1. 课程导论：Argo CD在K8s生态中的定位、声明式GitOps理念、证书轮换与调度优化的核心挑战
1.1 Argo CD 在 Kubernetes 生态中的定位
在云原生技术栈中，Kubernetes 已成为容器编排的事实标准，但原生 K8s 资源管理存在明显的“配置漂移”与“手动操作风险”。Argo CD 作为 CNCF 毕业项目，填补了持续交付与基础设施即代码之间的关键空白。它不是一个简单的部署工具，而是一个声明式 GitOps 控制器，负责将 Git 仓库中的期望状态持续同步到目标集群。
| 层级 | 组件/工具 | 职责 |
|---|---|---|
| CI 层 | Jenkins / GitHub Actions / GitLab CI | 代码构建、镜像打包、单元测试 |
| CD 层 | Argo CD | GitOps 控制器、多集群同步、健康检查、回滚 |
| 调度层 | Kubernetes Scheduler / Volcano / Koordinator | Pod 调度、资源分配、拓扑约束 |
| 证书层 | cert-manager / Vault PKI / 自签 CA | 证书签发、自动轮换、信任链管理 |
关键认知：Argo CD 不直接参与 Pod 调度决策，也不负责证书签发。它的核心价值在于编排——确保证书轮换作业、调度策略配置、应用版本等所有声明式资源，按照 Git 中的定义精确生效。
1.2 声明式 GitOps 理念
GitOps 的核心思想是将 Git 仓库作为系统的单一事实来源。Argo CD 通过持续对比 Git 中的期望清单与集群中的实际状态，自动执行“调和循环”。这种模式与传统的“推送式”CI/CD 有本质区别：
- 声明式 vs 指令式：开发者只需描述“集群应该是什么样”，而非“如何变成这样”。
- 自愈能力：当集群状态被人为修改或发生漂移时，Argo CD 会自动将其恢复至 Git 中的定义。
- 审计与回滚：每一次变更都对应一次 Git commit，回滚只需 revert 一次提交。
- 多集群一致性：同一套 Git 仓库可以同步到开发、预发、生产等多个集群，消除环境差异。
GitOps 工作流核心循环：
Git Push → Argo CD 检测差异 → 自动/手动同步 → K8s 集群状态更新 → 健康检查 → 状态反馈至 Git
Git Push → Argo CD 检测差异 → 自动/手动同步 → K8s 集群状态更新 → 健康检查 → 状态反馈至 Git
1.3 证书轮换的核心挑战
在 K8s 生产环境中，证书轮换是保障通信安全的基础操作，但传统手动轮换方式存在诸多风险。当我们将证书轮换纳入 GitOps 管理时，需要解决以下关键问题：
| 挑战维度 | 具体问题 | 对 GitOps 的影响 |
|---|---|---|
| 证书生命周期 | 证书过期时间不可控，手动更新易遗漏 | 需要 Git 仓库中证书资源的自动刷新机制 |
| Secret 管理 | 证书通常以 Secret 形式存储，Git 不能明文保存 | 需集成 Sealed Secrets / External Secrets / Vault |
| 滚动更新触发 | 证书更新后，依赖该证书的 Pod 需要重启 | Argo CD 需检测 Secret 变更并触发工作负载同步 |
| 信任链维护 | CA 证书、中间证书、叶子证书需同步轮换 | Git 仓库中需维护完整的证书拓扑定义 |
| 回滚一致性 | 证书回滚时，对应 Pod 版本也需回滚 | Argo CD 的 Application 资源需绑定证书与应用版本 |
常见陷阱：直接将证书明文存入 Git 仓库。即使仓库是私有的，证书泄露风险依然存在。生产环境必须使用 SealedSecret 或 External Secrets Operator 进行加密存储，Argo CD 只同步加密后的资源。
1.4 调度优化的核心挑战
Kubernetes 默认调度器（kube-scheduler）在大多数场景下表现良好，但在高密度部署、GPU 共享、拓扑感知、QoS 保障等场景中，原生调度策略往往不够精细。通过 Argo CD 管理调度优化配置，面临以下挑战：
- 调度策略声明化：如何将调度器配置（SchedulerConfiguration）、调度策略（PodScheduling）、资源配额（ResourceQuota）等以声明式方式纳入 Git 管理。
- 自定义调度器集成：当使用 Volcano、Koordinator、Yunikorn 等自定义调度器时，Argo CD 需要同步调度器本身的部署配置及其调度策略。
- 拓扑分布约束：跨可用区、跨机架的高可用调度策略，需要与证书轮换作业的 Pod 分布协同。
- 资源预留与抢占：证书轮换作业通常需要快速执行，如何通过 PriorityClass 和抢占策略保障其调度优先级。
- 调度与证书的耦合：证书轮换作业可能需要在特定节点上运行（如持有 HSM 的节点），调度策略需感知证书资源的物理位置。
1.5 课程核心目标
本课程将围绕以下主线展开，帮助学员掌握通过 Argo CD 实现证书轮换与调度优化的完整方案：
- Git 仓库结构设计：如何组织证书资源、调度策略、应用清单的目录结构，确保可维护性与可追溯性。
- Argo CD Application 配置：使用 ApplicationSet 管理多环境、多集群的证书轮换作业。
- 证书轮换自动化：集成 cert-manager 与 External Secrets Operator，实现证书自动签发、加密存储与滚动更新。
- 调度策略声明式管理：将调度器配置、拓扑约束、优先级策略纳入 GitOps 管理，并验证生效。
- 作业发布证据链：利用 Argo CD 的 Sync 历史、健康状态、Webhook 通知，构建可审计的发布证据。
- 故障演练与回滚：模拟证书过期、调度失败场景，验证 GitOps 自愈与回滚能力。
预期成果：学员将能够独立搭建一套基于 Argo CD 的证书轮换与调度优化管理体系，实现从 Git 提交到集群生效的端到端自动化，并生成符合审计要求的发布证据链。