Argo CD Docker镜像

1. 镜像概述和主要用途

本Argo CD Docker镜像包含使用Sops加密Helm值文件所需的工具，基于原生Argo CD镜像构建，额外集成了加密/解密相关组件，旨在简化Argo CD环境中加密Helm值文件的管理流程。

2. 核心功能和特性

2.1 集成工具

• GnuPG：提供加密/解密基础功能，支持GPG密钥管理。
• Helm Sops：透明包装Helm客户端，无需修改Argo CD原生配置即可处理Sops加密的Helm值文件。

2.2 关键特性

• 原生Helm兼容：Helm Sops无缝包装Helm，支持valueFiles、values等原生Helm功能，无需配置自定义工具链。
• 密钥自动导入：Argo CD repo server二进制通过shell脚本包装，可自动导入位于/app/config/gpg/privkey.asc的GPG私钥（若存在）。

3. 使用场景和适用范围

适用于需要在Argo CD中安全管理敏感配置的场景，尤其是通过Sops加密Helm值文件的场景。支持以下加密方式：

• GPG密钥加密
• AWS KMS密钥加密
• AGE密钥加密

适用于Kubernetes环境中需通过Argo CD部署包含敏感信息应用的团队或项目。

4. 使用方法和配置说明

4.1 加密Helm值文件

参考Helm Sops官方文档开始使用Sops加密Helm值文件。

4.2 通过Helm chart部署Argo CD

4.2.1 使用自定义镜像

通过Argo CD Helm chart部署时，需在chart值文件中指定本镜像：

global:
  image:
    repository: "camptocamp/argocd"
    tag: "v2.11.3_c2c.1"  # 请使用最新镜像标签

4.2.2 配置GPG密钥（Sops集成）

如需使用GPG密钥进行Sops解密，需在chart值文件中添加以下配置：

global:
  securityContext:
    fsGroup: 2000  # 确保容器有权限访问密钥文件

repoServer:
  volumes:
    - name: "gpg-private-key"
      secret:
        secretName: "argocd-secret"
        items:
          - key: "gpg.privkey.asc"
            path: "privkey.asc"
        defaultMode: 0600  # 限制密钥文件权限为仅所有者可读
  volumeMounts:
    - name: "gpg-private-key"
      mountPath: "/app/config/gpg/privkey.asc"  # GPG私钥必须挂载至此路径
      subPath: "privkey.asc"

将GPG私钥导入argocd-secret（通过加密值文件配置）：

1. 导出GPG私钥：gpg --export-secret-keys --armor <密钥ID>
2. 在加密值文件中添加：

configs:
  secret:
    extra:
      gpg.privkey.asc: |
        -----BEGIN PGP PRIVATE KEY BLOCK-----
        
        ...  # 此处填入导出的GPG私钥内容
        -----END PGP PRIVATE KEY BLOCK-----

4.2.3 配置AWS KMS密钥（Sops集成）

若使用AWS KMS密钥且无法通过IAM实例配置文件授权，需在chart值文件中添加以下配置：

repoServer:
  env:
    - name: "AWS_ACCESS_KEY_ID"
      valueFrom:
        secretKeyRef:
          name: "argocd-secret"
          key: "aws.accessKeyId"
    - name: "AWS_SECRET_ACCESS_KEY"
      valueFrom:
        secretKeyRef:
          name: "argocd-secret"
          key: "aws.secretAccessKey"

创建专用IAM访问密钥，并在加密值文件中添加：

configs:
  secret:
    extra:
      aws.accessKeyId: <Access Key ID>  # 替换为实际Access Key ID
      aws.secretAccessKey: <Secret Access Key>  # 替换为实际Secret Access Key

4.2.4 配置AGE密钥（Sops集成）

生成AGE密钥：

1. 安装AGE工具
2. 生成密钥：

age-keygen -o key.txt

配置Argo CD：在chart值文件中添加以下配置：

repoServer:
  env:
    - name: SOPS_AGE_KEY_FILE
      value: /app/config/age/keys.txt  # AGE密钥文件路径
  volumeMounts:
    - mountPath: /app/config/age/keys.txt
      name: sops-age
      subPath: keys.txt
  volumes:
    - name: sops-age
      secret:
        defaultMode: 420  # 权限0644
        items:
          - key: keys.txt
            path: keys.txt
        secretName: argocd-secret

将AGE密钥添加至argocd-secret（通过加密值文件）：

configs:
  secret:
    extra:
      keys.txt: |
        ...  # 填入key.txt文件内容（AGE密钥）

5. 示例应用

包含示例应用及对应Argo CD部署配置的示例仓库可参考：argocd-helm-sops-example。