GitOps 工作流基础：声明式配置、Git 作为单一事实来源、自动化同步与回滚机制
GitOps 的核心思想是将运维和交付过程转化为以 Git 仓库为驱动的声明式工作流。本章将拆解 GitOps 工作流的三大基石：声明式配置、Git 作为单一事实来源以及自动化同步与回滚机制。理解这三者之间的协同关系，是构建可靠交付管道的前提。
2.1 声明式配置：从“如何做”到“要什么”
传统运维通常使用命令式操作（Imperative），例如 kubectl run nginx --image=nginx:1.25，直接告诉系统“执行什么动作”。GitOps 则采用声明式配置（Declarative），你只需在 YAML 或 JSON 文件中描述系统的最终期望状态，由工具自动将当前状态收敛至期望状态。
| 对比维度 | 命令式（Imperative） | 声明式（Declarative） |
|---|---|---|
| 操作对象 | 执行步骤与命令 | 期望状态文件（YAML/JSON） |
| 可复现性 | 依赖执行顺序与环境上下文 | 文件即状态，可完全复现 |
| 审计能力 | 依赖操作日志，易丢失 | Git 历史即完整审计轨迹 |
| 错误恢复 | 需手动逆向操作 | 自动回滚至上一版本期望状态 |
| 典型工具 | kubectl run/delete | kubectl apply -f, Helm, Kustomize |
实践要点：在 GitOps 仓库中，所有资源（Deployment、Service、ConfigMap、EnvoyFilter 等）都必须以声明式文件存在。避免在仓库中存放“一键安装脚本”或“临时补丁命令”，否则 Git 将失去作为单一事实来源的完整性。
2.2 Git 作为单一事实来源（Single Source of Truth）
在 GitOps 模型中，Git 仓库中存储的声明式配置是系统期望状态的唯一权威定义。任何对集群的变更，都必须先修改 Git 仓库中的文件，再通过自动化工具同步到目标环境。这带来了三个关键能力：
- 版本化与审计：每一次变更都对应一个 Git commit，包含作者、时间、变更说明，形成不可篡改的审计链。
- 分支策略驱动环境隔离：通过分支（如
main、staging、production）或目录结构，实现不同环境之间的配置隔离与晋升。 - 协作与审批：所有变更通过 Pull Request 提交，结合 CI 校验和人工审批，确保只有合规的配置才能进入事实来源。
2.3 自动化同步与回滚机制
声明式配置和 Git 事实来源必须通过自动化同步才能产生实际价值。同步工具（如 ArgoCD、Flux）持续对比 Git 仓库中的期望状态与集群中的实际状态，当出现偏差时自动执行收敛操作。回滚机制则建立在 Git 版本管理之上：一旦检测到同步失败或配置异常，工具可以快速将集群状态恢复至上一个已知正确的 Git commit。
2.3.1 同步工作流核心步骤
- 状态对比：同步工具定期（或通过 Webhook 触发）拉取 Git 仓库指定分支/路径的配置，并与目标集群中的资源进行 diff 对比。
- 偏差检测：如果发现集群中存在 Git 中未定义的资源（漂移），或 Git 中定义的资源在集群中缺失/配置不一致，则标记为“OutOfSync”。
- 自动/手动同步：根据策略配置，工具自动执行
kubectl apply或helm upgrade将集群状态收敛至期望状态。生产环境通常设置为“手动同步”或“需要审批的自动同步”。 - 健康检查：同步完成后，工具持续监控资源健康状态（如 Pod 是否 Ready、Service 是否正常响应），确保同步结果有效。
2.3.2 回滚触发条件与策略
| 触发条件 | 回滚策略 | 典型配置 |
|---|---|---|
| 同步后健康检查失败 | 自动回滚至上一个健康 commit | syncPolicy.automated.prune: true + selfHeal: true |
| 人工检测到配置错误 | 手动触发回滚至指定 commit | ArgoCD UI 中点击“Rollback”并选择版本 |
| CI 流水线验证失败 | 阻止合并，不触发同步 | PR 合并前必须通过策略检查（OPA/Gatekeeper） |
| 集群状态被外部工具篡改 | 自动自愈（Self-Healing） | 检测到漂移后自动重新同步至 Git 状态 |
回滚风险提示：自动回滚虽然能快速恢复服务，但如果回滚的 commit 本身包含破坏性变更（如数据库 schema 变更），可能导致数据不一致。建议对涉及数据面变更的配置（如 Envoy 路由规则、限流参数）采用“手动同步 + 灰度验证”策略，避免全量自动回滚。
2.4 三大基石的协同关系
声明式配置、Git 事实来源、自动化同步与回滚三者并非独立运行，而是形成一个闭环：
- 声明式配置提供了可版本化的“蓝图”，是 Git 仓库的内容基础。
- Git 作为单一事实来源确保了“蓝图”的唯一性和可追溯性，是信任的锚点。
- 自动化同步与回滚将“蓝图”转化为集群中的实际运行状态，并保证在异常时能够快速自愈或恢复。
课程关联提示：在后续章节中，我们将基于此工作流，将资源配额（ResourceQuota、LimitRange）和 Envoy 网关参数（EnvoyFilter、Gateway API）以声明式配置纳入 Git 仓库，并通过自动化同步机制实现配额校准与网关参数的灰度发布和回滚。