Considerazioni su Argo CD

Questo argomento tratta importanti considerazioni sull'utilizzo del CD EKS Capability for Argo, tra cui pianificazione, autorizzazioni, autenticazione e modelli di distribuzione multi-cluster.

Pianificazione

Prima di distribuire Argo CD, considera quanto segue:

Strategia di deposito: determina dove verranno archiviati i manifesti dell'applicazione (CodeCommit,, GitHub, GitLab Bitbucket). Pianifica la struttura del tuo repository e la strategia di ramificazione per diversi ambienti.

Strategia RBAC: pianifica quali team o utenti devono avere accesso come amministratore, editor o visualizzatore. Associali ai gruppi AWS Identity Center o ai ruoli Argo CD.

Multi-cluster architettura: Determina se gestirai più cluster da una singola istanza Argo CD. Prendi in considerazione l'utilizzo di un cluster di gestione dedicato per Argo CD.

Organizzazione delle applicazioni: pianifica come strutturerai le applicazioni e ApplicationSets. Prendi in considerazione l'utilizzo di progetti per organizzare le applicazioni per team o ambiente.

Criteri di sincronizzazione: decidi se le applicazioni devono essere sincronizzate automaticamente o richiedere l'approvazione manuale. La sincronizzazione automatica è comune per lo sviluppo, manuale per la produzione.

Permissions

Per informazioni dettagliate sui ruoli di capacità di IAM, sulle politiche di fiducia e sulle best practice di sicurezza, consulta Funzionalità Amazon EKS, ruolo IAM eConsiderazioni sulla sicurezza per EKS Capabilities.

Panoramica del ruolo di capacità IAM

Quando crei una risorsa di funzionalità Argo CD, fornisci un ruolo di capacità IAM. A differenza di ACK, Argo CD gestisce principalmente le risorse Kubernetes, non le risorse direttamente. AWS Tuttavia, l'IAM Capability Role è richiesto per:

CodeCommit integrazione

Se utilizzi i CodeCommit repository, allega una policy con autorizzazioni di lettura:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codecommit:GitPull"
      ],
      "Resource": "*"
    }
  ]
}

"Resource": "arn:aws:codecommit:us-west-2:111122223333:my-app-repo"

Integrazione di Secrets Manager

Se stai archiviando le credenziali del repository in Secrets Manager, allega la policy gestita per l'accesso in lettura:

arn:aws:iam::aws:policy/AWSSecretsManagerClientReadOnlyAccess

Questa politica include le autorizzazioni necessarie:secretsmanager:GetSecretValue, e le autorizzazioni di secretsmanager:DescribeSecret decrittografia KMS.

Configurazione di base

Per le funzionalità di base di Argo CD con repository Git pubblici, non sono richieste politiche IAM aggiuntive oltre alla policy di fiducia.

Autenticazione

AWS Integrazione con Identity Center

La funzionalità gestita da Argo CD si integra direttamente con AWS Identity Center (precedentemente AWS SSO), consentendoti di utilizzare il tuo provider di identità esistente per l'autenticazione.

Quando si configura l'integrazione con Identity Center: AWS

Semplificazione dell'accesso con i set di autorizzazioni di Identity Center

AWS Identity Center fornisce due percorsi di autenticazione distinti quando si lavora con Argo CD:

Autenticazione API Argo CD: Identity Center fornisce l'autenticazione SSO all'interfaccia utente e all'API Argo CD. Questo è configurato tramite le mappature dei ruoli RBAC della funzionalità Argo CD.

Accesso al cluster EKS: la funzionalità Argo CD utilizza il ruolo IAM fornito dal cliente per autenticarsi con i cluster EKS tramite voci di accesso. Queste voci di accesso possono essere configurate manualmente per aggiungere o rimuovere autorizzazioni.

È possibile utilizzare i set di autorizzazioni di Identity Center per semplificare la gestione delle identità consentendo a una singola identità di accedere ai cluster Argo CD ed EKS. Ciò riduce il sovraccarico richiedendo la gestione di una sola identità su entrambi i sistemi, anziché mantenere credenziali separate per l'accesso al CD Argo e l'accesso al cluster.

Mappature dei ruoli RBAC

Argo CD ha ruoli integrati che puoi mappare agli utenti e ai gruppi di AWS Identity Center:

ADMIN: accesso completo a tutte le applicazioni e le impostazioni. Può creare, aggiornare ed eliminare applicazioni. Può gestire la configurazione del CD Argo.

EDITOR: Può creare e modificare applicazioni. Non è possibile modificare le impostazioni del CD Argo o eliminare applicazioni.

VIEWER: Read-only accesso alle applicazioni. Può visualizzare lo stato e la cronologia delle applicazioni. Non è possibile apportare modifiche.

Multi-cluster distribuzioni

La funzionalità gestita di Argo CD supporta le implementazioni multi-cluster, consentendo di gestire le applicazioni tra cluster di sviluppo, staging e produzione da una singola istanza Argo CD.

Come funziona il multi-cluster

Quando si registrano cluster aggiuntivi con Argo CD:

Prerequisiti per il multi-cluster

Prima di registrare cluster aggiuntivi:

Registra un cluster

Registra i cluster utilizzando Kubernetes Secrets nel namespace. argocd

Ottieni l'ARN del cluster di destinazione. Sostituiscilo region-code con la AWS regione in cui si trova il cluster di destinazione e sostituiscilo target-cluster con il nome del cluster di destinazione.

aws eks describe-cluster \
  --region region-code \
  --name target-cluster \
  --query 'cluster.arn' \
  --output text

Crea un cluster segreto utilizzando l'ARN del cluster:

apiVersion: v1
kind: Secret
metadata:
  name: target-cluster
  namespace: argocd
  labels:
    argocd.argoproj.io/secret-type: cluster
type: Opaque
stringData:
  name: target-cluster
  server: arn:aws:eks:us-west-2:111122223333:cluster/target-cluster
  project: default

Applica il segreto:

kubectl apply -f cluster-secret.yaml

Configurare Access Entry sul cluster di destinazione

Il cluster di destinazione deve disporre di una voce di accesso che conceda al ruolo di capacità Argo CD l'autorizzazione per distribuire le applicazioni. Sostituisci region-code con la AWS regione in cui si trova il cluster di destinazione, sostituisci target-cluster con il nome del cluster di destinazione e sostituisci l'ARN con il tuo ruolo di funzionalità Argo CD ARN.

aws eks create-access-entry \
  --region region-code \
  --cluster-name target-cluster \
  --principal-arn arn:aws:iam::111122223333:role/ArgoCDCapabilityRole \
  --type STANDARD \
  --kubernetes-groups system:masters

Accesso privato al cluster

La funzionalità gestita da Argo CD può essere implementata su cluster EKS completamente privati senza richiedere peering VPC o configurazioni di rete specializzate. AWS gestisce automaticamente la connettività tra la funzionalità Argo CD e i cluster remoti privati. Assicurati che i controlli di accesso al repository e le policy RBAC di Argo CD siano configurati correttamente.

Cross-account implementazioni

Per le distribuzioni su più account, aggiungi il ruolo Argo CD IAM Capability dall'account di origine all'EKS Access Entry del cluster di destinazione:

Non è richiesta alcuna creazione aggiuntiva di ruoli IAM o configurazione di policy di trust: EKS Access Entries gestisce l'accesso tra account.

Best practice

Usa fonti dichiarative come fonte di verità: archivia tutti i manifesti delle tue applicazioni in fonti dichiarative (repository Git, registri Helm o immagini OCI), abilitando il controllo della versione, gli audit trail e la collaborazione.

Implementa un RBAC adeguato: utilizza l'integrazione con AWS Identity Center per controllare chi può accedere e gestire le applicazioni in Argo CD. Argo CD supporta il controllo granulare degli accessi alle risorse all'interno delle applicazioni (Deployments, Pods, Secrets). ConfigMaps

Utilizzo ApplicationSets per implementazioni multiambiente: da utilizzare per distribuire applicazioni su più cluster o ApplicationSets namespace con configurazioni diverse.

Gestione del ciclo di vita

Politiche di sincronizzazione delle applicazioni

Controlla il modo in cui Argo CD sincronizza le applicazioni:

Sincronizzazione manuale: le applicazioni richiedono l'approvazione manuale per sincronizzare le modifiche. Consigliato per ambienti di produzione.

Sincronizzazione automatica: le applicazioni si sincronizzano automaticamente quando vengono rilevate modifiche a Git. Comune negli ambienti di sviluppo e staging.

Self-healing: ripristina automaticamente le modifiche manuali apportate al cluster. Assicura che lo stato del cluster corrisponda a Git.

Eliminazione: elimina automaticamente le risorse rimosse da Git. Usalo con cautela in quanto può eliminare risorse.

Integrità delle applicazioni

Argo CD monitora continuamente lo stato delle applicazioni:

Sincronizza finestre

Configura le finestre di sincronizzazione per controllare quando le applicazioni possono essere sincronizzate:

Configurazione Webhook per una sincronizzazione più rapida

Per impostazione predefinita, Argo CD esegue il polling dei repository Git ogni 6 minuti per rilevare le modifiche. Per implementazioni più reattive, configura i webhook Git in modo che attivino sincronizzazioni immediate quando vengono inviate modifiche.

I webhook offrono diversi vantaggi:

Endpoint Webhook

L'URL del webhook segue lo schema${serverUrl}/api/webhook, serverUrl dov'è l'URL del server CD Argo. Per trovare l'URL del tuo server, consulta. URL dell'endpoint Argo CD

Ad esempio, se l'URL del server CD Argo èhttps://my-argocd-dc855fdf-111122223333.eks-capabilities.us-west-2.amazonaws.com, l'URL del webhook è:

https://my-argocd-dc855fdf-111122223333.eks-capabilities.us-west-2.amazonaws.com/api/webhook

Configura i webhook in base al provider Git

GitHub: Nelle impostazioni del tuo repository, aggiungi un webhook con l'URL del webhook Argo CD. Imposta il tipo di contenuto su application/json e seleziona «Solo l'evento push».

GitLab: Nelle impostazioni del progetto, aggiungete un webhook con l'URL del webhook Argo CD. Abilita «Eventi push» e opzionalmente «Tag push events».

Bitbucket: nelle impostazioni del tuo repository, aggiungi un webhook con l'URL del webhook Argo CD. Seleziona «Repository push» come trigger.

CodeCommit: crea una EventBridge regola Amazon che attiva le modifiche allo stato del CodeCommit repository e invia notifiche all'endpoint webhook Argo CD.

Per istruzioni dettagliate sulla configurazione del webhook, consulta Argo CD Webhook Configuration. https://argo-cd.readthedocs.io/en/stable/operator-manual/webhook/

Fasi successive