rule_1_1_5_3: true
      rhel8cis_rule_1_1_5_4: true
      rhel8cis_rule_1_1_6_1: true
      rhel8cis_rule_1_1_6_2: true
      rhel8cis_rule_1_1_6_3: true
      rhel8cis_rule_1_1_6_4: true
      rhel8cis_rule_1_1_7_1: true
      rhel8cis_rule_1_1_7_2: true
      rhel8cis_rule_1_1_7_3: true
      rhel8cis_rule_1_1_7_4: true
      rhel8cis_rule_1_1_7_5: true
      rhel8cis_rule_1_1_8_1: true
      rhel8cis_rule_1_1_8_2: true
      rhel8cis_rule_1_1_8_3: true
      rhel8cis_rule_1_1_18: true
      rhel8cis_rule_1_1_19: true
      rhel8cis_rule_1_1_20: true
      rhel8cis_rule_1_1_21: true
      rhel8cis_rule_1_1_9: true
      rhel8cis_rule_1_1_10: true
      rhel8cis_rule_1_2_1: false
      rhel8cis_rule_1_2_2: false
      rhel8cis_rule_1_2_3: false
      rhel8cis_rule_1_2_4: false
      rhel8cis_rule_1_3_1: true
      rhel8cis_rule_1_3_2: true
      rhel8cis_rule_1_4_1: true
      rhel8cis_rule_1_4_2: true
      rhel8cis_rule_1_4_3: true
      rhel8cis_rule_1_5_1: true
      rhel8cis_rule_1_5_2: true
      rhel8cis_rule_1_5_3: true
      rhel8cis_rule_1_6_1: true
      rhel8cis_rule_1_6_2: true
      rhel8cis_rule_1_6_1_1: true
      rhel8cis_rule_1_6_1_2: true
      rhel8cis_rule_1_6_1_3: true
      rhel8cis_rule_1_6_1_4: true
      rhel8cis_rule_1_6_1_5: true
      rhel8cis_rule_1_6_1_6: true
      rhel8cis_rule_1_6_1_7: true
      rhel8cis_rule_1_6_1_8: true
      rhel8cis_rule_1_7_1: true
      rhel8cis_rule_1_7_2: true
      rhel8cis_rule_1_7_3: true
      rhel8cis_rule_1_7_4: true
      rhel8cis_rule_1_7_5: true
      rhel8cis_rule_1_7_6: true
      rhel8cis_rule_1_8_1: true
      rhel8cis_rule_1_8_2: true
      rhel8cis_rule_1_8_3: true
      rhel8cis_rule_1_8_4: true
      rhel8cis_rule_1_8_5: true
      rhel8cis_rule_1_9: true
      rhel8cis_rule_1_10: true
      rhel8cis_rule_1_11: true

      # Section 2 rules
      rhel8cis_rule_2_1_1: true
      rhel8cis_rule_2_1_2: true
      rhel8cis_rule_2_2_1: true
      rhel8cis_rule_2_2_2: true
      rhel8cis_rule_2_2_3: true
      rhel8cis_rule_2_2_4: true
      rhel8cis_rule_2_2_5: true
      rhel8cis_rule_2_2_6: true
      rhel8cis_rule_2_2_7: true
      rhel8cis_rule_2_2_8: true
      rhel8cis_rule_2_2_9: true
      rhel8cis_rule_2_2_10: true
      rhel8cis_rule_2_2_11: true
      rhel8cis_rule_2_2_12: true
      rhel8cis_rule_2_2_13: true
      rhel8cis_rule_2_2_14: true
      rhel8cis_rule_2_2_15: true
      rhel8cis_rule_2_2_16: true
      rhel8cis_rule_2_2_17: true
      rhel8cis_rule_2_2_18: true
      rhel8cis_rule_2_2_19: true
      rhel8cis_rule_2_2_20: true
      rhel8cis_rule_2_3_1: true
      rhel8cis_rule_2_3_2: true
      rhel8cis_rule_2_3_3: true
      rhel8cis_rule_2_3_4: true
      rhel8cis_rule_2_3_5: true
      rhel8cis_rule_2_3_6: true
      rhel8cis_rule_2_4: true

      # Section 3 rules
      rhel8cis_rule_3_1_1: true
      rhel8cis_rule_3_1_2: true
      rhel8cis_rule_3_1_3: true
      rhel8cis_rule_3_1_4: true
      rhel8cis_rule_3_2_1: true
      rhel8cis_rule_3_2_2: true
      rhel8cis_rule_3_3_1: true
      rhel8cis_rule_3_3_2: true
      rhel8cis_rule_3_3_3: true
      rhel8cis_rule_3_3_4: true
      rhel8cis_rule_3_3_5: true
      rhel8cis_rule_3_3_6: true
      rhel8cis_rule_3_3_7: true
      rhel8cis_rule_3_3_8: true
      rhel8cis_rule_3_3_9: true
      rhel8cis_rule_3_4_1_1: true
      rhel8cis_rule_3_4_1_2: true
      rhel8cis_rule_3_4_1_3: true
      rhel8cis_rule_3_4_1_4: true
      rhel8cis_rule_3_4_1_5: true
      rhel8cis_rule_3_4_1_6: true
      rhel8cis_rule_3_4_1_7: true
      rhel8cis_rule_3_4_2_1: true
      rhel8cis_rule_3_4_2_2: true
      rhel8cis_rule_3_4_2_3: true
      rhel8cis_rule_3_4_2_4: true
      rhel8cis_rule_3_4_2_5: true
      rhel8cis_rule_3_4_2_6: true
      rhel8cis_rule_3_4_2_7: true
      rhel8cis_rule_3_4_2_8: true
      rhel8cis_rule_3_4_2_9: true
      rhel8cis_rule_3_4_2_10: true
      rhel8cis_rule_3_4_2_11: true
      rhel8cis_rule_3_4_3_1_1: true
      rhel8cis_rule_3_4_3_1_2: true
      rhel8cis_rule_3_4_3_1_3: true
      rhel8cis_rule_3_4_3_2_1: true
      rhel8cis_rule_3_4_3_2_2: true
      rhel8cis_rule_3_4_3_2_3: true
      rhel8cis_rule_3_4_3_2_4: true
      rhel8cis_rule_3_4_3_2_5: true
      rhel8cis_rule_3_4_3_2_6: true
      rhel8cis_rule_3_4_3_3_1: true
      rhel8cis_rule_3_4_3_3_2: true
      rhel8cis_rule_3_4_3_3_3: true
      rhel8cis_rule_3_4_3_3_4: true
      rhel8cis_rule_3_4_3_3_5: true
      rhel8cis_rule_3_4_3_3_6: true

      # Section 4 rules
      rhel8cis_rule_4_1_1_1: true
      rhel8cis_rule_4_1_1_2: true
      rhel8cis_rule_4_1_1_3: true
      rhel8cis_rule_4_1_1_4: true
      rhel8cis_rule_4_1_2_1: true
      rhel8cis_rule_4_1_2_2: true
      rhel8cis_rule_4_1_2_3: true
      rhel8cis_rule_4_1_3_1: true
      rhel8cis_rule_4_1_3_2: true
      rhel8cis_rule_4_1_3_3: true
      rhel8cis_rule_4_1_3_4: true
      rhel8cis_rule_4_1_3_5: true
      rhel8cis_rule_4_1_3_6: true
      rhel8cis_rule_4_1_3_7: true
      rhel8cis_rule_4_1_3_8: true
      rhel8cis_rule_4_1_3_9: true
      rhel8cis_rule_4_1_3_10: true
      rhel8cis_rule_4_1_3_11: true
      rhel8cis_rule_4_1_3_12: true
      rhel8cis_rule_4_1_3_13: true
      rhel8cis_rule_4_1_3_14: true
      rhel8cis_rule_4_1_3_15: true
      rhel8cis_rule_4_1_3_16: true
      rhel8cis_rule_4_1_3_17: true
      rhel8cis_rule_4_1_3_18: true
      rhel8cis_rule_4_1_3_19: true
      rhel8cis_rule_4_1_3_20: true
      rhel8cis_rule_4_1_3_21: true
      rhel8cis_rule_4_2_1_1: true
      rhel8cis_rule_4_2_1_2: true
      rhel8cis_rule_4_2_1_3: true
      rhel8cis_rule_4_2_1_4: true
      rhel8cis_rule_4_2_1_5: true
      rhel8cis_rule_4_2_1_6: true
      rhel8cis_rule_4_2_1_7: true
      rhel8cis_rule_4_2_2_1_1: true
      rhel8cis_rule_4_2_2_1_2: false
      rhel8cis_rule_4_2_2_1_3: true
      rhel8cis_rule_4_2_2_1_4: true
      rhel8cis_rule_4_2_2_2: true
      rhel8cis_rule_4_2_2_3: true
      rhel8cis_rule_4_2_2_4: true
      rhel8cis_rule_4_2_2_5: true
      rhel8cis_rule_4_2_2_6: true
      rhel8cis_rule_4_2_2_7: true
      rhel8cis_rule_4_2_3: true
      rhel8cis_rule_4_3: true

      # Section 5 rules
      rhel8cis_rule_5_1_1: true
      rhel8cis_rule_5_1_2: true
      rhel8cis_rule_5_1_3: true
      rhel8cis_rule_5_1_4: true
      rhel8cis_rule_5_1_5: true
      rhel8cis_rule_5_1_6: true
      rhel8cis_rule_5_1_7: true
      rhel8cis_rule_5_1_8: true
      rhel8cis_rule_5_1_9: true
      rhel8cis_rule_5_2_1: true
      rhel8cis_rule_5_2_2: true
      rhel8cis_rule_5_2_3: true
      rhel8cis_rule_5_2_4: true
      rhel8cis_rule_5_2_5: true
      rhel8cis_rule_5_2_6: true
      rhel8cis_rule_5_2_7: true
      rhel8cis_rule_5_2_8: true
      rhel8cis_rule_5_2_9: true
      rhel8cis_rule_5_2_10: true
      rhel8cis_rule_5_2_12: true
      rhel8cis_rule_5_2_11: true
      rhel8cis_rule_5_2_13: true
      rhel8cis_rule_5_2_14: true
      rhel8cis_rule_5_2_15: true
      rhel8cis_rule_5_2_16: true
      rhel8cis_rule_5_2_17: true
      rhel8cis_rule_5_2_18: true
      rhel8cis_rule_5_2_19: true
      rhel8cis_rule_5_2_20: true
      rhel8cis_rule_5_3_1: true
      rhel8cis_rule_5_3_2: true
      rhel8cis_rule_5_3_3: true
      rhel8cis_rule_5_3_4: true
      rhel8cis_rule_5_3_5: false
      rhel8cis_rule_5_3_6: false
      rhel8cis_rule_5_3_7: true
      rhel8cis_rule_5_4_1: true
      rhel8cis_rule_5_4_2: true
      rhel8cis_rule_5_5_1: true
      rhel8cis_rule_5_5_2: true
      rhel8cis_rule_5_5_3: true
      rhel8cis_rule_5_5_4: true
      rhel8cis_rule_5_5_5: true
      rhel8cis_rule_5_6_1_1: true
      rhel8cis_rule_5_6_1_2: true
      rhel8cis_rule_5_6_1_3: true
      rhel8cis_rule_5_6_1_4: true
      rhel8cis_rule_5_6_1_5: true
      rhel8cis_rule_5_6_2: true
      rhel8cis_rule_5_6_3: true
      rhel8cis_rule_5_6_4: true
      rhel8cis_rule_5_6_5: true

      # Section 6 rules
      rhel8cis_rule_6_1_1: true
      rhel8cis_rule_6_1_2: true
      rhel8cis_rule_6_1_3: true
      rhel8cis_rule_6_1_4: true
      rhel8cis_rule_6_1_5: true
      rhel8cis_rule_6_1_6: true
      rhel8cis_rule_6_1_7: true
      rhel8cis_rule_6_1_8: true
      rhel8cis_rule_6_1_9: true
      rhel8cis_rule_6_1_10: true
      rhel8cis_rule_6_1_11: true
      rhel8cis_rule_6_1_12: true
      rhel8cis_rule_6_1_13: true
      rhel8cis_rule_6_1_14: true
      rhel8cis_rule_6_1_15: true
      rhel8cis_rule_6_2_1: true
      rhel8cis_rule_6_2_2: true
      rhel8cis_rule_6_2_3: true
      rhel8cis_rule_6_2_4: true
      rhel8cis_rule_6_2_5: true
      rhel8cis_rule_6_2_6: true
      rhel8cis_rule_6_2_7: true
      rhel8cis_rule_6_2_8: true
      rhel8cis_rule_6_2_9: false
      rhel8cis_rule_6_2_10: false
      rhel8cis_rule_6_2_11: false
      rhel8cis_rule_6_2_12: true
      rhel8cis_rule_6_2_13: true
      rhel8cis_rule_6_2_14: true
      rhel8cis_rule_6_2_15: true
      rhel8cis_rule_6_2_16: true

      # Service configuration booleans set true to keep service
      rhel8cis_xinetd_server: false
      rhel8cis_avahi_server: false
      rhel8cis_cups_server: false
      rhel8cis_dhcp_server: false
      rhel8cis_dns_server: false
      rhel8cis_ftp_server: false
      rhel8cis_vsftpd_server: false
      rhel8cis_tftp_server: false
      rhel8cis_httpd_server: false
      rhel8cis_nginx_server: false
      rhel8cis_dovecot_cyrus_server: false
      rhel8cis_samba_server: false
      rhel8cis_squid_server: false
      rhel8cis_snmp_server: false
      rhel8cis_nis_server: false
      rhel8cis_telnet_server: false
      rhel8cis_is_mail_server: false
      rhel8cis_nfs_server: false
      rhel8cis_rpc_server: false
      rhel8cis_rsync_server: false
      rhel8cis_tftp_client: false
      rhel8cis_ldap_server: false
      rhel8cis_ntalk_server: false
      rhel8cis_rsh_server: false
      rhel8cis_smb_server: false
      # rhel8cis_dovecot_server: false
      # rhel8cis_named_server: false
      rhel8cis_nfs_rpc_server: false
      rhel8cis_bind: false
      rhel8cis_vsftpd: false
      rhel8cis_httpd: false
      rhel8cis_dovecot: false
      rhel8cis_squid: false
      rhel8cis_net_snmp: false
      rhel8cis_allow_autofs: false

  roles:
    - RHEL8-CIS
Per-role differences

Rule	Vault node	Load balancer	Bastion
`3_2_1` IP forwarding disabled	`true`	`false`	`true`
The rules switched off on every role, and why, are in Linux hardening.