Argo CD에 레지스트리 인증 추가, Kubernetes의 imagePullSecrets를 대체할 수 있을까? 🤔

Argo CD를 사용해 GitOps 워크플로우를 구성하다 보면 한 가지 의문이 생길 수 있습니다. "프라이빗 컨테이너 레지스트리 인증 정보를 Argo CD에 추가하면, 굳이 Kubernetes의 각 네임스페이스마다 imagePullSecrets를 따로 생성해야 할까?" 결론부터 말하자면, 대부분의 경우 그럴 필요가 없습니다. Argo CD가 이 과정을 아주 스마트하게 처리해주기 때문이죠.

Kubernetes의 기본 동작: imagePullSecrets

먼저 Kubernetes가 프라이빗 레지스트리에서 이미지를 어떻게 가져오는지 되짚어 보겠습니다. 컨테이너 런타임(예: containerd, CRI-O)이 프라이빗 레지스트리에 접근하려면 인증 정보가 필요합니다. Kubernetes에서는 이 인증 정보를 Secret 객체, 특히 kubernetes.io/dockerconfigjson 타입의 Secret으로 저장합니다.

그리고 Pod을 배포할 때, Pod 명세(spec)에 imagePullSecrets 필드를 추가하여 어떤 Secret을 사용해 이미지를 가져올지 명시해야 합니다.

apiVersion: v1
kind: Pod
metadata:
  name: my-private-pod
spec:
  containers:
  - name: my-app
    image: my-private-registry.io/my-app:1.0.0
  imagePullSecrets:
  - name: my-registry-secret

 

이 방식은 직관적이지만, 여러 네임스페이스에 걸쳐 다수의 애플리케이션을 배포해야 할 경우 문제가 복잡해집니다. 모든 네임스페이스에 imagePullSecrets를 일일이 생성하고, 배포하는 모든 Pod(또는 Deployment, StatefulSet 등)의 YAML 파일에 imagePullSecrets 설정을 추가해야 하는 번거로움이 발생합니다. 이는 GitOps의 핵심인 '자동화'와는 거리가 먼 수작업입니다.

---

Argo CD의 해결책: 인증 정보의 중앙 관리와 자동 전파

Argo CD는 이러한 번거로움을 해결하기 위해 레지스트리 인증 정보를 중앙에서 관리하고, 필요에 따라 각 애플리케이션의 네임스페이스에 동적으로 imagePullSecrets를 생성 및 관리해주는 기능을 제공합니다.

1. Argo CD에 레지스트리 인증 정보 등록

먼저 Argo CD의 설정(Settings) 메뉴나 argocd CLI를 통해 프라이빗 레지스트리의 주소와 인증 정보(사용자 이름, 비밀번호 또는 액세스 토큰)를 등록합니다. 이 정보는 Argo CD 자체의 Secret에 안전하게 저장됩니다.

argocd repo add my-private-registry.io --username my-user --password my-password

2. Argo CD의 자동 imagePullSecrets 생성

Argo CD는 자신이 관리하는 Application 리소스가 특정 네임스페이스에 동기화될 때, 해당 Application이 사용하는 컨테이너 이미지가 어떤 레지스트리에서 오는지 파악합니다. 만약 해당 이미지가 Argo CD에 등록된 프라이빗 레지스트리의 것이라면, Argo CD는 다음과 같은 작업을 자동으로 수행합니다.

• imagePullSecrets 자동 생성: Argo CD는 해당 네임스페이스에 argocd-image-pull-secret-<해시값>과 같은 이름으로 imagePullSecrets를 자동으로 생성합니다. 이 Secret은 Argo CD에 저장된 인증 정보를 담고 있습니다.
• Service Account에 imagePullSecrets 패치: 단순히 Secret을 생성하는 것에서 그치지 않고, 해당 네âm스페이스의 default Service Account에 이 Secret을 imagePullSecrets로 자동으로 추가(patch)해줍니다.

Kubernetes에서는 Service Account에 imagePullSecrets가 설정되어 있으면, 해당 Service Account를 사용하는 모든 Pod은 imagePullSecrets 필드를 명시하지 않아도 자동으로 해당 Secret을 사용하여 이미지를 가져올 수 있습니다.

따라서 개발자는 더 이상 Pod이나 Deployment의 YAML 파일에 imagePullSecrets를 일일이 명시할 필요가 없어집니다. Argo CD가 네임스페이스 레벨에서 이 문제를 해결해주기 때문입니다.

---

그렇다면 언제 imagePullSecrets를 직접 관리해야 할까?

물론 예외적인 경우도 있습니다.

• Argo CD가 관리하지 않는 리소스: Argo CD의 Application을 통해 배포되지 않고, kubectl 등을 통해 직접 생성된 Pod이나 Deployment는 Argo CD의 자동화 혜택을 받을 수 없습니다. 이 경우에는 기존 방식대로 imagePullSecrets를 직접 생성하고 Pod 명세에 추가해야 합니다.
• 특정 Service Account 사용: default가 아닌 별도의 Service Account를 사용하고 해당 Service Account에만 특정 레지스트리 접근 권한을 부여하고 싶을 때는, imagePullSecrets를 직접 생성하고 해당 Service Account에 연결하는 것이 더 적합한 관리 방식일 수 있습니다.
• Argo CD의 imagePullSecrets 관리 기능 비활성화: 드물지만, Argo CD 설정에서 imagePullSecrets 자동 생성 및 패치 기능을 비활성화한 경우에는 직접 관리해야 합니다.

결론 🎯

Argo CD에 레지스트리 인증 정보를 추가하면, Kubernetes 클러스터에 imagePullSecrets를 별도로 추가하고 관리해야 하는 번거로움이 대부분 사라집니다. Argo CD는 인증 정보를 중앙에서 관리하고, 각 애플리케이션이 배포되는 네임스페이스에 필요한 imagePullSecrets를 자동으로 생성하고 Service Account에 연결해주는 강력한 기능을 제공합니다.

이를 통해 개발자는 인프라 설정의 복잡함에서 벗어나 애플리케이션 코드 자체에 더 집중할 수 있으며, GitOps 파이프라인의 완전 자동화를 한 단계 더 발전시킬 수 있습니다. 이제 imagePullSecrets 관리는 똑똑한 Argo CD에게 맡겨보세요!