GKE + Helm + ArgoCD GitOps チュートリアル｜本番デプロイパイプライン

GKE + Helm + ArgoCD は本番 Kubernetes 環境の GitOps デファクト構成です。 本記事ではセットアップから App of Apps パターン、Workload Identity、Sealed Secrets までを実装例で解説します。

アーキテクチャ

Developer
   |
   git push (Helm Chart / values)
   |
   v
GitHub Repository ← ArgoCD が Sync (pull)
                                |
                                v
                       GKE Cluster (Prod)
                                |
                                v
                       Pods (Helm Chart 展開)

Step 1: GKE クラスタ作成

gcloud container clusters create-auto prod-cluster \
  --region=asia-northeast1 \
  --release-channel=stable \
  --enable-private-nodes

gcloud container clusters get-credentials prod-cluster \
  --region=asia-northeast1

Step 2: ArgoCD インストール

kubectl create namespace argocd
kubectl apply -n argocd -f https://raw.githubusercontent.com/argoproj/argo-cd/stable/manifests/install.yaml

# UI アクセス (Port Forward)
kubectl port-forward svc/argocd-server -n argocd 8080:443

# 初期パスワード取得
kubectl -n argocd get secret argocd-initial-admin-secret \
  -o jsonpath="{.data.password}" | base64 -d

Step 3: Helm Chart 構造

my-app/
├── Chart.yaml
├── values.yaml
├── values-prod.yaml
├── values-staging.yaml
└── templates/
    ├── deployment.yaml
    ├── service.yaml
    ├── ingress.yaml
    ├── hpa.yaml
    ├── serviceaccount.yaml   # Workload Identity 用 Annotation
    └── _helpers.tpl

# templates/deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: {{ .Release.Name }}
spec:
  replicas: {{ .Values.replicas }}
  selector:
    matchLabels: { app: {{ .Release.Name }} }
  template:
    metadata:
      labels: { app: {{ .Release.Name }} }
    spec:
      serviceAccountName: {{ .Release.Name }}
      containers:
      - name: app
        image: {{ .Values.image.repo }}:{{ .Values.image.tag }}
        resources:
          requests: { cpu: {{ .Values.resources.cpu }}, memory: {{ .Values.resources.memory }} }
---
# templates/serviceaccount.yaml (Workload Identity)
apiVersion: v1
kind: ServiceAccount
metadata:
  name: {{ .Release.Name }}
  annotations:
    iam.gke.io/gcp-service-account: {{ .Values.gsaEmail }}

Step 4: ArgoCD Application 定義

# argocd/applications/my-app-prod.yaml
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: my-app-prod
  namespace: argocd
spec:
  project: default
  source:
    repoURL: https://github.com/my-org/k8s-config.git
    targetRevision: HEAD
    path: charts/my-app
    helm:
      valueFiles: [values-prod.yaml]
  destination:
    server: https://kubernetes.default.svc
    namespace: production
  syncPolicy:
    automated:
      prune: true
      selfHeal: true
    syncOptions:
      - CreateNamespace=true
      - PrunePropagationPolicy=foreground

Step 5: App of Apps パターン

# argocd/root-app.yaml
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: root
  namespace: argocd
spec:
  source:
    repoURL: https://github.com/my-org/k8s-config.git
    path: argocd/applications/
    targetRevision: HEAD
  destination:
    server: https://kubernetes.default.svc
    namespace: argocd
  syncPolicy:
    automated: { prune: true, selfHeal: true }

# 全 App が applications/ 配下から自動同期

Step 6: Sealed Secrets (機密管理)

# Sealed Secrets Controller インストール
helm install sealed-secrets sealed-secrets/sealed-secrets -n kube-system

# Secret を Sealed Secret に変換
kubectl create secret generic db-pass --from-literal=password=secret -o yaml --dry-run=client | \
  kubeseal -o yaml > db-pass-sealed.yaml

# 結果: Git に commit 可能な暗号化 YAML
# 復号鍵はクラスタ内のみ存在

Step 7: Workload Identity

# GSA 作成
gcloud iam service-accounts create my-app-gsa

# Role 付与
gcloud projects add-iam-policy-binding PROJECT \
  --member=serviceAccount:[email protected] \
  --role=roles/cloudsql.client

# KSA ↔ GSA 紐づけ
gcloud iam service-accounts add-iam-policy-binding \
  [email protected] \
  --role=roles/iam.workloadIdentityUser \
  --member="serviceAccount:PROJECT.svc.id.goog[production/my-app]"

# Helm values
gsaEmail: [email protected]

Step 8: Canary デプロイ (Argo Rollouts)

apiVersion: argoproj.io/v1alpha1
kind: Rollout
metadata:
  name: my-app
spec:
  strategy:
    canary:
      steps:
      - setWeight: 20
      - pause: { duration: 5m }
      - setWeight: 50
      - pause: { duration: 10m }
      - setWeight: 100
  selector: { matchLabels: { app: my-app } }
  template: ... # Deployment と同じ

典型的なフロー

1. Developer が Helm Chart / values を Git に push
2. CI (GitHub Actions) が image build + push to Artifact Registry
3. CI が image tag を Git に commit (image updater 利用)
4. ArgoCD が Git 変更を検知 → 自動 Sync
5. Argo Rollouts が Canary 段階配信
6. Cloud Monitoring が SLO 監視、違反時に自動ロールバック

ベストプラクティス

• App of Apps で全 Application を Git で一元管理
• Sealed Secrets / External Secrets で機密 Git 管理
• Workload Identity で SA キー不要
• ArgoCD RBAC で本番権限制限
• SSO 統合 (Cloud Identity / Entra ID)
• Slack 通知連携 (argo-notifications)
• マルチクラスタ管理 (Hub-Spoke パターン)

※ Google Cloud は Google LLC、Argo Project / Helm は CNCF の所有物です。最新は ArgoCD 公式 をご確認ください。