ArgoCD Helm 6.10.0 升级问题分析与解决方案

问题背景

在使用 ArgoCD Helm Chart 从 6.9.3 版本升级到 6.10.0 版本时，部分用户遇到了控制器无法启动的问题，错误信息显示为"secret 'argocd-redis' not found"。这个问题主要影响了使用 Terraform 进行部署的用户群体。

问题现象

升级过程中，多个核心组件出现启动失败，包括：

• 应用控制器 (application-controller)
• 仓库服务器 (repo-server)
• 主服务器 (server)
• Redis HA 代理 (redis-ha-haproxy)
• Redis HA 服务器 (redis-ha-server)

所有组件都报告相同的错误："CreateContainerConfigError"，根本原因是缺少名为"argocd-redis"的 Secret。

技术原理分析

在 ArgoCD Helm Chart 6.10.0 版本中，引入了一个新的初始化机制：

1. 升级时会自动创建一个 Kubernetes Job，名为"argocd-redis-secret-init"
2. 这个 Job 负责生成并创建 Redis 认证所需的 Secret
3. 该 Secret 会被其他组件挂载使用

这个变更属于安全增强，目的是为 Redis 连接提供更安全的认证机制。

问题根源

通过分析用户报告和社区讨论，发现问题主要出现在以下场景：

1. Terraform 配置问题：用户在使用 Terraform helm_release 资源时设置了"disable_webhooks = true"，这会阻止 Helm 创建必要的 Hook 资源，包括初始化 Job。

2. 外部 Redis 配置问题：当用户配置了"externalRedis.username"参数时，可能会干扰 Secret 的生成逻辑。

解决方案

针对 Terraform 用户

修改 Terraform 配置，移除或禁用"disable_webhooks"参数：

resource "helm_release" "argo_cd" {
  # ... 其他配置保持不变 ...
  disable_webhooks = false  # 或者直接移除这一行
}

针对手动升级用户

1. 确保升级前没有残留的旧版 Secret：

kubectl delete secret argocd-redis -n argocd

2. 执行标准升级流程：

helm upgrade argocd argo/argo-cd --reuse-values --wait

3. 观察初始化 Job 是否成功运行：

kubectl get pods -n argocd -w

针对使用外部 Redis 的用户

检查并确保"externalRedis.username"参数设置正确，如果不需要特定用户名，建议设置为空字符串：

externalRedis:
  username: ""

最佳实践建议

1. 升级前检查：在升级前使用"helm template"或"helm diff"命令预览变更。

2. 监控初始化过程：升级后立即监控初始化 Job 的状态，确保其成功完成。

3. 回滚策略：准备好回滚方案，特别是生产环境，可以预先测试升级流程。

4. 文档参考：仔细阅读版本变更说明，特别是涉及安全相关的变更。

总结

ArgoCD Helm Chart 6.10.0 版本引入了更安全的 Redis 认证机制，这要求升级过程必须允许 Helm 创建必要的初始化资源。通过正确配置 Terraform 或手动升级流程，可以顺利完成升级。理解 Helm Hook 机制和初始化流程对于解决此类问题至关重要。