Argo CD GitOps Kubernetes CD
Argo CD macht ein Git-Repository zur einzigen Quelle der Wahrheit für jeden Kubernetes-Cluster — keine imperativen kubectl-apply-Skripte, kein Konfigurationsdrift, keine undokumentierten manuellen Änderungen. Wir konzipieren und implementieren Argo CD-Plattformen für US- und EU-Kunden: App-of-Apps-Bootstrapping, Multi-Cluster-ApplicationSets, Argo Rollouts canary- und blue-green-Strategien, sealed-secrets- und External Secrets-Integration, SSO-gestütztes RBAC und vollständige Notification-Pipelines.
Argo CD macht ein Git-Repository zur einzigen Quelle der Wahrheit für jeden Kubernetes-Cluster — keine imperativen kubectl-apply-Skripte, kein Konfigurationsdrift, keine undokumentierten manuellen Änderungen. Wir konzipieren und implementieren Argo CD-Plattformen für US- und EU-Kunden: App-of-Apps-Bootstrapping, Multi-Cluster-ApplicationSets, Argo Rollouts canary- und blue-green-Strategien, sealed-secrets- und External Secrets-Integration, SSO-gestütztes RBAC und vollständige Notification-Pipelines.
Herausforderungen
Das Speichern von Secrets in Git-Repositories — auch verschlüsselter — erfordert einen disziplinierten Ansatz. Teams, die Klartext-Zugangsdaten committen, legen Produktions-Credentials in der Versionshistorie offen. Wir implementieren Sealed Secrets oder External Secrets Operator, sodass Git nur verschlüsselte Referenzen enthält, keine Rohwerte.
Das Verwalten von Dutzenden Clustern und Hunderten von Anwendungen mit einzelnen Argo CD Application-Manifesten wird schnell unhandhabbar. ApplicationSets generieren Application-Ressourcen dynamisch aus Cluster-Generatoren, Git-Generatoren oder Matrix-Generatoren — und reduzieren den Aufwand von Hunderten YAML-Dateien auf eine einzige Vorlage.
Operatoren, die kubectl-Patches direkt auf Produktionsclustern anwenden, brechen den GitOps-Vertrag stillschweigend. Argo CD erkennt Änderungen außerhalb des deklarierten Zustands innerhalb von Minuten und kann automatisch wiederherstellen (Self-Heal-Modus) oder bei Drift alarmieren — und setzt Git als einzigen akzeptierten Änderungspfad durch.
Das Ausrollen neuer Versionen ohne Ausfallzeit und mit sicherem Rollback erfordert mehr als ein Rolling Update. Argo Rollouts ergänzt canary- und blue-green-Strategien mit automatisierten Analyse-Gates — eine Beförderung erfolgt nur, wenn Fehlerquoten und Latenz innerhalb definierter Schwellenwerte bleiben.
Anwendungen mit Datenbankmigrationen, CRD-Installationen oder gemeinsam genutzten Infrastrukturabhängigkeiten müssen Ressourcen in der richtigen Reihenfolge anwenden. Argo CD sync waves und sync hooks ermöglichen Teams, Reihenfolgeregeln deklarativ festzulegen und verhindern so Race Conditions beim Cluster-Bootstrapping.
In großen Organisationen teilen mehrere Teams eine Argo CD-Instanz und müssen von den Anwendungen der anderen isoliert sein. Ohne feingranulares RBAC kann ein Entwickler in einem Team den Dienst eines anderen Teams neu deployen. Wir gestalten projektbezogene RBAC-Richtlinien, die durch SSO-Gruppen abgesichert sind, damit Berechtigungen den Organisationsgrenzen folgen.
Lösungen
Eine einzelne Root-Application verwaltet alle Kind-Applications deklarativ. Das Hinzufügen eines neuen Dienstes bedeutet einen Pull Request — Argo CD erkennt und synchronisiert ihn automatisch. Wir strukturieren die App-of-Apps-Hierarchie, um Infrastruktur-, Plattform- und Anwendungsschichten zu trennen.
ApplicationSets erstellen Application-Ressourcen über beliebig viele Cluster mithilfe von Git-, Cluster-List- oder Matrix-Generatoren. Eine Änderung von Staging auf Produktion zu befördern, ist ein git merge — ohne manuelle Cluster-Eingriffe.
Wir integrieren External Secrets Operator mit AWS Secrets Manager, HashiCorp Vault oder Azure Key Vault — Secrets verbleiben im KMS, nicht in Git. Für Air-gapped-Umgebungen konfigurieren wir SOPS mit age oder GPG für verschlüsselte Secret-Dateien, die sicher committet werden können.
Canary-Deployments mit automatisierten PromQL- und Datadog-Analyse-Gates befördern Traffic schrittweise und rollen bei SLO-Verletzung automatisch zurück. Blue-green-Deployments ermöglichen sofortigen Cutover mit ausfallzeitfreiem Rollback auf Kubernetes-Service-Ebene.
SSO-Integration über OIDC (Okta, Azure AD, Dex) ordnet Identity-Provider-Gruppen Argo CD RBAC-Rollen zu, die pro Projekt und Ziel-Cluster begrenzt sind. Argo CD Notifications senden Deployment-Ereignisse an Slack, PagerDuty und E-Mail — mit vorlagenbasierten Nachrichten, die Diff-Links und Rollback-Anweisungen enthalten.
Argo CD fragt den Cluster-Zustand alle drei Minuten ab und markiert Anwendungen bei jeder Abweichung als OutOfSync. Wir konfigurieren Self-Heal-Richtlinien je Umgebung — permissiv in der Entwicklung (nur Alarm) und streng in der Produktion (automatisches Zurücksetzen) — mit Argo CD Notifications, die bei jedem erkannten Drift-Ereignis alarmieren.
Stack
Argo CD, ApplicationSets, App-of-Apps, Argo Rollouts (canary / blue-green), Helm, Kustomize, Git (Quelle der Wahrheit), SSO / OIDC / RBAC, Argo CD Notifications, Sealed Secrets / SOPS / External Secrets Operator, Kubernetes, ArgoCD Image Updater, sync waves und sync hooks.
Compliance
GitOps-Audit-Trail (vollständige Git-Historie) · RBAC + SSO Least-Privilege · signierte Commits und Image-Verifikation · Drift-Erkennung und Auto-Heal
Fallstudien
Three-app ride-hailing platform — driver, passenger, dispatcher — with real-time GPS, document verification, dual cash/card payments.
Unified crypto-ecosystem hub aggregating multiple tokens — live exchange data, search, charts, direct purchase entry point.
Android + iOS refactor and rebuild for a German last-mile logistics operator — multi-point route planning, real-time driver tracking and in-app invoicing live in the EU.
Warum YuSMP
Wir gestalten die Repository-Struktur, Branch-Strategie und Beförderungs-Workflow, bevor wir ein einziges Application-Manifest schreiben — damit die Plattform Ihren Release-Prozess durchsetzt, anstatt ihn zu umgehen.
Jedes Deployment ist ein signierter Git-Commit mit Autor, Prüfer und Zeitstempel. Das Audit-Log von Argo CD und die Git-Historie liefern gemeinsam die Change-Management-Nachweise, die SOC 2- und NIS2-Prüfer fordern — ohne zusätzliche Werkzeuge.
Dieselbe ApplicationSets-basierte Plattform, die einen einzelnen Staging-Cluster verwaltet, skaliert auf fünfzig Produktionscluster in verschiedenen Regionen. Wir haben Multi-Cluster-Argo CD-Plattformen für Kunden aus FinTech, Logistik und SaaS realisiert.
FAQ
GitOps ist ein Betriebsmodell, bei dem Git die einzige Quelle der Wahrheit für deklarative Infrastruktur- und Anwendungskonfiguration darstellt. Argo CD vergleicht kontinuierlich den gewünschten Zustand in Git mit dem Live-Zustand in Kubernetes und gleicht Abweichungen aus. Jede Änderung ist ein Pull Request — geprüft, genehmigt und gemergt, bevor sie einen Cluster erreicht. Teams erhalten so ein vollständiges Audit-Trail, sofortiges Rollback und Drift-Erkennung ohne zusätzliche Werkzeuge.
Sowohl Argo CD als auch Flux implementieren GitOps für Kubernetes. Argo CD bietet eine ausgereifte Web-UI, starke Multi-Tenancy über Projekte und Argo Rollouts für Progressive Delivery — und ist damit die natürliche Wahl für Teams, die Transparenz und feingranulares RBAC über viele Gruppen hinweg benötigen. Flux ist rein controller-basiert ohne integrierte UI und integriert sich enger mit dem Helm-Controller und Flagger. Wir arbeiten mit beiden; Argo CD ist unsere Standardempfehlung für Platform-Engineering-Teams.
Wir nutzen einen von zwei Ansätzen, abhängig von der Infrastruktur des Kunden. External Secrets Operator synchronisiert Secrets aus AWS Secrets Manager, HashiCorp Vault oder Azure Key Vault zur Laufzeit in Kubernetes Secrets — Git enthält nur einen Verweis auf den Secret-Pfad, nicht den Wert selbst. Für Umgebungen ohne KMS verwenden wir SOPS mit age oder GPG, um Secret-Dateien vor dem Commit zu verschlüsseln; Argo CD entschlüsselt sie beim Sync. In beiden Fällen gelangen Klartext-Zugangsdaten niemals in das Git-Repository.
ApplicationSets ermöglichen es einer einzelnen Argo CD-Instanz, Anwendungen über Dutzende von Clustern zu verwalten. Ein Cluster-List- oder Cluster-Decision-Resource-Generator erzeugt aus einer einzigen Vorlage eine Application pro Cluster. Ein Release von Staging auf Produktion zu befördern, ist ein git merge in den Produktions-Branch — Argo CD erkennt die Änderung und synchronisiert alle Ziel-Cluster ohne manuelle Eingriffe. Wir gestalten die Generator-Strategie passend zur Umgebungstopologie des Kunden (Region, Tier, Team).
Argo Rollouts erweitert Kubernetes um canary- und blue-green-Deployment-Strategien. Ein Standard-Rolling-Update ersetzt Pods schrittweise, kann jedoch nicht automatisch auf Basis von Fehlerquoten zurückrollen. Argo Rollouts integriert sich mit Prometheus, Datadog oder CloudWatch, um Analysemetriken während einer canary-Promotion zu bewerten — überschreitet die Fehlerquote oder Latenz den konfigurierten Schwellenwert, wird das Rollout abgebrochen und der Traffic kehrt zur stabilen Version zurück. Nutzen Sie es immer dann, wenn ein fehlerhaftes Deployment Endnutzer treffen würde, bevor ein Mensch reagieren kann.
Argo CD fragt den Live-Cluster-Zustand alle drei Minuten ab und vergleicht ihn mit dem in Git deklarierten Soll-Zustand. Jede Abweichung — ein manuell gepatchtes Deployment, ein im Cluster geändertes ConfigMap, eine von einem Menschen angepasste Replica-Anzahl — markiert die Anwendung als OutOfSync. Wir konfigurieren Self-Heal-Richtlinien je Umgebung: Entwicklungscluster alarmieren bei Drift, Produktionscluster stellen ihn automatisch wieder her. Argo CD Notifications senden einen detaillierten Drift-Bericht an Slack oder PagerDuty, sobald eine Self-Heal-Aktion ausgelöst wird.
CI-gesteuertes kubectl apply arbeitet imperativ: Die Pipeline schiebt den Zustand in den Cluster. Schlägt die Pipeline auf halbem Weg fehl, verbleibt der Cluster in einem unbekannten Teilzustand. Argo CD läuft kontinuierlich im Cluster und gleicht deklarativ ab — es kennt stets den vollständigen Soll-Zustand aus Git und konvergiert darauf, auch nach Neustarts oder Teilausfällen. Rollback ist ein git revert, kein erneutes Ausführen einer Pipeline. Für regulierte Kunden ist das git-basierte Audit-Trail deutlich belastbarer als Pipeline-Logs.
Antwort innerhalb eines Werktages. NDA auf Anfrage.
