如何通过Terraform/基础设施即代码实现ArgoCD用户无UI管理

1. 配置Kubernetes Provider #

先确保Terraform的Kubernetes Provider能正常访问目标K8s集群：

provider "kubernetes" {
  config_path = "~/.kube/config" # 可根据集群认证方式调整
}

2. 管理argocd-cm添加用户 #

通过Terraform更新argocd-cm ConfigMap，新增用户账号：

resource "kubernetes_config_map" "argocd_cm" {
  metadata {
    name      = "argocd-cm"
    namespace = "argocd"
  }

  data = {
    # 新增用户格式：accounts.<用户名>=login
    "accounts.newuser" = "login"
    # 可选：配置用户邮箱
    "accounts.newuser.email" = "newuser@example.com"
    # 必须保留原有所有配置字段，避免Terraform覆盖旧配置
    # 可先用`kubectl get configmap argocd-cm -n argocd -o yaml`导出现有配置后合并
  }
}

3. 管理argocd-rbac-cm配置用户权限 #

更新argocd-rbac-cm ConfigMap，为新用户分配角色和权限：

resource "kubernetes_config_map" "argocd_rbac_cm" {
  metadata {
    name      = "argocd-rbac-cm"
    namespace = "argocd"
  }

  data = {
    "policy.csv" = <<EOF
p, role:newuser-role, applications, get, */*, allow
p, role:newuser-role, applications, sync, */*, allow
g, newuser, role:newuser-role
EOF
    # 同样需保留原有RBAC配置（如policy.default、scopes等）
  }
}

执行terraform init、terraform plan、terraform apply即可完成配置更新，无需进入ArgoCD UI。

1. 检查ConfigMap语法正确性 #

• 用kubectl get configmap argocd-cm -n argocd -o yaml和kubectl get configmap argocd-rbac-cm -n argocd -o yaml导出配置，检查YAML格式是否合法（如引号、缩进是否正确）。
• 重点校验policy.csv规则：必须符合p, <role>, <resource>, <action>, <project>/<application>, <allow/deny>格式，角色关联规则g, <user>, <role>不能有语法错误。

2. 重启ArgoCD核心组件 #

ConfigMap更新后部分组件不会自动重载配置，需手动重启：

kubectl rollout restart deployment argocd-server -n argocd
kubectl rollout restart deployment argocd-application-controller -n argocd
kubectl rollout restart deployment argocd-repo-server -n argocd

3. 查看ArgoCD Server日志定位错误 #

通过日志查找UI加载失败的具体原因：

kubectl logs deployment/argocd-server -n argocd -f

重点关注含error、failed的日志条目，比如配置解析错误、权限加载失败等信息。

4. 清除浏览器缓存 #

浏览器缓存的旧配置可能导致UI异常，清除缓存后重新登录ArgoCD UI。

5. 验证RBAC配置冲突 #

若RBAC规则存在矛盾（比如同时存在允许和拒绝规则），会导致权限加载失败。检查policy.csv中的规则逻辑，确保无冲突配置。

内容的提问来源于stack exchange，提问作者EINBizi Ehmc