如何在ArgoCD应用删除时自动清理关联的容器镜像？

针对ArgoCD Application和ApplicationSet场景下的镜像残留问题，以下是几种合规且可落地的解决方案：

一、利用ArgoCD PreDelete钩子主动触发镜像清理 #

ArgoCD的PreDelete钩子会在应用删除前执行，适合用来触发镜像清理操作。可以将清理逻辑封装为Kubernetes Job，嵌入到Application或ApplicationSet的模板中。

实现步骤： #

1. 在CI流程中，为构建的镜像打上与应用强关联的标签（比如{{app-name}}-{{commit-hash}}），并将该标签写入Application的annotations中，方便钩子识别。
2. 定义带PreDelete钩子的Job，调用镜像仓库API删除对应标签的镜像：

apiVersion: batch/v1
kind: Job
metadata:
  name: {{.Release.Name}}-image-cleanup
  annotations:
    argocd.argoproj.io/hook: PreDelete
    argocd.argoproj.io/hook-delete-policy: HookSucceeded
    image.tag: {{.Values.image.tag}}
spec:
  template:
    spec:
      containers:
      - name: image-cleaner
        image: curlimages/curl:latest
        command: ["/bin/sh", "-c"]
        args:
        - |
          IMAGE_TAG=$(kubectl get job {{.Release.Name}}-image-cleanup -o jsonpath='{.metadata.annotations.image\.tag}')
          # 以Harbor为例，调用删除API
          curl -X DELETE -u "${HARBOR_USER}:${HARBOR_PWD}" "https://harbor.example.com/v2/my-project/my-app/manifests/$IMAGE_TAG"
      restartPolicy: Never
      volumes:
      - name: harbor-creds
        secret:
          secretName: harbor-auth
  backoffLimit: 1

3. 在ApplicationSet的模板中引入该Job，确保每个子应用删除时都会触发清理逻辑。

二、镜像仓库侧配置生命周期策略（被动补充） #

主动清理的同时，可在镜像仓库层面配置生命周期规则，作为兜底方案清理遗漏的镜像：

• Harbor：在项目中设置"镜像保留规则"，例如保留最近3个版本、删除创建超过30天的镜像
• ECR：配置生命周期策略，基于镜像标签或创建时间自动清理
• Docker Hub：开启"自动清理"功能，删除未被引用的旧镜像

这种方式无法精准对应ArgoCD应用删除时机，但能避免镜像仓库无限膨胀。

三、自定义控制器监听应用删除事件（复杂场景适配） #

对于大规模ApplicationSet场景，可开发自定义Kubernetes控制器，监听Application/ApplicationSet的删除事件，自动触发镜像清理：

核心逻辑： #

1. 控制器监听Application资源的Deleted事件，从资源的spec或annotations中提取关联的镜像信息
2. 调用镜像仓库的SDK或API删除对应镜像
3. 针对ApplicationSet，可监听其删除事件，批量清理所有子Application对应的镜像

合规注意事项： #

• 权限最小化：给控制器使用的服务账号仅授予镜像仓库的删除权限，以及Kubernetes中Application资源的只读权限
• 审计留痕：在控制器中添加详细日志，记录删除的镜像名称、标签、触发事件、时间等信息
• 误删防护：添加前置检查，确认应用已被完全删除，且镜像无其他引用（可通过查询Kubernetes中Pod的镜像使用情况实现）
• 备份机制：配置镜像仓库的版本快照或镜像备份策略，避免误删后无法恢复

内容的提问来源于stack exchange，提问作者Abolfazl