GitOps (Flux v2) 支持的参数

Azure 使用适用于 Azure Kubernetes 服务 (AKS) 和已启用 Azure Arc 的 Kubernetes 群集的 GitOps 提供自动化应用程序部署功能。 带有 Flux v2 的 GitOps 允许将 Git 存储库用作群集配置和应用程序部署的事实来源。 有关详细信息，请参阅使用 GitOps (Flux v2) 部署应用程序和教程：使用 GitOps 和 Flux v2 部署应用程序。

已启用 Azure Arc 的 Kubernetes 或 Azure Kubernetes 服务上的 GitOps 使用 Flux，这是一种热门的开源工具集，支持许多参数以支持各种方案。 有关 Flux 支持的所有参数的说明，请参阅官方 Flux 文档。

若要查看 Azure 中 Flux 支持的所有参数，请参阅 az k8s-configuration 文档。 此实现目前并不支持 Flux 支持的所有参数。 如果 Azure 实现中缺少你需要的参数，请告诉我们。

本文介绍了可用于 az k8s-configuration flux create 命令的一些参数和自变量。 还可以通过使用 Azure CLI 中的 -h 参数（例如 az k8s-configuration flux -h 或 az k8s-configuration flux create -h），查看 az k8s-configuration flux 的参数完整列表。

配置常规参数

参数	格式	说明
--cluster-name -c	字符串	Azure 中群集资源的名称。
--cluster-type -t	允许的值：connectedClusters、managedClusters	将 connectedClusters 用于已启用 Azure Arc 的 Kubernetes 群集，或将 managedClusters 用于 AKS 群集。
--resource-group -g	字符串	包含群集资源的 Azure 资源组的名称。
--name -n	字符串	Azure 中 Flux 配置的名称。
--namespace --ns	字符串	用于部署配置的命名空间的名称。 默认：default。
--scope -s	字符串	操作员的权限范围。 可能的值为 cluster（完全访问权限）或 namespace（受限访问权限）。 默认：cluster。
--suspend	flag	暂停此 Flux 配置中定义的所有源和 kustomize 调整。 在暂停时处于活动状态的调整将继续进行。

源常规参数

参数	格式	说明
--kind	字符串	要调整的源类型。 允许的值：bucket、git、azblob。 默认：git。
--timeout	golang 持续时间格式	在超时之前尝试调整源的最长时间。默认值：10m。
--sync-interval --interval	golang 持续时间格式	在群集上调整源的时间间隔。 默认：10m。

Git 存储库源引用参数

参数	格式	说明
--branch	字符串	Git 源中要同步到群集的分支。 默认：master。 较新的存储库可能有一个名为 main 的根分支，在这种情况下，需要设置 --branch=main。
--tag	字符串	Git 源中要同步到群集的标记。 示例：--tag=3.2.0。
--semver	字符串	Git 源中要同步到群集的 Git 标记 semver 范围。 示例：--semver=">=3.1.0-rc.1 <3.2.0"。
--commit	字符串	Git 源中要同步到群集的 Git 提交 SHA。 示例：--commit=363a6a8fe6a7f13e05d34c163b0ef02a777da20a。

有关详细信息，请参阅有关 Git 存储库签出策略的 Flux 文档。

公共 Git 存储库

参数	格式	说明
--url -u	http[s]://server/repo[.git]	要在群集上调整的 Git 存储库源的 URL。

使用 SSH 的专用 Git 存储库

专用 Git 存储库以及 SSH 和 Flux 创建的密钥

将 Flux 生成的公钥添加到 Git 服务提供程序中的用户帐户。

参数	格式	说明
--url -u	ssh://user@server/repo[.git]	如果公钥与存储库而不是用户帐户相关联，则 git@ 应替换 user@。

专用 Git 存储库以及 SSH 和用户提供的密钥

直接或者在文件中使用你自己的私钥。 该密钥必须采用 PEM 格式，并以换行符 (\n) 结尾。

将关联的公钥添加到 Git 服务提供程序中的用户帐户。

参数	格式	说明
--url -u	ssh://user@server/repo[.git]	如果公钥与存储库而不是用户帐户相关联，则 git@ 应替换 user@。
--ssh-private-key	采用 PEM 格式的 Base64 密钥	直接提供密钥。
--ssh-private-key-file	本地文件的完整路径	提供包含 PEM 格式密钥的本地文件的完整路径。

专用 Git 主机以及 SSH 和用户提供的已知主机

Flux operator 在其 known_hosts 文件中维护一个常用 Git 主机列表。 Flux 在建立 SSH 连接之前使用此信息对 Git 存储库进行身份验证。 如果你使用的是不常用的 Git 存储库或自己的 Git 主机，则可以提供主机密钥，这样 Flux 就可以识别你的存储库。

与私钥一样，可直接或在文件中提供 known_hosts 内容。 提供自己的内容时，请使用 known_hosts 内容格式规范，以及上述任一 SSH 密钥方案。

参数	格式	说明
--url -u	ssh://user@server/repo[.git]	git@ 可以替换 user@。
--known-hosts	Base64 字符串	直接提供 known_hosts 内容。
--known-hosts-file	本地文件的完整路径	在本地文件中提供 known_hosts 内容。

专用 Git 存储库以及 HTTPS 用户和密钥

参数	格式	说明
--url -u	https://server/repo[.git]	使用基本身份验证的 HTTPS。
--https-user	原始字符串	HTTPS 用户名。
--https-key	原始字符串	HTTPS 个人访问令牌或密码。

专用 Git 存储库以及 HTTPS CA 证书

参数	格式	说明
--url -u	https://server/repo[.git]	使用基本身份验证的 HTTPS。
--https-ca-cert	Base64 字符串	用于 TLS 通信的 CA 证书。
--https-ca-cert-file	本地文件的完整路径	在本地文件中提供 CA 证书内容。

Bucket 源参数

如果使用 bucket 源，下面是特定于 Bucket 的命令自变量。

参数	格式	说明
--url -u	URL 字符串	bucket 的 URL。 支持的格式：http://、https://。
--bucket-name	字符串	要同步的 bucket 的名称。
--bucket-access-key	字符串	用于通过 bucket 进行身份验证的访问密钥 ID。
--bucket-secret-key	字符串	用于通过 bucket 进行身份验证的密钥。
--bucket-insecure	布尔	与不使用 TLS 的 bucket 进行通信。 如果未提供，则假定为 false；如果提供，则假定为 true。

Azure Blob 存储帐户源参数

如果使用 azblob 源，下面是特定于 Blob 的命令自变量。

参数	格式	说明
--url -u	URL 字符串	azblob 的 URL。
--container-name	字符串	要同步的 Azure Blob 存储容器的名称
--sp_client_id	字符串	用于通过 Azure Blob 对服务主体进行身份验证的客户端 ID，对于此身份验证方法是必需的
--sp_tenant_id	字符串	用于通过 Azure Blob 对服务主体进行身份验证的租户 ID，对于此身份验证方法是必需的
--sp_client_secret	字符串	用于通过 Azure Blob 对服务主体进行身份验证的客户端机密
--sp_client_cert	字符串	用于通过 Azure Blob 对服务主体进行身份验证的 Base64 编码客户端证书
--sp_client_cert_password	字符串	用于通过 Azure Blob 对服务主体进行身份验证的客户端证书的密码
--sp_client_cert_send_chain	字符串	指定在获取令牌时是否在客户端声明中包含 x5c 标头，以便为客户端证书启用基于使用者名称/颁发者的身份验证
--account_key	字符串	用于身份验证的 Azure Blob 共享密钥
--sas_token	字符串	用于身份验证的 Azure Blob SAS 令牌
--managed-identity-client-id	字符串	要通过 Azure Blob 进行身份验证的托管标识的客户端 ID

用于对源进行身份验证的本地机密

可以使用本地 Kubernetes 机密对 git、bucket 或 azBlob 源进行身份验证。 本地机密必须包含源需要的所有身份验证参数，并且必须在与 Flux 配置相同的命名空间中创建。

参数	格式	说明
--local-auth-ref --local-ref	字符串	对 Flux 配置命名空间中的 Kubernetes 机密的本地引用，用于对源进行身份验证。

对于 HTTPS 身份验证，创建包含 username 和 password 的机密：

kubectl create ns flux-config
kubectl create secret generic -n flux-config my-custom-secret --from-literal=username=<my-username> --from-literal=password=<my-password-or-key>

对于 SSH 身份验证，使用 identity 和 known_hosts 字段创建机密：

kubectl create ns flux-config
kubectl create secret generic -n flux-config my-custom-secret --from-file=identity=./id_rsa --from-file=known_hosts=./known_hosts

对于这两种情况，在创建 Flux 配置时，请使用 --local-auth-ref my-custom-secret 代替其他身份验证参数：

az k8s-configuration flux create -g <cluster_resource_group> -c <cluster_name> -n <config_name> -t connectedClusters --scope cluster --namespace flux-config -u <git-repo-url> --kustomization name=kustomization1 --local-auth-ref my-custom-secret

详细了解如何将本地 Kubernetes 机密与以下身份验证方法配合使用：

• Git 存储库 HTTPS 身份验证
• Git 存储库 HTTPS 自签名证书
• Git 存储库 SSH 身份验证
• Bucket 静态身份验证

Git 实现

若要支持实现 Git 的各种存储库提供程序，可将 Flux 配置为使用以下两个 Git 库之一：go-git 或 libgit2。 有关详细信息，请参阅 Flux 文档。

Flux v2 的 GitOps 实现会自动确定用于公有云存储库的库：

• 对于 GitHub、GitLab 和 BitBucket 存储库，Flux 使用 go-git。
• 对于 Azure DevOps 和所有其他存储库，Flux 使用 libgit2。

对于本地存储库，Flux 使用 libgit2。

自定义

Kustomization 是为 Flux 配置创建的设置，可用于在源存储库中选择与群集协调的特定路径。 无需在此指定路径上创建 'kustomization.yaml 文件。 默认情况下，此路径中的所有清单都会进行调整。 但是，如果要为此存储库路径上的应用程序创建 Kustomize 覆盖，应在 git 中创建 Kustomize 文件以使用 Flux 配置。

使用 az k8s-configuration flux kustomization create 可以在配置期间创建一个或多个自定义项。

参数	格式	说明
--kustomization	无值	用于配置自定义项的参数字符串的开头。 可以多次使用它来创建多个自定义项。
name	字符串	此自定义项的唯一名称。
path	字符串	Git 存储库中的、要在群集上调整的路径。 默认值为分支的顶层。
prune	布尔	默认值为 false。 设置 prune=true 以确保 Flux 部署到群集的对象在从存储库中移除时或者在删除 Flux 配置或 kustomization 时被清除。 对于用户无权访问群集，且只能通过 Git 存储库进行更改的环境，使用 prune=true 非常重要。
depends_on	字符串	在调整此自定义项之前必须调整的一个或多个自定义项（在此配置中）的名称。 例如：depends_on=["kustomization1","kustomization2"]。 如果移除具有依赖自定义项的自定义项，则依赖的自定义项的状态将变为 DependencyNotReady，并且调整将停止。
timeout	golang 持续时间格式	默认：10m。
sync_interval	golang 持续时间格式	默认：10m。
retry_interval	golang 持续时间格式	默认：10m。
validation	字符串	值：none、client、server。 默认：none。 有关详细信息，请参阅 Flux 文档。
force	布尔	默认：false。 设置 force=true 可以在修补因不可变字段发生更改而失败时，指示 kustomize 控制器重新创建资源。

还可以使用 az k8s-configuration flux kustomization 在 Flux 配置中更新、列出、显示和删除自定义项。

后续步骤

• 详细了解如何使用适用于 AKS 和已启用 Azure Arc 的 Kubernetes 的 GitOps (Flux v2) 进行应用程序部署。
• 使用我们的教程了解如何在 AKS 或已启用 Azure Arc 的 Kubernetes 群集上启用 GitOps。
• 了解使用 GitOps 的 CI/CD 工作流。