Kubernetes.es

Introducción a GitOps: Despliegues Automatizados con ArgoCD

El despliegue de aplicaciones en Kubernetes ha pasado por varias etapas. Al principio, los desarrolladores ejecutaban comandos kubectl apply -f directamente desde sus terminales locales. Luego, los pipelines de CI/CD (como Jenkins o GitLab CI) asumieron esa tarea utilizando scripts automatizados. Hoy, el estándar absoluto en la industria es GitOps.

GitOps es un modelo operativo que toma las mejores prácticas de la gestión de código (control de versiones, pull requests, revisión por pares) y las aplica directamente al despliegue y gestión de infraestructura.

En esta guía te explicamos los conceptos fundamentales de GitOps y cómo empezar con ArgoCD, la herramienta líder del sector.

¿Qué es GitOps y por qué lo necesitas?

La premisa de GitOps es sumamente sencilla: Git es la única fuente de verdad. Toda la configuración del clúster (manifiestos YAML, charts de Helm, personalizaciones con Kustomize) debe residir en un repositorio Git controlado.

El flujo de trabajo sigue cuatro principios fundamentales:

1. Estado declarativo: El sistema se define mediante archivos de configuración (en el caso de Kubernetes, sus característicos YAML).
2. Fuente de verdad única: El estado deseado del clúster reside en Git.
3. Cambios aprobados automáticamente: Cualquier cambio de infraestructura se realiza mediante un git push o un Pull Request aprobado.
4. Agentes de conciliación de bucle cerrado: Un agente de software compara constantemente el estado en Git frente al estado real del clúster y corrige cualquier desviación.

Push vs. Pull: La gran diferencia en CI/CD

En los pipelines tradicionales (modelo Push), tu herramienta de CI tiene acceso completo (credenciales de administrador) al clúster para “empujar” los cambios. Esto representa un grave riesgo de seguridad: si tu sistema de CI se ve comprometido, tus clústeres también.

En GitOps (modelo Pull), el agente (como ArgoCD) se ejecuta dentro del propio clúster de Kubernetes. Este agente lee el repositorio Git y “tira” de los cambios, aplicándolos localmente. Tu sistema de CI externo no necesita credenciales de acceso al clúster; solo necesita subir código a Git o actualizar tags de imágenes de contenedores en los manifiestos.

Primeros pasos con ArgoCD

ArgoCD se ha consolidado como la herramienta preferida por la comunidad para implementar GitOps en Kubernetes debido a su potencia, facilidad de uso y excelente interfaz visual.

1. Instalación en el Clúster

Instalar ArgoCD es sumamente rápido. Puedes desplegarlo directamente usando los manifiestos oficiales:

kubectl create namespace argocd
kubectl apply -n argocd -f https://raw.githubusercontent.com/argoproj/argo-cd/stable/manifests/install.yaml

2. Acceso al Panel de Control (Web UI)

Por defecto, el servicio de ArgoCD no está expuesto fuera del clúster. Puedes acceder de forma temporal mediante redireccionamiento de puertos (port-forward):

kubectl port-forward svc/argocd-server -n argocd 8080:443

Ahora podrás entrar desde tu navegador web a https://localhost:8080. El usuario administrador por defecto es admin y la contraseña inicial se genera automáticamente en un Secreto de Kubernetes:

kubectl -n argocd get secret argocd-initial-admin-secret -o jsonpath="{.data.password}" | base64 -d

3. Definición de una Aplicación en ArgoCD

En ArgoCD, declaras tus despliegues mediante un recurso personalizado (CRD) llamado Application. Aquí tienes un ejemplo de configuración básico:

apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: aplicacion-ejemplo
  namespace: argocd
spec:
  project: default
  source:
    repoURL: 'https://github.com/tu-usuario/mi-repositorio-k8s.git'
    targetRevision: HEAD
    path: apps/frontend
  destination:
    server: 'https://kubernetes.default.svc'
    namespace: produccion
  syncPolicy:
    automated:
      prune: true
      selfHeal: true

Los parámetros mágicos: prune y selfHeal

• prune (poda): Si eliminas un recurso YAML de tu repositorio de Git, ArgoCD lo eliminará automáticamente del clúster de Kubernetes para mantener la coherencia.
• selfHeal (auto-recuperación): Si un desarrollador o un atacante modifica de forma manual un recurso en el clúster usando comandos directos (por ejemplo, cambiando réplicas o imágenes), ArgoCD detectará el cambio y lo revertirá de inmediato al estado definido en Git.

Implementar GitOps con ArgoCD reduce los errores de despliegue a cero, simplifica el rollback de versiones (simplemente haciendo un git revert) y aumenta exponencialmente la seguridad y trazabilidad de tu infraestructura.