Mõni aeg pärast esimese artikli kirjutamist kus ma osavasti tegelesin jsonnet'i ja GitLab'iga, mõistsin, et pipeline'id on muidugi head, kuid liialt keerulised ja ebamugavad.Enamasti on nõutav tüüpiline ülesanne: "genereerida YAML ja paigutada see Kubernetesesse". Selle ülesandega suudab Argo CD suurepäraselt hakkama saada.

Argo CD võimaldab ühendada Git-repo ja sünkroniseerida selle oleku Kubernetesega. Vaikimisi toetab see mitmeid rakenduste tüüpe: Kustomize, Helm chart'id, Ksonnet, puhas Jsonnet või lihtsalt kaustad, kus on YAML/JSON manifestid.

Selle komplekti enamikule kasutajatele piisab, kuid mitte kõigile. Argo CD-s on võimalus kasutada custom tooling'ut, et rahuldada kõigi vajadusi.

Esiteks huvitab mind võimalus lisada toe

qbec git-crypt ja , mida käsitleti põhjalikult eelnevas artiklis.Enne seadistuse alustamist on kõigepealt vaja aru saada, kuidas täpselt Argo CD töötab.

Iga lisatud rakenduse jaoks on tal kaks faasi:

init

• — algne ettevalmistus enne juurutamist, siin võib olla kõike: sõltuvuste allalaadimist, saladuste lahtipakkimist ja muud. generate
• — käsu genereerimise täitmine, väljund peaks olema valideeritud YAML streaming, see on täpselt see, mis rakendatakse klastris. Tähtis on, et Argo rakendab seda lähenemist igat tüüpi rakenduste jaoks, sealhulgas Helm'i jaoks. Argo CD-s ei tegele Helm versioonide juurutamisega klastrisse, vaid kasutatakse ainult manifestide genereerimiseks.

Omaette on Argo suudab natiivselt töödelda Helm hook'e, mis võimaldab mitte rikkuda versioonide rakendamise loogikat.

QBEC

Qbec võimaldab mugavalt kirjeldada rakendusi jsonnet'i abil ning tal on ka võimalus renderdada Helm chart'e. Kuna Argo CD suudab normaalselt töödelda Helm hook'e, võimaldab selle funktsiooni kasutamine Argo CD-s saavutada veelgi täpsemaid tulemusi.

Qbec toe lisamiseks argocd-sse on vaja kahte asja:

Argo CD konfiguratsioonis peab olema määratud teie custom plugin ja käsud manifestide genereerimiseks.

• vajalikud binaarfailid peavad olema kergesti kättesaadavad pildis
• argocd-repo-server Esimene ülesanne.

lahendatakse suhteliselt lihtsalt: (käsku

# cm.yaml
data:
  configManagementPlugins: |
    - name: qbec
      generate:
        command: [sh, -xc]
        args: ['qbec show "$ENVIRONMENT" -S --force:k8s-namespace "$ARGOCD_APP_NAMESPACE"']

ei kasutata) — algne ettevalmistus enne juurutamist, siin võib olla kõike: sõltuvuste allalaadimist, saladuste lahtipakkimist ja muud. $ kubectl -n argocd patch cm/argocd-cm -p "$(cat cm.yaml)"

Binaarfailide lisamiseks on soovitatav

Binaarfailide lisamiseks pakutakse looge uus pilt, või kasutada init-konteineri näpunäidet:

# deploy.yaml
spec:
  template:
    spec:
      # 1. Define an emptyDir volume which will hold the custom binaries
      volumes:
      - name: custom-tools
        emptyDir: {}
      # 2. Use an init container to download/copy custom binaries into the emptyDir
      initContainers:
      - name: download-tools
        image: alpine:3.12
        command: [sh, -c]
        args:
        - wget -qO- https://github.com/splunk/qbec/releases/download/v0.12.2/qbec-linux-amd64.tar.gz | tar -xvzf - -C /custom-tools/
        volumeMounts:
        - mountPath: /custom-tools
          name: custom-tools
      # 3. Volume mount the custom binary to the bin directory (overriding the existing version)
      containers:
      - name: argocd-repo-server
        volumeMounts:
        - mountPath: /usr/local/bin/qbec
          name: custom-tools
          subPath: qbec
        - mountPath: /usr/local/bin/jsonnet-qbec
          name: custom-tools
          subPath: jsonnet-qbec

$ kubectl -n argocd patch deploy/argocd-repo-server -p "$(cat deploy.yaml)"

Nüüd vaatame, kuidas näeb välja meie rakenduse manifest:

apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: qbec-app
  namespace: argocd
spec:
  destination: 
    namespace: default
    server: https://kubernetes.default.svc
  project: default
  source: 
    path: qbec-app
    plugin: 
      env: 
        - name: ENVIRONMENT
          value: default
      name: qbec
    repoURL: https://github.com/kvaps/argocd-play
  syncPolicy: 
    automated: 
      prune: true

Mu variables ENVIRONMENT edastame keskkonna nime, mille jaoks tuleb manifeste genereerida.

rakendame ja vaatame, mis meil välja tuli:

rakendus on edukalt juurde installitud, suurepärane!

, mida käsitleti põhjalikult eelnevas artiklis.

Git-crypt võimaldab seadistada läbipaistva krüpteerimise hoidlat. See on lihtne ja turvaline viis hoiduda konfidentsiaalseteandmete otse git-is salvestamisest.

git-crypti rakendamine osutus keerulisemaks.

Teoreetiliselt saaksime käivitada git-crypt unlock meie custom-plugin'i init-etapis, kuid see pole eriti mugav, kuna ei võimaldaks kasutada kohalikke juurutamismeetodeid. Näiteks Helm ja Jsonnet puhul kaotame paindliku GUI-liidese, mis lihtsustab rakenduse seadistamist (values-failid ja muud).

Just seetõttu tahtsin hoidlat dekrüpteerida veel varasemal etapil, kopeerimise ajal.

Kuna Argo CD ei paku hetkel võimalust kirjeldada mingeid hook'e hoidla sünkroniseerimiseks, pidime selle piirangu mööda juhtima nutika shell skriptiga, mis asendab git käsku:

#!/bin/sh
$(dirname $0)/git.bin "$@"
ec=$?
[ "$1" = fetch ] && [ -d .git-crypt ] || exit $ec
GNUPGHOME=/app/config/gpg/keys git-crypt unlock 2>/dev/null
exit $ec

Argo CD täidab git fetch igal korral enne juurutamise operatsiooni. Just selle käsu külge kinnitame git-crypt unlock hoidla dekrüpteerimise.

katsetamiseks saate kasutada minu docker-pilti milles on juba kõik vajalik:

$ kubectl -n argocd set image deploy/argocd-repo-server argocd-repo-server=docker.io/kvaps/argocd-git-crypt:v1.7.3

Nüüd peame mõtlema, kuidas Argo dekrüpteerib meie hoidlaid. Eelkõige peame genereerima gpg- võtme:

$ kubectl exec -ti deploy/argocd-repo-server -- bash

$ printf "%sn" 
    "%no-protection" 
    "Key-Type: default" 
    "Subkey-Type: default" 
    "Name-Real: TEIE NIMI" 
    "Name-Email: TEIE EMAIL@example.com" 
    "Expire-Date: 0" 
    > genkey-batch 

$ gpg --batch --gen-key genkey-batch
gpg: WARNING: unsafe ownership on homedir '/home/argocd/.gnupg'
gpg: keybox '/home/argocd/.gnupg/pubring.kbx' created
gpg: /home/argocd/.gnupg/trustdb.gpg: trustdb created
gpg: key 8CB8B24F50B4797D marked as ultimately trusted
gpg: directory '/home/argocd/.gnupg/openpgp-revocs.d' created
gpg: revocation certificate stored as '/home/argocd/.gnupg/openpgp-revocs.d/9A1FF8CAA917CE876E2562FC8CB8B24F50B4797D.rev'

Salvestame võtme nime 8CB8B24F50B4797D järgmiste sammude jaoks. Ekspordime võtme:

$ gpg --list-keys
gpg: WARNING: unsafe ownership on homedir '/home/argocd/.gnupg'
/home/argocd/.gnupg/pubring.kbx
-------------------------------
pub   rsa3072 2020-09-04 [SC]
      9A1FF8CAA917CE876E2562FC8CB8B24F50B4797D
uid           [ultimate] YOUR NAME 
sub   rsa3072 2020-09-04 [E]

$ gpg --armor --export-secret-keys 8CB8B24F50B4797D

Ja lisame selle eraldi salajana:

# argocd-gpg-keys-secret.yaml
apiVersion: v1
kind: Secret
metadata:
  name: argocd-gpg-keys-secret
  namespace: argocd
stringData:
  8CB8B24F50B4797D: |-
    -----BEGIN PGP PRIVATE KEY BLOCK-----

    lQVYBF9Q8KUBDACuS4p0ctXoakPLqE99YLmdixfF/QIvXVIG5uBXClWhWMuo+D0c
    ZfeyC5GvH7XPUKz1cLMqL6o/u9oHJVUmrvN/g2Mnm365nTGw1M56AfATS9IBp0HH
    O/fbfiH6aMWmPrW8XIA0icoOAdP+bPcBqM4HRo4ssbRS9y/i
    =yj11
    -----END PGP PRIVATE KEY BLOCK-----

$ kubectl apply -f argocd-gpg-keys-secret.yaml

Ainus, mis meil on jäänud, on see konteinerisse suunamine Esimene ülesanne, selleks redigeerime deployment'i:

$ kubectl -n argocd edit deploy/argocd-repo-server

Ja asendame olemasoleva gpg-keys mahu projected, kuhu märkime meie salajase:

   spec:
     template:
       spec:
         volumes:
         - name: gpg-keys
           projected:
             defaultMode: 420
             sources:
             - secret:
                 name: argocd-gpg-keys-secret
             - configMap:
                 name: argocd-gpg-keys-cm

Argo CD laadib käivitamisel automaatselt kõik gpg-võtmed sellest kaustast, seega laadib ta ka meie privaatvõtme.

kontrollime:

$ kubectl -n argocd exec -ti deploy/argocd-repo-server -- bash
$ GNUPGHOME=/app/config/gpg/keys gpg --list-secret-keys
gpg: WARNING: unsafe ownership on homedir '/app/config/gpg/keys'
/app/config/gpg/keys/pubring.kbx
--------------------------------
sec   rsa2048 2020-09-05 [SC] [expires: 2021-03-04]
      ED6285A3B1A50B6F1D9C955E5E8B1B16D47FFC28
uid           [ultimate] Anon Ymous (ArgoCD key signing key) 

sec   rsa3072 2020-09-03 [SC]
      9A1FF8CAA917CE876E2562FC8CB8B24F50B4797D
uid           [ultimate] YOUR NAME 
ssb   rsa3072 2020-09-03 [E]

Suurepärane, võtme laadimine õnnestus! Nüüd peame lihtsalt lisama Argo CD meie registrisse koostööpartnerina ja see suudab selle automaatselt reaalajas dekrüpteerida.

Impordime võtme kohalikku arvutisse:

$ gpg --armor --export-secret 8CB8B24F50B4797D > 8CB8B24F50B4797D.pem
$ gpg --import 8CB8B24F50B4797D.pem

Seame usaldusastme:

$ gpg --edit-key 8CB8B24F50B4797D
trust
5

Lisame argo koostööpartneriks meie projekti:

$ git-crypt add-gpg-user 8CB8B24F50B4797D

Teemakohased lingid:

• GitHub: Muudetud piltide registri
• Argo CD: Kohandatud tööriistad
• Argo CD: Konfiguratsioonihalduse pistikud
• GitHub Gist: gpg võtmete genereerimine paroolita mitteinteraktiivses režiimis

Allikas: habr.com