GitOps

Argo CD 애플리케이션을 검색하면 애플리케이션 페이지로 이동합니다. 검색 페이지에서 Argo CD 애플리케이션에 액세스하려면 다음 단계를 완료합니다.

검색에 대한 자세한 내용은 콘솔 소개에서 검색을 참조하십시오.

관리 클러스터를 GitOps에 등록하려면 다음 단계를 완료합니다.

배치 및 ManagedClusterSetBinding 사용자 정의 리소스를 통해 GitOps 네임스페이스에 바인딩된 모든 관리 클러스터에 대해 GitOps Operator와 통합하면 ManagedCluster 에 액세스할 수 있는 토큰이 있는 시크릿이 네임스페이스에 생성됩니다. 이 작업은 GitOps 컨트롤러에서 리소스를 관리 클러스터에 동기화해야 합니다. 사용자가 애플리케이션 라이프사이클 작업을 수행하기 위해 GitOps 네임스페이스에 대한 관리자 액세스 권한을 부여하면 사용자는 관리 클러스터에 대한 이 시크릿 및 관리 수준에 대한 액세스 권한도 얻을 수 있습니다.

이 작업이 필요하지 않은 경우 사용자를 네임스페이스 범위 admin 역할에 바인딩하는 대신 사용자를 생성하고 바인딩하는 데 사용할 수 있는 애플리케이션 리소스로 작업하는 데 필요한 권한이 있는 더 제한적인 사용자 지정 역할을 사용합니다. 다음 ClusterRole 예제를 참조하십시오.

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: application-set-admin
rules:
- apiGroups:
  - argoproj.io
  resources:
  - applicationsets
  verbs:
  - get
  - list
  - watch
  - update
  - delete
  - deletecollection
  - patch

Argo CD Pull 모델에 대한 다음 사전 요구 사항을 확인합니다.

중요:

cannot create resource "services" in API group "" in the namespace
"mortgage",deployments.apps is forbidden: User
"system:serviceaccount:openshift-gitops:openshift-gitops-Argo CD-application-controller"

Argo CD Pull 모델을 사용하려면 다음 요구 사항을 참조하십시오.

푸시 및 Pull 모델의 경우 hub 클러스터의 Argo CD ApplicationSet 컨트롤러가 조정되어 각 대상 관리 클러스터에 대한 애플리케이션 리소스를 생성합니다. 두 모델의 아키텍처에 대한 다음 정보를 참조하십시오.

Argo CD ApplicationSet 리소스는 관리 클러스터 목록을 가져오는 데 사용되는 generator 필드에서 Push 또는 Pull 모델을 사용하여 관리 클러스터에 애플리케이션을 배포하는 데 사용됩니다.

다음은 guestbook 애플리케이션의 MulticlusterApplicationSetReport YAML 파일의 예입니다.

apiVersion: apps.open-cluster-management.io/v1alpha1
kind: MulticlusterApplicationSetReport
metadata:
  labels:
    apps.open-cluster-management.io/hosting-applicationset: openshift-gitops.guestbook-allclusters-app-set
  name: guestbook-allclusters-app-set
  namespace: openshift-gitops
statuses:
  clusterConditions:
  - cluster: cluster1
    conditions:
    - message: 'Failed sync attempt: one or more objects failed to apply, reason: services is forbidden: User "system:serviceaccount:openshift-gitops:openshift-gitops-Argo CD-application-controller" cannot create resource "services" in API group "" in the namespace "guestbook",deployments.apps is forbidden: User <name> cannot create resource "deployments" in API group "apps" in the namespace "guestboo...'
      type: SyncError
    healthStatus: Missing
    syncStatus: OutOfSync
  - cluster: pcluster1
    healthStatus: Progressing
    syncStatus: Synced
  - cluster: pcluster2
    healthStatus: Progressing
    syncStatus: Synced
  summary:
    clusters: "3"
    healthy: "0"
    inProgress: "2"
    notHealthy: "3"
    notSynced: "1"
    synced: "2"

참고: 리소스를 배포하지 못하면 리소스가 리소스 목록에 포함되지 않습니다. 자세한 내용은 오류 메시지를 참조하십시오.

hub 클러스터에 로그인해야 합니다.

필수 액세스: 클러스터 관리자

더 이상 사용되지 않음: PlacementRule

정책 및 배치를 생성, 읽기, 업데이트 및 삭제할 수 있는 액세스 권한으로 OpenShift GitOps에 대한 ClusterRole 리소스를 생성하려면 다음을 수행합니다.

OpenShift GitOps를 사용하여 GitOps를 통해 정책 생성기를 사용하여 정책을 생성할 수 있습니다. Policy Generator는 OpenShift GitOps 컨테이너 이미지에 사전 설치되지 않으므로 사용자 정의를 완료해야 합니다.

정책 생성기를 사용하여 OpenShift Container Platform GitOps를 설치하는 정책을 생성할 수 있습니다. OpenShift Container Platform GitOps Operator는 다음 예제에서 볼 수 있는 모든 네임스페이스 설치 모드를 제공합니다. 다음 예와 유사하게 openshift-gitops-subscription.yaml 이라는 서브스크립션 매니페스트 파일을 생성합니다.

apiVersion: operators.coreos.com/v1alpha1
kind: Subscription
metadata:
  name: openshift-gitops-operator
  namespace: openshift-operators
spec:
  channel: stable
  name: openshift-gitops-operator
  source: redhat-operators
  sourceNamespace: openshift-marketplace

특정 버전의 Operator에 고정하려면 spec.startingCSV: openshift-gitops-operator.v<version> 매개변수와 값을 추가합니다. &lt ;version& gt;을 선호하는 버전으로 바꿉니다.

PolicyGenerator 구성 파일이 필요합니다. policy-generator-config.yaml 이라는 구성 파일을 사용하여 모든 OpenShift Container Platform 관리 클러스터에 OpenShift Container Platform GitOps를 설치하는 정책을 생성합니다. 다음 예제를 참조하십시오.

apiVersion: policy.open-cluster-management.io/v1
kind: PolicyGenerator
metadata:
  name: install-openshift-gitops
policyDefaults:
  namespace: policies
  placement:
    clusterSelectors:
      vendor: "OpenShift"
  remediationAction: enforce
policies:
  - name: install-openshift-gitops
    manifests:
      - path: openshift-gitops-subscription.yaml

마지막 필수 파일은 kustomization.yaml 입니다. 이 파일은 다음 구성이 필요합니다.

generators:
  - policy-generator-config.yaml

생성된 정책은 PlacementRule(더 이상 사용되지 않음)를 사용하여 다음 파일과 유사할 수 있습니다.

apiVersion: apps.open-cluster-management.io/v1
kind: PlacementRule
metadata:
  name: placement-install-openshift-gitops
  namespace: policies
spec:
  clusterConditions:
    - status: "True"
      type: ManagedClusterConditionAvailable
  clusterSelector:
    matchExpressions:
      - key: vendor
        operator: In
        values:
          - OpenShift
---
apiVersion: policy.open-cluster-management.io/v1
kind: PlacementBinding
metadata:
  name: binding-install-openshift-gitops
  namespace: policies
placementRef:
  apiGroup: apps.open-cluster-management.io
  kind: PlacementRule
  name: placement-install-openshift-gitops
subjects:
  - apiGroup: policy.open-cluster-management.io
    kind: Policy
    name: install-openshift-gitops
---
apiVersion: policy.open-cluster-management.io/v1
kind: Policy
metadata:
  annotations:
    policy.open-cluster-management.io/categories: CM Configuration Management
    policy.open-cluster-management.io/controls: CM-2 Baseline Configuration
    policy.open-cluster-management.io/standards: NIST SP 800-53
    policy.open-cluster-management.io/description:
  name: install-openshift-gitops
  namespace: policies
spec:
  disabled: false
  policy-templates:
    - objectDefinition:
        apiVersion: policy.open-cluster-management.io/v1
        kind: ConfigurationPolicy
        metadata:
          name: install-openshift-gitops
        spec:
          object-templates:
            - complianceType: musthave
              objectDefinition:
                apiVersion: operators.coreos.com/v1alpha1
                kind: Subscription
                metadata:
                  name: openshift-gitops-operator
                  namespace: openshift-operators
                spec:
                  channel: stable
                  name: openshift-gitops-operator
                  source: redhat-operators
                  sourceNamespace: openshift-marketplace
          remediationAction: enforce
          severity: low

OpenShift Container Platform 설명서의 매니페스트에서 생성된 정책이 지원됩니다. OpenShift Container Platform 설명서의 모든 구성 지침은 정책 생성기를 사용하여 적용할 수 있습니다.

OperatorGroup 매니페스트를 사용하여 Operator를 설치할 때 Subscription 을 생성하기 전에 OperatorGroup 이 클러스터에 있어야 합니다. 정책 종속성 기능을 정책 생성기와 함께 사용하여 서브스크립션 정책을 적용하기 전에 OperatorGroup 정책을 준수하는지 확인합니다.

매니페스트를 원하는 순서대로 나열하여 정책 종속 항목을 설정합니다. 예를 들어 먼저 네임스페이스 정책을 생성하고 다음에 OperatorGroup 을 생성하고 서브스크립션 을 마지막으로 생성할 수 있습니다.

policyDefaults.orderManifests 매개변수를 활성화하고 정책 생성기 구성 매니페스트에서 policyDefaults.consolidateManifests 를 비활성화하여 매니페스트 간에 종속성을 자동으로 설정합니다.

허브의 managedserviceaccount 사용자 지정 리소스는 관리 클러스터에서 serviceaccounts 를 편리하게 생성할 수 있는 방법을 제공합니다. hub 클러스터의 <managed _cluster> 네임스페이스에 managed serviceccount 사용자 정의 리소스가 생성되면 관리 클러스터에 serviceccount 가 생성됩니다.

관리 서비스 계정을 생성하려면 managedserviceaccount 애드온 활성화를 참조하십시오.

서비스 계정이 생성되면 연결된 권한이 없습니다. 새 서비스 계정에 권한을 부여하려면 clusterpermission 리소스를 사용합니다. clusterpermission 리소스는 허브의 관리 클러스터 네임스페이스에 생성됩니다. 역할, 관리 클러스터에서 클러스터 역할 리소스를 생성하고 rolebinding 또는 clusterrolebinding 리소스를 통해 서비스 계정에 바인딩할 수 있는 편리한 방법을 제공합니다.

샘플 < clusterpermission> 을 생성한 후 샘플 관리 클러스터에 다음 리소스가 생성됩니다.

GitOpsCluster 리소스는 배치를 사용하여 클러스터에 액세스하는 데 사용되는 정보가 포함된 Argo CD 클러스터 시크릿 생성을 포함하여 선택한 관리 클러스터를 Argo CD로 가져옵니다. 기본적으로 Argo CD 클러스터 시크릿은 애플리케이션 관리자 서비스 계정을 사용하여 관리 클러스터에 액세스합니다.

푸시 모델을 사용하여 Argo CD 콘솔에서 Argo CD 애플리케이션을 배포합니다. Argo CD 애플리케이션은 관리 서비스 계정 < managed-sa-sample>과 함께 배포됩니다.

When the GitOpsCluster resource is updated with the `managedServiceAccountRef`, each managed cluster in the placement of this GitOpsCluster needs to have the service account. If you have several managed clusters, it becomes tedious for you to create the managed service account and cluster permission for each managed cluster. You can simply this process by using a policy to create the managed service account and cluster permission for all your managed clusters

managedServiceAccount 및 clusterPermission 리소스를 hub 클러스터에 적용하면 이 정책의 배치가 로컬 클러스터에 바인딩됩니다. GitOpsCluster 리소스 배치에서 모든 관리 클러스터의 관리 클러스터 네임스페이스에 해당 리소스를 복제합니다.

정책을 사용하여 managedServiceAccount 및 clusterPermission 리소스를 생성하면 다음 속성이 포함됩니다.