shermster/awx-ee-legacy

awx-ee-legacy

自定义AWX / Ansible自动化平台执行环境，用于管理遗留CentOS5/CentOS6主机（及运行OpenSSH4.x-5.x和Python2.6的类似EOL Linux系统）。

官方awx-ee镜像（基于RHEL9系列基础）无法连接这些主机，本镜像修复了两个根本问题，使旧基础设施仍可通过当前AWX进行自动化管理。

存在的意义

1. 遗留SSH加密：RHEL9强制执行系统级加密策略，禁用SHA-1（ssh-rsa）签名和旧密钥交换算法（如diffie-hellman-group1-sha1）。仅传递-o HostKeyAlgorithms=ssh-rsa不够——加密层会阻止这些算法。本镜像放松策略（update-crypto-policies --set LEGACY），允许协商遗留算法。

2. Python2.6目标主机：ansible-core在2.13版本移除了对Python2.6管理节点的支持，现代执行环境无法在这些主机上运行模块。本镜像固定使用**ansible-core 2.12**——最后一个支持Python2.6目标主机的版本。

包含内容

• 基础镜像：CentOS Stream9（quay.io/centos/centos:stream9）
• ansible-core2.12（控制器Python3.9）+ ansible-runner
• 系统加密策略设为LEGACY
• sshpass（密码认证）、rsync、openssh-clients、git
• 兼容ansible-core2.12的ansible.posix和community.general集合
• /etc/ansible/ansible.cfg配置deprecation_warnings = False以保持作业输出整洁

在AWX中使用

1. 添加指向本镜像的执行环境，并仅将其分配给目标为遗留主机的作业模板/ inventory。不要设为全局默认——它故意包含旧版Ansible和最小集合集。

2. 在遗留inventory组中，运行时提供SSH算法（未内置，确保仅作用于这些主机）：

   yaml
   ansible_ssh_common_args: >-
     -o HostKeyAlgorithms=+ssh-rsa
     -o PubkeyAcceptedAlgorithms=+ssh-rsa
     -o KexAlgorithms=+diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1
   

3. 在遗留主机上，指向Ansible的旧解释器：

   yaml
   ansible_python_interpreter: /usr/bin/python2.6
   

快速本地测试

bash
docker run --rm docker.xuanyuan.run/<namespace>/awx-ee-legacy:latest ansible --version # core 2.12.x
docker run --rm docker.xuanyuan.run/<namespace>/awx-ee-legacy:latest update-crypto-policies --show # LEGACY

# 针对真实遗留主机（-k提示输入SSH密码；使用sshpass）：
printf '[legacy]\n192.0.2.10 ansible_user=root ansible_python_interpreter=/usr/bin/python2.6\n' > /tmp/inv
docker run --rm -it -v /tmp/inv:/tmp/inv docker.xuanyuan.run/<namespace>/awx-ee-legacy:latest \
  ansible -i /tmp/inv legacy -m ping -k \
  --ssh-common-args='-o StrictHostKeyChecking=no -o HostKeyAlgorithms=+ssh-rsa -o KexAlgorithms=+diffie-hellman-group1-sha1,diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1'
# 成功输出 == "ping": "pong"

注意事项与限制

• 假设目标主机提供RSA主机密钥。即使在LEGACY策略下，RHEL9客户端也无法重新启用DSA（ssh-dss）主机密钥。
• 故意固定ansible-core2.12版本；升级会失去Python2.6支持。
• 专门用于EOL主机，其他场景请使用标准awx-ee。

标签

• latest — 当前构建