3. GitOps 流水线架构：CI 与 CD 分离、镜像构建、配置仓库、同步策略

GitOps 流水线的核心设计原则是 CI 与 CD 严格分离。CI 阶段负责将源代码转化为不可变镜像，CD 阶段负责将镜像声明同步到目标环境。这种分离不仅提升了安全性，还使得故障排查时可以快速定位问题边界——是构建失败还是同步偏差。

3.1 架构总览：CI 与 CD 的职责边界

在 GitOps 模型中，CI 流水线终止于镜像仓库，CD 流水线起始于配置仓库。两者通过镜像 tag 和 manifest 文件中的版本声明建立契约关系。

3.2 镜像构建策略与故障模式

镜像构建是 CI 阶段的核心产出。常见的构建策略包括：

3.3 配置仓库的结构设计

配置仓库（Config Repository）是 GitOps 的“单一事实来源”。其结构设计直接影响同步效率和故障排查复杂度。

推荐的分层结构：

config-repo/
├── environments/
│   ├── dev/
│   │   ├── kustomization.yaml
│   │   └── patches/
│   ├── staging/
│   │   ├── kustomization.yaml
│   │   └── patches/
│   └── production/
│       ├── kustomization.yaml
│       └── patches/
├── base/
│   ├── kustomization.yaml
│   ├── deployment.yaml
│   ├── service.yaml
│   └── configmap.yaml
└── apps/
    ├── frontend/
    │   └── kustomization.yaml
    └── backend/
        └── kustomization.yaml

3.4 同步策略：Pull vs. Push 与故障场景

GitOps 同步策略决定了配置仓库与目标集群之间的状态协调方式。主流工具（Argo CD、Flux）均采用 Pull 模式，但 Push 模式在某些场景下仍有应用。

3.5 同步策略参数对比

3.6 常见同步故障与排查路径

• 镜像拉取失败：检查镜像仓库凭证是否在集群中正确配置为 imagePullSecrets；确认镜像 tag 是否与配置仓库中的声明一致。
• 配置仓库权限不足：GitOps Operator 使用的 SSH key 或 是否过期；仓库路径是否变更。
• Kustomize/Helm 渲染错误：本地运行 kustomize build 或 helm template 验证 manifest 是否合法；检查依赖的远程 Chart 仓库是否可达。
• 同步循环震荡：Operator 持续检测到差异但无法收敛。常见原因包括：Deployment 的 replicas 被 HPA 自动修改、ConfigMap 内容被外部工具覆盖。
• 网络隔离导致 Pull 失败：集群节点无法访问 Git 仓库（私有仓库、防火墙规则、代理配置）。

3.7 同步策略选型建议

根据团队规模和环境复杂度，推荐以下选型路径：

• 小型团队（1-5 人）：Flux v2，默认 Pull 模式，配置简单，学习曲线低。
• 中型团队（5-20 人）：Argo CD，提供 Web UI、多集群管理和 RBAC 集成。
• 大型组织（20+ 人）：Argo CD + ApplicationSet，支持多环境、多集群的声明式管理。