ArgoCD GitOps声明式配置：如何安全存储仓库凭据？

针对你提出的「GitOps自动化引导ArgoCD时，避免将仓库凭据明文提交到Git」的需求，以下是几种规范的解决方案：

1. 集成外部机密管理器（如HashiCorp Vault、AWS Secrets Manager） #

ArgoCD原生支持与主流机密管理器集成，你可以将凭据存储在外部系统中，在Git仓库的配置文件里只保留对机密的引用，而非明文内容。

以HashiCorp Vault为例，只需在ArgoCD中配置Vault连接，然后在repo-creds的Secret中使用vault://前缀引用Vault中的机密路径：

apiVersion: v1
kind: Secret
metadata:
  name: argoproj-https-creds
  namespace: argocd
  labels:
    argocd.argoproj.io/secret-type: repo-creds
stringData:
  url: https://github.com/argoproj
  type: helm
  username: vault://path/to/username
  password: vault://path/to/password

ArgoCD会在使用凭据时自动从Vault拉取对应的值，Git仓库中仅存储引用路径，完全避免明文风险。

2. 使用Sealed Secrets加密凭据 #

Sealed Secrets是Bitnami推出的Kubernetes工具，它可以将明文Secret加密为仅能被目标集群解密的SealedSecret资源，加密后的资源可以安全提交到Git仓库。

操作步骤： #

• 在Kubernetes集群中安装Sealed Secrets控制器；
• 准备明文的repo-creds Secret文件（本地保存，不提交Git）；
• 使用kubeseal命令将明文Secret加密为SealedSecret：

  kubeseal --format=yaml < plain-repo-creds.yaml > sealed-repo-creds.yaml
  

• 将生成的sealed-repo-creds.yaml提交到Git仓库；
• 当ArgoCD将该SealedSecret应用到集群后，Sealed Secrets控制器会自动将其解密为正常的Secret，供ArgoCD使用。

示例SealedSecret结构：

apiVersion: bitnami.com/v1alpha1
kind: SealedSecret
metadata:
  name: argoproj-https-creds
  namespace: argocd
spec:
  encryptedData:
    password: AgBy3i4OJSWK+PiTySYZZA9rO43cGDEq...
    username: AgBlLbNeF3LwVQf9yFj6VtAeU7dHxYz...
  template:
    metadata:
      labels:
        argocd.argoproj.io/secret-type: repo-creds
    type: Opaque

3. 结合GitOps工具链的机密注入（Kustomize/Helm） #

Kustomize SecretGenerator #

使用Kustomize的secretGenerator功能，从本地文件或环境变量读取凭据，Git仓库中仅存储Kustomization配置，不包含明文凭据：

# kustomization.yaml（提交到Git）
apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization
secretGenerator:
- name: argoproj-https-creds
  namespace: argocd
  labels:
    argocd.argoproj.io/secret-type: repo-creds
  literals:
  - url=https://github.com/argoproj
  - type=helm
  files:
  - username=./username.txt
  - password=./password.txt

本地的username.txt和password.txt不提交Git，可通过CI/CD流水线注入，或使用ArgoCD的kustomize.buildOptions配置指定机密文件来源。

Helm Secrets插件 #

如果用Helm管理ArgoCD配置，可借助Helm Secrets插件对values文件中的凭据加密，加密后的values文件可安全提交到Git。ArgoCD配置该插件后，会在渲染Chart时自动解密凭据。

关于你提到的「CLI临时方案」的疑问：GitOps的核心价值是所有配置的版本化、可追溯和自动化重建。使用上述方案，你可以将所有集群配置（包括加密后的凭据）纳入Git管理，集群的灾备、扩容、重建都能通过Git一键完成；而CLI操作是临时的、无版本记录的，无法实现真正的自动化GitOps工作流。

内容的提问来源于stack exchange，提问作者thiagowfx