**이 페이지 개선에 도움 주기**
이 사용자 가이드에 기여하려면 모든 페이지의 오른쪽 창에 있는 **GitHub에서 이 페이지 편집** 링크를 선택합니다.
# Argo CD를 사용하는 지속적 배포
Argo CD는 Kubernetes에 대한 선언에 기반한 GitOps의 지속적 전송 도구입니다. Argo CD를 사용하면 여러 클러스터 및 환경에서 애플리케이션의 배포 및 수명 주기 관리를 자동화할 수 있습니다. Argo CD는 Git 리포지토리, 헬름 레지스트리(HTTP 및 OCI), OCI 이미지를 비롯한 여러 소스 유형을 지원하므로 보안 및 규정 준수 요구 사항이 서로 다른 조직에 유연성을 제공합니다.
EKS 기능을 사용하면 Argo CD는 AWS에서 완전하게 관리되므로 클러스터에서 Argo CD 컨트롤러 및 해당 종속성을 설치, 유지 관리 및 조정할 필요가 없습니다.
## Argo CD 작동 방식
Argo CD는 GitOps 패턴을 따릅니다. 이때 애플리케이션 소스(Git 리포지토리, 헬름 레지스트리 또는 OCI 이미지)는 원하는 애플리케이션 상태를 정의하기 위한 신뢰할 수 있는 소스입니다. Argo CD `Application` 리소스를 생성할 때 애플리케이션 매니페스트와 대상 Kubernetes 클러스터 및 네임스페이스를 포함하는 소스를 지정합니다. Argo CD는 클러스터의 소스 및 라이브 상태를 지속적으로 모니터링하므로 변경 사항을 자동으로 동기화하여 클러스터 상태가 원하는 상태와 일치하는지 확인합니다.
**참고**
Argo CD의 EKS 기능을 사용하면 Argo CD 소프트웨어는 워커 노드가 아닌 AWS 컨트롤 플레인에서 실행됩니다. 즉, 워커 노드는 Git 리포지토리 또는 헬름 레지스트리에 직접 액세스할 필요가 없습니다. 이 기능은 AWS 계정의 소스 액세스를 처리합니다.
Argo CD는 다음과 같은 세 가지 기본 리소스 유형을 제공합니다.
+ **Application**: Git 리포지토리에서 대상 클러스터로의 배포를 정의함
+ **ApplicationSet**: 다중 클러스터 배포를 위해 템플릿에서 여러 애플리케이션을 생성함
+ **AppProject**: 애플리케이션에 대한 논리적 그룹화 및 액세스 제어를 제공함
**예제: Argo CD 애플리케이션 생성**
다음 예제에서는 Argo CD `Application` 리소스를 생성하는 방법을 보여줍니다.
```
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
name: guestbook
namespace: argocd
spec:
project: default
source:
repoURL: https://github.com/argoproj/argocd-example-apps.git
targetRevision: HEAD
path: guestbook
destination:
name: in-cluster
namespace: guestbook
syncPolicy:
automated:
prune: true
selfHeal: true
```
**참고**
클러스터를 등록할 때 사용한 클러스터 이름으로 `destination.name`을 사용합니다(예: 로컬 클러스터의 경우 `in-cluster`). 이 `destination.server` 필드는 EKS 클러스터 ARN에서도 작동하지만 가독성을 높이려면 클러스터 이름을 사용하는 것이 좋습니다.
## Argo CD의 이점
Argo CD는 Git 리포지토리에서 애플리케이션 구성을 정의하는 GitOps 워크플로를 구현하고, Argo CD는 원하는 상태와 일치하도록 애플리케이션을 자동으로 동기화합니다. 이 Git 중심 접근 방식은 모든 변경 사항에 대한 완전한 감사 추적을 제공하고 쉬운 롤배을 지원하며 기존 코드 검토 및 승인 프로세스와 자연스럽게 통합됩니다. Argo CD는 Git의 원하는 상태와 클러스터의 실제 상태 사이의 드리프트를 자동으로 감지하고 조정하여 선언된 구성과 일관되게 배포를 유지합니다.
Argo CD를 사용하면 단일 Argo CD 인스턴스의 여러 클러스터에서 애플리케이션을 배포 및 관리할 수 있으므로 다중 클러스터 및 다중 리전 환경에서 작업을 단순화할 수 있습니다. Argo CD UI는 시각화 및 모니터링 기능을 제공하여 애플리케이션의 배포 상태, 상태 및 기록을 볼 수 있습니다. UI는 원활한 인증 및 권한 부여를 위해 AWS Identity Center(이전의 AWS SSO)에 통합되어 기존 ID 관리 인프라를 사용하여 액세스를 제어할 수 있습니다.
EKS 관리형 기능의 일환으로 Argo CD는 AWS에서 완전하게 관리되므로 Argo CD 인프라를 설치, 구성 및 유지 관리할 필요가 없습니다. AWS에서 조정, 패치 적용 및 운영 관리를 처리하므로 팀은 도구 유지 관리가 아닌 애플리케이션 제공에 집중할 수 있습니다.
## AWS Identity Center와 통합
EKS 관리형 기능은 Argo CD와 AWS Identity Center 간 직접 통합을 제공하여 사용자에게 원활한 인증 및 권한 부여를 지원합니다. Argo CD 기능을 활성화하면 Identity Center 그룹 및 사용자를 Argo CD RBAC 역할에 매핑하도록 AWS Identity Center 통합을 구성하여 Argo CD에서 애플리케이션에 액세스하고 이를 관리할 수 있는 사용자를 제어할 수 있습니다.
## 다른 EKS 관리형 기능과 통합
Argo CD는 다른 EKS 관리형 기능과 통합됩니다.
+ ** AWS Controllers for Kubernetes(ACK)**: Argo CD를 사용하여 여러 클러스터에서 ACK 리소스 배포를 관리하여 AWS 인프라에 대한 GitOps 워크플로를 지원합니다.
+ **Kube Resource Orchestrator(kro)**: Argo CD를 사용하여 여러 클러스터에 kro 구성을 배포하므로 Kubernetes 자산 전반에서 일관된 리소스 구성을 사용할 수 있습니다.
## Argo CD 시작하기
Argo CD의 EKS 기능을 시작하는 방법:
1. Argo CD가 소스에 액세스하고 애플리케이션을 관리하는 데 필요한 권한이 있는 IAM 기능 역할을 생성 및 구성하세요.
1. AWS 콘솔, AWS CLI 또는 기본 코드형 인프라를 통해 EKS 클러스터에서 [Argo CD 기능 리소스를 생성](create-argocd-capability.md)하세요.
1. 리포지토리 액세스를 구성하고 애플리케이션 배포를 위해 클러스터를 등록하세요.
1. 선언적 소스에서 애플리케이션을 배포하기 위한 Application 리소스를 생성하세요.
# Argo CD 기능 생성
이 주제에서는 Amazon EKS 클러스터에서 Argo CD 기능을 생성하는 방법을 설명합니다.
## 사전 조건
Argo CD 기능을 생성하기 전에 다음이 있는지 확인합니다.
+ 지원되는 Kubernetes 버전(표준 및 확장 지원의 모든 버전이 지원됨)을 실행하는 기존 Amazon EKS 클러스터
+ **구성된 AWS Identity Center** - Argo CD 인증에 필요(로컬 사용자는 지원되지 않음)
+ Argo CD에 대한 권한이 있는 IAM 기능 역할
+ EKS 클러스터에서 기능 리소스를 생성할 수 있는 충분한 IAM 권한
+ 클러스터와 통신하도록 구성된 `kubectl`
+ (선택 사항) 더 쉬운 클러스터 및 리포지토리 관리를 위해 설치된 Argo CD CLI
+ (CLI/eksctl의 경우) 설치 및 구성된 적절한 CLI 도구
IAM 기능 역할을 생성하는 방법에 대한 지침은 [Amazon EKS 기능 IAM 역할](capability-role.md) 섹션을 참조하세요. Identity Center 설정에 대한 자세한 내용은 [Getting started with AWS Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/getting-started.html)를 참조하세요.
**중요**
사용자가 제공하는 IAM 기능 역할에 따라 Argo CD에서 액세스할 수 있는 AWS 리소스가 결정됩니다. 여기에는 CodeConnections를 통한 Git 리포지토리 액세스와 Secrets Manager의 보안 암호가 포함됩니다. 최소 권한으로 적절한 역할을 생성하는 방법에 대한 지침은 [Amazon EKS 기능 IAM 역할](capability-role.md) 및 [EKS 기능에 대한 보안 고려 사항](capabilities-security.md) 섹션을 참조하세요.
## 도구 선택
AWS Management Console, AWS CLI 또는 eksctl을 사용하여 Argo CD 기능을 생성할 수 있습니다.
+ [콘솔을 사용하여 Argo CD 기능 생성](argocd-create-console.md) - 안내 경험을 이용하려면 콘솔 사용
+ [AWS CLI를 사용하여 Argo CD 기능 생성](argocd-create-cli.md) -스크립트 및 자동화를 이용하려면 AWS CLI 사용
+ [eksctl 사용 시 Argo CD 기능 생성](argocd-create-eksctl.md) - Kubernetes 네이티브 경험을 이용하려면 eksctl 사용
## Argo CD 기능을 생성할 때 상황
Argo CD 기능을 생성할 때:
1. EKS는 AWS 컨트롤 플레인에서 Argo CD 기능 서비스를 생성함
1. 사용자 지정 리소스 정의(CRD)가 클러스터에 설치됨
1. 기준 Kubernetes 권한을 부여하는 기능별 액세스 항목 정책을 사용하여 IAM 기능 역할에 대한 액세스 항목이 자동으로 생성됨([EKS 기능에 대한 보안 고려 사항](capabilities-security.md) 참조)
1. Argo CD에서 사용자 지정 리소스(Applications, ApplicationSets, AppProjects) 감시를 시작함
1. 기능 상태가 `CREATING`에서 `ACTIVE`로 변경됨
1. 해당 URL을 통해 Argo CD UI에 액세스할 수 있음
활성 상태가 되면 클러스터에서 Argo CD 애플리케이션을 생성하여 선언적 소스에서 배포할 수 있습니다.
**참고**
자동으로 생성된 액세스 항목은 클러스터에 애플리케이션을 배포하기 위한 권한을 부여하지 않습니다. 애플리케이션을 배포하려면 각 대상 클러스터에 대해 추가 Kubernetes RBAC 권한을 구성해야 합니다. 클러스터 등록 및 액세스 구성에 대한 자세한 내용은 [대상 클러스터 등록](argocd-register-clusters.md) 섹션을 참조하세요.
## 다음 단계
Argo CD 기능을 생성한 후:
+ [Argo CD 개념](argocd-concepts.md) - GitOps 원칙, 동기화 정책, 다중 클러스터 패턴에 대해 알아보기
+ [Argo CD 작업](working-with-argocd.md) - 리포지토리 액세스 구성, 대상 클러스터 등록, 애플리케이션 생성
+ [Argo CD 고려 사항](argocd-considerations.md) - 다중 클러스터 아키텍처 패턴 및 고급 구성 살펴보기
# 콘솔을 사용하여 Argo CD 기능 생성
이 주제에서는 AWS Management Console을 사용하여 Argo CD 기능을 생성하는 방법을 설명합니다.
## 사전 조건
+ **구성된 AWS Identity Center** - Argo CD에는 인증을 위해 AWS Identity Center가 필요합니다. 로컬 사용자는 지원되지 않습니다. AWS Identity Center를 설정하지 않은 경우 [Getting started with AWS Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/getting-started.html)를 참조하여 Identity Center 인스턴스를 생성하고 [사용자 추가](https://docs.aws.amazon.com/singlesignon/latest/userguide/addusers.html) 및 [그룹 추가](https://docs.aws.amazon.com/singlesignon/latest/userguide/addgroups.html)를 통해 Argo CD 액세스를 위한 사용자 및 그룹을 생성합니다.
## Argo CD 기능 생성
1. https://console.aws.amazon.com/eks/home\$1/clusters에서 Amazon EKS 콘솔을 엽니다.
1. 클러스터 이름을 선택하여 클러스터 세부 정보 페이지를 여세요.
1. **기능** 탭을 선택하세요.
1. 왼쪽 탐색에서 **Argo CD**를 선택하세요.
1. **Argo CD 기능 생성**을 선택하세요.
1. **IAM 기능 역할**의 경우:
+ IAM 기능 역할이 이미 있는 경우 드롭다운 선택
+ 새 역할을 생성해야 하는 경우 **새 Argo CD 역할 생성** 선택
그러면 Secrets Manager에 대한 전체 읽기 액세스 권한과 함께 신뢰 정책이 미리 채워진 새 탭에서 IAM 콘솔이 열립니다. 다른 권한은 기본적으로 추가되지 않지만 필요한 경우 추가할 수 있습니다. CodeCommit 리포지토리 또는 기타 AWS 서비스를 사용하려는 경우 역할을 생성하기 전에 적절한 권한을 추가합니다.
역할을 생성한 후 EKS 콘솔로 돌아가면 역할이 자동으로 선택됩니다.
**참고**
AWS Secrets Manager 또는 AWS CodeConnections와의 선택적 통합을 사용하려는 경우 역할에 권한을 추가해야 합니다. IAM 정책 예제 및 구성 지침은 [AWS Secrets Manager를 사용하여 애플리케이션 보안 암호 관리](integration-secrets-manager.md) 및 [AWS CodeConnections를 사용하여 Git 리포지토리에 연결](integration-codeconnections.md) 섹션을 참조하세요.
1. AWS Identity Center 통합을 구성하세요.
1. **AWS Identity Center 통합 활성화**를 선택하세요.
1. 드롭다운에서 Identity Center 인스턴스를 선택하세요.
1. Argo CD 역할(ADMIN, EDITOR 또는 VIEWER)에 사용자 또는 그룹을 할당하여 RBAC에 대한 역할 매핑을 구성하세요.
1. **생성(Create)**을 선택합니다.
기능 생성 프로세스가 시작됩니다.
## 기능이 활성 상태인지 확인
1. **기능** 탭에서 Argo CD 기능 상태를 확인하세요.
1. 상태가 `CREATING`에서 `ACTIVE`로 변경될 때까지 기다리세요.
1. 활성 상태가 되면 기능을 사용할 준비가 된 것입니다.
기능 상태 및 문제 해결에 대한 자세한 내용은 [기능 리소스 작업](working-with-capabilities.md) 섹션을 참조하세요.
## Argo CD UI에 액세스
기능이 활성 상태가 되면 Argo CD UI에 액세스할 수 있습니다.
1. Argo CD 기능 페이지에서 **Argo CD UI 열기**를 선택하세요.
1. Argo CD UI가 새 브라우저 탭에서 열립니다.
1. 이제 UI를 통해 애플리케이션을 생성하고 배포를 관리할 수 있습니다.
## 다음 단계
+ [Argo CD 작업](working-with-argocd.md) - 리포지토리 구성, 클러스터 등록, 애플리케이션 생성
+ [Argo CD 고려 사항](argocd-considerations.md) - 다중 클러스터 아키텍처 및 고급 구성
+ [기능 리소스 작업](working-with-capabilities.md) - Argo CD 기능 리소스 관리
# AWS CLI를 사용하여 Argo CD 기능 생성
이 주제에서는 AWS CLI를 사용하여 Argo CD 기능을 생성하는 방법을 설명합니다.
## 사전 조건
+ **AWS CLI** – 버전 `2.12.3` 이상. 버전을 확인하려면 `aws --version`을 실행합니다. 자세한 내용은 AWS 명령줄 인터페이스 사용 설명서에서 [설치하기](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-install.html)를 참조하세요.
+ **`kubectl`** - Kubernetes 클러스터 작업을 위한 명령줄 도구. 자세한 내용은 [`kubectl` 및 `eksctl` 설정](install-kubectl.md) 섹션을 참조하세요.
+ **구성된 AWS Identity Center** - Argo CD에는 인증을 위해 AWS Identity Center가 필요합니다. 로컬 사용자는 지원되지 않습니다. AWS Identity Center를 설정하지 않은 경우 [Getting started with AWS Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/getting-started.html)를 참조하여 Identity Center 인스턴스를 생성하고 [사용자 추가](https://docs.aws.amazon.com/singlesignon/latest/userguide/addusers.html) 및 [그룹 추가](https://docs.aws.amazon.com/singlesignon/latest/userguide/addgroups.html)를 통해 Argo CD 액세스를 위한 사용자 및 그룹을 생성합니다.
## 1단계: IAM 기능 역할 생성
신뢰 정책 파일을 생성합니다.
```
cat > argocd-trust-policy.json << 'EOF'
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "capabilities.eks.amazonaws.com"
},
"Action": [
"sts:AssumeRole",
"sts:TagSession"
]
}
]
}
EOF
```
IAM 역할을 생성합니다.
```
aws iam create-role \
--role-name ArgoCDCapabilityRole \
--assume-role-policy-document file://argocd-trust-policy.json
```
**참고**
AWS Secrets Manager 또는 AWS CodeConnections와의 선택적 통합을 사용하려는 경우 역할에 권한을 추가해야 합니다. IAM 정책 예제 및 구성 지침은 [AWS Secrets Manager를 사용하여 애플리케이션 보안 암호 관리](integration-secrets-manager.md) 및 [AWS CodeConnections를 사용하여 Git 리포지토리에 연결](integration-codeconnections.md) 섹션을 참조하세요.
## 2단계: Argo CD 기능 생성
클러스터에서 Argo CD 기능 리소스를 생성합니다.
먼저 Identity Center 구성에 대한 환경 변수를 설정합니다.
```
# Get your Identity Center instance ARN (replace region if your IDC instance is in a different region)
export IDC_INSTANCE_ARN=$(aws sso-admin list-instances --region [.replaceable]`region` --query 'Instances[0].InstanceArn' --output text)
# Get a user ID for RBAC mapping (replace with your username and region if needed)
export IDC_USER_ID=$(aws identitystore list-users \
--region [.replaceable]`region` \
--identity-store-id $(aws sso-admin list-instances --region [.replaceable]`region` --query 'Instances[0].IdentityStoreId' --output text) \
--query 'Users[?UserName==`your-username`].UserId' --output text)
echo "IDC_INSTANCE_ARN=$IDC_INSTANCE_ARN"
echo "IDC_USER_ID=$IDC_USER_ID"
```
Identity Center 통합을 사용하여 기능을 생성합니다. *region-code*를 클러스터가 위치한 AWS 리전으로 바꾸고 *my-cluster*를 클러스터 이름으로 바꾸며 *idc-region-code*를 IAM Identity Center가 구성된 리전 코드로 바꿉니다.
```
aws eks create-capability \
--region region-code \
--cluster-name my-cluster \
--capability-name my-argocd \
--type ARGOCD \
--role-arn arn:aws:iam::$(aws sts get-caller-identity --query Account --output text):role/ArgoCDCapabilityRole \
--delete-propagation-policy RETAIN \
--configuration '{
"argoCd": {
"awsIdc": {
"idcInstanceArn": "'$IDC_INSTANCE_ARN'",
"idcRegion": "'[.replaceable]`idc-region-code`'"
},
"rbacRoleMappings": [{
"role": "ADMIN",
"identities": [{
"id": "'$IDC_USER_ID'",
"type": "SSO_USER"
}]
}]
}
}'
```
명령은 즉시 반환되지만, EKS가 필요한 기능 인프라 및 구성 요소를 생성하므로 기능이 활성 상태가 되려면 다소 시간이 걸립니다. EKS는 생성될 때 클러스터에서 이 기능과 관련된 Kubernetes 사용자 지정 리소스 정의를 설치합니다.
**참고**
클러스터가 존재하지 않는다는 오류가 발생하거나 권한이 없는 경우 다음을 확인합니다.
클러스터 이름이 올바른지
AWS CLI가 올바른 리전에 구성되었는지
필요한 IAM 권한이 있음
## 3단계: 기능이 활성 상태인지 확인
기능이 활성 상태가 될 때까지 기다립니다. *region-code*를 클러스터가 있는 AWS 리전으로 바꾸고 *my-cluster*를 클러스터 이름으로 바꿉니다.
```
aws eks describe-capability \
--region region-code \
--cluster-name my-cluster \
--capability-name my-argocd \
--query 'capability.status' \
--output text
```
상태가 `ACTIVE`로 표시되면 기능이 준비된 것입니다. `ACTIVE` 상태가 되면 다음 단계를 계속하지 마세요.
전체 기능 세부 정보를 볼 수도 있습니다.
```
aws eks describe-capability \
--region region-code \
--cluster-name my-cluster \
--capability-name my-argocd
```
## 4단계: 사용자 지정 리소스를 사용할 수 있는지 확인
기능이 활성 상태가 되면 클러스터에서 Argo CD 사용자 지정 리소스를 사용할 수 있는지 확인합니다.
```
kubectl api-resources | grep argoproj.io
```
`Application` 및 `ApplicationSet` 리소스 유형이 나열됩니다.
## 다음 단계
+ [Argo CD 작업](working-with-argocd.md) - 리포지토리 구성, 클러스터 등록, 애플리케이션 생성
+ [Argo CD 고려 사항](argocd-considerations.md) - 다중 클러스터 아키텍처 및 고급 구성
+ [기능 리소스 작업](working-with-capabilities.md) - Argo CD 기능 리소스 관리
# eksctl 사용 시 Argo CD 기능 생성
이 주제에서는 eksctl을 사용하여 Argo CD 기능을 생성하는 방법을 설명합니다.
**참고**
다음 단계에서는 eksctl 버전 `0.220.0` 이상이 필요합니다. 버전을 확인하려면 `eksctl version`을 실행합니다.
## 1단계: IAM 기능 역할 생성
신뢰 정책 파일을 생성합니다.
```
cat > argocd-trust-policy.json << 'EOF'
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "capabilities.eks.amazonaws.com"
},
"Action": [
"sts:AssumeRole",
"sts:TagSession"
]
}
]
}
EOF
```
IAM 역할을 생성합니다.
```
aws iam create-role \
--role-name ArgoCDCapabilityRole \
--assume-role-policy-document file://argocd-trust-policy.json
```
**참고**
이 기본 설정에는 추가 IAM 정책이 필요하지 않습니다. 리포지토리 자격 증명 또는 CodeConnections에 Secrets Manager를 사용하려는 경우 역할에 권한을 추가해야 합니다. IAM 정책 예제 및 구성 지침은 [AWS Secrets Manager를 사용하여 애플리케이션 보안 암호 관리](integration-secrets-manager.md) 및 [AWS CodeConnections를 사용하여 Git 리포지토리에 연결](integration-codeconnections.md) 섹션을 참조하세요.
## 2단계: AWS Identity Center 구성 가져오기
RBAC 구성을 위해 Identity Center 인스턴스 ARN 및 사용자 ID를 가져옵니다.
```
# Get your Identity Center instance ARN
aws sso-admin list-instances --query 'Instances[0].InstanceArn' --output text
# Get a user ID for admin access (replace 'your-username' with your Identity Center username)
aws identitystore list-users \
--identity-store-id $(aws sso-admin list-instances --query 'Instances[0].IdentityStoreId' --output text) \
--query 'Users[?UserName==`your-username`].UserId' --output text
```
이 값을 기록합니다. 다음 단계에 해당 값이 필요합니다.
## 3단계: eksctl 구성 파일 생성
다음 콘텐츠가 포함된 `argocd-capability.yaml`이라는 파일을 생성합니다. 자리 표시자 값을 클러스터 이름, 리전, IAM 역할 ARN, Identity Center 인스턴스 ARN, Identity Center 리전 및 사용자 ID로 바꿉니다.
```
apiVersion: eksctl.io/v1alpha5
kind: ClusterConfig
metadata:
name: my-cluster
region: cluster-region-code
capabilities:
- name: my-argocd
type: ARGOCD
roleArn: arn:aws:iam::[.replaceable]111122223333:role/ArgoCDCapabilityRole
deletePropagationPolicy: RETAIN
configuration:
argocd:
awsIdc:
idcInstanceArn: arn:aws:sso:::instance/ssoins-123abc
idcRegion: idc-region-code
rbacRoleMappings:
- role: ADMIN
identities:
- id: 38414300-1041-708a-01af-5422d6091e34
type: SSO_USER
```
**참고**
RBAC 매핑에 여러 사용자 또는 그룹을 추가할 수 있습니다. 그룹의 경우 `type: SSO_GROUP`을 사용하고 그룹 ID를 제공합니다. 사용 가능한 역할은 `ADMIN`, `EDITOR` 및 `VIEWER`입니다.
## 4단계: Argo CD 기능 생성
구성 파일을 적용합니다.
```
eksctl create capability -f argocd-capability.yaml
```
명령은 즉시 반환되지만 기능이 활성 상태가 되려면 다소 시간이 걸립니다.
## 5단계: 기능이 활성 상태인지 확인
기능 상태를 확인합니다. *region-code*를 클러스터를 생성한 AWS 리전으로 바꾸고 *my-cluster*를 클러스터 이름으로 바꿉니다.
```
eksctl get capability \
--region region-code \
--cluster my-cluster \
--name my-argocd
```
상태가 `ACTIVE`로 표시되면 기능이 준비된 것입니다.
## 6단계: 사용자 지정 리소스를 사용할 수 있는지 확인
기능이 활성 상태가 되면 클러스터에서 Argo CD 사용자 지정 리소스를 사용할 수 있는지 확인합니다.
```
kubectl api-resources | grep argoproj.io
```
`Application` 및 `ApplicationSet` 리소스 유형이 나열됩니다.
## 다음 단계
+ [Argo CD 작업](working-with-argocd.md) - Argo CD 애플리케이션을 생성하고 관리하는 방법 알아보기
+ [Argo CD 고려 사항](argocd-considerations.md) - SSO 및 다중 클러스터 액세스 구성
+ [기능 리소스 작업](working-with-capabilities.md) - Argo CD 기능 리소스 관리
# Argo CD 개념
Argo CD는 Git을 애플리케이션 배포의 신뢰할 수 있는 단일 소스로 처리하여 GitOps를 구현합니다. 이 주제에서는 실제 예제를 살펴본 다음 Argo CD의 EKS 기능을 사용할 때 알아야 하는 핵심 개념을 설명합니다.
## Argo CD 시작하기
Argo CD 기능을 생성한 후([Argo CD 기능 생성](create-argocd-capability.md) 참조) 애플리케이션 배포를 시작할 수 있습니다. 이 예제에서는 클러스터를 등록하고 애플리케이션을 생성하는 방법을 안내합니다.
### 1단계: 설정
**클러스터 등록**(필수)
애플리케이션을 배포할 클러스터를 등록합니다. 이 예제에서는 Argo CD가 실행 중인 동일한 클러스터를 등록합니다(대부분의 Argo CD 예제와 호환 가능하도록 `in-cluster` 이름 사용).
```
# Get your cluster ARN
CLUSTER_ARN=$(aws eks describe-cluster \
--name my-cluster \
--query 'cluster.arn' \
--output text)
# Register the cluster using Argo CD CLI
argocd cluster add $CLUSTER_ARN \
--aws-cluster-name $CLUSTER_ARN \
--name in-cluster \
--project default
```
**참고**
EKS에서 Argo CD 기능을 사용하도록 Argo CD CLI를 구성하는 방법에 대한 자세한 내용은 [관리형 기능과 함께 Argo CD CLI 사용](argocd-comparison.md#argocd-cli-configuration) 섹션을 참조하세요.
또는 Kubernetes 보안 암호를 사용하여 클러스터를 등록합니다(자세한 내용은 [대상 클러스터 등록](argocd-register-clusters.md) 참조).
**리포지토리 액세스 구성**(선택 사항)
이 예제에서는 퍼블릭 GitHub 리포지토리를 사용하므로 리포지토리 구성이 필요하지 않습니다. 프라이빗 리포지토리의 경우 AWS Secrets Manager, CodeConnections 또는 Kubernetes 보안 암호를 사용하여 액세스를 구성합니다(자세한 내용은 [리포지토리 액세스 구성](argocd-configure-repositories.md) 참조).
AWS 서비스(헬름 차트, CodeConnections 및 CodeCommit에 대한 ECR)의 경우 리포지토리를 생성하지 않고도 애플리케이션 리소스에서 직접 참조할 수 있습니다. 용량 역할에는 필요한 IAM 권한이 있어야 합니다. 세부 정보는 [리포지토리 액세스 구성](argocd-configure-repositories.md) 섹션을 참조하세요.
### 단계 2: 애플리케이션 만들기
`my-app.yaml`에서 이 애플리케이션 매니페스트를 생성합니다.
```
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
name: guestbook
namespace: argocd
spec:
project: default
source:
repoURL: https://github.com/argoproj/argocd-example-apps.git
targetRevision: HEAD
path: guestbook
destination:
name: in-cluster
namespace: guestbook
syncPolicy:
automated:
prune: true
selfHeal: true
syncOptions:
- CreateNamespace=true
```
애플리케이션을 적용합니다.
```
kubectl apply -f my-app.yaml
```
이 애플리케이션을 적용한 후 Argo CD에서 다음을 수행합니다. 1. Git에서 클러스터로 애플리케이션 동기화(초기 배포) 2. Git 리포지토리에서 변경 사항 모니터링 3. 후속 변경 사항을 클러스터와 자동으로 동기화 4. 원하는 상태에서 드리프트 감지 및 수정 5. UI에서 상태 및 동기화 기록 제공
애플리케이션 상태를 봅니다.
```
kubectl get application guestbook -n argocd
```
또한 Argo CD CLI 또는 Argo CD UI(EKS 콘솔의 클러스터의 기능 탭 아래에서 액세스 가능)를 사용하여 애플리케이션을 볼 수도 있습니다.
**참고**
관리형 기능과 함께 Argo CD CLI를 사용하는 경우 네임스페이스 접두사가 `argocd app get argocd/guestbook`인 애플리케이션을 지정합니다.
**참고**
`destination.name`에서 클러스터 이름(클러스터를 등록할 때 사용한 이름)을 사용합니다. 관리형 기능은 로컬 클러스터 내 기본값(`kubernetes.default.svc`)을 지원하지 않습니다.
## 핵심 개념
### GitOps 원칙 및 소스 유형
Argo CD는 GitOps를 구현합니다. 여기서 애플리케이션 소스는 배포를 위한 신뢰할 수 있는 단일 소스입니다.
+ **선언적** - 원하는 상태는 YAML 매니페스트, 헬름 차트 또는 Kustomize 오버레이를 사용하여 선언됨
+ **버전 관리됨** - 모든 변경 사항은 전체 감사 추적을 통해 추적됨
+ **자동화됨** - Argo CD가 소스를 지속적으로 모니터링하고 변경 사항을 자동으로 동기화함
+ **자가 복구** - 원하는 클러스터 상태와 실제 클러스터 상태 사이의 드리프트를 감지하고 수정함
**지원되는 소스 유형**:
+ **Git 리포지토리** - GitHub, GitLab, Bitbucket, CodeCommit(HTTPS, SSH 또는 CodeConnections)
+ **헬름 레지스트리** - HTTP 레지스트리(예: `https://aws.github.io/eks-charts`) 및 OCI 레지스트리(예: `public.ecr.aws`)
+ **OCI 이미지** - 매니페스트 또는 헬름 차트가 포함된 컨테이너 이미지(예: `oci://registry-1.docker.io/user/my-app`)
이러한 유연성을 통해 조직은 보안 및 규정 준수 요구 사항을 충족하는 소스를 선택할 수 있습니다. 예를 들어 클러스터에서 Git 액세스를 제한하는 조직은 헬름 차트 또는 OCI 이미지에 ECR을 사용할 수 있습니다.
자세한 내용은 Argo CD 설명서의 [Application Sources](https://argo-cd.readthedocs.io/en/stable/user-guide/application-sources/)를 참조하세요.
### 동기화 및 조정
Argo CD는 소스와 클러스터를 지속적으로 모니터링하여 차이를 감지하고 수정합니다.
1. 변경 사항에 대한 소스 폴링(기본값: 6분마다)
1. 원하는 상태를 클러스터 상태와 비교
1. 애플리케이션을 `Synced` 또는 `OutOfSync`로 표시
1. 변경 사항을 자동으로 동기화하거나(구성된 경우) 수동 승인 대기
1. 동기화 후 리소스 상태 모니터링
**웨이브 동기화**는 주석을 사용하여 리소스 생성 순서를 제어합니다.
```
metadata:
annotations:
argocd.argoproj.io/sync-wave: "0" # Default if not specified
```
리소스는 웨이브 순서(`-1`과 같은 음수를 포함하여 작은 숫자부터)로 적용됩니다. 지정하지 않으면 Wave `0`이 기본값입니다. 이를 통해 서비스(wave `1`) 이전의 배포(wave `0`)보다 이전에 네임스페이스(wave `-1`)와 같은 종속성을 생성할 수 있습니다.
**자가 복구**는 수동 변경 사항을 자동으로 되돌립니다.
```
spec:
syncPolicy:
automated:
selfHeal: true
```
**참고**
관리형 기능은 Kubernetes 규칙 및 기타 도구와의 호환성 개선을 위해 주석 기반 리소스 추적(레이블 기반이 아님)을 사용합니다.
동기화 단계, 후크 및 고급 패턴에 대한 자세한 내용은 [Argo CD sync 설명서](https://argo-cd.readthedocs.io/en/stable/user-guide/sync-waves/)를 참조하세요.
### 애플리케이션 상태
Argo CD는 애플리케이션에 있는 모든 리소스의 상태를 모니터링합니다.
**상태**: \$1 **정상** - 모든 리소스가 예상대로 실행 중임 \$1 **진행 중** - 리소스가 생성 또는 업데이트 중임 \$1 **성능 저하됨** - 일부 리소스가 정상이 아님(포드 충돌, 작업 실패) \$1 **일시 중단됨** - 애플리케이션이 의도적으로 일시 중지됨 \$1 **누락** - Git에 정의된 리소스가 클러스터에 없음
Argo CD는 일반적인 Kubernetes 리소스(배포, StatefulSets, 작업 등)에 대한 기본 제공 상태 확인 기능을 보유하며, CRD에 대한 사용자 지정 상태 확인을 지원합니다.
애플리케이션 상태는 모든 리소스에 의해 결정됩니다. 리소스가 `Degraded`인 경우 애플리케이션은 `Degraded`입니다.
자세한 내용은 Argo CD 설명서의 [Resource Health](https://argo-cd.readthedocs.io/en/stable/operator-manual/health/)를 참조하세요.
### 다중 클러스터 패턴
Argo CD는 다음과 같은 두 가지 주요 배포 패턴을 지원합니다.
**허브 및 스포크** 여러 워크로드 클러스터에 배포되는 전용 관리 클러스터에서 Argo CD 실행: \$1 중앙 집중식 제어 및 가시성 \$1 모든 클러스터에서 일관된 정책 \$1 관리할 하나의 Argo CD 인스턴스 \$1 컨트롤 플레인과 워크로드 간 명확한 분리
**클러스터별** - 각 클러스터에서 Argo CD를 실행하여 해당 클러스터의 애플리케이션만 관리: \$1 클러스터 분리(한 곳의 장애는 다른 곳에 영향을 주지 않음) \$1 보다 간단한 네트워킹(클러스터 간 통신 없음) \$1 보다 쉬운 초기 설정(클러스터 등록 없음)
많은 클러스터를 관리하는 플랫폼 팀의 경우 허브 및 스포크를 선택하거나 독립된 팀이나 클러스터가 완전히 격리되어야 하는 경우 클러스터별 방법을 선택합니다.
자세한 다중 클러스터 구성은 [Argo CD 고려 사항](argocd-considerations.md) 섹션을 참조하세요.
### Projects
프로젝트는 애플리케이션에 대한 논리적 그룹화 및 액세스 제어를 제공합니다.
+ **소스 제한 사항** - 사용할 수 있는 Git 리포지토리 제한
+ **대상 제한 사항** - 대상으로 지정할 수 있는 클러스터 및 네임스페이스 제한
+ **리소스 제한 사항** - 배포할 수 있는 Kubernetes 리소스 유형 제한
+ **RBAC 통합** - AWS Identity Center 사용자 및 그룹 ID에 프로젝트 매핑
애플리케이션은 단일 프로젝트에 속해 있습니다. 지정하지 않으면 `default` 프로젝트(기본적으로 제한 사항 없음)를 사용합니다. 프로덕션에서 사용하는 경우 액세스를 제한하고 적절한 제한 사항으로 새 프로젝트를 생성하도록 `default` 프로젝트를 편집합니다.
프로젝트 구성 및 RBAC 패턴은 [Argo CD 권한 구성](argocd-permissions.md) 섹션을 참조하세요.
### 동기화 옵션
일반적인 옵션을 사용하여 동기화 동작을 미세 조정합니다.
+ `CreateNamespace=true` - 대상 네임스페이스 자동 생성
+ `ServerSideApply=true` - 더 나은 충돌 해결을 위해 서버 측 적용 사용
+ `SkipDryRunOnMissingResource=true` - CRD가 아직 없을 때 모의 실행 건너뛰기(kro 인스턴스에 유용함)
```
spec:
syncPolicy:
syncOptions:
- CreateNamespace=true
- ServerSideApply=true
- SkipDryRunOnMissingResource=true
```
동기화 옵션의 전체 목록은 [Argo CD sync options 설명서](https://argo-cd.readthedocs.io/en/stable/user-guide/sync-options/)를 참조하세요.
## 다음 단계
+ [리포지토리 액세스 구성](argocd-configure-repositories.md) - Git 리포지토리 액세스 구성
+ [대상 클러스터 등록](argocd-register-clusters.md) - 배포에 대한 대상 클러스터 등록
+ [애플리케이션 생성](argocd-create-application.md) - 첫 번째 애플리케이션 생성
+ [Argo CD 고려 사항](argocd-considerations.md) - EKS 특정 패턴, Identity Center 통합 및 다중 클러스터 구성
+ [Argo CD 설명서](https://argo-cd.readthedocs.io/en/stable/) - 동기화 후크, 상태 확인 및 고급 패턴을 포함하는 포괄적인 Argo CD 설명서
# Argo CD 권한 구성
Argo CD 관리형 기능은 인증을 위해 AWS Identity Center와 통합되며 권한 부여를 위해 기본 제공 RBAC 역할을 사용합니다. 이 주제에서는 사용자 및 팀에 대한 권한을 구성하는 방법을 설명합니다.
## Argo CD에서 권한이 작동하는 방식
Argo CD 기능은 인증에 AWS Identity Center를 사용하고 권한 부여에 세 가지 기본 제공 RBAC 역할을 제공합니다.
사용자가 Argo CD에 액세스하는 경우:
1. 사용자는 AWS Identity Center(기업 ID 제공업체에 페더레이션할 수 있음)를 사용하여 인증함
1. AWS Identity Center는 Argo CD에 사용자 및 그룹 정보를 제공함
1. Argo CD는 사용자 구성을 기반으로 사용자 및 그룹을 RBAC 역할에 매핑함
1. 사용자는 액세스 권한이 있는 애플리케이션 및 리소스만 볼 수 있음
## 기본 제공 RBAC 역할
Argo CD 기능은 AWS Identity Center 사용자 및 그룹에 매핑하는 세 가지 기본 제공 역할을 제공합니다. 이는 프로젝트, 클러스터 및 리포지토리와 같은 Argo CD 리소스에 대한 액세스를 제어하는 **글로벌 범위의 역할**입니다.
**중요**
글로벌 역할은 애플리케이션과 같은 프로젝트 범위의 리소스가 아닌 Argo CD 자체에 대한 액세스를 제어합니다. EDITOR 및 VIEWER 사용자는 기본적으로 애플리케이션을 보거나 관리할 수 없으며, 프로젝트 범위의 리소스에 액세스하려면 프로젝트 역할이 필요합니다. 애플리케이션 및 기타 프로젝트 범위의 리소스 관련 액세스 권한 부여에 대한 자세한 내용은 [프로젝트 역할 및 프로젝트 범위 액세스](#project-roles) 섹션을 참조하세요.
**ADMIN**
모든 Argo CD 리소스 및 설정에 대한 전체 액세스:
+ Applications 및 ApplicationSets의 생성, 업데이트, 삭제
+ Argo CD 구성 관리
+ 배포 대상 클러스터 등록 및 관리
+ 리포지토리 액세스 구성
+ 프로젝트 생성 및 관리
+ 모든 애플리케이션 상태 및 기록 보기
+ 모든 클러스터 및 리포지토리의 나열 및 액세스
**EDITOR**
프로젝트를 업데이트하고 프로젝트 역할을 구성할 수 있지만 글로벌 Argo CD 설정은 변경할 수 없습니다.
+ 기존 프로젝트 업데이트(프로젝트를 생성하거나 삭제할 수 없음)
+ 프로젝트 역할 및 권한 구성
+ GPG 키 및 인증서 보기
+ 글로벌 Argo CD 구성을 변경할 수 없음
+ 클러스터 또는 리포지토리를 직접 관리할 수 없음
+ 프로젝트 역할 없이 애플리케이션을 보거나 관리할 수 없음
**VIEWER**
Argo CD 리소스에 대한 읽기 전용 액세스 권한:
+ 프로젝트 구성 보기
+ 모든 프로젝트(사용자가 할당되지 않은 프로젝트 포함) 나열
+ GPG 키 및 인증서 보기
+ 클러스터 또는 리포지토리를 나열할 수 없음
+ 변경할 수 없음
+ 프로젝트 역할 없이 애플리케이션을 보거나 관리할 수 없음
**참고**
EDITOR 또는 VIEWER 사용자에게 애플리케이션에 대한 액세스 권한을 부여하려면 ADMIN 또는 EDITOR가 Identity Center 그룹을 프로젝트 내 특정 권한에 매핑하는 프로젝트 역할을 생성해야 합니다.
## 프로젝트 역할 및 프로젝트 범위 액세스
글로벌 역할(ADMIN, EDITOR, VIEWER)은 Argo CD 자체에 대한 액세스를 제어합니다. 프로젝트 역할은 다음을 포함하여 특정 프로젝트 내 리소스 및 기능에 대한 액세스를 제어합니다.
+ **리소스**: 애플리케이션, ApplicationSets, 리포지토리 자격 증명, 클러스터 자격 증명
+ **기능**: 로그 액세스, 애플리케이션 포드에 대한 실행 액세스
**2단계 권한 모델 이해**:
+ **글로벌 범위**: 기본 제공 역할은 사용자가 프로젝트, 클러스터, 리포지토리 및 Argo CD 설정으로 수행할 수 있는 작업을 결정함
+ **프로젝트 범위**: 프로젝트 역할은 사용자가 특정 프로젝트 내 리소스 및 기능으로 수행할 수 있는 작업을 결정함
이는 다음을 의미합니다.
+ ADMIN 사용자는 추가 구성 없이 모든 프로젝트 리소스 및 기능에 액세스할 수 있음
+ 프로젝트 리소스 및 기능에 액세스하려면 EDITOR 및 VIEWER 사용자에게 프로젝트 역할을 부여해야 함
+ EDITOR 사용자는 이들이 업데이트할 수 있는 프로젝트 내에서 자신과 다른 사용자에게 액세스 권한을 부여하기 위해 프로젝트 역할을 생성할 수 있음
**워크플로 예제**:
1. ADMIN은 Identity Center 그룹을 글로벌 범위에서 EDITOR 역할에 매핑함
1. ADMIN은 팀에서 프로젝트를 생성함
1. EDITOR는 팀원에게 프로젝트 범위의 리소스에 대한 액세스 권한을 부여하도록 해당 프로젝트 내에서 프로젝트 역할을 구성함
1. 이제 팀원(VIEWER 글로벌 역할이 있을 수 있음)은 프로젝트 역할 권한을 기반으로 해당 프로젝트의 애플리케이션을 보고 관리할 수 있음
프로젝트 역할 구성에 대한 자세한 내용은 [프로젝트 기반 액세스 제어](#_project_based_access_control) 섹션을 참조하세요.
## 역할 매핑 구성
기능을 생성하거나 업데이트할 때 AWS Identity Center 사용자 및 그룹을 Argo CD 역할에 매핑합니다.
**역할 매핑 예제**:
```
{
"rbacRoleMapping": {
"ADMIN": ["AdminGroup", "alice@example.com"],
"EDITOR": ["DeveloperGroup", "DevOpsTeam"],
"VIEWER": ["ReadOnlyGroup", "bob@example.com"]
}
}
```
**참고**
역할 이름은 대소문자를 구분하며 대문자(ADMIN, EDITOR, VIEWER)여야 합니다.
**중요**
AWS Identity Center와의 EKS 기능 통합은 Argo CD 기능당 최대 1,000개의 ID를 지원합니다. ID는 사용자 또는 그룹일 수 있습니다.
**역할 매핑 업데이트**:
```
aws eks update-capability \
--region us-east-1 \
--cluster-name cluster \
--capability-name capname \
--endpoint "https://eks.ap-northeast-2.amazonaws.com" \
--role-arn "arn:aws:iam::[.replaceable]111122223333:role/[.replaceable]`EKSCapabilityRole`" \
--configuration '{
"argoCd": {
"rbacRoleMappings": {
"addOrUpdateRoleMappings": [
{
"role": "ADMIN",
"identities": [
{ "id": "686103e0-f051-7068-b225-e6392b959d9e", "type": "SSO_USER" }
]
}
]
}
}
}'
```
## 관리자 계정 사용
관리자 계정은 클러스터 등록 및 리포지토리 구성과 같은 초기 설정 및 관리 태스크를 위해 설계되었습니다.
**관리자 계정이 적절한 경우**:
+ 초기 기능 설정 및 구성
+ 단독 개발 또는 빠른 데모
+ 관리 태스크(클러스터 등록, 리포지토리 구성, 프로젝트 생성)
**관리자 계정의 모범 사례**:
+ 버전 관리에 계정 토큰을 커밋하지 않음
+ 공개된 경우 즉시 토큰 교체
+ 계정 토큰 사용을 설정 및 관리 태스크로 제한
+ 짧은 만료 시간 설정(최대 12시간)
+ 지정된 시점에서 한 번에 5개의 계정 토큰만 생성할 수 있음
**대신 프로젝트 기반 액세스를 사용해야 하는 경우**:
+ 여러 사용자와 공유된 개발 환경
+ 프로덕션과 유사한 모든 환경
+ 작업을 수행한 사람에 대한 감사 추적이 필요한 경우
+ 리소스 제한 사항 또는 액세스 경계를 적용해야 하는 경우
프로덕션 환경 및 다중 사용자 시나리오의 경우 AWS Identity Center 그룹에 매핑된 전용 RBAC 역할과 함께 프로젝트 기반 액세스 제어를 사용합니다.
## 프로젝트 기반 액세스 제어
Argo CD 프로젝트(AppProject)를 사용하여 팀에 세분화된 액세스 제어 및 리소스 격리를 제공합니다.
**중요**
사용자 또는 그룹을 프로젝트별 역할에 할당하기 전에 먼저 기능 구성의 글로벌 Argo CD 역할(ADMIN, EDITOR 또는 VIEWER)에 매핑해야 합니다. 사용자는 프로젝트 역할에 할당된 경우에도 글로벌 역할 매핑 없이는 Argo CD에 액세스할 수 없습니다.
사용자를 VIEWER 역할에 글로벌로 매핑한 다음 프로젝트별 역할을 통해 추가 권한을 부여하는 방법을 고려합니다. 그러면 프로젝트 수준에서 세분화된 제어를 허용하면서 기준 액세스를 제공합니다.
프로젝트에서는 다음을 제공합니다.
+ **소스 제한 사항**: 사용할 수 있는 Git 리포지토리 제한
+ **대상 제한 사항**: 대상으로 지정할 수 있는 클러스터 및 네임스페이스 제한
+ **리소스 제한 사항**: 배포할 수 있는 Kubernetes 리소스 유형 제한
+ **RBAC 통합**: 프로젝트를 AWS Identity Center 그룹 또는 Argo CD 역할에 매핑
**팀 격리를 위한 프로젝트 예제**:
```
apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
name: team-a
namespace: argocd
spec:
description: Team A applications
# Required: Specify which namespaces this project watches for Applications
sourceNamespaces:
- argocd
# Source restrictions
sourceRepos:
- https://github.com/myorg/team-a-apps
# Destination restrictions
destinations:
- namespace: team-a-*
server: arn:aws:eks:us-west-2:111122223333:cluster/production
# Resource restrictions
clusterResourceWhitelist:
- group: ''
kind: Namespace
namespaceResourceWhitelist:
- group: 'apps'
kind: Deployment
- group: ''
kind: Service
- group: ''
kind: ConfigMap
```
### 소스 네임스페이스
EKS Argo CD 기능을 사용하는 경우 `spec.sourceNamespaces` 필드가 AppProject 정의에 필요합니다. 이 필드는 이 프로젝트를 참조하는 Applications 또는 ApplicationSets를 포함할 수 있는 네임스페이스를 지정합니다.
**중요**
EKS Argo CD 기능은 기능(일반적으로 `argocd`)을 생성할 때 사용자가 지정한 네임스페이스인 Applications 및 ApplicationSets에 대한 단일 네임스페이스만 지원합니다. 여러 네임스페이스를 지원하는 오픈 소스 Argo CD와는 다릅니다.
**AppProject 구성**
모든 AppProjects는 `sourceNamespaces`에 기능의 구성된 네임스페이스를 포함해야 합니다.
```
apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
name: team-a-project
namespace: argocd
spec:
description: Applications for Team A
# Required: Specify the capability's configured namespace (configuration.argoCd.namespace)
sourceNamespaces:
- argocd # Must match your capability's namespace configuration
# Source repositories this project can deploy from
sourceRepos:
- 'https://github.com/my-org/team-a-*'
# Destination restrictions
destinations:
- namespace: 'team-a-*'
server: arn:aws:eks:us-west-2:111122223333:cluster/my-cluster
```
**참고**
`sourceNamespaces`에서 기능의 네임스페이스를 생략하면 해당 네임스페이스의 Applications 또는 ApplicationSets가 이 프로젝트를 참조할 수 없으므로 배포에 실패합니다.
**프로젝트에 사용자 지정**:
프로젝트 역할은 EDITOR 및 VIEWER 사용자에게 프로젝트 리소스(Applications, ApplicationSets, 리포지토리 및 클러스터 자격 증명) 및 기능(로그, 실행)에 대한 액세스 권한을 부여합니다. 프로젝트 역할이 없으면 글로벌 역할 액세스 권한이 있더라도 이러한 사용자는 이러한 리소스에 액세스할 수 없습니다.
ADMIN 사용자는 프로젝트 역할 없이도 모든 애플리케이션에 액세스할 수 있습니다.
**예제: 팀원에게 애플리케이션 액세스 권한 부여**
```
apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
name: team-a
namespace: argocd
spec:
# ... project configuration ...
sourceNamespaces:
- argocd
# Project roles grant Application-level access
roles:
- name: developer
description: Team A developers - can manage Applications
policies:
- p, proj:team-a:developer, applications, *, team-a/*, allow
- p, proj:team-a:developer, clusters, get, *, allow # See cluster names in UI
groups:
- 686103e0-f051-7068-b225-e6392b959d9e # Identity Center group ID
- name: viewer
description: Team A viewers - read-only Application access
policies:
- p, proj:team-a:viewer, applications, get, team-a/*, allow
- p, proj:team-a:viewer, clusters, get, *, allow # See cluster names in UI
groups:
- 786203e0-f051-7068-b225-e6392b959d9f # Identity Center group ID
```
**참고**
사용자가 UI에서 클러스터 이름을 볼 수 있도록 프로젝트 역할에 `clusters, get, *, allow`를 포함합니다. 이 권한이 없으면 대상 클러스터가 '알 수 없음'으로 표시됩니다.
**프로젝트 역할 정책 이해**:
정책 형식은 다음과 같습니다. `p, proj::, , ,