如何在Pulumi中于Job执行完成后通过代码删除ConfigMap

方法一：在Kubernetes层面通过Job权限+命令实现（推荐） #

Pulumi是声明式工具，无法直接在部署代码中根据Job的运行状态触发资源删除，最直接的方式是让Job自身在执行完成后，通过Kubernetes权限控制删除目标ConfigMap。

步骤1：创建用于删除ConfigMap的权限资源 #

先给Job的Pod分配仅能删除目标ConfigMap的最小权限：

// 创建专用ServiceAccount
const argoSetupSa = new k8s.core.v1.ServiceAccount('argo-setup-sa', {
  metadata: {
    namespace: 'argo',
    name: 'argo-setup-sa',
  },
});

// 创建Role，仅允许删除指定的ConfigMap
const argoSetupRole = new k8s.rbac.v1.Role('argo-setup-role', {
  metadata: {
    namespace: 'argo',
    name: 'argo-setup-role',
  },
  rules: [
    {
      apiGroups: [''],
      resources: ['configmaps'],
      resourceNames: ['argo-cd-setup'],
      verbs: ['delete'],
    },
  ],
});

// 绑定Role到ServiceAccount
new k8s.rbac.v1.RoleBinding('argo-setup-rolebinding', {
  metadata: {
    namespace: 'argo',
    name: 'argo-setup-rolebinding',
  },
  subjects: [
    {
      kind: 'ServiceAccount',
      name: argoSetupSa.metadata.name,
      namespace: 'argo',
    },
  ],
  roleRef: {
    kind: 'Role',
    name: argoSetupRole.metadata.name,
    apiGroup: 'rbac.authorization.k8s.io',
  },
});

步骤2：修改Job定义，执行完脚本后删除ConfigMap #

确保Job使用上面创建的ServiceAccount，并在容器命令中追加删除ConfigMap的操作：

// 你的Job定义，调整command和serviceAccountName
const argoSetupJob = new k8s.batch.v1.Job('argo-setup-job', {
  metadata: {
    namespace: 'argo',
    name: 'argo-setup-job',
  },
  spec: {
    template: {
      spec: {
        serviceAccountName: argoSetupSa.metadata.name,
        containers: [
          {
            name: 'setup',
            image: 'alpine/k8s:1.28.0', // 选择包含kubectl的镜像
            command: [
              '/bin/sh',
              '-c',
              // 先执行ConfigMap中的初始化脚本，再删除ConfigMap
              'sh /scripts/init-argo.sh && kubectl delete configmap argo-cd-setup -n argo'
            ],
            volumeMounts: [
              {
                name: 'setup-script',
                mountPath: '/scripts',
              },
            ],
          },
        ],
        restartPolicy: 'OnFailure',
        volumes: [
          {
            name: 'setup-script',
            configMap: {
              name: argoCDInitialSetupScript.metadata.name,
            },
          },
        ],
      },
    },
    backoffLimit: 2,
  },
});

方法二：通过Pulumi自动化脚本实现（适合CI/CD流程） #

如果需要在Pulumi部署流程外触发删除，可以编写自动化脚本轮询Job状态，完成后删除ConfigMap：

import * as pulumi from '@pulumi/pulumi';
import * as k8s from '@pulumi/kubernetes';

async function cleanupConfigMap() {
  // 初始化Kubernetes Provider（根据你的集群配置调整）
  const k8sProvider = new k8s.Provider('k8s-provider', {
    kubeconfig: pulumi.output(process.env.KUBECONFIG).apply(c => c || ''),
  });

  // 获取已部署的Job资源
  const targetJob = k8s.batch.v1.Job.get(
    'argo-setup-job',
    'argo/argo-setup-job',
    { provider: k8sProvider }
  );

  // 轮询检查Job是否成功完成
  while (true) {
    const jobStatus = await targetJob.status.apply(s => s);
    if (jobStatus?.succeeded === 1) {
      // 删除目标ConfigMap
      await k8s.core.v1.ConfigMap.delete(
        'argo-cd-setup',
        'argo/argo-cd-setup',
        { provider: k8sProvider }
      );
      console.log('ConfigMap 已成功删除');
      break;
    }
    // 每5秒检查一次
    await new Promise(resolve => setTimeout(resolve, 5000));
  }
}

cleanupConfigMap().catch(err => {
  console.error('清理失败:', err);
  process.exit(1);
});

你可以在Pulumi部署完成后，单独运行这个脚本，或者集成到你的CI/CD流水线中。

为什么直接调用delete()方法无效？ #

Pulumi是声明式基础设施工具，它的核心是维护资源的期望状态。delete()方法仅适用于自动化API中的销毁操作，或者在销毁整个Pulumi栈时触发，无法在部署过程中根据另一个资源的运行时状态（比如Job是否完成）来动态删除资源。

内容的提问来源于stack exchange，提问作者LucasBrazi06