**帮助改进此页面**
要帮助改进本用户指南，请选择位于每个页面右侧窗格中的**在 GitHub 上编辑此页面**链接。
# 使用 Argo CD 持续部署
Argo CD 是一款适用于 Kubernetes 的声明式 GitOps 持续交付工具。借助 Argo CD，您可以跨多个集群和环境自动部署应用程序并管理其生命周期。Argo CD 支持多种来源类型，包括 Git 存储库、Helm 注册表（HTTP 和 OCI）和 OCI 映像，为具有不同安全和合规要求的组织提供了灵活性。
得益于 EKS 功能，Argo CD 完全由 AWS 托管，无需您在集群上安装、维护和扩展 Argo CD 控制器及其依赖项。
## Argo CD 的工作原理
Argo CD 遵循 GitOps 模式，其中您的应用程序源（Git 存储库、Helm 注册表或 OCI 映像）是用于定义所需应用程序状态的事实来源。在创建 Argo CD `Application` 资源时，需要指定包含应用程序清单的源以及目标 Kubernetes 集群和命名空间。Argo CD 持续监控集群中的源状态和实时状态，并且自动同步所有更改以确保集群状态与所需状态保持一致。
**注意**
借助适用于 Argo CD 的 EKS 功能，Argo CD 软件可在 AWS 控制面板上运行，而不是在 Worker 节点上运行。这意味着您的 Worker 节点不需要直接访问 Git 存储库或 Helm 注册表：此功能可处理来自 AWS 账户的源访问。
Argo CD 提供三种主要资源类型：
+ **Application**：定义从 Git 存储库到目标集群的部署
+ **ApplicationSet**：根据用于多集群部署的模板生成多个应用程序
+ **AppProject**：为应用程序提供逻辑分组和访问权限控制
**示例：创建 Argo CD 应用程序**
以下示例说明了如何创建 Argo CD `Application` 资源：
```
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
name: guestbook
namespace: argocd
spec:
project: default
source:
repoURL: https://github.com/argoproj/argocd-example-apps.git
targetRevision: HEAD
path: guestbook
destination:
name: in-cluster
namespace: guestbook
syncPolicy:
automated:
prune: true
selfHeal: true
```
**注意**
将 `destination.name` 用于您注册集群时使用的集群名称（如适用于本地集群的 `in-cluster`）。`destination.server` 字段也适用于 EKS 集群 ARN，但为了提高可读性，建议使用集群名称。
## Argo CD 的优势
Argo CD 实施 GitOps 工作流程，在该工作流程中，您可以在 Git 存储库中定义应用程序配置，然后 Argo CD 会自动同步您的应用程序，以便与预期状态保持一致。这种以 Git 为中心的方法可提供对所有更改的完整审计跟踪记录，实现轻松回滚，并且可以自然地与您现有的代码审查和批准流程集成。Argo CD 会自动检测和协调 Git 中所需状态与集群中实际状态之间的偏差，确保您的部署与声明的配置保持一致。
借助 Argo CD，您可以从单个 Argo CD 实例跨多个集群部署和管理应用程序，从而简化多集群和多区域环境中的操作。Argo CD 用户界面提供可视化和监控功能，允许您查看应用程序的部署状态、运行状况和历史记录。用户界面与 AWS Identity Center（原 AWS SSO）集成，可实现无缝身份验证和授权，使您能够使用现有的身份管理基础设施控制访问权限。
作为 EKS 托管功能的一部分，Argo CD 完全由 AWS 管理，无需安装、配置和维护 Argo CD 基础设施。AWS 负责扩展、修补和操作管理，让您的团队能够专注于应用程序交付而不是工具维护。
## 与 AWS Identity Center 集成
EKS 托管功能提供 Argo CD 与 AWS Identity Center 之间的直接集成，为您的用户提供无缝身份验证和授权。启用 Argo CD 功能后，您可以将 AWS Identity Center 集成配置为将 Identity Center 组和用户映射到 Argo CD RBAC 角色，从而控制谁可以访问和管理 Argo CD 中的应用程序。
## 与其他 EKS 托管功能集成
Argo CD 可与其他 EKS 托管功能集成。
+ **AWS Controllers for Kubernetes（ACK）**：使用 Argo CD 跨多个集群管理 ACK 资源的部署，为 AWS 基础设施启用 GitOps 工作流程。
+ **kro（Kube Resource Orchestrator）**：使用 Argo CD 在多个集群中部署 kro 组合，从而在整个 Kubernetes 资产中实现一致的资源组合。
## 开始使用 Argo CD
要开始使用适用于 Argo CD 的 EKS 功能，请执行以下操作：
1. 创建和配置 IAM 功能角色，该角色具有必要权限，能让 Argo CD 访问您的源和管理应用程序。
1. 通过 AWS 控制台、AWS CLI 或偏好的基础设施即代码工具，在 EKS 集群上[创建 Argo CD 功能资源](create-argocd-capability.md)。
1. 配置存储库访问权限并注册集群，进行应用程序部署。
1. 创建应用程序资源，以从声明式源部署应用程序。
# 创建 Argo CD 功能
本主题旨在介绍如何在 Amazon EKS 集群上创建 Argo CD 功能。
## 先决条件
创建 Argo CD 功能之前，确保满足以下条件：
+ 运行受支持 Kubernetes 版本的现有 Amazon EKS 集群（标准支持与扩展支持范围内的所有版本均适用）
+ **AWS Identity Center 已配置**：此为 Argo CD 身份验证所需（不支持本地用户）
+ 具有 Argo CD 操作权限的 IAM 功能角色
+ 可在 EKS 集群上创建功能资源的充足 IAM 权限
+ 已配置 `kubectl` 以与集群通信
+ （可选）已安装 Argo CD CLI，以便更便捷地进行集群与存储库管理
+ （适用于 CLI/eksctl）已安装并配置相应 CLI 工具
有关如何创建 IAM 功能角色的说明，请参阅 [Amazon EKS 功能 IAM 角色](capability-role.md)。有关设置 Identity Center 的信息，请参阅 [AWS Identity Center 入门](https://docs.aws.amazon.com/singlesignon/latest/userguide/getting-started.html)。
**重要**
您提供的 IAM 功能角色，将决定 Argo CD 可以访问的 AWS 资源范围。这包括通过 CodeConnections 访问 Git 存储库，以及访问 Secrets Manager 中的密钥。有关创建具备最低权限的合适角色的操作指引，请参阅 [Amazon EKS 功能 IAM 角色](capability-role.md)和 [EKS 功能的安全注意事项](capabilities-security.md)。
## 选择工具
您可以使用AWS 管理控制台、AWS CLI 或 eksctl 创建 Argo CD 功能：
+ [使用控制台创建 Argo CD 功能](argocd-create-console.md)：使用控制台获得引导式体验
+ [使用 AWS CLI 创建 Argo CD 功能](argocd-create-cli.md)：使用 AWS CLI 进行脚本编写和自动化
+ [使用 eksctl 创建 Argo CD 功能](argocd-create-eksctl.md)：使用 eksctl 获得 Kubernetes 原生体验
## 创建 Argo CD 功能时会执行的操作
创建 Argo CD 功能时：
1. EKS 在 AWS 控制面板中创建 Argo CD 功能服务
1. 自定义资源定义（CRD）将被安装到集群中
1. 系统会自动为您的 IAM 功能角色创建一个访问条目，该条目带有特定于功能的访问条目策略，这些策略会授予基本的 Kubernetes 权限（请参阅 [EKS 功能的安全注意事项](capabilities-security.md)）
1. Argo CD 开始监视其自定义资源（应用程序、ApplicationSets、AppProjects）
1. 功能状态从 `CREATING` 更改为 `ACTIVE`
1. 可通过对应的 URL 访问 Argo CD UI
功能进入运行状态后，即可在集群中创建 Argo CD 应用程序，以通过声明式源完成部署操作。
**注意**
自动创建的访问条目不会授予将应用程序部署到集群的权限。要部署应用程序，您必须为每个目标集群配置额外的 Kubernetes RBAC 权限。有关注册集群和配置访问权限的详细信息，请参阅 [注册目标集群](argocd-register-clusters.md)。
## 后续步骤
创建 Argo CD 功能后：
+ [Argo CD 概念](argocd-concepts.md)：了解 GitOps 原则、同步策略及多集群模式
+ [使用 Argo CD](working-with-argocd.md)：配置存储库访问权限、注册目标集群及创建应用程序
+ [Argo CD 注意事项](argocd-considerations.md)：探索多集群架构模式及高级配置
# 使用控制台创建 Argo CD 功能
本主题将介绍如何使用 AWS 管理控制台创建 Argo CD 功能。
## 先决条件
+ **已配置 AWS Identity Center**：Argo CD 需要使用 AWS Identity Center 进行身份验证。不支持本地用户。如果您尚未设置 AWS Identity Center，请参阅[开始使用 AWS Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/getting-started.html) 以创建 Identity Center 实例，并参阅[添加用户](https://docs.aws.amazon.com/singlesignon/latest/userguide/addusers.html)和[添加组](https://docs.aws.amazon.com/singlesignon/latest/userguide/addgroups.html)以创建用于访问 Argo CD 的用户和组。
## 创建 Argo CD 功能
1. 从以下位置打开 Amazon EKS 控制台：https://console.aws.amazon.com/eks/home\$1/clusters。
1. 选择集群名称，打开集群详细信息页面。
1. 选择**功能**选项卡。
1. 在左侧导航栏中，选择 **Argo CD**。
1. 选择**创建 Argo CD 功能**。
1. 对于 **IAM 功能角色**：
+ 如果已有 IAM 功能角色，请从下拉列表中选择该角色
+ 如需创建角色，请选择**创建 Argo CD 角色**
此操作会在新选项卡中打开 IAM 控制台，其中包含预填充的信任策略和 Secrets Manager 的完全读取权限。默认情况下不会添加其他权限，但您可以根据需要自行添加。如果计划使用 CodeCommit 存储库或其他 AWS 服务，请在创建角色之前添加相应的权限。
创建角色后，返回 EKS 控制台，系统将自动选择该角色。
**注意**
如果计划使用与 AWS Secrets Manager 或 AWS CodeConnections 的可选集成，则需要向该角色添加权限。有关 IAM 策略示例和配置指南，请参阅[使用 AWS Secrets Manager 管理应用程序密钥](integration-secrets-manager.md)和[使用 AWS CodeConnections 连接到 Git 存储库](integration-codeconnections.md)。
1. 配置 AWS Identity Center 集成：
1. 选择**启用 AWS Identity Center 集成**。
1. 从下拉列表中选择 Identity Center 实例。
1. 通过将用户或组分配给 Argo CD 角色（ADMIN、EDITOR 或 VIEWER）来配置 RBAC 的角色映射
1. 选择**创建**。
功能创建过程随即开始。
## 验证功能是否处于活动状态
1. 在**功能**选项卡上，查看 Argo CD 功能状态。
1. 等待状态从 `CREATING` 更改为 `ACTIVE`。
1. 变为活动状态后，该功能即可使用。
有关功能状态和问题排查的信息，请参阅[使用功能资源](working-with-capabilities.md)。
## 访问 Argo CD 用户界面
待该功能处于活动状态后，可以访问 Argo CD 用户界面：
1. 在 Argo CD 功能页面上，选择**打开 Argo CD 用户界面**。
1. Argo CD 用户界面将在新的浏览器选项卡中打开。
1. 现在，您可以通过用户界面创建应用程序和管理部署。
## 后续步骤
+ [使用 Argo CD](working-with-argocd.md)：配置存储库、注册集群和创建应用程序
+ [Argo CD 注意事项](argocd-considerations.md)：多集群架构和高级配置
+ [使用功能资源](working-with-capabilities.md)：管理 Argo CD 功能资源
# 使用 AWS CLI 创建 Argo CD 功能
本主题将介绍如何使用 AWS CLI 创建 Argo CD 功能。
## 先决条件
+ **AWS CLI**：版本 `2.12.3` 或更高版本。要检查版本，请运行 `aws --version`。有关更多信息，请参阅《AWS 命令行界面用户指南》中的[安装](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-install.html)。
+ **`kubectl`**：用于与 Kubernetes 集群结合使用的命令行工具。有关更多信息，请参阅 [设置 `kubectl` 和 `eksctl`](install-kubectl.md)。
+ **已配置 AWS Identity Center**：Argo CD 需要使用 AWS Identity Center 进行身份验证。不支持本地用户。如果您尚未设置 AWS Identity Center，请参阅[开始使用 AWS Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/getting-started.html) 以创建 Identity Center 实例，并参阅[添加用户](https://docs.aws.amazon.com/singlesignon/latest/userguide/addusers.html)和[添加组](https://docs.aws.amazon.com/singlesignon/latest/userguide/addgroups.html)以创建用于访问 Argo CD 的用户和组。
## 步骤 1：创建 IAM 功能角色
创建信任策略文件：
```
cat > argocd-trust-policy.json << 'EOF'
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "capabilities.eks.amazonaws.com"
},
"Action": [
"sts:AssumeRole",
"sts:TagSession"
]
}
]
}
EOF
```
创建 IAM 角色：
```
aws iam create-role \
--role-name ArgoCDCapabilityRole \
--assume-role-policy-document file://argocd-trust-policy.json
```
**注意**
如果计划使用与 AWS Secrets Manager 或 AWS CodeConnections 的可选集成，则需要向该角色添加权限。有关 IAM 策略示例和配置指南，请参阅[使用 AWS Secrets Manager 管理应用程序密钥](integration-secrets-manager.md)和[使用 AWS CodeConnections 连接到 Git 存储库](integration-codeconnections.md)。
## 步骤 2：创建 Argo CD 功能
在集群上创建 Argo CD 功能资源。
首先，为 Identity Center 配置设置环境变量：
```
# Get your Identity Center instance ARN (replace region if your IDC instance is in a different region)
export IDC_INSTANCE_ARN=$(aws sso-admin list-instances --region [.replaceable]`region` --query 'Instances[0].InstanceArn' --output text)
# Get a user ID for RBAC mapping (replace with your username and region if needed)
export IDC_USER_ID=$(aws identitystore list-users \
--region [.replaceable]`region` \
--identity-store-id $(aws sso-admin list-instances --region [.replaceable]`region` --query 'Instances[0].IdentityStoreId' --output text) \
--query 'Users[?UserName==`your-username`].UserId' --output text)
echo "IDC_INSTANCE_ARN=$IDC_INSTANCE_ARN"
echo "IDC_USER_ID=$IDC_USER_ID"
```
创建集成了 Identity Center 的功能。将 *region-code* 替换为您的集群所在的 AWS 区域，将 *my-cluster* 替换为您的集群名称，将 *idc-region-code* 替换为您配置 IAM Identity Center 所在的区域代码：
```
aws eks create-capability \
--region region-code \
--cluster-name my-cluster \
--capability-name my-argocd \
--type ARGOCD \
--role-arn arn:aws:iam::$(aws sts get-caller-identity --query Account --output text):role/ArgoCDCapabilityRole \
--delete-propagation-policy RETAIN \
--configuration '{
"argoCd": {
"awsIdc": {
"idcInstanceArn": "'$IDC_INSTANCE_ARN'",
"idcRegion": "'[.replaceable]`idc-region-code`'"
},
"rbacRoleMappings": [{
"role": "ADMIN",
"identities": [{
"id": "'$IDC_USER_ID'",
"type": "SSO_USER"
}]
}]
}
}'
```
命令会立即返回，但是由于 EKS 正在创建所需的功能基础设施和组件，该功能需要一些时间才能变为活动状态。在创建集群时，EKS 将在集群中安装与此功能相关的 Kubernetes 自定义资源定义。
**注意**
如果收到集群不存在或您没有权限的错误消息，请验证：
集群名称是否正确
AWS CLI 是否针对正确的区域进行配置
您是否拥有所需的 IAM 权限
## 步骤 3：验证功能是否处于活动状态
等待功能变为活动状态。将 *region-code* 替换为集群所在的 AWS 区域，并将 *my-cluster* 替换为集群名称。
```
aws eks describe-capability \
--region region-code \
--cluster-name my-cluster \
--capability-name my-argocd \
--query 'capability.status' \
--output text
```
当状态显示为 `ACTIVE` 时，表示功能已准备就绪。在该状态变为 `ACTIVE` 之前，请勿继续执行下一步。
您也可以查看完整功能详细信息：
```
aws eks describe-capability \
--region region-code \
--cluster-name my-cluster \
--capability-name my-argocd
```
## 步骤 4：验证自定义资源是否可用
待该功能处于活动状态后，验证 Argo CD 自定义资源是否已在集群中正常可用：
```
kubectl api-resources | grep argoproj.io
```
您应该会看到列出的 `Application` 和 `ApplicationSet` 资源类型。
## 后续步骤
+ [使用 Argo CD](working-with-argocd.md)：配置存储库、注册集群和创建应用程序
+ [Argo CD 注意事项](argocd-considerations.md)：多集群架构和高级配置
+ [使用功能资源](working-with-capabilities.md)：管理 Argo CD 功能资源
# 使用 eksctl 创建 Argo CD 功能
本主题将介绍如何使用 eksctl 创建 Argo CD 功能。
**注意**
以下步骤需要 eksctl 版本 `0.220.0` 或更高版本。要检查版本，请运行 `eksctl version`。
## 步骤 1：创建 IAM 功能角色
创建信任策略文件：
```
cat > argocd-trust-policy.json << 'EOF'
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "capabilities.eks.amazonaws.com"
},
"Action": [
"sts:AssumeRole",
"sts:TagSession"
]
}
]
}
EOF
```
创建 IAM 角色：
```
aws iam create-role \
--role-name ArgoCDCapabilityRole \
--assume-role-policy-document file://argocd-trust-policy.json
```
**注意**
对于此基本设置，无需其他 IAM 策略。如果计划使用 Secrets Manager 管理存储库凭证或使用 CodeConnections，则需为此角色添加相应权限。有关 IAM 策略示例和配置指南，请参阅[使用 AWS Secrets Manager 管理应用程序密钥](integration-secrets-manager.md)和[使用 AWS CodeConnections 连接到 Git 存储库](integration-codeconnections.md)。
## 步骤 2：获取 AWS Identity Center 配置
获取 Identity Center 实例 ARN 和用户 ID，用于 RBAC 配置：
```
# Get your Identity Center instance ARN
aws sso-admin list-instances --query 'Instances[0].InstanceArn' --output text
# Get a user ID for admin access (replace 'your-username' with your Identity Center username)
aws identitystore list-users \
--identity-store-id $(aws sso-admin list-instances --query 'Instances[0].IdentityStoreId' --output text) \
--query 'Users[?UserName==`your-username`].UserId' --output text
```
记下这些值，下一步将会用到。
## 步骤 3：创建 eksctl 配置文件
使用以下内容创建名为 `argocd-capability.yaml` 的文件。将占位符值替换为集群名称、集群区域、IAM 角色 ARN、Identity Center 实例 ARN、Identity Center 区域和用户 ID：
```
apiVersion: eksctl.io/v1alpha5
kind: ClusterConfig
metadata:
name: my-cluster
region: cluster-region-code
capabilities:
- name: my-argocd
type: ARGOCD
roleArn: arn:aws:iam::[.replaceable]111122223333:role/ArgoCDCapabilityRole
deletePropagationPolicy: RETAIN
configuration:
argocd:
awsIdc:
idcInstanceArn: arn:aws:sso:::instance/ssoins-123abc
idcRegion: idc-region-code
rbacRoleMappings:
- role: ADMIN
identities:
- id: 38414300-1041-708a-01af-5422d6091e34
type: SSO_USER
```
**注意**
您可以向 RBAC 映射添加多个用户或组。对于组，请使用 `type: SSO_GROUP` 并提供组 ID。可用角色包括 `ADMIN`、`EDITOR` 和 `VIEWER`。
## 步骤 4：创建 Argo CD 功能
应用配置文件：
```
eksctl create capability -f argocd-capability.yaml
```
命令会立即返回，但该功能需要一些时间才能变为活动状态。
## 步骤 5：验证功能是否处于活动状态
检查功能状态。将 *region-code* 替换为您的集群所在的 AWS 区域，并将 *my-cluster* 替换为您的集群的名称。
```
eksctl get capability \
--region region-code \
--cluster my-cluster \
--name my-argocd
```
当状态显示为 `ACTIVE` 时，表示功能已准备就绪。
## 步骤 6：验证自定义资源是否可用
待该功能处于活动状态后，验证 Argo CD 自定义资源是否已在集群中正常可用：
```
kubectl api-resources | grep argoproj.io
```
您应该会看到列出的 `Application` 和 `ApplicationSet` 资源类型。
## 后续步骤
+ [使用 Argo CD](working-with-argocd.md)：了解如何创建和管理 Argo CD 应用程序
+ [Argo CD 注意事项](argocd-considerations.md)：配置 SSO 和多集群访问权限
+ [使用功能资源](working-with-capabilities.md)：管理 Argo CD 功能资源
# Argo CD 概念
Argo CD 通过将 Git 视为应用程序部署的单一事实来源，实现了 GitOps。本主题将介绍一个实际示例，然后解释使用适用于 Argo CD 的 EKS 功能时需要了解的核心概念。
## 开始使用 Argo CD
创建 Argo CD 功能（请参阅[创建 Argo CD 功能](create-argocd-capability.md)）后，即可开始部署应用程序。本示例将演示如何注册集群和创建应用程序。
### 步骤 1：设置
**注册集群**（必需）
注册要在其中部署应用程序的集群。在本示例中，我们将注册运行 Argo CD 所在的同一集群（可以使用 `in-cluster` 作为名称，以便与大多数 Argo CD 示例兼容）：
```
# Get your cluster ARN
CLUSTER_ARN=$(aws eks describe-cluster \
--name my-cluster \
--query 'cluster.arn' \
--output text)
# Register the cluster using Argo CD CLI
argocd cluster add $CLUSTER_ARN \
--aws-cluster-name $CLUSTER_ARN \
--name in-cluster \
--project default
```
**注意**
有关配置 Argo CD CLI 以使其与 EKS 中的 Argo CD 功能结合使用的信息，请参阅[将 Argo CD CLI 与托管功能结合使用](argocd-comparison.md#argocd-cli-configuration)。
或者，您也可以使用 Kubernetes Secret 注册集群（有关详细信息，请参阅[注册目标集群](argocd-register-clusters.md)）。
**配置存储库访问权限**（可选）
此示例使用公有 GitHub 存储库，因此无需配置存储库。对于私有存储库，可使用 AWS Secrets Manager、CodeConnection 或 Kubernetes Secret 配置访问权限（有关详细信息，请参阅[配置存储库访问权限](argocd-configure-repositories.md)）。
对于 AWS 服务（用于 Helm 图表的 ECR、CodeConnections 和 CodeCommit），您可以直接在 Application 资源中引用它们，而无需创建存储库。功能角色必须具有必要的 IAM 权限。有关详细信息，请参阅 [配置存储库访问权限](argocd-configure-repositories.md)。
### 步骤 2：创建应用程序
在 `my-app.yaml` 中创建以下应用程序清单：
```
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
name: guestbook
namespace: argocd
spec:
project: default
source:
repoURL: https://github.com/argoproj/argocd-example-apps.git
targetRevision: HEAD
path: guestbook
destination:
name: in-cluster
namespace: guestbook
syncPolicy:
automated:
prune: true
selfHeal: true
syncOptions:
- CreateNamespace=true
```
应用应用程序：
```
kubectl apply -f my-app.yaml
```
应用此应用程序后，Argo CD 会执行以下操作：1. 将应用程序从 Git 同步到集群（初始部署）2. 监控 Git 存储库中的更改 3. 自动将后续更改同步到集群 4. 检测并纠正任何与预期状态的偏差 5. 在用户界面中提供运行状况状态和同步历史记录
查看应用程序状态：
```
kubectl get application guestbook -n argocd
```
您也可以使用 Argo CD CLI 或 Argo CD 用户界面（可通过 EKS 控制台中集群的“功能”选项卡访问）查看应用程序。
**注意**
使用具有托管功能的 Argo CD CLI 时，请使用命名空间前缀指定应用程序：`argocd app get argocd/guestbook`。
**注意**
在 `destination.name` 中使用集群名称（注册集群时使用的名称）。托管功能不支持本地的集群内默认值 (`kubernetes.default.svc`)。
## 核心概念
### GitOps 原则和源类型
Argo CD 实现了 GitOps，应用程序源是部署的单一事实来源：
+ **声明式**：使用 YAML 清单、Helm 图表或 Kustomize 叠加层声明预期状态
+ **版本控制**：每次更改都有完整的审计跟踪记录
+ **自动化**：Argo CD 持续监控源并自动同步更改
+ **自我修复**：检测并纠正预期状态与集群实际状态之间的偏差
**支持的源类型**：
+ **Git 存储库**：GitHub、GitLab、Bitbucket、CodeCommit（HTTPS、SSH 或 CodeConnections）
+ **Helm 注册表**：HTTP 注册表（如 `https://aws.github.io/eks-charts`）和 OCI 注册表（如 `public.ecr.aws`）
+ **OCI 映像**：包含清单或 Helm 图表的容器映像（如 `oci://registry-1.docker.io/user/my-app`）
得益于这种灵活性，组织能够选择符合其安全性和合规性要求的源。例如，限制集群访问 Git 的组织可以使用 ECR 存放 Helm 图表或 OCI 映像。
有关更多信息，请参阅 Argo CD 文档中的 [Application Sources](https://argo-cd.readthedocs.io/en/stable/user-guide/application-sources/)。
### 同步与协调
Argo CD 会持续监控源和集群，以检测并纠正偏差：
1. 轮询源以查找变更（默认：每 6 分钟一次）
1. 将预期状态与集群实际状态进行比较
1. 将应用程序标记为 `Synced` 或 `OutOfSync`
1. 自动同步更改（如果已配置）或等待手动审批
1. 同步后监控资源运行状况
**同步波次**使用注释控制资源创建顺序：
```
metadata:
annotations:
argocd.argoproj.io/sync-wave: "0" # Default if not specified
```
按波次顺序应用资源（数字小的先执行，例如 `-1` 等负数）。如果未指定，则默认为波次 `0`。这样您就可以先创建命名空间（波次 `-1`）等依赖项，再创建部署（波次 `0`），再创建服务（波次 `1`）。
**自我修复**会自动还原手动更改：
```
spec:
syncPolicy:
automated:
selfHeal: true
```
**注意**
托管功能使用基于注释的资源跟踪（而不是基于标签），以便更好地兼容 Kubernetes 规范和其他工具。
有关同步阶段、钩子和高级模式的详细信息，请参阅 [Argo CD 同步文档](https://argo-cd.readthedocs.io/en/stable/user-guide/sync-waves/)。
### 应用程序运行状况
Argo CD 会监控应用程序中所有资源的运行状况：
**运行状况**：\$1 **良好**：所有资源均按预期运行 \$1 **正在处理**：正在创建或更新资源 \$1 **已降级**：部分资源运行状况不佳 [容器组（pod）崩溃、任务失败] \$1 **已暂停**：应用程序故意暂停 \$1 **缺失**：集群中缺少 Git 中定义的资源
Argo CD 内置有针对常见 Kubernetes 资源（Deployment、StatefulSets、Jobs 等）的运行状况检查，并且支持对 CRD 进行自定义运行状况检查。
应用程序运行状况由所有资源决定，如果任何资源为 `Degraded`，则应用程序为 `Degraded`。
有关更多信息，请参阅 Argo CD 文档中的 [Resource Health](https://argo-cd.readthedocs.io/en/stable/operator-manual/health/)。
### 多集群模式
Argo CD 支持两种主要的部署模式：
**轴辐式**：在专用的管理集群（部署到多个工作负载集群）上运行 Argo CD：\$1 集中控制和可见性 \$1 在所有集群之间保持策略一致 \$1 只需一个 Argo CD 实例即可进行管理 \$1 实行控制面板与工作负载之间的清晰分离
**单集群**：在每个集群上运行 Argo CD，仅管理该集群的应用程序：\$1 集群分离（一个故障不会影响其他集群）\$1 联网更简单（无需跨集群通信）\$1 初始设置更轻松（无需注册集群）
对于管理许多集群的平台团队，选择轴辐式；对于独立的团队或必须完全隔离的集群，选择单集群。
有关多集群配置的详细信息，请参阅 [Argo CD 注意事项](argocd-considerations.md)。
### Projects
项目为应用程序提供逻辑分组和访问权限控制：
+ **源限制**：限制可以使用哪些 Git 存储库
+ **目标限制**：限制可以指向哪些集群和命名空间
+ **资源限制**：限制可以部署哪些 Kubernetes 资源类型
+ **RBAC 集成**：将项目映射到 AWS Identity Center 的用户和组 ID
应用程序同属一个项目。如果未指定，它们将使用 `default` 项目（默认没有任何限制）。对于生产用途，请编辑 `default` 项目以限制访问权限，并创建具有适当限制的新项目。
有关项目配置和 RBAC 模式，请参阅[配置 Argo CD 权限](argocd-permissions.md)。
### 同步选项
使用常用选项微调同步行为：
+ `CreateNamespace=true`：自动创建目标命名空间
+ `ServerSideApply=true`：使用服务器端应用程序以更好地解决冲突
+ `SkipDryRunOnMissingResource=true`：当 CRD 尚不存在时跳过试运行（对 kro 实例非常有用）
```
spec:
syncPolicy:
syncOptions:
- CreateNamespace=true
- ServerSideApply=true
- SkipDryRunOnMissingResource=true
```
有关完整的同步选项列表，请参阅 [Argo CD 同步选项文档](https://argo-cd.readthedocs.io/en/stable/user-guide/sync-options/)。
## 后续步骤
+ [配置存储库访问权限](argocd-configure-repositories.md)：配置 Git 存储库访问权限
+ [注册目标集群](argocd-register-clusters.md)：注册用于部署的目标集群
+ [创建应用程序](argocd-create-application.md)：创建第一个应用程序
+ [Argo CD 注意事项](argocd-considerations.md)：EKS 特定模式、Identity Center 集成和多集群配置
+ [Argo CD 文档](https://argo-cd.readthedocs.io/en/stable/)：全面的 Argo CD 文档，包括同步钩子、运行状况检查和高级模式
# 配置 Argo CD 权限
Argo CD 托管功能与 AWS Identity Center 集成以进行身份验证，并使用内置的 RBAC 角色进行授权。本主题将介绍如何为用户和团队配置权限。
## Argo CD 权限的工作原理
Argo CD 功能通过 AWS 进行身份验证，并提供三个内置的 RBAC 角色进行授权。
当用户访问 Argo CD 时：
1. 他们使用 AWS Identity Center（可以与企业身份提供者联合）进行身份验证
1. AWS Identity Center 向 Argo CD 提供用户和组信息
1. Argo CD 会根据配置将用户和组映射到 RBAC 角色
1. 用户只能看到他们有权访问的应用程序和资源
## 内置 RBAC 角色
Argo CD 功能提供三个内置角色，您需要将其映射到 AWS Identity Center 的用户和组。这些角色是**全局范围的角色**，用于控制对项目、集群和存储库等 Argo CD 资源的访问权限。
**重要**
全局角色控制对 Argo CD 本身的访问权限，而非对应用程序这类项目范围内的资源的访问权限。默认情况下，EDITOR 和 VIEWER 用户无法查看或管理应用程序，他们需要项目角色才能访问项目范围内的资源。有关授予对应用程序和其他项目范围内资源的访问权限的详细信息，请参阅 [项目角色和项目范围内的访问权限](#project-roles)。
**ADMIN**
对所有 Argo CD 资源和设置的完全访问权限：
+ 创建、更新和删除任何项目中的应用程序和 ApplicationSets
+ 管理 Argo CD 配置
+ 注册和管理部署目标集群
+ 配置存储库访问权限
+ 创建和管理项目
+ 查看所有应用程序状态和历史记录
+ 列出并访问所有集群和存储库
**EDITOR**
可以更新项目和配置项目角色，但无法更改全局的 Argo CD 设置：
+ 更新现有项目（无法创建或删除项目）
+ 配置项目角色和权限
+ 查看 GPG 密钥和证书
+ 无法更改全局的 Argo CD 配置
+ 无法直接管理集群或存储库
+ 若没有项目角色，则无法查看或管理应用程序
**VIEWER**
对 Argo CD 资源的只读访问权限：
+ 查看项目配置
+ 列出所有项目（包括该用户未被分配到的项目）
+ 查看 GPG 密钥和证书
+ 无法列出集群或存储库
+ 无法进行任何更改
+ 若没有项目角色，则无法查看或管理应用程序
**注意**
要授予 EDITOR 或 VIEWER 用户访问应用程序的权限，ADMIN 或 EDITOR 必须创建项目角色，将 Identity Center 组映射到项目中的特定权限。
## 项目角色和项目范围内的访问权限
全局角色（ADMIN、EDITOR、VIEWER）将控制对 Argo CD 本身的访问。项目角色控制对特定项目内的资源和功能的访问权限，包括：
+ **资源**：应用程序、ApplicationSets、存储库凭证、集群凭证
+ **功能**：日志访问、对应用程序容器组（pod）的 exec 访问权限
**了解两级权限模型**：
+ **全局范围**：内置角色决定了用户能够对项目、集群、存储库以及 Argo CD 设置进行何种操作
+ **项目范围**：项目角色决定了用户能够对特定项目中的资源和功能进行何种操作
这意味着：
+ ADMIN 用户无需额外配置即可访问所有的项目资源和功能
+ 必须向 EDITOR 和 VIEWER 用户授予项目角色，才能访问项目资源和功能
+ EDITOR 用户可以创建项目角色，以便在他们能够更新的项目中为自己及他人授予访问权限
**工作流示例**：
1. ADMIN 将 Identity Center 组全局映射到 EDITOR 角色
1. ADMIN 为团队创建项目
1. EDITOR 在该项目中配置项目角色，以授予团队成员访问项目范围内资源的权限
1. 团队成员（可能拥有 VIEWER 全局角色）现在可以根据其项目角色权限查看并管理该项目中的应用程序
有关配置项目角色的详细信息，请参阅 [基于项目的访问控制](#_project_based_access_control)。
## 配置角色映射
创建或更新功能时，将 AWS Identity Center 用户和组映射到 Argo CD 角色。
**示例角色映射**：
```
{
"rbacRoleMapping": {
"ADMIN": ["AdminGroup", "alice@example.com"],
"EDITOR": ["DeveloperGroup", "DevOpsTeam"],
"VIEWER": ["ReadOnlyGroup", "bob@example.com"]
}
}
```
**注意**
角色名称区分大小写，必须为大写（ADMIN、EDITOR、VIEWER）。
**重要**
EKS 功能与 AWS Identity Center 集成后，每个 Argo CD 功能可支持最多 1000 个身份。身份可以是用户或组。
**更新角色映射**：
```
aws eks update-capability \
--region us-east-1 \
--cluster-name cluster \
--capability-name capname \
--endpoint "https://eks.ap-northeast-2.amazonaws.com" \
--role-arn "arn:aws:iam::[.replaceable]111122223333:role/[.replaceable]`EKSCapabilityRole`" \
--configuration '{
"argoCd": {
"rbacRoleMappings": {
"addOrUpdateRoleMappings": [
{
"role": "ADMIN",
"identities": [
{ "id": "686103e0-f051-7068-b225-e6392b959d9e", "type": "SSO_USER" }
]
}
]
}
}
}'
```
## 使用管理员账户
管理员账户专为初始设置和管理任务（例如注册集群和配置存储库）而设计。
**何时适合使用管理员账户**：
+ 初始功能设置和配置
+ 单人开发或快速演示
+ 管理任务（注册集群、配置存储库、创建项目）
**管理员账户最佳实践**：
+ 请勿将账户令牌提交给版本控制
+ 如果令牌暴露，则立即轮换
+ 将账户令牌的使用限制在设置和管理任务
+ 设置较短的过期时间（最长 12 小时）
+ 在任何给定时间只能创建 5 个账户令牌
**何时改用基于项目的访问**：
+ 与多个用户共享的开发环境
+ 任何与生产环境相似的环境
+ 需要有关操作执行者的审计跟踪记录时
+ 需要强制实施资源限制或访问边界时
对于生产环境和多用户场景，请使用基于项目的访问控制，并将专用 RBAC 角色映射到 AWS Identity Center 组。
## 基于项目的访问控制
使用 Argo CD 项目（AppProject）为团队提供精细的访问控制和资源隔离。
**重要**
在为用户或用户组分配项目特定角色之前，您必须首先在功能配置中将他们映射到全局的 Argo CD 角色（ADMIN、EDITOR 或 VIEWER）。如果没有全局角色映射，用户将无法访问 Argo CD，即使他们被分配了项目角色也是如此。
考虑将用户全局映射到 VIEWER 角色，然后通过特定于项目的角色授予其他权限。这既提供了基础的访问权限，又能在项目层面实现精细的控制。
项目提供以下功能：
+ **源限制**：限制可以使用哪些 Git 存储库
+ **目标限制**：限制可以指向哪些集群和命名空间
+ **资源限制**：限制可以部署哪些 Kubernetes 资源类型
+ **RBAC 集成**：将项目映射到 AWS Identity Center 组或 Argo CD 角色
**团队隔离示例项目**：
```
apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
name: team-a
namespace: argocd
spec:
description: Team A applications
# Required: Specify which namespaces this project watches for Applications
sourceNamespaces:
- argocd
# Source restrictions
sourceRepos:
- https://github.com/myorg/team-a-apps
# Destination restrictions
destinations:
- namespace: team-a-*
server: arn:aws:eks:us-west-2:111122223333:cluster/production
# Resource restrictions
clusterResourceWhitelist:
- group: ''
kind: Namespace
namespaceResourceWhitelist:
- group: 'apps'
kind: Deployment
- group: ''
kind: Service
- group: ''
kind: ConfigMap
```
### 源命名空间
使用 EKS Argo CD 功能时，AppProject 定义中必须包含 `spec.sourceNamespaces` 字段。此字段用于指定哪个命名空间可以包含引用此项目的应用程序或 ApplicationSets。
**重要**
EKS Argo CD 功能仅支持应用程序和 ApplicationSets 的单个命名空间，即您在创建该功能时指定的命名空间（通常为 `argocd`）。这与支持多个命名空间的开源 Argo CD 不同。
**AppProject 配置**
所有 AppProjects 都必须在 `sourceNamespaces` 中包含该功能配置的命名空间：
```
apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
name: team-a-project
namespace: argocd
spec:
description: Applications for Team A
# Required: Specify the capability's configured namespace (configuration.argoCd.namespace)
sourceNamespaces:
- argocd # Must match your capability's namespace configuration
# Source repositories this project can deploy from
sourceRepos:
- 'https://github.com/my-org/team-a-*'
# Destination restrictions
destinations:
- namespace: 'team-a-*'
server: arn:aws:eks:us-west-2:111122223333:cluster/my-cluster
```
**注意**
如果您从 `sourceNamespaces` 中省略了该功能的命名空间，则该命名空间中的应用程序或 ApplicationSets 将无法引用此项目，从而导致部署失败。
**为用户分配项目**：
项目角色授予 EDITOR 和 VIEWER 用户访问项目资源（应用程序、ApplicationSets、存储库和集群凭证）和功能（日志、exec）的权限。如果没有项目角色，即便这些用户拥有全局角色访问权限，他们也无法访问这些资源。
ADMIN 用户无需项目角色即可访问所有应用程序。
**示例：向团队成员授予应用程序访问权限**
```
apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
name: team-a
namespace: argocd
spec:
# ... project configuration ...
sourceNamespaces:
- argocd
# Project roles grant Application-level access
roles:
- name: developer
description: Team A developers - can manage Applications
policies:
- p, proj:team-a:developer, applications, *, team-a/*, allow
- p, proj:team-a:developer, clusters, get, *, allow # See cluster names in UI
groups:
- 686103e0-f051-7068-b225-e6392b959d9e # Identity Center group ID
- name: viewer
description: Team A viewers - read-only Application access
policies:
- p, proj:team-a:viewer, applications, get, team-a/*, allow
- p, proj:team-a:viewer, clusters, get, *, allow # See cluster names in UI
groups:
- 786203e0-f051-7068-b225-e6392b959d9f # Identity Center group ID
```
**注意**
在项目角色中包含 `clusters, get, *, allow` 以允许用户在用户界面中查看集群名称。如果没有此权限，则目标集群将显示为“未知”。
**了解项目角色策略**：
策略格式为：`p, proj::, , ,