📚 课程目录第4章 Argo CD 核心概念

4、Argo CD 核心概念：Application、Project、Repository、Cluster、Sync Policy、Sync Status 详解

Argo CD 作为声明式 GitOps 工具，其核心概念构成了多集群环境配置管理的基石。理解 Application、Project、Repository、Cluster、Sync Policy 和 Sync Status 这六大要素，是掌握 Argo CD 架构与运维的关键。

4.1 核心概念关系总览

下图展示了 Argo CD 中核心概念之间的逻辑关系与数据流向：

4.2 Application（应用）

Application 是 Argo CD 中最重要的核心实体，它代表一个完整的部署单元。一个 Application 定义了以下关键信息：

来源（Source）：指定 Kubernetes 清单所在的 Git 仓库路径、分支及目录。
目标（Destination）：指定要部署到的目标集群和命名空间。
项目（Project）：该 Application 所属的逻辑分组，用于权限控制。
同步策略（Sync Policy）：定义如何将清单同步到目标集群。

关键要点：一个 Application 可以对应一个微服务、一个 Helm Chart 或一个完整的 Kustomize 环境。Argo CD 会持续监控 Application 的源仓库，确保目标集群的状态与 Git 中的声明保持一致。

4.3 Project（项目）

Project 是 Argo CD 中用于逻辑隔离和权限管理的顶层资源。它提供以下能力：

功能维度	说明	典型配置
来源限制	限制 Project 内的 Application 只能从指定的 Git 仓库拉取清单	`sourceRepos: ['https://github.com/team-a/*']`
目标限制	限制 Application 只能部署到指定的目标集群和命名空间	`destinations: [{'namespace': 'prod', 'server': 'https://...'}]`
资源限制	限制可部署的 Kubernetes 资源类型（如禁止部署 DaemonSet）	`clusterResourceWhitelist`
角色绑定	通过 RBAC 控制不同用户/团队对 Project 内 Application 的操作权限	`roles: [name: 'viewer', policies: ...]`

最佳实践：建议为每个业务团队或环境（如 dev、staging、prod）创建独立的 Project，以实现严格的权限隔离和资源管控。

4.4 Repository（仓库）

Repository 代表 Argo CD 连接并从中读取 Kubernetes 清单的 Git 仓库。Argo CD 支持多种仓库类型和认证方式：

仓库类型：Git、Helm Repository、Bucket（S3/GCS）。
认证方式：SSH 密钥、HTTPS 用户名/密码、GitHub App、OAuth 令牌。
连接状态：Argo CD 会定期验证仓库的可达性和认证有效性。

# 通过 Argo CD CLI 添加仓库示例
argocd repo add https://github.com/myorg/gitops-manifests.git \
  --username myuser \
  --password mytoken \
  --project default

4.5 Cluster（集群）

Cluster 是 Argo CD 可以部署应用的目标 Kubernetes 集群。Argo CD 支持管理多个集群，包括：

本地集群（in-cluster）：Argo CD 自身运行的集群，默认地址为 https://kubernetes.default.svc。
远程集群：通过 Kubeconfig 或 Service Account 注册的外部集群。
多集群管理：Argo CD 可以同时管理数十甚至数百个集群，实现统一部署。

注意：注册远程集群时，务必确保 Argo CD 所在集群能够通过网络访问目标集群的 API Server。生产环境中建议使用 TLS 加密和 RBAC 最小权限原则。

4.6 Sync Policy（同步策略）

Sync Policy 定义了 Argo CD 如何将 Application 的清单同步到目标集群。主要分为两种模式：

策略类型	子选项	行为描述
自动同步	`prune: true`	自动删除目标集群中不在 Git 清单内的资源
	`selfHeal: true`	自动修复手动修改的资源，使其与 Git 状态一致
	`syncOptions`	如 `Validate=false`、`ApplyOutOfSyncOnly=true` 等
手动同步	—	需要人工触发同步操作，适用于变更审批流程

# Application 中配置自动同步策略示例
spec:
  syncPolicy:
    automated:
      prune: true
      selfHeal: true
    syncOptions:
      - ApplyOutOfSyncOnly=true

4.7 Sync Status（同步状态）

Sync Status 是 Argo CD 对 Application 当前状态与 Git 中声明状态之间差异的评估结果。主要状态包括：

Synced：目标集群状态与 Git 清单完全一致。
OutOfSync：目标集群状态与 Git 清单存在差异（资源被修改、删除或新增）。
Syncing：正在执行同步操作。
Failed：同步操作失败（如清单语法错误、API 拒绝）。
Unknown：无法确定状态（如集群不可达）。

运维提示：持续监控 OutOfSync 状态是 GitOps 实践的核心。如果启用了 selfHeal，Argo CD 会自动纠正漂移；否则需要人工介入分析差异原因。

4.8 核心概念对比总结

下表从不同维度对比了六大核心概念的作用与关系：

概念	角色定位	配置位置	多集群关联
Application	部署单元	Argo CD CRD	每个 Application 绑定一个目标集群
Project	权限边界	Argo CD CRD	限制 Application 可访问的集群范围
Repository	清单来源	Argo CD 配置	所有集群共享同一仓库或按集群隔离
Cluster	部署目标	Argo CD 配置	核心多集群管理对象
Sync Policy	同步规则	Application 内	可针对不同集群配置不同策略
Sync Status	状态反馈	实时计算	每个集群上的 Application 独立评估