RBAC (argocd-rbac-cm)
Casbin-Policies in policy.csv:
p, <subj>, <resource>, <action>, <object>, <effect>;
Gruppen-Mapping via g, <gruppe>, <rolle>.
Built-ins: role:readonly, role:admin.
policy.default gilt für jeden
authentifizierten Nutzer und lässt sich nicht per
deny-Regel aushebeln, restriktiv setzen.
Seit v3.0: logs, get ist eigenständig
nötig (nicht mehr von applications geerbt);
update/delete wirken nur noch auf die
App selbst (Sub-Ressourcen fine-grained).
# argocd-rbac-cm, policy.csv; Gruppen wie vom IdP p, role:team-shop, applications, get, team-shop/*, allow p, role:team-shop, applications, sync, team-shop/*, allow p, role:team-shop, logs, get, team-shop/*, allow g, shop-devs, role:team-shop
SSO
dex als mitgelieferter Identity-Broker (OIDC,
SAML, LDAP, GitHub, ...) oder direktes OIDC über
oidc.config in argocd-cm.
Seit v3.0 mappt dex-RBAC auf
federated_claims.user_id statt sub,
bestehende Policies beim Upgrade anpassen.