4. Git 作为单一事实来源：如何确保 Git 仓库成为集群状态的唯一真实来源？如何处理配置漂移？

在 GitOps 体系中，Git 仓库是集群状态的“单一事实来源”（Single Source of Truth, SSoT）。这意味着所有基础设施和应用的期望状态都必须声明在 Git 仓库中，集群的实际状态必须无条件向 Git 仓库对齐。任何手动修改集群的行为都被视为“非法变更”，必须被检测并回滚。

本节将深入解析 SSoT 的实现机制，以及如何通过自动化手段检测和修复配置漂移。

4.1 单一事实来源的核心原则

要实现 Git 仓库作为唯一真实来源，必须遵循以下三条核心原则：

4.2 配置漂移的成因与检测机制

配置漂移是指集群实际状态与 Git 仓库中声明的期望状态产生偏差。常见成因包括：

• 人工应急操作： 线上故障时，运维人员直接通过 kubectl 修改资源。
• 第三方工具干预： 监控系统、HPA（水平自动扩缩）或 Operator 自动修改了资源。
• 集群自愈行为： 节点故障导致 Pod 被重新调度到其他节点，但标签或注解发生变化。
• 配置过期： 手动修改了 ConfigMap 或 Secret，但未更新 Git 仓库。

GitOps 工具通过 “差异对比（Diff）” 机制检测漂移：

# Argo CD 的漂移检测逻辑（伪代码）
while true:
    git_state = fetch_desired_state_from_git()
    cluster_state = fetch_live_state_from_cluster()
    diff = compare(git_state, cluster_state)
    if diff.has_changes():
        alert("配置漂移检测到！")
        if auto_sync_enabled:
            apply(git_state)  # 自动回滚
    sleep(sync_interval)

4.3 处理配置漂移的三种策略

根据业务场景和风险容忍度，通常采用以下三种策略处理漂移：

4.4 架构实现：GitOps 同步流水线

下图展示了 Git 作为单一事实来源的完整同步架构：

4.5 高级实践：忽略差异与策略引擎

在实际生产环境中，并非所有字段都适合强制同步。以下场景需要配置“忽略差异”：

• 自动扩缩字段： HPA 管理的 replicas、Cluster Autoscaler 的节点数。
• 动态注入字段： Service 的 clusterIP、LoadBalancer 的 ingress 地址。
• 元数据字段： Pod 的 status、resourceVersion、uid。

Argo CD 通过 ignoreDifferences 配置实现：

# argocd-cm ConfigMap 示例
apiVersion: v1
kind: ConfigMap
metadata:
  name: argocd-cm
  namespace: argocd
data:
  resource.customizations: |
    apps/Deployment:
      ignoreDifferences: |
        jsonPointers:
        - /spec/replicas  # 忽略副本数差异（由 HPA 管理）
    /Pod:
      ignoreDifferences: |
        jsonPointers:
        - /spec/containers/0/image  # 忽略镜像标签差异（用于金丝雀发布）

4.6 面试常见问题与回答要点