Lab : Signalements en GitOps avec Argo CD

plateforme/gitops
├── amorce/                              appliqué une fois à la main
│   ├── plateforme.yaml                  projet de l'équipe plateforme (leçon 9)
│   └── racine.yaml                      application racine, projet plateforme (leçon 4)
└── geres/                               tout ce que la racine déploie (directory.recurse)
    ├── projets/
    │   ├── default.yaml                 projet default vidé (leçon 9)
    │   └── signalements.yaml            projet cloisonné, abonnements aux notifications (leçons 9, 10)
    ├── configuration/
    │   └── argocd-rbac-cm.yaml          politique sans droits par défaut (leçon 9)
    └── applications/
        └── signalements.yaml            ApplicationSet protégé (leçon 6)

plateforme/signalements-deploiement
├── chart/templates/                     base en vague -1, migration en hook Sync,
│                                        application en vague 1, test de fumée PostSync (leçon 5),
│                                        SealedSecret en vague -2 (leçon 8)
└── environnements/
    ├── recette/values.yaml              dont le mot de passe chiffré par kubeseal --raw (leçon 8)
    └── production/values.yaml

#!/usr/bin/env bash
# Vérifie les propriétés attendues du lab GitOps avec Argo CD.
# Usage : ./verifier-lab.sh   (exige kubectl, argocd et jq, connectés au laboratoire)
# Chaque contrôle affiche OK ou ÉCHEC ; le code de sortie est le nombre d'échecs.
set -uo pipefail
echecs=0

controle() {   # controle "libellé" commande...
  local libelle=$1; shift
  if "$@" > /dev/null 2>&1; then
    echo "OK     $libelle"
  else
    echo "ÉCHEC  $libelle"
    echecs=$((echecs + 1))
  fi
}

controle "l'application racine se synchronise automatiquement, hors du projet default" \
  bash -c 'kubectl -n argocd get application racine -o json | jq -e ".spec.syncPolicy.automated != null and .spec.project != \"default\""'

controle "le projet default ne permet plus rien" \
  bash -c 'kubectl -n argocd get appproject default -o json | jq -e "((.spec.sourceRepos // []) == []) and ((.spec.destinations // []) == [])"'

controle "le projet signalements n'autorise aucune ressource de portée cluster" \
  bash -c 'kubectl -n argocd get appproject signalements -o json | jq -e "(.spec.clusterResourceWhitelist // []) == []"'

controle "le projet signalements ne vise que les namespaces de Signalements" \
  bash -c 'kubectl -n argocd get appproject signalements -o json | jq -e "[.spec.destinations[].namespace] | length > 0 and all(test(\"^(signalements-|apercu-)\"))"'

controle "l'ApplicationSet utilise les modèles Go avec missingkey=error" \
  bash -c 'kubectl -n argocd get applicationset signalements -o json | jq -e ".spec.goTemplate == true and ((.spec.goTemplateOptions // []) | index(\"missingkey=error\") != null)"'

controle "l'ApplicationSet ne supprime ni applications ni ressources" \
  bash -c 'kubectl -n argocd get applicationset signalements -o json | jq -e ".spec.syncPolicy.preserveResourcesOnDeletion == true and .spec.syncPolicy.applicationsSync == \"create-update\""'

for env in recette production; do
  app=signalements-$env
  controle "$app : générée par l'ApplicationSet, dans le projet signalements" \
    bash -c "kubectl -n argocd get application $app -o json | jq -e '.spec.project == \"signalements\" and (.metadata.ownerReferences[0].kind == \"ApplicationSet\")'"
  controle "$app : Synced et Healthy" \
    bash -c "kubectl -n argocd get application $app -o json | jq -e '.status.sync.status == \"Synced\" and .status.health.status == \"Healthy\"'"
  controle "$app : sans finalizer de suppression en cascade" \
    bash -c "kubectl -n argocd get application $app -o json | jq -e '(.metadata.finalizers // []) | index(\"resources-finalizer.argocd.argoproj.io\") == null'"
done

controle "la recette se synchronise automatiquement, avec auto-réparation" \
  bash -c 'kubectl -n argocd get application signalements-recette -o json | jq -e ".spec.syncPolicy.automated.selfHeal == true"'

controle "la production se synchronise à la main" \
  bash -c 'kubectl -n argocd get application signalements-production -o json | jq -e ".spec.syncPolicy.automated == null"'

manifestes=$(argocd app manifests signalements-recette --source git 2>/dev/null)
controle "les manifestes de la recette sont rendus" \
  test -n "$manifestes"
controle "PostgreSQL est en vague -1" \
  grep -q 'argocd.argoproj.io/sync-wave: "-1"' <<< "$manifestes"
controle "la migration est un hook Sync" \
  grep -q 'argocd.argoproj.io/hook: Sync$' <<< "$manifestes"
controle "un test de fumée tourne en PostSync" \
  grep -q 'argocd.argoproj.io/hook: PostSync$' <<< "$manifestes"
controle "aucun Secret en clair dans les manifestes de la recette" \
  bash -c '! grep -q "^kind: Secret$" <<< "$1"' _ "$manifestes"
controle "le Secret de la base est produit dans le cluster" \
  bash -c 'kubectl -n signalements-recette get secret signalements-postgresql -o json | jq -e "[.metadata.ownerReferences[]?.kind] | index(\"SealedSecret\") != null or index(\"ExternalSecret\") != null"'

controle "policy.default est vide" \
  bash -c 'kubectl -n argocd get configmap argocd-rbac-cm -o json | jq -e "(.data[\"policy.default\"] // \"\") == \"\""'

controle "les échecs de synchronisation du projet sont notifiés" \
  bash -c 'kubectl -n argocd get appproject signalements -o json | jq -e ".metadata.annotations // {} | keys | any(startswith(\"notifications.argoproj.io/subscribe.on-sync-failed.\"))"'

echo
echo "$echecs échec(s)"
exit "$echecs"