Argo CD 用户管理：与 Google Workspace 的三种集成方案详解-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00812/article/details/148374577

Argo CD 用户管理：与 Google Workspace 的三种集成方案详解

argo-cd Argo CD 是一个声明式 Kubernetes 应用部署工具，可实现应用程序的自动化部署和版本控制。 * 提供 Kubernetes 应用的自动化部署和版本控制功能，支持多种部署策略，简化 Kubernetes 应用管理。 * 有什么特点：声明式部署、支持多种部署策略、简化 Kubernetes 应用管理。项目地址: https://gitcode.com/gh_mirrors/ar/argo-cd

前言

在现代企业环境中，将 Argo CD 与现有的身份认证系统集成是确保安全访问的重要环节。本文详细介绍 Argo CD 与 Google Workspace 集成的三种主要方法，帮助您根据实际需求选择最适合的方案。

方案对比

在开始配置前，让我们先了解三种集成方式的特性对比：

| 方案 | 认证方式 | 支持Google Groups | 复杂度 | 推荐度 | |------|----------|-------------------|--------|--------| | OpenID Connect | OIDC | ❌ | 低 | ⭐⭐⭐⭐ | | SAML | SAML | ❌ | 中 | ⭐⭐ | | OpenID Connect + Google Groups | OIDC+API | ✔️ | 高 | ⭐⭐⭐⭐⭐ |

方案一：OpenID Connect 集成（基础版）

适用场景

适合只需要基本用户认证，不需要基于Google Groups进行RBAC控制的场景。

配置步骤

配置OAuth同意屏幕
- 访问Google Cloud控制台
- 选择"API和服务" > "OAuth同意屏幕"
- 设置应用名称和支持邮箱
- 添加授权域名（允许登录的域名）
- 添加openid和.../auth/userinfo.profile作用域
创建OAuth客户端ID
- 选择"Web应用程序"类型
- 设置授权JavaScript源为Argo CD URL
- 设置授权重定向URI为<argo-cd-url>/api/dex/callback
- 保存生成的客户端ID和密钥

配置Argo CD

data:
  url: https://argocd.example.com
  dex.config: |
    connectors:
    - config:
        issuer: https://accounts.google.com
        clientID: YOUR_CLIENT_ID
        clientSecret: YOUR_CLIENT_SECRET
      type: oidc
      id: google
      name: Google

方案二：SAML集成（不推荐）

注意事项

Google官方和Dex都建议避免使用SAML方式，主要因为：

安全性较低
即将被弃用
不支持Google Groups信息

配置流程

创建SAML应用
- 在Google管理控制台创建自定义SAML应用
- 配置实体ID和ACS URL为<argo-cd-url>/api/dex/callback
- 设置属性映射：Primary email → name/email

配置Argo CD

data:
  url: https://argocd.example.com
  dex.config: |
    connectors:
    - type: saml
      id: saml
      name: saml
      config:
        ssoURL: https://sso-url
        entityIssuer: https://argocd.example.com/api/dex/callback
        caData: BASE64_CERT
        redirectURI: https://argocd.example.com/api/dex/callback
        usernameAttr: name
        emailAttr: email

方案三：OpenID Connect + Google Groups（推荐）

核心优势

此方案不仅提供用户认证，还能获取用户的Google Groups信息，实现基于组的RBAC控制。

详细配置

基础OIDC配置
- 完成方案一中的OIDC基础配置
设置Directory API访问
- 创建具有域范围委派的服务账号
- 仅授予https://www.googleapis.com/auth/admin.directory.group.readonly权限
- 启用Admin SDK API

创建Secret存储凭证

apiVersion: v1
kind: Secret
metadata:
  name: argocd-google-groups-json
data:
  googleAuth.json: BASE64_ENCODED_JSON

修改Dex部署
- 添加卷挂载以访问凭证文件

配置Argo CD

data:
  url: https://argocd.example.com
  dex.config: |
    connectors:
    - config:
        redirectURI: https://argocd.example.com/api/dex/callback
        clientID: YOUR_CLIENT_ID
        clientSecret: YOUR_CLIENT_SECRET
        serviceAccountFilePath: /tmp/oidc/googleAuth.json
        adminEmail: admin@example.com
        fetchTransitiveGroupMembership: true
      type: google
      id: google
      name: Google

RBAC配置示例

获取Groups信息后，可在RBAC配置中使用：

apiVersion: v1
kind: ConfigMap
metadata:
  name: argocd-rbac-cm
data:
  policy.csv: |
    g, sysadmins@example.com, role:admin
    g, developers@example.com, role:readonly