firecyberice/docker-argocd

Argo CD Docker镜像

镜像概述和主要用途

此Argo CD Docker镜像包含使用Sops加密Helm value文件所需的必要工具，旨在简化加密配置文件在Argo CD中的使用流程。通过集成GnuPG和Helm Sops工具，实现对加密Helm value文件的透明处理，无需修改Argo CD原生配置即可使用Helm的valueFiles、values等功能。

核心功能和特性

• 工具集成：包含GnuPG（用于加密/解密）和Helm Sops（透明包装Helm，处理加密value文件）
• 透明兼容：Helm Sops透明包装Helm，无需配置自定义工具即可使用Argo CD原生Helm功能
• 密钥管理：Argo CD repo server可通过shell脚本导入位于/app/config/gpg/privkey.asc的GPG私钥，实现解密

使用场景和适用范围

适用于需要在Argo CD部署中使用加密Helm value文件的场景，尤其适合需要保护敏感配置信息（如密码、API密钥等）的Kubernetes集群管理。支持通过GPG密钥或AWS KMS密钥进行加密/解密，满足不同环境的安全需求。

详细使用方法和配置说明

加密Helm value文件

参考https://github.com/camptocamp/helm-sops%E5%BC%80%E5%A7%8B%E4%BD%BF%E7%94%A8%E5%8A%A0%E5%AF%86%E7%9A%84Helm value文件。

使用Helm chart部署Argo CD

使用自定义镜像

通过https://github.com/argoproj/argo-helm/tree/master/charts/argo-cd%E9%83%A8%E7%BD%B2%E6%97%B6%EF%BC%8C%E5%9C%A8chart value文件中添加以下配置以使用此自定义镜像：

yaml
global:
  image:
    repository: "camptocamp/argocd"
    tag: "v2.0.3_c2c.1"

使用GPG密钥的Sops配置

若使用GPG密钥进行Sops加密/解密，在chart value文件中添加以下配置：

yaml
global:
  securityContext:
    fsGroup: 2000

repoServer:
  env:
    - name: "ARGOCD_BINARY_NAME"
      value: "argocd-repo-server"
  volumes:
    - name: "gpg-private-key"
      secret:
        secretName: "argocd-secret"
        items:
          - key: "gpg.privkey.asc"
            path: "privkey.asc"
        defaultMode: 0600
  volumeMounts:
    - name: "gpg-private-key"
      mountPath: "/app/config/gpg/privkey.asc"
      subPath: "privkey.asc"

并在加密的value文件中添加GPG私钥（可通过gpg --export-secret-keys --armor <key ID>导出）：

yaml
configs:
  secret:
    extra:
      gpg.privkey.asc: |
        -----BEGIN PGP PRIVATE KEY BLOCK-----

        ...
        -----END PGP PRIVATE KEY BLOCK-----

使用AWS KMS密钥的Sops配置

若使用AWS KMS密钥且无法使用实例配置文件，在chart value文件中添加以下配置：

yaml
repoServer:
  env:
    - name: "AWS_ACCESS_KEY_ID"
      valueFrom:
        secretKeyRef:
          name: "argocd-secret"
          key: "aws.accessKeyId"
    - name: "AWS_SECRET_ACCESS_KEY"
      valueFrom:
        secretKeyRef:
          name: "argocd-secret"
          key: "aws.secretAccessKey"
    - name: "ARGOCD_BINARY_NAME"
      value: "argocd-repo-server"

并在加密的value文件中添加AWS访问密钥（创建专用IAM访问密钥）：

yaml
configs:
  secret:
    extra:
      aws.accessKeyId: <Access Key ID>
      aws.secretAccessKey: <Secret Access Key>

示例应用

包含示例应用及部署该应用的Argo CD配置示例可参考https://github.com/camptocamp/argocd-helm-sops-example%E3%80%82