cleanstart/argo-workflow-exec

概述

Argo Workflow Executor容器为在Argo Workflows中执行单个步骤提供运行时环境。它包含运行工作流任务、处理工件、管理脚本执行以及与Argo Workflows控制器交互所需的工具。该容器设计轻量且能够运行多样化的工作负载，作为工作流自动化的一部分。

📌 CleanStart基础：安全加固的最小化基础OS，专为企业容器化环境设计。

核心功能

• 内置工件处理（S3、Git、HTTP等）
• 原生脚本执行支持（Python、Shell、JavaScript）
• 工作流步骤隔离与安全边界
• 资源使用指标收集
• 安全加固：非root用户，最小***面
• FIPS合规：带有-fips标签的版本可用

常见使用场景

• 在Argo Workflows中运行单个任务
• 执行数据处理和转换步骤
• 处理工作流步骤间的工件传输
• 运行CI/CD流水线任务

bash
# 拉取命令
docker pull cleanstart/argo-workflow-exec:latest
docker pull cleanstart/argo-workflow-exec:latest-dev

快速入门

基本生产部署

此容器仅运行argoexec二进制文件——通常由Argo Workflows控制器管理

bash
docker run --rm cleanstart/argo-workflow-exec:latest version

容器会显示可用的argoexec命令并退出。实际工作流操作需要Kubernetes上下文。

Docker Compose配置

yaml
version: '3.8'
services:
  argo-workflow-exec:
    image: cleanstart/argo-workflow-exec:latest
    container_name: argo-workflow-exec
    command: ["version"]
    environment:
      - ARGO_NAMESPACE=default
    volumes:
      - ./artifacts:/tmp/artifacts
    security_opt:
      - no-new-privileges:true
    read_only: true

配置

环境变量

命令参数

常用命令行参数

bash
docker run cleanstart/argo-workflow-exec:latest --template /templates/workflow.yaml

常用标志

• --template: 指定工作流模板路径
• --artifact-repository: 配置工件仓库
• --debug: 启用调试日志

安全与最佳实践

推荐的安全上下文

yaml
securityContext:
  runAsNonRoot: true
  runAsUser: 1000
  runAsGroup: 1000
  readOnlyRootFilesystem: true
  allowPrivilegeEscalation: false
  capabilities:
    drop: ["ALL"]

最佳实践

• 生产环境使用特定镜像标签（避免使用latest）
• 配置资源限制：内存：1Gi，CPU：500m
• 启用只读根文件系统
• 定期更新容器镜像
• 实施工件仓库访问控制
• 监控容器指标异常

架构支持

多平台镜像

bash
docker pull --platform linux/amd64 cleanstart/argo-workflow-exec:latest
docker pull --platform linux/arm64 cleanstart/argo-workflow-exec:latest

资源与文档

• CleanStart官网：[***]
• argo-workflow-exec官方文档：[***]
• CleanStart社区镜像：https://hub.docker.com/u/cleanstart
• 如何运行CleanStart镜像及示例项目：https://github.com/cleanstart-dev/cleanstart-containers
  • 如何使用Dockerfile运行示例项目
  • 如何通过Kubernetes YAML部署
  • 如何从公共镜像迁移到CleanStart镜像

漏洞免责声明

CleanStart提供的Docker镜像包含由独立贡献者维护的第三方开源库和包。尽管CleanStart维护这些镜像并应用行业标准的安全实践，但无法保证超出其控制范围的上游组件的安全性或完整性。

用户确认并同意，开源软件可能包含未发现的漏洞，或通过更新引入新风险。对于源自第三方库的安全问题，包括但不限于零日漏洞、供应链***或贡献者引入的风险，CleanStart不承担责任。

安全是共同责任：CleanStart会在可能的情况下提供更新的镜像和指导，而用户负责评估部署并实施适当的控制措施。