4장. GitOps

이번 업데이트를 통해 ApplicationSet Progressive Rollout Strategy 기능에 대한 지원을 추가할 수 있습니다. 이 기능을 사용하면 ArgoCD ApplicationSet 리소스를 개선하여 ApplicationSet 사양 또는 애플리케이션 템플릿을 수정한 후 프로그레시브 애플리케이션 리소스 업데이트에 대한 롤아웃 전략을 포함할 수 있습니다. 이 기능을 사용하면 애플리케이션이 동시에 대신 선언적 순서로 업데이트됩니다. GITOPS-956

이번 업데이트를 통해 OpenShift Container Platform의 ARM 아키텍처에서 Red Hat OpenShift GitOps Operator 및 kam CLI를 사용할 수 있습니다. GITOPS-1688

이번 업데이트를 통해 Argo CD CR을 사용하여 command 인수를 리포지토리 서버 배포에 전달할 수 있습니다. GITOPS-2445

예를 들면 다음과 같습니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
spec:
  repo:
    extraRepoCommandArgs:
      - --max.combined.directory.manifests.size
      - 10M

이번 업데이트 이전에는 openshift-gitops-repo-server Pod에서만 ARGOCD_GIT_MODULES_ENABLED 환경 변수를 설정하고 ApplicationSet 컨트롤러 Pod에는 설정할 수 있습니다. 그 결과 Git 생성기를 사용할 때 ApplicationSet Controller 환경에서 변수가 누락되어 하위 애플리케이션 생성 중에 Git 하위 모듈이 복제되었습니다. 또한 이러한 하위 모듈을 복제하는 데 필요한 인증 정보가 ArgoCD에 구성되지 않은 경우 애플리케이션 생성에 실패했습니다. 이번 업데이트에서는 Argo CD CR을 사용하여 ArgoCD_GIT_MODULES_ENABLED 와 같은 환경 변수를 ApplicationSet 컨트롤러 Pod에 추가할 수 있습니다. 그러면 ApplicationSet 컨트롤러 Pod가 복제된 리포지토리에서 하위 애플리케이션을 생성하고 프로세스에서 하위 모듈이 복제되지 않습니다. GITOPS-2399

예를 들면 다음과 같습니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  applicationSet:
    env:
     - name: ARGOCD_GIT_MODULES_ENABLED
       value: "true"

이번 업데이트를 통해 다음 추가 하위 키를 사용하여 리소스 동작을 사용자 지정할 수 있습니다.

GITOPS-1561

이번 업데이트를 통해 동일한 클러스터의 모든 네임스페이스에서 동일한 컨트롤 플레인 Argo CD 인스턴스에서 관리하는 애플리케이션을 생성할 수 있습니다. 관리자로 다음 작업을 수행하여 이 업데이트를 활성화합니다.

이번 업데이트를 통해 Argo CD는 Server-Side Apply 기능을 지원하므로 사용자가 다음 작업을 수행할 수 있습니다.

이번 업데이트 이전에는 인증 기관에서 서명하지 않은 인증서로 설정되는 경우 RHSSO 인증서를 검증할 수 없습니다. 이번 업데이트에서는 이 문제를 수정하고 이제 통신할 때 Keycloak의 TLS 인증서를 확인하는 데 사용할 사용자 정의 인증서를 제공할 수 있습니다. rootCA 를 Argo CD 사용자 정의 리소스 .spec.keycloak.rootCA 필드에 추가할 수 있습니다. Operator는 이 변경 사항을 조정하고 argocd-cm ConfigMap 의 oidc.config 필드를 PEM 인코딩 루트 인증서로 업데이트합니다. GITOPS-2214

예를 들면 다음과 같습니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  sso:
    provider: keycloak
    keycloak:
     rootCA: |
       ---- BEGIN CERTIFICATE ----
       This is a dummy certificate
       Please place this section with appropriate rootCA
       ---- END CERTIFICATE ----
  server:
    route:
      enabled: true

Red Hat OpenShift GitOps Operator는 Dex 외에도 OIDC를 통해 RHSSO(KeyCloak)를 사용할 수 있습니다. 그러나 최근 보안 수정 사항이 적용된 경우 일부 시나리오에서는 RHSSO 인증서를 검증할 수 없습니다. GITOPS-2214

이 문제를 해결하려면 ArgoCD 사양에서 OIDC(Keycloak/RHSSO) 엔드포인트에 대한 TLS 검증을 비활성화합니다.

이번 업데이트 이전에는 인증 기관에서 서명하지 않은 인증서로 설정되는 경우 RHSSO 인증서를 검증할 수 없습니다. 이번 업데이트에서는 이 문제를 수정하고 이제 통신할 때 Keycloak의 TLS 인증서를 확인하는 데 사용할 사용자 정의 인증서를 제공할 수 있습니다. rootCA 를 Argo CD 사용자 정의 리소스 .spec.keycloak.rootCA 필드에 추가할 수 있습니다. Operator는 이 변경 사항을 조정하고 argocd-cm ConfigMap 의 oidc.config 필드를 PEM 인코딩 루트 인증서로 업데이트합니다. GITOPS-2214

예를 들면 다음과 같습니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  sso:
    provider: keycloak
    keycloak:
     rootCA: |
       ---- BEGIN CERTIFICATE ----
       This is a dummy certificate
       Please place this section with appropriate rootCA
       ---- END CERTIFICATE ----
  server:
    route:
      enabled: true

Red Hat OpenShift GitOps Operator는 OIDC 및 Dex와 함께 RHSSO(KeyCloak)를 사용할 수 있습니다. 그러나 최근 보안 수정 사항이 적용된 경우 Operator는 일부 시나리오에서 RHSSO 인증서를 검증할 수 없습니다. GITOPS-2214

이 문제를 해결하려면 ArgoCD 사양에서 OIDC(Keycloak/RHSSO) 엔드포인트에 대한 TLS 검증을 비활성화합니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
spec:
  extraConfig:
    "admin.enabled": "true"
...

이번 업데이트를 통해 Operator는 다음과 같은 향상된 기능을 포함하여 RH-SSO(Red Hat Single Sign-On)를 버전 vtekton.1로 업데이트합니다.

이번 업데이트를 통해 Argo CD 피연산자의 .status 필드에 새 .host URL 필드가 추가됩니다. 경로에 지정된 우선 순위를 사용하여 경로 또는 수신을 활성화하면 새 URL 필드에 경로가 표시됩니다. 경로 또는 인그레스에서 URL을 제공하지 않으면 .host 필드가 표시되지 않습니다.

경로 또는 수신이 구성되어 있지만 해당 컨트롤러가 올바르게 설정되지 않았으며 준비 상태에 있지 않거나 URL을 전파하지 않는 경우 피연산자의 .status.host 필드의 값은 URL을 표시하는 대신 Pending 으로 표시됩니다. 이는 사용 가능한 대신 보류 상태를 설정하여 피연산자의 전반적인 상태에 영향을 미칩니다. GITOPS-654

이번 업데이트 이전에는 인증 기관에서 서명하지 않은 인증서로 설정되는 경우 RHSSO 인증서를 검증할 수 없습니다. 이번 업데이트에서는 이 문제를 수정하고 이제 통신할 때 Keycloak의 TLS 인증서를 확인하는 데 사용할 사용자 정의 인증서를 제공할 수 있습니다. rootCA 를 Argo CD 사용자 정의 리소스 .spec.keycloak.rootCA 필드에 추가할 수 있습니다. Operator는 이 변경 사항을 조정하고 argocd-cm ConfigMap 의 oidc.config 필드를 PEM 인코딩 루트 인증서로 업데이트합니다. GITOPS-2214

예를 들면 다음과 같습니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  sso:
    provider: keycloak
    keycloak:
     rootCA: |
       ---- BEGIN CERTIFICATE ----
       This is a dummy certificate
       Please place this section with appropriate rootCA
       ---- END CERTIFICATE ----
  server:
    route:
      enabled: true

Red Hat OpenShift GitOps Operator는 OIDC 및 Dex와 함께 RHSSO(KeyCloak)를 사용할 수 있습니다. 그러나 최근 보안 수정 사항이 적용된 경우 Operator는 일부 시나리오에서 RHSSO 인증서를 검증할 수 없습니다. GITOPS-2214

이 문제를 해결하려면 ArgoCD 사양에서 OIDC(Keycloak/RHSSO) 엔드포인트에 대한 TLS 검증을 비활성화합니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
spec:
  extraConfig:
    "admin.enabled": "true"
...

Red Hat OpenShift GitOps Operator v1.4.0에는 다음 CRD의 사양에서 설명 필드를 제거하는 회귀 문제가 도입되었습니다.

관리자 사용자는 argocd.argoproj.io/managed-by 레이블을 사용하여 Argo CD에 네임스페이스에 대한 액세스 권한을 지정하면 namespace-admin 권한으로 가정합니다. 이러한 권한은 관리자가 아닌 사용자에게 네트워크 정책과 같은 개체를 수정할 수 있도록 하기 때문에 개발 팀과 같이 관리자 이외의 관리자에게 네임스페이스를 제공하는 데 문제가 있습니다.

이번 업데이트를 통해 관리자는 모든 관리 네임스페이스에 대해 공통 클러스터 역할을 구성할 수 있습니다. Argo CD 애플리케이션 컨트롤러에 대한 역할 바인딩에서 Operator는 CONTROLLER_CLUSTER_ROLE 환경 변수를 나타냅니다. Argo CD 서버의 역할 바인딩에서 Operator는 SERVER_CLUSTER_ROLE 환경 변수를 나타냅니다. 이러한 환경 변수에 사용자 지정 역할이 포함된 경우 Operator는 기본 admin 역할을 생성하지 않습니다. 대신 모든 관리 네임스페이스에 기존 사용자 지정 역할을 사용합니다. GITOPS-1290

Dex 인증 공급자에서 Keycloak 공급자로 마이그레이션하는 경우 Keycloak에 로그인 문제가 발생할 수 있습니다.

이 문제를 방지하려면 마이그레이션할 때 Argo CD 사용자 정의 리소스에서 .spec.dex 섹션을 제거하여 Dex를 제거합니다. Dex가 완전히 제거될 때까지 몇 분 정도 기다립니다. 그런 다음 Argo CD 사용자 정의 리소스에 .spec.sso.provider: keycloak 을 추가하여 Keycloak을 설치합니다.

이 문제를 해결하려면 .spec.sso.provider: keycloak 을 제거하여 Keycloak을 제거합니다. 그런 다음 다시 설치하십시오. GITOPS-1450, GITOPS-1331

네임스페이스 범위의 Argo CD 인스턴스를 사용하는 경우(예: 클러스터의 All Namepsaces 범위가 지정되지 않은 Argo CD 인스턴스) Red Hat OpenShift GitOps는 관리형 네임스페이스 목록을 동적으로 유지 관리합니다. 이러한 네임스페이스에는 argocd.argoproj.io/managed-by 레이블이 포함됩니다. 이 네임스페이스 목록은 Argo CD Settings Clusters "in-cluster" NAMESPACES 의 캐시에 저장됩니다. 이번 업데이트 이전에는 이러한 네임스페이스 중 하나를 삭제한 경우 Operator에서 해당 네임스페이스를 무시하고 네임스페이스가 목록에 남아 있었습니다. 이 동작으로 인해 해당 클러스터 구성에서 CONNECTION STATE 가 중단되고 모든 동기화 시도로 인해 오류가 발생했습니다. 예를 들면 다음과 같습니다.

Argo service account does not have <random_verb> on <random_resource_type> in namespace <the_namespace_you_deleted>.

이 버그가 수정되었습니다. GITOPS-1521

이제 GitOps Operator가 최신 Operator-SDK에서 권장하는 이름 지정 규칙을 따릅니다.

Dex 인증 공급자에서 Keycloak 공급자로 마이그레이션하는 동안 Keycloak에 로그인 문제가 발생할 수 있습니다. GITOPS-1450

위의 문제를 방지하려면 마이그레이션할 때 Argo CD 사용자 정의 리소스에 있는 .spec.dex 섹션을 제거하여 Dex를 설치 제거합니다. Dex가 완전히 제거될 때까지 몇 분 정도 기다린 후 Argo CD 사용자 지정 리소스에 .spec.sso.provider: keycloak 을 추가하여 Keycloak을 설치합니다.

이 문제를 해결하려면 .spec.sso.provider: keycloak 을 제거한 다음 다시 설치하여 Keycloak을 제거합니다.

Argo CD 인증은 이제 Red Hat SSO와 통합되며 클러스터의 OpenShift 4 ID 공급자로 자동으로 구성됩니다. 이 기능은 기본적으로 비활성화되어 있습니다. Red Hat SSO를 활성화하려면 다음과 같이 ArgoCD CR에 SSO 구성을 추가합니다. 현재keycloak은 지원되는 유일한 공급자입니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  sso:
    provider: keycloak
  server:
    route:
     enabled: true

라우터 샤딩을 지원하기 위해 경로 레이블을 사용하여 호스트 이름을 정의할 수 있습니다. 이제 server (argocd server), grafana, prometheus 경로에서 레이블 설정 지원을 사용할 수 있습니다. 경로에 레이블을 설정하려면 ArgoCD CR의 서버에 대한 경로 구성 아래에 labels를 추가합니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  server:
    route:
     enabled: true
     labels:
       key1: value1
       key2: value2

Red Hat OpenShift GitOps 1.2의 openshift-gitops 네임스페이스에서 리소스 할당량이 활성화되었습니다. 이는 수동으로 배포된 대역 외 워크로드 및 openshift-gitops 네임스페이스의 기본 Argo CD 인스턴스에서 배포한 워크로드에 영향을 미칠 수 있습니다. Red Hat OpenShift GitOps v1.1.2에서 v1.2로 업그레이드하는 경우 리소스 요청 및 제한을 사용하여 워크로드를 구성해야 합니다. 추가 워크로드가 있는 경우 openshift-gitops 네임스페이스의 리소스 할당량을 늘려야 합니다.

openshift-gitops 네임스페이스의 현재 리소스 할당량입니다.

아래 명령을 사용하여 CPU 제한을 업데이트할 수 있습니다.

$ oc patch resourcequota openshift-gitops-compute-resources -n openshift-gitops --type='json' -p='[{"op": "replace", "path": "/spec/hard/limits.cpu", "value":"9000m"}]'

아래 명령을 사용하여 CPU 요청을 업데이트할 수 있습니다.

$ oc patch resourcequota openshift-gitops-compute-resources -n openshift-gitops --type='json' -p='[{"op": "replace", "path": "/spec/hard/cpu", "value":"7000m"}]

위의 명령의 경로를 cpu에서 memory로 교체하여 메모리를 업데이트할 수 있습니다.