4. 项目级RBAC配置：在AppProject中配置sourceRepos、destinations、clusterResourceWhitelist/Blacklist

项目级RBAC是Argo CD多租户安全模型的核心防线。通过在AppProject资源中精确配置sourceRepos、destinations以及clusterResourceWhitelist/Blacklist，平台团队可以严格限定每个项目能拉取哪些Git仓库、部署到哪些目标集群/命名空间、以及允许或禁止创建哪些集群范围的资源。本节将逐一拆解这三个配置维度的语义、典型场景和评审要点。

4.1 sourceRepos：限定可用的Git仓库来源

sourceRepos字段定义了一个项目允许从中拉取应用清单的Git仓库URL列表。任何试图引用列表之外仓库的Application或ApplicationSet都将被Argo CD拒绝。

4.2 destinations：控制部署目标集群与命名空间

destinations字段定义了项目允许将应用部署到哪些Kubernetes集群和命名空间。每个目标条目由serverURL（或name）和namespace组成。

# 典型destinations配置示例
destinations:
  - serverURL: https://kubernetes.default.svc
    namespace: team-a-prod
  - serverURL: https://kubernetes.default.svc
    namespace: team-a-staging
  - serverURL: https://cluster-2.example.com:6443
    namespace: "*"  # 允许该集群的所有命名空间（需谨慎）

4.3 clusterResourceWhitelist / Blacklist：集群范围资源的准入控制

这两个字段控制项目是否允许创建、更新或删除集群范围的资源（如ClusterRole、ClusterRoleBinding、PersistentVolume、Namespace、CustomResourceDefinition等）。

• Whitelist（白名单）模式：只允许列表中显式列出的集群资源类型。未列出的类型将被拒绝。推荐用于多租户隔离场景。
• Blacklist（黑名单）模式：禁止列表中列出的集群资源类型，其余类型均允许。仅适用于完全信任的单一租户场景。

# 白名单示例：只允许Namespace和ClusterRole
clusterResourceWhitelist:
  - group: ""
    kind: Namespace
  - group: rbac.authorization.k8s.io
    kind: ClusterRole

# 黑名单示例：禁止创建ClusterRoleBinding和PersistentVolume
clusterResourceBlacklist:
  - group: rbac.authorization.k8s.io
    kind: ClusterRoleBinding
  - group: ""
    kind: PersistentVolume

4.4 项目级RBAC配置综合示例

以下是一个生产级AppProject配置，展示了三个维度的协同使用：

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a-platform
  namespace: argocd
spec:
  sourceRepos:
    - 'https://github.com/company/team-a-manifests.git'
    - 'https://github.com/company/shared-libraries.git'
  destinations:
    - serverURL: https://kubernetes.default.svc
      namespace: team-a-prod
    - serverURL: https://kubernetes.default.svc
      namespace: team-a-staging
  clusterResourceWhitelist:
    - group: ""
      kind: Namespace
    - group: rbac.authorization.k8s.io
      kind: ClusterRole
    - group: rbac.authorization.k8s.io
      kind: ClusterRoleBinding
  roles:
    - name: project-admin
      description: "Team A project administrators"
      policies:
        - p, proj:team-a-platform:project-admin, applications, *, team-a-platform/*, allow
        - p, proj:team-a-platform:project-admin, exec, *, team-a-platform/*, allow
    - name: project-reader
      description: "Team A read-only members"
      policies:
        - p, proj:team-a-platform:project-reader, applications, get, team-a-platform/*, allow

4.5 常见误配置与规避策略