Bestehende Workloads deklarativ unter ArgoCD-Verwaltung bringen, ohne sie neu auszurollen. Das Adopt-Muster Schritt für Schritt, und die vier Fallen, die dabei aus einem harmlosen Diff plötzlich Duplikate machen.
GitOps braucht einen Controller im Cluster, der Git mit dem Ist-Zustand abgleicht. Wie ich ArgoCD per Helm installiere, mich das erste Mal anmelde und warum die Konfiguration in die Helm-Values gehört.
ArgoCD kommt mit einem lokalen admin-Account. Für ein Werkzeug, das ausrollt, was in Produktion läuft, ist das zu wenig. Wie man den admin deaktiviert, ArgoCD per OIDC an Keycloak hängt und dabei nicht in die Issuer-Falle tappt.
Ein zweiter Cluster soll dasselbe GitOps-Setup bekommen wie der erste. Einfach nochmal installieren klingt leicht, aber die Unterschiede zwischen zwei Clustern sind genau die Fehlerquellen. Über Trennung von Gemeinsamem und Cluster-Spezifischem.
Manche Umgebungen geben keinen direkten Cluster-Zugang her: kein kubeconfig, kein kubectl von außen, nur die Kubectl-Shell in Rancher. Das ist unbequem, aber eine sinnvolle Einschränkung, und man kann sehr sauber damit arbeiten.
Eine eigene Container-Registry ist mehr als ein Bilderspeicher. Harbor scannt Images beim Hochladen, spiegelt externe Images als Proxy-Cache und löst damit nebenbei die Egress-Wand, an der In-Cluster-Scanner scheitern.
Ein selbst gehosteter Team-Chat als Slack-Alternative, betrieben über einen Operator. Welche Bausteine zusammenkommen, wie die Datenbank angebunden wird und wie das Login über Keycloak läuft.
Statische kubeconfig-Dateien mit langlebigen Tokens sind ein Dauerrisiko: sie liegen auf Laptops, werden geteilt, laufen nie ab. Pinniped hängt den Cluster-Login an den zentralen Identity-Provider und gibt nur kurzlebige Zugänge aus. Warum das mein nächster Baustein ist.
Ein gehärteter Cluster blockt unsichere Pods. Die erste Begegnung damit ist verwirrend: das Deployment wird angelegt, aber es startet nichts, und der Fehler steht nicht dort, wo man ihn sucht.
Datenbanken auf Kubernetes deklarativ betreiben, über einen Operator. Wie eine Postgres-Instanz aus einer knappen Ressource entsteht und warum beim Aufräumen unter GitOps die Daten in Gefahr geraten.
Patch-Management denkt man beim Betriebssystem. Unter jeder Anwendung stecken aber Dutzende Abhängigkeiten, die genauso altern. Wie Renovate sie findet, pro Update einen getesteten Merge Request öffnet und warum das ohne CI gefährlich ist.
GitOps heißt, alles steht in Git. Passwörter und Token eben nicht, ein Klartext-Secret im Repo ist ein Leak mit Historie. Wie SOPS Secrets verschlüsselt, ohne dass sie undiffbar werden, und wie ein Operator sie im Cluster wieder entschlüsselt.
Ein Container-Image kann Dutzende bekannte Sicherheitslücken mitbringen, und niemand merkt es. Wie der Trivy-Operator laufende Workloads kontinuierlich scannt, was so ein Report zeigt und warum der Scanner in abgeschotteten Clustern selbst zum Problem wird.