帮助改进此页面

要帮助改进本用户指南，请选择位于每个页面右侧窗格中的在 GitHub 上编辑此页面链接。

注册目标集群

注册集群以允许 Argo CD 向其部署应用程序。您可以注册 Argo CD 运行所在的同一集群（本地集群），也可以注册位于不同账户或区域的远程集群。一旦集群被注册，它将一直处于未知连接状态，直到您在该集群内创建应用程序。要在集群注册后创建 Argo CD 应用程序，请参阅 创建应用程序。

先决条件

注册本地集群

要将应用程序部署到 Argo CD 运行所在的同一集群，请将其注册为部署目标。

使用 Argo CD CLI：

argocd cluster add <cluster-context-name> \
  --aws-cluster-name arn:aws:eks:us-west-2:111122223333:cluster/my-cluster \
  --name local-cluster

使用 Kubernetes Secret：

apiVersion: v1
kind: Secret
metadata:
  name: local-cluster
  namespace: argocd
  labels:
    argocd.argoproj.io/secret-type: cluster
stringData:
  name: local-cluster
  server: arn:aws:eks:us-west-2:111122223333:cluster/my-cluster
  project: default

应用配置：

kubectl apply -f local-cluster.yaml

注册远程集群

要部署到远程集群：

步骤 1：在远程集群上创建访问条目

将 region-code 替换为远程集群所在的 AWS 区域，将 remote-cluster 替换为远程集群名称，然后将 ARN 替换为 Argo CD 功能角色 ARN。

aws eks create-access-entry \
  --region region-code \
  --cluster-name remote-cluster \
  --principal-arn arn:aws:iam::[.replaceable]111122223333:role/ArgoCDCapabilityRole \
  --type STANDARD

第 2 步：将访问策略与 Kubernetes RBAC 权限关联

访问条目需要 Kubernetes RBAC 权限，以便 Argo CD 能够部署应用程序。要快速入门，您可以使用 AmazonEKSClusterAdminPolicy：

aws eks associate-access-policy \
  --region region-code \
  --cluster-name remote-cluster \
  --principal-arn arn:aws:iam::[.replaceable]111122223333:role/ArgoCDCapabilityRole \
  --policy-arn arn:aws:eks::aws:cluster-access-policy/AmazonEKSClusterAdminPolicy \
  --access-scope type=cluster

步骤 3：在 Argo CD 中注册集群

使用 Argo CD CLI：

argocd cluster add <cluster-context-name> \
  --aws-cluster-name arn:aws:eks:us-west-2:111122223333:cluster/remote-cluster \
  --name remote-cluster

使用 Kubernetes Secret：

apiVersion: v1
kind: Secret
metadata:
  name: remote-cluster
  namespace: argocd
  labels:
    argocd.argoproj.io/secret-type: cluster
stringData:
  name: remote-cluster
  server: arn:aws:eks:us-west-2:111122223333:cluster/remote-cluster
  project: default

应用配置：

kubectl apply -f remote-cluster.yaml

跨账户集群

要部署到不同 AWS 账户中的集群，请执行以下操作：

无需创建额外的 IAM 角色或配置信任策略，EKS 访问条目会处理跨账户访问。

集群 ARN 格式包括区域，因此跨区域部署与同区域部署所采用的流程相同。

验证集群注册

查看已注册集群：

kubectl get secrets -n argocd -l argocd.argoproj.io/secret-type=cluster

或在 Argo CD 用户界面的“设置 → 集群”下查看集群状态。

私有集群

Argo CD 功能支持对完全私有的 EKS 集群进行透明访问，无需进行 VPC 对等连接或专门的网络配置。

AWS 会自动管理 Argo CD 功能与私有远程集群之间的连接。

只需使用其 ARN 注册私有集群，无需进行额外的联网设置。

访问条目 RBAC 要求

创建 Argo CD 功能时，系统会自动为功能角色创建 EKS 访问条目，但默认情况下不会授予 Kubernetes RBAC 权限。这种有意的设计遵循了最低权限原则，即不同的使用案例需要不同的权限。

例如：* 如果您仅将该集群用作 Argo CD 中心以管理远程集群，则它无需本地部署权限 * 如果您在本地部署应用程序，则需要在整个集群范围内拥有读取权限，并对特定命名空间拥有写入权限 * 如果您需要创建 CRD，则需要额外的集群管理员权限

您必须根据自己的要求明确配置 Argo CD 所需的权限。

Argo CD 的最低权限

Argo CD 要想正常运行且不出故障，需要两种类型的权限：

读取权限（集群范围）：Argo CD 必须能够读取集群中的所有资源类型和自定义资源定义（CRD），以便：

写入权限（特定于命名空间）：Argo CD 需要创建、更新和删除应用程序中定义的资源的权限：

快速设置

对于快速入门、测试或开发环境，请使用 AmazonEKSClusterAdminPolicy：

aws eks associate-access-policy \
  --region region-code \
  --cluster-name my-cluster \
  --principal-arn arn:aws:iam::[.replaceable]111122223333:role/ArgoCDCapabilityRole \
  --policy-arn arn:aws:eks::aws:cluster-access-policy/AmazonEKSClusterAdminPolicy \
  --access-scope type=cluster

具有最低权限的生产设置

对于生产环境，请创建授予以下权限的自定义 Kubernetes RBAC：

步骤 1：将访问条目与自定义 Kubernetes 组关联

aws eks associate-access-policy \
  --region region-code \
  --cluster-name my-cluster \
  --principal-arn arn:aws:iam::[.replaceable]111122223333:role/ArgoCDCapabilityRole \
  --policy-arn arn:aws:eks::aws:cluster-access-policy/AmazonEKSEditPolicy \
  --access-scope type=namespace,namespaces=app-namespace
         

步骤 2：创建 ClusterRole 以获取读取访问权限

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: argocd-read-all
rules:
# Read access to all resources for discovery and health checks
- apiGroups: ["*"]
  resources: ["*"]
  verbs: ["get", "list", "watch"]

步骤 3：创建角色，以获取对应用程序命名空间的写入权限

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: argocd-deploy
  namespace: app-namespace
rules:
# Full access to deploy application resources
- apiGroups: ["*"]
  resources: ["*"]
  verbs: ["*"]

步骤 4：将角色与 Kubernetes 组绑定

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: argocd-read-all
subjects:
- kind: Group
  name: eks-access-entry:arn:aws:iam::111122223333:role/ArgoCDCapabilityRole
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: argocd-read-all
  apiGroup: rbac.authorization.k8s.io
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: argocd-deploy
  namespace: app-namespace
subjects:
- kind: Group
  name: eks-access-entry:arn:aws:iam::111122223333:role/ArgoCDCapabilityRole
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: argocd-deploy
  apiGroup: rbac.authorization.k8s.io

使用项目限制集群访问

使用项目控制应用程序可以部署到哪些集群和命名空间，方法是在 spec.destinations 中配置允许的目标集群和命名空间：

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: production
  namespace: argocd
spec:
  destinations:
  - server: arn:aws:eks:us-west-2:111122223333:cluster/prod-cluster
    namespace: '*'
  - server: arn:aws:eks:eu-west-1:111122223333:cluster/prod-eu-cluster
    namespace: '*'
  sourceRepos:
  - 'https://github.com/example/production-apps'

有关更多信息，请参阅 使用 Argo CD 项目。

其他资源