5장. GitOps

이번 업데이트 이전에는 인증 기관에서 서명하지 않은 인증서로 설정된 경우 RHSSO 인증서를 검증할 수 없었습니다. 이번 업데이트에서는 이 문제가 해결되어 이제 통신할 때 Keycloak의 TLS 인증서를 확인하는 데 사용할 사용자 정의 인증서를 제공할 수 있습니다. rootCA 를 Argo CD 사용자 지정 리소스 .spec.keycloak.rootCA 필드에 추가할 수 있습니다. Operator는 이 변경 사항을 조정하고 PEM 인코딩 루트 인증서로 argocd-cm ConfigMap 의 oidc.config 필드를 업데이트합니다. GITOPS-2214

예를 들면 다음과 같습니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  sso:
    provider: keycloak
    keycloak:
     rootCA: |
       ---- BEGIN CERTIFICATE ----
       This is a dummy certificate
       Please place this section with appropriate rootCA
       ---- END CERTIFICATE ----
  server:
    route:
      enabled: true

Red Hat OpenShift GitOps Operator는 Dex 외에도 OIDC를 통해 RHSSO(KeyCloak)를 사용할 수 있습니다. 그러나 최근 보안 수정이 적용된 경우 일부 시나리오에서는 RHSSO 인증서를 확인할 수 없습니다. GITOPS-2214

이 문제를 해결하려면 ArgoCD 사양에서 OIDC(Keycloak/RHSSO) 끝점에 대한 TLS 검증을 비활성화합니다.

이번 업데이트 이전에는 인증 기관에서 서명하지 않은 인증서로 설정된 경우 RHSSO 인증서를 검증할 수 없었습니다. 이번 업데이트에서는 이 문제가 해결되어 이제 통신할 때 Keycloak의 TLS 인증서를 확인하는 데 사용할 사용자 정의 인증서를 제공할 수 있습니다. rootCA 를 Argo CD 사용자 지정 리소스 .spec.keycloak.rootCA 필드에 추가할 수 있습니다. Operator는 이 변경 사항을 조정하고 PEM 인코딩 루트 인증서로 argocd-cm ConfigMap 의 oidc.config 필드를 업데이트합니다. GITOPS-2214

예를 들면 다음과 같습니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  sso:
    provider: keycloak
    keycloak:
     rootCA: |
       ---- BEGIN CERTIFICATE ----
       This is a dummy certificate
       Please place this section with appropriate rootCA
       ---- END CERTIFICATE ----
  server:
    route:
      enabled: true

Red Hat OpenShift GitOps Operator는 OIDC 및 Dex와 함께 RHSSO(KeyCloak)를 사용할 수 있습니다. 그러나 최근 보안 수정이 적용된 경우 Operator는 일부 시나리오에서는 RHSSO 인증서를 검증할 수 없습니다. GITOPS-2214

이 문제를 해결하려면 ArgoCD 사양에서 OIDC(Keycloak/RHSSO) 끝점에 대한 TLS 검증을 비활성화합니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
spec:
  extraConfig:
    "admin.enabled": "true"
...

이번 업데이트를 통해 Operator는 다음과 같은 향상된 기능을 포함하여 RH-SSO(Red Hat Single Sign-On)를 버전 vECDHE.1로 업데이트합니다.

이번 업데이트를 통해 Argo CD 피연산자의 .status 필드에 새로운 .host URL 필드가 추가됩니다. 라우팅에 지정된 우선 순위로 경로 또는 수신이 활성화되면 새 URL 필드에 경로가 표시됩니다. 경로 또는 수신에서 URL을 제공하지 않으면 .host 필드가 표시되지 않습니다.

경로 또는 수신이 구성되었지만 해당 컨트롤러가 올바르게 설정되지 않고 Ready 상태가 아니거나 해당 URL을 전파하지 않는 경우 피연산자의 .status.host 필드의 값은 URL을 표시하는 대신 Pending 로 표시됩니다. 이는 Available 대신 Pending 상태로 설정하여 피연산자의 전체 상태에 영향을 미칩니다. GITOPS-654

이번 업데이트 이전에는 인증 기관에서 서명하지 않은 인증서로 설정된 경우 RHSSO 인증서를 검증할 수 없었습니다. 이번 업데이트에서는 이 문제가 해결되어 이제 통신할 때 Keycloak의 TLS 인증서를 확인하는 데 사용할 사용자 정의 인증서를 제공할 수 있습니다. rootCA 를 Argo CD 사용자 지정 리소스 .spec.keycloak.rootCA 필드에 추가할 수 있습니다. Operator는 이 변경 사항을 조정하고 PEM 인코딩 루트 인증서로 argocd-cm ConfigMap 의 oidc.config 필드를 업데이트합니다. GITOPS-2214

예를 들면 다음과 같습니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  sso:
    provider: keycloak
    keycloak:
     rootCA: |
       ---- BEGIN CERTIFICATE ----
       This is a dummy certificate
       Please place this section with appropriate rootCA
       ---- END CERTIFICATE ----
  server:
    route:
      enabled: true

Red Hat OpenShift GitOps Operator는 OIDC 및 Dex와 함께 RHSSO(KeyCloak)를 사용할 수 있습니다. 그러나 최근 보안 수정이 적용된 경우 Operator는 일부 시나리오에서는 RHSSO 인증서를 검증할 수 없습니다. GITOPS-2214

이 문제를 해결하려면 ArgoCD 사양에서 OIDC(Keycloak/RHSSO) 끝점에 대한 TLS 검증을 비활성화합니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
spec:
  extraConfig:
    "admin.enabled": "true"
...

Red Hat OpenShift GitOps Operator v1.4.0에는 다음 CRD의 사양 에서 설명 필드를 제거하는 회귀 문제가 도입되었습니다.

관리자로 argocd.argoproj.io/managed-by 레이블을 사용하여 Argo CD에 네임스페이스에 대한 액세스 권한을 부여하는 경우 namespace-admin 권한이 가정합니다. 이러한 권한은 관리자가 네트워크 정책과 같은 오브젝트를 수정할 수 있도록 하기 때문에 development teams와 같은 비관리자에 네임스페이스를 제공하는 관리자에게 문제가 됩니다.

이번 업데이트를 통해 관리자는 모든 관리형 네임스페이스에 대해 공통 클러스터 역할을 구성할 수 있습니다. Argo CD 애플리케이션 컨트롤러에 대한 역할 바인딩에서 Operator는 CONTROLLER_CLUSTER_ROLE 환경 변수를 참조합니다. Argo CD 서버의 역할 바인딩에서 Operator는 SERVER_CLUSTER_ROLE 환경 변수를 참조합니다. 이러한 환경 변수에 사용자 지정 역할이 포함된 경우 Operator는 기본 admin 역할을 생성하지 않습니다. 대신 모든 관리 네임스페이스에 기존 사용자 지정 역할을 사용합니다. GITOPS-1290

Dex 인증 공급자에서 Keycloak 공급자로 마이그레이션하는 경우 Keycloak에 대한 로그인 문제가 발생할 수 있습니다.

이 문제를 방지하려면 Argo CD 사용자 정의 리소스에서 .spec.dex 섹션을 제거하여 Dex를 제거합니다. Dex가 완전히 제거될 때까지 몇 분 정도 기다립니다. 그런 다음 Argo CD 사용자 정의 리소스에 .spec.sso.provider: keycloak 를 추가하여 Keycloak을 설치합니다.

해결 방법으로 .spec.sso.provider: keycloak 를 제거하여 Keycloak을 제거합니다. 그런 다음 다시 설치하십시오. GITOPS-1450, GITOPS-1331

네임스페이스 범위의 Argo CD 인스턴스를 사용하는 경우 예를 들어 클러스터에서 All Namepsaces 로 범위가 지정되지 않은 Argo CD 인스턴스가 동적으로 관리되는 네임스페이스 목록을 유지 관리합니다. 이러한 네임스페이스에는 argocd.argoproj.io/managed-by 레이블이 포함됩니다. 이 네임스페이스 목록은 Argo CD 설정 클러스터 "클러스터 내" NAMESPACES 의 캐시에 저장됩니다. 이번 업데이트 이전에는 이러한 네임스페이스 중 하나를 삭제한 경우 Operator가 해당 네임스페이스를 무시하고 네임스페이스가 목록에 남아 있었습니다. 이 동작으로 인해 해당 클러스터 구성에서 CONNECTION STATE 가 손상되었으며 모든 동기화 시도로 인해 오류가 발생했습니다. 예를 들면 다음과 같습니다.

Argo service account does not have <random_verb> on <random_resource_type> in namespace <the_namespace_you_deleted>.

이 버그가 수정되었습니다. GITOPS-1521

이제 GitOps Operator가 최신 Operator-SDK에서 권장하는 명명 규칙을 따릅니다.

Dex 인증 공급자에서 Keycloak 공급자로 마이그레이션하는 동안 Keycloak에 로그인 문제가 발생할 수 있습니다. GITOPS-1450

위의 문제를 방지하려면 Argo CD 사용자 정의 리소스에 있는 .spec.dex 섹션을 제거하여 Dex를 제거하십시오. Dex가 완전히 제거될 때까지 몇 분 동안 기다린 다음 Argo CD 사용자 정의 리소스에 .spec.sso.provider: keycloak 을 추가하여 Keycloak을 설치합니다.

이 문제를 해결하려면 .spec.sso.provider: keycloak 을 제거한 다음 다시 설치하여 Keycloak을 제거합니다.

Argo CD 인증은 이제 Red Hat SSO와 통합되며 클러스터의 OpenShift 4 ID 공급자로 자동으로 구성됩니다. 이 기능은 기본적으로 비활성화되어 있습니다. Red Hat SSO를 활성화하려면 다음과 같이 ArgoCD CR에 SSO 구성을 추가합니다. 현재keycloak은 지원되는 유일한 공급자입니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  sso:
    provider: keycloak
  server:
    route:
     enabled: true

라우터 샤딩을 지원하기 위해 경로 레이블을 사용하여 호스트 이름을 정의할 수 있습니다. 이제 server (argocd server), grafana, prometheus 경로에서 레이블 설정 지원을 사용할 수 있습니다. 경로에 레이블을 설정하려면 ArgoCD CR의 서버에 대한 경로 구성 아래에 labels를 추가합니다.

apiVersion: argoproj.io/v1alpha1
kind: ArgoCD
metadata:
  name: example-argocd
  labels:
    example: basic
spec:
  server:
    route:
     enabled: true
     labels:
       key1: value1
       key2: value2

Red Hat OpenShift GitOps 1.2의 openshift-gitops 네임스페이스에서 리소스 할당량이 활성화되었습니다. 이는 수동으로 배포된 대역 외 워크로드 및 openshift-gitops 네임스페이스의 기본 Argo CD 인스턴스에서 배포한 워크로드에 영향을 미칠 수 있습니다. Red Hat OpenShift GitOps v1.1.2에서 v1.2로 업그레이드하는 경우 리소스 요청 및 제한을 사용하여 워크로드를 구성해야 합니다. 추가 워크로드가 있는 경우 openshift-gitops 네임스페이스의 리소스 할당량을 늘려야 합니다.

openshift-gitops 네임스페이스의 현재 리소스 할당량입니다.

아래 명령을 사용하여 CPU 제한을 업데이트할 수 있습니다.

$ oc patch resourcequota openshift-gitops-compute-resources -n openshift-gitops --type='json' -p='[{"op": "replace", "path": "/spec/hard/limits.cpu", "value":"9000m"}]'

아래 명령을 사용하여 CPU 요청을 업데이트할 수 있습니다.

$ oc patch resourcequota openshift-gitops-compute-resources -n openshift-gitops --type='json' -p='[{"op": "replace", "path": "/spec/hard/cpu", "value":"7000m"}]

위의 명령의 경로를 cpu에서 memory로 교체하여 메모리를 업데이트할 수 있습니다.