Как разграничить доступ в ArgoCD? Кто может синкать, кто только read-only?

В ArgoCD разграничение доступа реализуется через RBAC (Role-Based Access Control). Можно настроить роли с разными правами:

• read-only: пользователи могут просматривать состояние приложений, но не могут вносить изменения или запускать синхронизацию.
• sync: пользователи имеют право запускать синхронизацию приложений, изменять конфигурации и управлять деплоем.

Для этого в конфигурационном файле argocd-rbac-cm задаются политики, например:

policy.csv: |
  p, role:readonly, applications, get, */*, allow
  p, role:readonly, applications, list, */*, allow
  p, role:sync, applications, sync, */*, allow
  p, role:sync, applications, get, */*, allow
  p, role:sync, applications, update, */*, allow

Затем пользователям назначаются роли через группы или напрямую. Это позволяет гибко управлять доступом и разграничивать права на чтение и синхронизацию.