Promovendo mudanças de dev para staging e para prod com Argo CD

Promoção em GitOps é uma operação de Git, não uma operação de kubectl. Um pull request no repositório de manifests atualiza o overlay de prod. O controller do Argo CD detecta o novo commit e reconcilia. As três coisas que precisam estar certas: o que dispara cada ambiente, como as tags de imagem se movem entre ambientes, e como o prod é protegido. Um fluxo que funciona: 1. O desenvolvedor faz merge do código no repositório da aplicação. O CI builda uma imagem e a publica com uma tag imutável, o SHA do Git ou um semver. 2. O CI commita a nova tag em apps/web/overlays/dev/kustomization.yaml na main do repositório de manifests. A Application de dev no Argo CD tem auto-sync e self-heal ligados. Ela detecta a mudança e entrega em dev em poucos minutos. 3. A promoção para staging é um pull request que atualiza apps/web/overlays/staging/kustomization.yaml para a mesma tag. Faz-se o merge depois de um smoke test ou uma checagem automatizada. O Argo CD sincroniza o staging. 4. A promoção para prod é outro pull request, dessa vez atualizando o overlay de prod. A proteção de branch exige code owners, uma checagem de CI passando e um revisor humano. Depois do merge, o Argo CD sincroniza o prod, ou uma pessoa clica em sync se o prod estiver configurado como manual. Inegociáveis que eu aplico: - O mesmo artefato de imagem passa por todos os ambientes. Não recompile entre staging e prod. O binário que passou no staging é o que vai para produção. - Tags imutáveis. Nada de latest, nada de main. Use o SHA do Git ou uma versão de release. - A política de sync do prod é diferente da do dev. Ou sync manual, ou auto-sync com sync windows para que só rode em horário comercial. - selfHeal é aceitável em dev, mas pense bem antes de usar em prod. Ele reverte qualquer mudança manual, o que pode causar dor de cabeça durante um incidente se o engenheiro de plantão precisar de um patch rápido. Se você mantém o selfHeal desligado em prod, também precisa de uma política clara de que a única forma de mudar o prod é através do Git. Pegadinha que morde os times: auto-sync desligado não significa self-heal desligado. São controles separados. Se o self-heal está ligado, o Argo CD ainda vai reverter edições manuais, mesmo que não puxe novos commits automaticamente. Configure os dois de forma deliberada. Hotfixes: tenha um bypass documentado que ainda passe pelo Git. Commite direto no caminho do overlay de prod com aprovação de alguém sênior. Nunca aplique manifests com kubectl a partir de um laptop só porque o fluxo de PR parece lento.