Was du nicht tun solltest
kubectl neben Argo CD: manuelle Edits sind
Drift; mit selfHeal sofort revertiert,
Änderungen gehören nach Git.
Alles im default-Projekt: kein
Blast-Radius-Limit, pro Team ein AppProject mit
sourceRepos/destinations schneiden.
Auto-Sync mit prune ohne Schutz: kritische
Ressourcen mit Prune=false oder
Prune=confirm markieren, PruneLast
nutzen.
Secrets im Klartext in Git: Argo CD bringt kein Secrets-Management mit, Sealed Secrets, External Secrets Operator o.ä. vorschalten.
ignoreDifferences als Pflaster: wer echten Drift ausblendet, verliert die Kernzusage von GitOps.