声明性集群配置

流程

1. 在 Web 控制台的 Administrator 视角中，进入到 Operators → Installed Operators → Red Hat OpenShift GitOps → Subscription。
2. 单击 Actions 列表，然后单击 Edit Subscription。

3. 在 openshift-gitops-operator 订阅详情页面的 YAML 选项卡下，通过将 Argo CD 实例的命名空间添加到 spec 部分中的 ARGOCD_CLUSTER_CONFIG_NAMESPACES 环境变量来编辑 Subscription YAML 文件：

   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: openshift-gitops-operator
     namespace: openshift-gitops-operator
   # ...
   spec:
     config:
       env:
       - name: ARGOCD_CLUSTER_CONFIG_NAMESPACES
         value: openshift-gitops, <list of namespaces of cluster-scoped Argo CD instances>
   # ...

4. 单击 Save and Reload。

5. 要验证 Argo CD 实例是否已配置有集群角色来管理集群范围的资源，请执行以下步骤：

   1. 导航到 User Management → Roles，然后从 Filter 列表中选择 Cluster-wide Roles。

   2. 使用 Search by name 字段搜索 argocd-application-controller。

      Roles 页面显示创建的集群角色。

      提示

      或者，在 OpenShift CLI 中运行以下命令：

      oc auth can-i create oauth -n openshift-gitops --as system:serviceaccount:openshift-gitops:openshift-gitops-argocd-application-controller

      输出 yes 代表 Argo 实例配置了集群角色来管理集群范围的资源。否则，检查您的配置并根据需要执行必要的步骤。

流程

1. 标记现有节点：

   $ oc label node <node-name> node-role.kubernetes.io/infra=""

2. 可选：如果需要，您还可以在基础架构节点上应用污点并隔离工作负载，并防止其他工作负载在这些节点上调度：

   $ oc adm taint nodes -l node-role.kubernetes.io/infra \
   infra=reserved:NoSchedule infra=reserved:NoExecute

3. 在 GitOpsService 自定义资源中添加 runOnInfra 切换：

   apiVersion: pipelines.openshift.io/v1alpha1
   kind: GitopsService
   metadata:
     name: cluster
   spec:
     runOnInfra: true

4. 可选：如果将污点添加到节点，则将 容限 添加到 GitOpsService 自定义资源中。

   Example

   apiVersion: pipelines.openshift.io/v1alpha1
   kind: GitopsService
   metadata:
     name: cluster
     spec:
       runOnInfra: true
       tolerations:
       - effect: NoSchedule
         key: infra
         value: reserved
       - effect: NoExecute
         key: infra
         value: reserved

5. 通过在控制台 UI 中查看 Pods → Pod details，验证 openshift-gitops 命名空间中的工作负载现在已调度到基础架构节点上。

流程

1. 在 Argo CD 控制面板中，单击 NEW APP 以添加新 Argo CD 应用。

2. 对于此工作流，使用以下配置创建一个 cluster-configs 应用程序：

   应用程序名称

   cluster-configs

   project

   default

   同步策略

   Manual（手动）

   仓库 URL

   https://github.com/redhat-developer/openshift-gitops-getting-started

   修订

   HEAD

   路径

   cluster

   目的地

   https://kubernetes.default.svc

   命名空间

   spring-petclinic

   Directory Recurse

   checked

3. 单击 CREATE 以创建应用程序。
4. 打开 Web 控制台的 Administrator 视角，再展开 Administration → Namespaces。
5. 搜索并选择命名空间，然后在 Label 字段中输入 argocd.argoproj.io/managed-by=openshift-gitops，以便 openshift-gitops 命名空间中的 Argo CD 实例可以管理您的命名空间。

流程

1. 下载 示例应用程序：

   $ git clone git@github.com:redhat-developer/openshift-gitops-getting-started.git

2. 创建应用程序：

   $ oc create -f openshift-gitops-getting-started/argo/app.yaml

3. 运行 oc get 命令以查看所创建的应用程序：

   $ oc get application -n openshift-gitops

4. 在部署应用程序的命名空间中添加标签，以便 openshift-gitops 命名空间中的 Argo CD 实例可以管理它：

   $ oc label namespace spring-petclinic argocd.argoproj.io/managed-by=openshift-gitops

流程

1. 获取 Argo CD 服务器的 admin 帐户密码：

   $ ADMIN_PASSWD=$(oc get secret openshift-gitops-cluster -n openshift-gitops -o jsonpath='{.data.admin\.password}' | base64 -d)

2. 获取 Argo CD 服务器 URL：

   $ SERVER_URL=$(oc get routes openshift-gitops-server -n openshift-gitops -o jsonpath='{.status.ingress[0].host}')

3. 使用 admin 帐户密码以单引号登录到 Argo CD 服务器：

   重要

   将密码包含在单引号中，确保 shell 无法错误地解译特殊字符，如 $。始终使用单引号括起密码的字面值。

   $ argocd login --username admin --password ${ADMIN_PASSWD} ${SERVER_URL}

   Example

   $ argocd login --username admin --password '<password>' openshift-gitops.openshift-gitops.apps-crc.testing

4. 通过列出所有应用程序，验证您是否可以在默认模式下运行 argocd 命令：

   $ argocd app list

   如果配置正确，则使用以下标头列出现有应用程序：

   输出示例

   NAME CLUSTER NAMESPACE  PROJECT  STATUS  HEALTH   SYNCPOLICY  CONDITIONS  REPO PATH TARGET

5. 在默认模式中创建应用程序：

   $ argocd app create app-cluster-configs \
       --repo https://github.com/redhat-developer/openshift-gitops-getting-started.git \
       --path cluster \
       --revision main \
       --dest-server  https://kubernetes.default.svc \
       --dest-namespace spring-petclinic \
       --directory-recurse \
       --sync-policy none \
       --sync-option Prune=true \
       --sync-option CreateNamespace=true

6. 将 spring-petclinic 目标命名空间标记为由 openshif-gitops Argo CD 实例管理：

   $ oc label ns spring-petclinic "argocd.argoproj.io/managed-by=openshift-gitops"

7. 列出可用的应用程序，以确认应用程序已创建成功：

   $ argocd app list

   虽然 cluster-configs Argo CD 应用程序具有 Healthy 状态，但它不会 因为没有 同步策略而自动同步，从而导致它保留在 OutOfSync 状态。

流程

1. 使用 oc CLI 工具登录到 OpenShift Container Platform 集群：

   $ oc login -u <username> -p <password> <server_url>

   Example

   $ oc login -u kubeadmin -p '<password>' https://api.crc.testing:6443

2. 检查 kubeconfig 文件中是否正确设置了上下文：

   $ oc config current-context

3. 将当前上下文的默认命名空间设置为 openshift-gitops ：

   $ oc config set-context --current --namespace openshift-gitops

4. 设置以下环境变量来覆盖 Argo CD 组件名称：

   $ export ARGOCD_REPO_SERVER_NAME=openshift-gitops-repo-server

5. 通过列出所有应用程序，验证您能够在 核心 模式下运行 argocd 命令：

   $ argocd app list --core

   如果配置正确，则使用以下标头列出现有应用程序：

   输出示例

   NAME CLUSTER NAMESPACE  PROJECT  STATUS  HEALTH   SYNCPOLICY  CONDITIONS  REPO PATH TARGET

6. 以 核心 模式创建应用程序：

   $ argocd app create app-cluster-configs --core \
       --repo https://github.com/redhat-developer/openshift-gitops-getting-started.git \
       --path cluster \
       --revision main \
       --dest-server  https://kubernetes.default.svc \
       --dest-namespace spring-petclinic \
       --directory-recurse \
       --sync-policy none \
       --sync-option Prune=true \
       --sync-option CreateNamespace=true

7. 将 spring-petclinic 目标命名空间标记为由 openshif-gitops Argo CD 实例管理：

   $ oc label ns spring-petclinic "argocd.argoproj.io/managed-by=openshift-gitops"

8. 列出可用的应用程序，以确认应用程序已创建成功：

   $ argocd app list --core

   虽然 cluster-configs Argo CD 应用程序具有 Healthy 状态，但它不会 因为没有 同步策略而自动同步，从而导致它保留在 OutOfSync 状态。

流程

1. 在 Argo CD 仪表板中，cluster-configs Argo CD 应用程序的状态为 Missing 和 OutOfSync。因为应用程序配置了手动同步策略，所以 Argo CD 不会自动同步。
2. 点 cluster-configs 标题上的 SYNC，查看更改，然后点 SYNCHRONIZE。Argo CD 将自动检测 Git 存储库中的任何更改。如果更改了配置，Argo CD 会将 cluster-configs 的状态改为 OutOfSync。您可以修改 Argo CD 的同步策略，以自动将 Git 存储库中的更改应用到集群。
3. 现在，cluster-configs Argo CD 应用程序的状态为 Healthy 和 Synced。点 cluster-configs 标题检查同步资源的详情及其在集群中的状态。
4. 进入到 OpenShift Container Platform Web 控制台并点击 以验证 Red Hat Developer Blog - Kubernetes 的链接现在是否存在。

5. 导航到 Project 页面并搜索 spring-petclinic 命名空间，以验证它是否已添加到集群中。

   集群配置已成功与集群同步。

流程

1. 获取 Argo CD 服务器的 admin 帐户密码：

   $ ADMIN_PASSWD=$(oc get secret openshift-gitops-cluster -n openshift-gitops -o jsonpath='{.data.admin\.password}' | base64 -d)

2. 获取 Argo CD 服务器 URL：

   $ SERVER_URL=$(oc get routes openshift-gitops-server -n openshift-gitops -o jsonpath='{.status.ingress[0].host}')

3. 使用 admin 帐户密码以单引号登录到 Argo CD 服务器：

   重要

   将密码包含在单引号中，确保 shell 无法错误地解译特殊字符，如 $。始终使用单引号括起密码的字面值。

   $ argocd login --username admin --password ${ADMIN_PASSWD} ${SERVER_URL}

   Example

   $ argocd login --username admin --password '<password>' openshift-gitops.openshift-gitops.apps-crc.testing

4. 因为应用程序配置了 none 同步策略，所以您必须手动触发同步操作：

   $ argocd app sync openshift-gitops/app-cluster-configs

5. 列出应用程序，以确认应用程序具有 Healthy 和 Synced 状态：

   $ argocd app list

流程

1. 使用 oc CLI 工具登录到 OpenShift Container Platform 集群：

   $ oc login -u <username> -p <password> <server_url>

   Example

   $ oc login -u kubeadmin -p '<password>' https://api.crc.testing:6443

2. 检查 kubeconfig 文件中是否正确设置了上下文：

   $ oc config current-context

3. 将当前上下文的默认命名空间设置为 openshift-gitops ：

   $ oc config set-context --current --namespace openshift-gitops

4. 设置以下环境变量来覆盖 Argo CD 组件名称：

   $ export ARGOCD_REPO_SERVER_NAME=openshift-gitops-repo-server

5. 因为应用程序配置了 none 同步策略，所以您必须手动触发同步操作：

   $ argocd app sync --core openshift-gitops/app-cluster-configs

6. 列出应用程序，以确认应用程序具有 Healthy 和 Synced 状态：

   $ argocd app list --core

流程

1. 在 Web 控制台中，选择 User Management → Roles → Create Role。使用以下 ClusterRole YAML 模板来添加规则来指定额外权限。

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: secrets-cluster-role
   rules:
   - apiGroups: [""]
     resources: ["secrets"]
     verbs: ["*"]

2. 点 Create 添加集群角色。
3. 要创建集群角色绑定，请选择 User Management → Role Bindings → Create Binding。
4. 从 Project 列表中选择 All Projects。
5. 点 Create binding。
6. 将 Binding type 选择为 Cluster-wide role binding(ClusterRoleBinding)。
7. 为 RoleBinding 名称 输入一个唯一值。
8. 从下拉列表中选择新创建的集群角色或现有集群角色。

9. 选择 Subject 作为 ServiceAccount，并提供 Subject 命名空间和名称。

   1. 主题命名空间:openshift-gitops

   2. 主题名称:openshift-gitops-argocd-application-controller

      注意

      Subject name 的值取决于您要为其创建集群角色和集群角色绑定的 GitOps control plane 组件。

10. 点 Create。ClusterRoleBinding 对象的 YAML 文件如下：

    kind: ClusterRoleBinding
    apiVersion: rbac.authorization.k8s.io/v1
    metadata:
      name: cluster-role-binding
    subjects:
      - kind: ServiceAccount
        name: openshift-gitops-argocd-application-controller
        namespace: openshift-gitops
    roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: ClusterRole
      name: secrets-cluster-role

流程

1. 在 Argo CD CR 中，将 .spec.defaultClusterScopedRoleDisabled 字段的值设置为 true ：

   Argo CD CR 示例

   apiVersion: argoproj.io/v1beta1
   kind: ArgoCD
   metadata:
     name: example 1
     namespace: spring-petclinic 2
   # ...
   spec:
     defaultClusterScopedRoleDisabled: true 3
   # ...

   1

   集群范围的实例的名称。

   2

   要运行集群范围实例的命名空间。

   3

   标志值，用于禁用为集群范围的实例创建默认集群角色。如果您希望 Operator 为集群范围的实例重新创建默认集群角色和集群角色绑定，请将字段值设置为 false。

   输出示例

   argocd.argoproj.io/example configured

2. 运行以下命令，验证 Red Hat OpenShift GitOps Operator 是否已删除 GitOps control plane 组件的默认集群角色和集群角色绑定：

   $ oc get ClusterRoles/<argocd_name>-<argocd_namespace>-<control_plane_component>

   $ oc get ClusterRoleBindings/<argocd_name>-<argocd_namespace>-<control_plane_component>

   输出示例

   No resources found

   不创建集群范围的实例的默认集群角色和集群角色绑定。作为集群管理员，您可以通过为 GitOps control plane 组件创建新集群角色和集群角色绑定来为集群范围的实例创建和自定义权限。

流程

1. 打开 Web 控制台的 Administrator 视角，再进入 User Management → Roles → Create Role。

2. 使用以下 ClusterRole YAML 模板来添加规则来指定额外权限。

   集群角色 YAML 模板示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: example-spring-petclinic-argocd-application-controller 1
   rules:
     - verbs:
         - get
         - list
         - watch
       apiGroups:
         - '*'
       resources:
         - '*'
     - verbs:
         - '*'
       apiGroups:
         - ''
       resources: 2
         - namespaces
         - persistentvolumes

   1

   根据 <argocd_name>-<argocd_namespace>-<control_plane_component> 命名规则的集群角色名称。

   2

   要在集群级别授予权限的资源。

3. 点 Create 添加集群角色。

4. 通过执行以下步骤查找您要自定义权限的 control plane 组件使用的服务帐户：

   1. 进入 Workloads → Pods。
   2. 从 Project 列表中，选择安装用户定义的集群范围实例的项目。
   3. 点 control plane 组件的 pod，再进入 YAML 选项卡。
   4. 找到 spec.ServiceAccount 字段并记录服务帐户。
5. 进入 User Management → RoleBindings → Create binding。
6. 点 Create binding。
7. 将 Binding type 选择为 Cluster-wide role binding(ClusterRoleBinding)。
8. 按照 <argocd_ name>-<argocd_namespace>-<control_plane_component> 命名约定输入 RoleBinding 名称的唯一值。
9. 从 Role name 的下拉列表中，选择新创建的集群角色。

10. 选择 Subject 作为 ServiceAccount，并提供 Subject 命名空间和名称。

    1. 主题命名空间 ：spring-petclinic

    2. 主题名称:example-argocd-application-controller

       注意

       对于 Subject name，请确保配置的值与您要自定义权限的 control plane 组件的 spec.ServiceAccount 字段的值相同。

11. 点 Create。

    您已为 control plane 组件的服务帐户和命名空间创建了所需的权限。ClusterRoleBinding 对象的 YAML 文件类似以下示例：

    集群角色绑定的 YAML 文件示例

    kind: ClusterRoleBinding
    apiVersion: rbac.authorization.k8s.io/v1
    metadata:
      name: example-spring-petclinic-argocd-application-controller
    subjects:
      - kind: ServiceAccount
        name: example-argocd-application-controller
        namespace: spring-petclinic
    roleRef:
      apiGroup: rbac.authorization.k8s.io
      kind: ClusterRole
      name: example-spring-petclinic-argocd-application-controller

1. 启用创建聚合集群角色
2. 创建用户定义的集群角色并为应用程序控制器配置用户定义的权限

流程

1. 在 Argo CD CR 中，将 .spec.aggregatedClusterRoles 字段的值设置为 true ：

   Argo CD CR 示例

   apiVersion: argoproj.io/v1beta1
   kind: ArgoCD
   metadata:
     name: example 1
     namespace: spring-petclinic 2
   # ...
   spec:
     aggregatedClusterRoles: true 3
   # ...

   1

   集群范围的实例的名称。

   2

   要运行集群范围实例的命名空间。

   3

   设置为 true 可创建聚合的集群角色。如果您不想启用聚合的集群角色创建，请不要包含这一行，或者将值设为 false。

   输出示例

   argocd.argoproj.io/example configured

2. 运行以下命令，验证集群范围的 Argo CD 实例的 Status 字段显示为 Phase: Available ：

   $ oc describe argocd.argoproj.io/example -n spring-petclinic

   输出示例

   Name:         example
   Namespace:    spring-petclinic
   Labels:       <none>
   Annotations:  <none>
   API Version:  argoproj.io/v1beta1
   Kind:         ArgoCD
   Metadata:
     Creation Timestamp:  2024-08-14T08:20:53Z
     Finalizers:
       argoproj.io/finalizer
     Generation:        3
     Resource Version:  60437
     UID:               57940e54-d60b-4c1a-bc4a-85c81c63ab69
   Spec:
     Aggregated Cluster Roles:  true
   ...
   Status:
     Application Controller:      Running
     Application Set Controller:  Unknown
     Phase:                       Available 1
     Redis:                       Running
     Repo:                        Running
     Server:                      Running
     Sso:                         Unknown
   Events:                        <none>

   1

   Available 状态表示集群范围的 Argo CD 实例处于健康状态且可用。

   注意

   Red Hat OpenShift GitOps Operator 创建以下默认集群角色并管理它们：

   • <argocd_name>-<argocd_namespace>-argocd-application-controller 聚合集群角色
   • <argocd_name>-<argocd_namespace>-argocd-application-controller-view
   • <argocd_name>-<argocd_namespace>-argocd-application-controller-admin

3. 运行以下命令，验证 Operator 是否为 Argo CD Application Controller 和 Argo CD 服务器组件创建了默认的集群角色和集群角色绑定：

   $ oc get ClusterRoles -l app.kubernetes.io/part-of=argocd

   输出示例

   NAME                                                           CREATED AT
   example-spring-petclinic-argocd-application-controller         2024-08-14T08:20:58Z
   example-spring-petclinic-argocd-application-controller-admin   2024-08-14T09:08:38Z
   example-spring-petclinic-argocd-application-controller-view    2024-08-14T09:08:38Z
   example-spring-petclinic-argocd-server                         2024-08-14T08:20:59Z

   $ oc get ClusterRoleBindings -l app.kubernetes.io/part-of=argocd

   输出示例

   NAME                                                     ROLE                                                                 AGE
   example-spring-petclinic-argocd-application-controller   ClusterRole/example-spring-petclinic-argocd-application-controller   54m
   example-spring-petclinic-argocd-server                   ClusterRole/example-spring-petclinic-argocd-server                   54m

   不会创建 view 和 admin 集群角色的集群角色绑定。这是因为 view 和 admin 集群角色仅将权限添加到聚合的集群角色中，而不直接配置 Argo CD Application Controller 的权限。

   提示

   或者，您可以使用 OpenShift Container Platform Web 控制台从 Administrator 视角进行验证。您可以分别进入 User Management → Roles and User Management → RoleBindings。您可以搜索具有 app.kubernetes.io/part-of:argocd 标签的集群角色和集群角色绑定。

4. 运行以下命令，验证是否通过检查创建的角色输出的权限创建了聚合的集群角色：

   $ oc get ClusterRole/<cluster_role_name> -o yaml 1

   1

   将 <cluster_role_name > 替换为所创建的角色的名称。

   聚合集群角色的输出示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     annotations:
       argocds.argoproj.io/name: example
       argocds.argoproj.io/namespace: spring-petclinic
       kubectl.kubernetes.io/last-applied-configuration: |
         {"apiVersion":"argoproj.io/v1beta1","kind":"ArgoCD","metadata":{"annotations":{},"name":"example","namespace":"spring-petclinic"},"spec":{"aggregatedClusterRoles":true}}
       rbac.authorization.kubernetes.io/autoupdate: "true"
     creationTimestamp: "2024-08-14T08:20:58Z"
     labels:
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
     name: example-spring-petclinic-argocd-application-controller 1
     resourceVersion: "78640"
     uid: aeeb2ef5-b531-4fe3-a61a-b5ad8dd8ca6e
   aggregationRule: 2
     clusterRoleSelectors:
     - matchLabels:
         app.kubernetes.io/managed-by: spring-petclinic
         argocd/aggregate-to-controller: "true"
   rules: [] 3

   1

   聚合的集群角色的名称。

   2

   预定义的标签列表表示聚合的集群角色可以从其他用户定义的集群角色继承权限。

   3

   没有设置预定义的权限。但是，当 Operator 立即创建 &lt ;argocd_name>-<argocd_namespace>-argocd-application-controller- view 集群角色时，对应的预定义视图权限将添加到聚合的集群角色中。

   view 集群角色的输出示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     annotations:
       argocds.argoproj.io/name: example
       argocds.argoproj.io/namespace: spring-petclinic
       kubectl.kubernetes.io/last-applied-configuration: |
         {"apiVersion":"argoproj.io/v1beta1","kind":"ArgoCD","metadata":{"annotations":{},"name":"example","namespace":"spring-petclinic"},"spec":{"aggregatedClusterRoles":true}}
     creationTimestamp: "2024-08-14T09:59:14Z"
     labels: 1
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
       argocd/aggregate-to-controller: "true"
     name: example-spring-petclinic-argocd-application-controller-view 2
     resourceVersion: "78639"
     uid: 068b8867-7a0c-4af3-a17a-0560a00eba41
   rules: 3
   - apiGroups:
     - '*'
     resources:
     - '*'
     verbs:
     - get
     - list
     - watch
   - nonResourceURLs:
     - '*'
     verbs:
     - get
     - list

   1

   标签与现有聚合集群角色的预定义列表匹配。

   2

   查看集群 角色的名称。

   3

   预定义的 查看 权限。这些权限添加到现有的聚合集群角色中。

   admin 集群角色的输出示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     annotations:
       argocds.argoproj.io/name: example
       argocds.argoproj.io/namespace: spring-petclinic
       kubectl.kubernetes.io/last-applied-configuration: |
         {"apiVersion":"argoproj.io/v1beta1","kind":"ArgoCD","metadata":{"annotations":{},"name":"example","namespace":"spring-petclinic"},"spec":{"aggregatedClusterRoles":true}}
       rbac.authorization.kubernetes.io/autoupdate: "true"
     creationTimestamp: "2024-08-14T09:59:15Z"
     labels: 1
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
       argocd/aggregate-to-controller: "true"
     name: example-spring-petclinic-argocd-application-controller-admin 2
     resourceVersion: "78642"
     uid: e2d35b6f-0832-4993-8b24-915a725454f9
   aggregationRule: 3
     clusterRoleSelectors:
     - matchLabels:
         app.kubernetes.io/managed-by: spring-petclinic
         argocd/aggregate-to-admin: "true"
   rules: null 4

   1

   标签与现有聚合集群角色的预定义列表匹配。

   2

   admin 集群角色的名称。

   3

   预定义的标签列表表示现有的 < argocd_name>-<argocd_namespace>-argocd-application-controller-admin 集群角色可以从其他用户定义的集群角色继承权限。

   4

   指定还没有在一个或多个用户定义的集群角色中定义权限。

   提示

   或者，您可以使用 OpenShift Container Platform Web 控制台从 Administrator 视角进行验证。您可以进入 User Management → Roles，使用 Filter 选项，选择 Cluster-wide Roles，并搜索聚合的集群角色，查看，以及 admin 集群角色。您必须打开集群角色来检查详情和配置。

   作为集群管理员，您可以创建一个或多个用户定义的集群角色，并为 Argo CD Application Controller 配置用户定义的权限。

流程

1. 使用以下命令，创建带有所需标签和权限的新集群角色：

   $ oc apply -n <namespace> -f <cluster_role_name>.yaml

   其中：

   <namespace>

   指定定义的命名空间的名称。

   <cluster_role_name>

   指定定义的集群角色 YAML 文件的名称。

   用户定义的集群角色 YAML 示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: user-application-controller 1
     labels: 2
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
       argocd/aggregate-to-admin: 'true'
   rules: 3
     - verbs:
         - '*'
       apiGroups:
         - ''
       resources:
         - namespaces
         - persistentvolumeclaims
         - persistentvolumes
         - configmaps
     - verbs:
         - '*'
       apiGroups:
         - compliance.openshift.io
       resources:
         - scansettingbindings

   1

   用户定义的集群角色的名称。

   2

   标签与现有 < argocd_name>-<argocd_namespace>-argocd-application-controller-admin 集群角色匹配。

   3

   用户定义的权限，通过 < argocd_name>-<argocd_namespace>-argocd-application-controller-admin 集群角色添加到聚合的集群角色中。

   提示

   另外，您可以使用 Web 控制台从 Administrator 视角创建用户定义的集群角色。您可以进入 User Management → Roles → Create Role，使用前面的 YAML 模板添加权限，然后点 Create。

   输出示例

   clusterrole.rbac.authorization.k8s.io/user-application-controller created

   创建了用户定义的集群角色。

2. 运行以下命令，验证 < argocd_name>-<argocd_namespace>-argocd-application-controller-admin 集群角色是否继承了用户定义的集群角色的权限：

   $ oc get ClusterRole/<argocd_name>-<argocd_namespace>-argocd-application-controller-admin -o yaml

   其中：

   <argocd_name>

   指定用户定义的集群范围的 Argo CD 实例的名称。

   <argocd_namespace>

   指定安装 Argo CD 的命名空间。

   输出示例

   aggregationRule:
     clusterRoleSelectors:
     - matchLabels:
         app.kubernetes.io/managed-by: spring-petclinic
         argocd/aggregate-to-admin: "true"
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     annotations:
       argocds.argoproj.io/name: example
       argocds.argoproj.io/namespace: spring-petclinic
       kubectl.kubernetes.io/last-applied-configuration: |
         {"apiVersion":"argoproj.io/v1beta1","kind":"ArgoCD","metadata":{"annotations":{},"name":"example","namespace":"spring-petclinic"},"spec":{"aggregatedClusterRoles":true}}
     creationTimestamp: "2024-08-14T09:59:15Z"
     labels:
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
       argocd/aggregate-to-controller: "true"
     name: example-spring-petclinic-argocd-application-controller-admin
     resourceVersion: "79202"
     uid: e2d35b6f-0832-4993-8b24-915a725454f9
   rules:
   - apiGroups:
     - ""
     resources:
     - namespaces
     - persistentvolumeclaims
     - persistentvolumes
     - configmaps
     verbs:
     - '*'
   - apiGroups:
     - compliance.openshift.io
     resources:
     - scansettingbindings
     verbs:
     - '*'

   提示

   或者，您可以使用 OpenShift Container Platform Web 控制台从 Administrator 视角进行验证。您可以进入 User Management → Roles，使用 Filter 选项，选择 Cluster-wide Roles，并搜索 < argocd_name>-<argocd_namespace>-argocd-application-controller-admin 集群角色。您必须打开集群角色来检查详情和配置。

3. 运行以下命令，验证 <argocd_name>-<argocd_namespace>-argocd-application-controller 聚合集群角色是否继承来自 & lt;argocd_name>-<argocd_namespace>-argocd-application-controller-admin 和 &lt ;argocd_name>-<argocd_namespace>-argocd-application-controller-view 集群角色的权限：

   $ oc get ClusterRole/<argocd_name>-<argocd_namespace>-argocd-application-controller -o yaml

   其中：

   <argocd_name>

   指定用户定义的集群范围的 Argo CD 实例的名称。

   <argocd_namespace>

   指定安装 Argo CD 的命名空间。

   聚合集群角色的输出示例

   aggregationRule:
     clusterRoleSelectors:
     - matchLabels:
         app.kubernetes.io/managed-by: spring-petclinic
         argocd/aggregate-to-controller: "true"
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     annotations:
       argocds.argoproj.io/name: example
       argocds.argoproj.io/namespace: spring-petclinic
       kubectl.kubernetes.io/last-applied-configuration: |
         {"apiVersion":"argoproj.io/v1beta1","kind":"ArgoCD","metadata":{"annotations":{},"name":"example","namespace":"spring-petclinic"},"spec":{"aggregatedClusterRoles":true}}
       rbac.authorization.kubernetes.io/autoupdate: "true"
     creationTimestamp: "2024-08-14T08:20:58Z"
     labels:
       app.kubernetes.io/managed-by: spring-petclinic
       app.kubernetes.io/name: example
       app.kubernetes.io/part-of: argocd
     name: example-spring-petclinic-argocd-application-controller
     resourceVersion: "79203"
     uid: aeeb2ef5-b531-4fe3-a61a-b5ad8dd8ca6e
   rules:
   - apiGroups:
     - ""
     resources:
     - namespaces
     - persistentvolumeclaims
     - persistentvolumes
     - configmaps
     verbs:
     - '*'
   - apiGroups:
     - compliance.openshift.io
     resources:
     - scansettingbindings
     verbs:
     - '*'
   - apiGroups:
     - '*'
     resources:
     - '*'
     verbs:
     - get
     - list
     - watch
   - nonResourceURLs:
     - '*'
     verbs:
     - get
     - list

   提示

   或者，您可以使用 OpenShift Container Platform Web 控制台从 Administrator 视角进行验证。您可以进入 User Management → Roles，使用 Filter 选项，选择 Cluster-wide Roles，并搜索聚合的集群角色。您必须打开集群角色来检查详情和配置。