Organizando um repositório de manifests compartilhado entre vários times

Duas coisas precisam funcionar: ownership no nível de diretório, para que as revisões cheguem às pessoas certas, e AppProjects no Argo CD, para que o cluster reforce essa fronteira mesmo que um PR passe despercebido. Layout do repositório, dividido no nível superior por time: teams/ payments/ apps/ checkout/ ledger/ projects/ payments.yaml # AppProject do time de payments search/ apps/ indexer/ query-api/ projects/ search.yaml platform/ apps/ ingress-nginx/ cert-manager/ projects/ platform.yaml argocd/ applicationsets/ payments.yaml # um ApplicationSet por time search.yaml platform.yaml Depois, quatro peças amarradas entre si: 1. O CODEOWNERS na raiz do repositório mapeia caminhos de diretório para grupos de times. teams/payments/** direciona as revisões para @org/payments-platform. A proteção de branch na main exige revisão dos code owners corretos, então um PR do time de search não consegue alterar nada em teams/payments sem um revisor de payments. 2. Um AppProject por time. O AppProject restringe de quais caminhos do repositório de origem as Applications do time podem ler, para quais destinos (cluster mais namespace) elas podem implantar, e quais tipos de recurso do Kubernetes o time tem permissão de criar. O AppProject do time de payments não consegue implantar no namespace search-prod mesmo que alguém tente. 3. Um ApplicationSet por time com um gerador de diretório Git apontando para a pasta apps daquele time. Um app novo aparece em teams/payments/apps, uma nova Application surge automaticamente, pertencente ao projeto payments. 4. O RBAC da UI do Argo CD espelha os projetos. Engenheiros de payments conseguem sincronizar Applications de payments, vê-las, reiniciar pods. Eles não conseguem tocar em Applications de search. O time de platform consegue ver tudo. O AppProject é a peça estrutural que sustenta tudo. O CODEOWNERS protege o lado do Git. O AppProject protege o lado do cluster. Você precisa dos dois. O CODEOWNERS sozinho funciona bem até um engenheiro de platform com acesso de escrita em tudo dar merge em um typo. O AppProject bloqueia o deploy no controller antes mesmo de ele chegar ao API server. Uma coisa que eu evito: não coloque os apps de todos os times em um único diretório apps/ plano, com prefixos de time nos nomes, tipo apps/payments-checkout. Funciona para cinco apps e desmorona em cinquenta. Fronteiras de diretório não custam nada e o CODEOWNERS casa com elas naturalmente.