ArgoCD RBAC细粒度权限配置：如何仅授予角色应用回滚权限

嘿，这个问题我之前帮团队做权限隔离的时候正好踩过坑！直接给update权限确实太宽泛了——不仅能回滚，还能改应用的YAML参数、调整同步策略啥的，完全不符合最小权限原则。其实ArgoCD的RBAC支持针对特定操作的细粒度授权，刚好能解决这个需求。

核心配置思路 #

ArgoCD的RBAC规则里，applications资源有专门的rollback动作，这个动作只对应触发应用回滚的操作，不会包含其他修改类权限。不过要注意，回滚前需要能查看应用的历史版本和当前状态，所以还得配合get权限（不然连应用都找不到，没法触发回滚）。

具体配置规则 #

直接在你的ArgoCD RBAC策略文件里添加以下两条规则：

# 允许查看应用（如果需要限制特定命名空间/应用，把*/改成对应值就行）
p, role:rollback-only, applications, get, */*, allow

# 仅允许触发应用回滚操作
p, role:rollback-only, applications, rollback, */*, allow

权限范围调整 #

如果不需要让这个角色能操作所有应用，可以把规则里的*/改成具体的范围：

• 限制到特定命名空间：my-dev-namespace/*
• 限制到单个应用：*/my-important-app

绑定角色到用户/组 #

最后把这个角色绑定给对应的用户或者团队组：

# 绑定给单个用户
g, user:alice, role:rollback-only

# 绑定给OIDC团队组
g, group:dev-rollback-team, role:rollback-only

这样配置完之后，这个角色的持有者就只能做两件事：查看应用信息、触发回滚操作，完全没法修改应用的任何配置参数，完美实现你要的权限隔离。

备注：内容来源于stack exchange，提问作者barmanthewise