ArgoCD

一. ArgoCD

• UI界面还不是很完善, 很多依赖于命令行, 都是无状态应用
• argocd多集群部署不能在一个Application内选择多个部署集群，只能通过建立多个相同Application对应不同部署目的集群方式
• 支持kustomize, helm, yaml, 一定要部署企业版(ha版)

(一). 概述

1. 组件介绍

• Argo CD 主要有三个组件：API Server、Repository Server 和 Application Controller

• applicationset-controller

  • 持续监听应用的实时运行状态并与Git仓库中声明的期望状态进行对比，如果有不一致的状态，会根据用户设置的同步策略决定是否自动修复应用，它检测 OutOfSync 应用程序状态并有选择地采取纠正措施。它负责为生命周期事件（PreSync、Sync、PostSync）调用任何用户定义的 hooks

• repo-server

  • 负责维护从Git仓库中拉取的应用编排文件的本地缓存

• Repository Server

  • 是一个内部服务，它负责保存应用程序 Git 仓库的本地缓存，并负责生成和返回可供 Kubernetes 使用的 manifests

• dex-server

[bash-4.2] # kubectl  -n argocd get deploy
NAME                               READY   UP-TO-DATE   AVAILABLE   AGE
argocd-applicationset-controller   1/1     1            1           17d
argocd-dex-server                  1/1     1            1           17d
argocd-notifications-controller    1/1     1            1           17d
argocd-redis                       1/1     1            1           17d
argocd-repo-server                 1/1     1            1           17d
argocd-server                      1/1     1            1           17d
gitlab                             1/1     1            1           14d
jenkins-master                     1/1     1            1           4d3h
postgresql                         1/1     1            1           14d
redis                              1/1     1            1           14d

(二). 部署和使用

1. 部署及使用

选择版本安装

官方文档

• Kubernetes 1.24 上的 Argo CD 2.4.3
• Kubernetes 1.23 上的 Argo CD 2.4.3
• Kubernetes 1.22 上的 Argo CD 2.4.3
• Kubernetes 1.24 上的 Argo CD 2.3.5
• Kubernetes 1.23 上的 Argo CD 2.3.5
• Kubernetes 1.22 上的 Argo CD 2.3.5
• 默认比 k8s 高一个版本 更合适

### 这个是集群版本， 至少需要2个节点
# 提前准备镜像,deploy会更快
kubectl create namespace argocd
kubectl apply -n argocd -f https://github.com/argoproj/argo-cd/blob/master/manifests/ha/install.yaml

# 选择版本安装
kubectl create namespace argocd
kubectl apply -n argocd -f https://raw.githubusercontent.com/argoproj/argo-cd/v2.4.14/manifests/ha/install.yaml

# 修改后浏览器访问
kubectl patch svc argocd-server -n argocd -p '{"spec": {"type": "NodePort"}}'

# 默认账号是admin,初始密码查看
kubectl -n argocd get secret argocd-initial-admin-secret -o jsonpath="{.data.password}" | base64 -d; echo

# 
[root@master-1 ~]# kubectl  -n argocd get svc argocd-server
NAME            TYPE       CLUSTER-IP     EXTERNAL-IP   PORT(S)                      AGE
argocd-server   NodePort   10.104.81.83   <none>        80:31556/TCP,443:32680/TCP   16h

# 浏览器登录,可以搞个ingres来域名登录
{master ip}:31556

ArgoCD单机版, 其他一样

kubectl apply -n argocd -f  https://github.com/argoproj/argo-cd/blob/v2.4.14/manifests/install.yaml

• 使用yaml的形式来进行CD操作, 回滚,日志, yaml编辑, event等等

# 可以从在集群中查到我们页面上创建的app,简写为app
kubectl  -n argocd get applications
NAME         SYNC STATUS   HEALTH STATUS
nginx-demo   Synced        Healthy

# 最简单Application yaml
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: nginx										# deployment名字
  namespace: argocd
spec:
  destination:
    namespace: sopkl								# 部署到哪个namespace
    server: https://kubernetes.default.svc			# 集群apiserver
  project: nginx-demo								# 项目名
  source:
    path: nginx-demo								# yaml所在的相对目录
    repoURL: http://192.168.100.12/root/sokpl.git	# 仓库地址
    targetRevision: HEAD							# 分支信息

# Application其他配置
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: guestbook
  namespace: argocd
  finalizers:
    - resources-finalizer.argocd.argoproj.io
  labels:
    name: guestbook
spec:
  project: default
  source:
    helm:
      parameters:
      - name: "nginx-ingress.controller.service.annotations.external-dns\\.alpha\\.kubernetes\\.io/hostname"
        value: mydomain.example.com
      - name: "ingress.annotations.kubernetes\\.io/tls-acme"
        value: "true"
      fileParameters:
      - name: config
        path: files/config.json
      releaseName: guestbook
      valueFiles:
      - values-prod.yaml
      values: |
        ingress:
          enabled: true
          path: /
          hosts:
            - mydomain.example.com
          annotations:
            kubernetes.io/ingress.class: nginx
            kubernetes.io/tls-acme: "true"
          labels: {}
          tls:
            - secretName: mydomain-tls
              hosts:
                - mydomain.example.com
      version: v2
    kustomize:
      version: v3.5.4
      namePrefix: prod-
      images:
      - gcr.io/heptio-images/ks-guestbook-demo:0.2
    directory:
      recurse: true
      jsonnet:
        extVars:
        - name: foo
          value: bar
        - code: true
          name: baz
          value: "true"
        tlas:
        - code: false
          name: foo
          value: bar
      exclude: string
      include: string
    plugin:
      name: mypluginname
      env:
        - name: FOO
          value: bar
  destination:
    server: https://kubernetes.default.svc
    namespace: guestbook
  syncPolicy:
    retry:
      backoff:
  ignoreDifferences:
  - group: apps
    kind: Deployment
    jsonPointers:
    - /spec/replicas
  - group: "*"
    kind: "*"
    managedFieldsManagers:
    - kube-controller-manager

2. ArgoCD CLI

VERSION=$(curl --silent "https://api.github.com/repos/argoproj/argo-cd/releases/latest" | grep '"tag_name"' | sed -E 's/.*"([^"]+)".*/\1/')
curl -sSL -o /usr/local/bin/argocd https://github.com/argoproj/argo-cd/releases/download/$VERSION/argocd-linux-amd64
chmod +x /usr/local/bin/argocd

# 或者在部署完argoCD后,点击页面本地下载
wget --no-check-certificate https://192.168.100.55:31556/download/argocd-linux-amd64

# 登录
argocd login 192.168.100.55:31556

# 修改admin用户密码
argocd account update-password

# 查看用户列表,需要登录才能查看到
argocd account list

# 存储库
argocd repocreds list

# 证书 ssh
argocd cert list

# 列出app
argocd app list
argocd app get ${app_name}

# 查看版本
argocd version

# argocd 默认是关闭了进入终端的设置,进入终端, 加入权限,然后configmap中开启
# 第一步, 配置clusterrole权限
kubectl edit clusterrole argocd-server

- apiGroups:
  resources:
  - pods/exec
  verbs:
  - create
  
# 第二步 configmap中设置开启
kubectl -n argocd edit cm argocd-cm

data:
  exec.enabled: "true"

3. Role + RBAC

• 新建用户目前UI界面上没找到接口, 只能通过修改configmap来添加用户
• 用户可以创建多个, 但是配置用户需要使用admin用户
• Argo CD没有自己的用户管理系统, 是通过RBAC来限制对Argo CD资源的访问

功能	描述
apiKey	允许为API访问生成身份验证令牌, 默认admin用户不支持
login	允许使用UI界面登录

# 创建三个新用户,sit-8800,sopkl，lookonly
apiVersion: v1
kind: ConfigMap
metadata:
  name: argocd-cm
  namespace: argocd
  labels:
    app.kubernetes.io/name: argocd-cm
    app.kubernetes.io/part-of: argocd
data:
  accounts.lookonly: apiKey, login
  accounts.sopkl: apiKey, login
  accounts.dev: apiKey, login
  accounts.sit-8800: apiKey, login
  # admin.enabled: "false"		# 禁用管理员用户
  exec.enabled: "true"			# 开启进入容器终端的功能,prod环境不要给这个配置
  
  
# 查看用户
argocd account list

• 新创建的用户密码和admin密码一致, 但是不能登录, 所以必须修改后才能登录

# 其他用户设置密码, 其他2个用户同样方式, 新建的用户默认和admin用户密码一致,且必须得改
argocd account update-password --account moon --current-password Moon!=yi991 --new-password Moon!=yi991

• 当创建用户时，这些用户中的每一个都需要配置额外的 RBAC 规则是不能正常投入使用的,不能创建project

• Argo CD具有两个预定义的角色
  • readonly
    • 只能查看所有资源
  • admin
    • 所有资源满权限

内置角色的权限

# Built-in policy which defines two roles: role:readonly and role:admin,
# and additionally assigns the admin user to the role:admin role.
# There are two policy formats:
# 1. Applications, logs, and exec (which belong to a project):
# p, , , , /