Highlights (04.08.2026)
Source Hydrator: beta (hydrator.enabled
in argocd-cmd-params-cm + commit-server). Argo CD
rendert aus der dry source (Chart/Kustomize) in einen
hydrated Branch, den der Sync dann liest. Neu: eigenes
Ziel-Repo (syncSource.repoURL) und Prüfung der dry
source per sourceIntegrity (alpha). Die Commits des
Hydrators sind unsigniert, eine Signaturpflicht auf dem hydrated
Branch lässt den Sync scheitern.
Impersonation: beta
(application.sync.impersonation.enabled in
argocd-cm, SA je Ziel über
destinationServiceAccounts im AppProject). Sync und
seit v3.5 auch Logs, Events, Delete und Resource Actions laufen
unter diesem SA statt unter dem des Controllers, die SAs brauchen
die Rechte dafür. ...impersonation.enforced: 'false'
fällt ohne Treffer auf den Controller-SA zurück und hebelt
die Trennung aus.
Helm 4.2 im Render-Pfad (vorher Helm 3),
helm.version: v3 wird ignoriert.
Plain-HTTP-OCI-Registries brauchen
--insecure-oci-force-http, auch Dependency-Registries
aus Chart.yaml, die dafür jetzt als eigenes Repo
registriert sein müssen. Nicht mit
--insecure-skip-server-verification in derselben Kette
kombinierbar.
Webhook-Jitter konfigurierbar: Refreshes nach Push laufen gestreut statt als Thundering Herd.
SSH-Repos ohne Credentials prüfen den
Host-Key nur noch gegen argocd-ssh-known-hosts-cm, ins
Image gebackene known_hosts vorher dorthin
übertragen.
Support-Fenster
Nur die drei jüngsten Minor-Linien bekommen Patches (aktuell 3.5, 3.4, 3.3), alles darunter gilt als EOL, auch für Security-Fixes. 3.6 ist für den 03.11.2026 geplant (rc4 seit 22.10.2026), damit fällt 3.3 aus dem Support. Ein Minor erscheint rund alle drei Monate. Mindeststand wegen der eMudhra-CAs (CVE-2026-111943): 3.5.6, 3.4.12 oder 3.3.18.