2. Argo CD 核心架构：控制平面、应用控制器、API服务器、仓库服务器组件详解

Argo CD 采用 控制平面（Control Plane） 架构模式，将核心逻辑与用户交互、状态存储、Git 仓库访问解耦。理解这四大核心组件——API 服务器、应用控制器、仓库服务器以及支撑它们的 控制平面 设计，是掌握 Argo CD 内部运行机制的基础，也是后续进行接口兼容性验证的前提。

2.1 控制平面（Control Plane）概述

控制平面是 Argo CD 的大脑，它不直接管理 Kubernetes 集群上的业务 Pod，而是通过 调和循环（Reconciliation Loop） 持续对比“期望状态”（Git 仓库中的声明式配置）与“实际状态”（目标集群中的实时资源）。

控制平面由以下核心微服务组成，它们通常部署在同一个 Kubernetes 命名空间（如 argocd）中：

2.2 API 服务器（API Server）

API 服务器是 Argo CD 的 前端网关，所有外部交互（CLI、Web UI、CI/CD 系统、REST API 调用）都必须经过它。它暴露了 gRPC 和 REST 两种接口，是接口兼容性验证的核心对象。

2.2.1 核心功能

• 认证与授权： 支持本地用户、OIDC、LDAP、GitHub/GitLab OAuth、SSO 等多种认证方式。授权基于 RBAC（基于角色的访问控制），策略文件为 argocd-rbac-cm ConfigMap。
• Application CRUD： 提供创建、读取、更新、删除 Application 资源的 REST 端点（如 /api/v1/applications）。
• 状态存储与查询： 将 Application 状态、同步结果、操作日志写入 Redis 缓存，并提供查询接口。
• 代理与转发： 将同步请求转发给应用控制器，将清单生成请求转发给仓库服务器。

2.2.2 关键接口清单

2.3 应用控制器（Application Controller）

应用控制器是 Argo CD 的 调和引擎，它持续运行一个循环，对比“期望状态”与“实际状态”，并执行同步操作以消除差异。

2.3.1 调和循环流程

1. 获取期望状态： 从仓库服务器获取经过渲染的 Kubernetes 清单（YAML/JSON）。
2. 获取实际状态： 通过 Kubernetes API 查询目标集群中对应资源的实时状态。
3. 比较差异： 使用 diff 算法对比两个状态，生成差异报告。
4. 执行同步： 如果启用了自动同步或收到手动同步请求，则调用 Kubernetes API 应用期望状态。
5. 健康评估： 根据预定义的健康检查规则（如 Deployment 的可用副本数）评估资源健康状态。
6. 更新状态： 将比较结果、同步状态、健康状态写回 API 服务器（通过 Redis）。

2.3.2 关键特性

• 多集群管理： 一个应用控制器可以同时管理多个目标集群，通过 argocd cluster add 注册。
• 资源钩子（Resource Hooks）： 支持在同步前后执行 Job（如数据库迁移），通过 argocd.argoproj.io/hook 注解控制。
• Prune 策略： 当 Git 仓库中删除了某个资源，控制器可以选择自动删除集群中对应的资源（通过 syncPolicy.prune 控制）。

2.4 仓库服务器（Repo Server）

仓库服务器是 Argo CD 的 清单生成引擎。它负责与 Git 仓库交互，将 Helm Chart、Kustomize overlay、Jsonnet 模板等转换为纯 Kubernetes 清单（YAML）。

2.4.1 核心职责

• Git 操作： 克隆仓库、拉取最新提交、切换分支/标签。
• 清单渲染： 根据 Application 配置中的 source 字段，调用对应的工具（helm template、kustomize build、jsonnet eval）生成最终清单。
• 缓存管理： 将生成的清单和 Git 元数据缓存到 Redis，避免重复克隆和渲染。
• 安全隔离： 每个仓库服务器实例运行在独立的容器中，通过 gRPC 与 API 服务器通信，不直接暴露网络端口。

2.4.2 支持的配置管理工具

2.5 组件间通信与数据流

理解组件间的通信协议和数据流，有助于在接口兼容性验证中定位问题边界。

• API 服务器 ↔ 仓库服务器： 通过 gRPC 调用 GenerateManifest 方法，传递 Application 的 source 配置，返回渲染后的清单列表。
• API 服务器 ↔ 应用控制器： 通过 Redis 发布/订阅（Pub/Sub）机制传递同步请求和状态更新。API 服务器将同步请求写入 Redis 队列，应用控制器消费并执行。
• 应用控制器 ↔ 目标集群： 通过标准的 Kubernetes API（HTTPS）进行资源操作，使用 kubeconfig 或 Service Account 进行认证。
• 仓库服务器 ↔ Git 仓库： 通过 SSH 或 HTTPS 协议克隆和拉取代码，支持 SSH 密钥、用户名/密码、GitHub App 等多种认证方式。