为带独立Namespace的ArgoCD应用配置私有镜像仓库遇权限问题

首先明确两个核心逻辑，你之前的操作没有错误，只是混淆了两类Secret的作用范围：

1. 你在argocd命名空间创建的Secret是给ArgoCD Image Updater用的——它的作用是让Image Updater能访问私有镜像仓库，查询镜像的版本元数据（所以你能正常识别最新版本）。
2. 目标Namespace（myapp）中Pod拉取镜像时，需要的是Kubernetes集群用于拉取镜像的凭证，这部分和Image Updater的Secret完全独立，所以会出现PullBackOff未授权错误。

下面是不用每个Deployment重复配置imagePullSecrets的解决方案：

方案1：给目标Namespace配置默认镜像拉取凭证 #

给目标Namespace的默认ServiceAccount绑定镜像拉取Secret，该Namespace下所有使用默认ServiceAccount的Pod都会自动继承这个凭证：

1. 先把argocd命名空间的镜像Secret复制到myapp命名空间：

   kubectl get secret <你的镜像secret名称> -n argocd -o yaml | sed 's/namespace: argocd/namespace: myapp/' | kubectl apply -f -
   

2. 修改myapp命名空间的默认ServiceAccount，添加镜像拉取Secret：

   kubectl patch serviceaccount default -n myapp -p '{"imagePullSecrets": [{"name": "<你的镜像secret名称>"}]}'
   

之后该Namespace下的所有Pod（默认使用default ServiceAccount）都会自动用这个Secret拉取镜像，无需在Deployment中重复配置。

方案2：通过ArgoCD Project批量注入凭证 #

如果有多个应用需要相同配置，可以在ArgoCD的Project中设置同步选项，让ArgoCD在同步应用时自动给资源添加imagePullSecrets：

1. 编辑ArgoCD的Project（以默认Project为例）：

   apiVersion: argoproj.io/v1alpha1
   kind: AppProject
   metadata:
     name: default
     namespace: argocd
   spec:
     destinations:
     - namespace: myapp
       server: https://kubernetes.default.svc
     syncOptions:
     - ApplyOutOfSyncOnly=true
     # 自动给同步的资源注入指定的镜像拉取Secret
     - ImagePullSecrets=<你的镜像secret名称>
   

注意：需要先把镜像Secret复制到目标Namespace，同时确保ArgoCD有足够权限修改目标Namespace的资源。

关于教程描述的歧义 #

教程里说“仅需在argocd命名空间配置”，大概率只针对Image Updater识别镜像版本的场景，没有明确说明Pod实际拉取镜像需要的独立凭证配置——这是两个完全分离的流程，不要混淆。

内容的提问来源于stack exchange，提问作者mama