ArgoCD Helm Chart升级后Redis认证配置问题解析

问题背景

在使用ArgoCD Helm Chart从7.3.11版本升级到7.7.5版本时，当配置Redis高可用(redis-ha)模式且禁用认证功能(auth: false)时，系统会出现"Secret argocd-redis not found"的错误，导致ArgoCD的多个组件无法正常启动。这个问题源于新版Helm Chart中对Redis密码处理逻辑的变化。

技术细节分析

在ArgoCD Helm Chart 7.3.11版本中，当配置redis-ha.enabled=true且auth=false时，系统可以正常运行而不需要任何Redis密码相关的Secret。然而在7.7.5版本中，即使明确禁用了认证功能，系统仍然会尝试查找名为"argocd-redis"的Secret，导致组件启动失败。

核心问题出现在环境变量配置模板中。在argocd-server的deployment.yaml模板中，REDIS_PASSWORD环境变量的valueFrom.secretKeyRef缺少optional: true属性。这意味着当使用内置redis-ha且禁用认证时，系统仍会强制要求存在对应的Secret。

解决方案

正确的做法应该是修改模板逻辑，确保在以下情况下为secretKeyRef添加optional: true属性：

1. 当使用外部Redis(externalRedis.host)时
2. 当使用内置redis-ha且禁用认证(auth: false)时

具体模板修改建议如下：

name: {{ default "argocd-redis" .Values.externalRedis.existingSecret }}
key: {{ if .Values.externalRedis.host }}redis-password{{ else }}auth{{ end }}
optional: {{ not (and (not .Values.externalRedis.host) .Values.redis-ha.auth) }}

影响范围

此问题会影响以下ArgoCD组件：

• argocd-app-controller
• argocd-server
• argocd-repo-server

这些组件都会因为相同的Secret缺失问题而无法正常启动。

临时解决方案

在官方修复此问题前，用户可以采取以下临时解决方案：

1. 即使不需要认证，也创建一个空的argocd-redis Secret
2. 回退到7.3.11版本
3. 手动修改生成的部署YAML，为REDIS_PASSWORD添加optional: true

最佳实践建议

对于生产环境，建议：

1. 即使在内置redis-ha模式下，也启用认证功能以提高安全性
2. 在升级前充分测试配置变更
3. 考虑使用外部Redis服务以获得更好的可维护性

这个问题提醒我们在进行Helm Chart升级时，需要仔细检查依赖服务和认证相关的配置变更，即使表面上看是简单的版本升级，也可能因为模板逻辑的变化而引入兼容性问题。