ArgoCD自定义角色用户无法查看Helm参数问题咨询

核心原因 #

ArgoCD中查看应用详情页的Helm参数，除了需要对应应用的applications资源权限外，还额外需要helm资源的访问权限。你的自定义角色虽然授予了项目A下应用A-dev的完全访问权限，但未包含helm资源的操作权限，因此无法查看Helm参数；而ArgoCDAdmin是集群级管理员角色，默认拥有所有资源（包括helm）的访问权限，所以可以正常查看。

解决方法 #

修改你的项目角色权限规则，添加helm资源的操作权限即可：

1. 授予目标应用的所有Helm操作权限（适合需要完整Helm相关操作的场景）：

   apiVersion: argoproj.io/v1alpha1
   kind: AppProject
   metadata:
     name: project-a
   spec:
     roles:
     - name: app-a-full-access
       description: Full access to app-a-dev including Helm parameters
       policies:
       - p, proj:project-a:app-a-full-access, applications, *, project-a/a-dev, allow
       - p, proj:project-a:app-a-full-access, helm, *, project-a/a-dev, allow
       groups:
       - <用户A所属的Keycloak/Google组>
   

2. 仅授予查看Helm参数的最小权限（遵循最小权限原则）：

   apiVersion: argoproj.io/v1alpha1
   kind: AppProject
   metadata:
     name: project-a
   spec:
     roles:
     - name: app-a-full-access
       description: Full access to app-a-dev with Helm parameter view
       policies:
       - p, proj:project-a:app-a-full-access, applications, *, project-a/a-dev, allow
       - p, proj:project-a:app-a-full-access, helm, get, project-a/a-dev, allow
       groups:
       - <用户A所属的Keycloak/Google组>
   

注意事项 #

• 确保权限规则中的资源名称格式正确：项目名/应用名（示例中为project-a/a-dev）
• 确认角色已正确关联到用户A所属的Keycloak或Google身份组

内容的提问来源于stack exchange，提问作者Amir Damirov