GitOps mit ArgoCD: Production-Setup Schritt für Schritt

Pexon Consulting | 11 Min. Lesezeit | 19.06.2026

TL;DR

GitOps mit ArgoCD ist 2026 der Standard-Pfad für produktive Kubernetes-Setups bei DACH-Mittelständlern — niedriger Operations-Aufwand, klare Audit-Pfade, schnelle Roll-outs. Pexon Consulting baut produktive Setups in 2 Wochen mit App-of-Apps-Pattern, Multi-Cluster-Management und Notification-Pipeline. Festpreis-Sprint zwischen 18 und 32k EUR. Erfahrung aus 18+ produktiven Setups.

Warum ArgoCD im Production-Setup

Wir hören das wöchentlich in Engineering-Lead-Erstgesprächen: „Wir haben ArgoCD im Pilot mit 3 Apps. Soll es jetzt Production tragen — und wenn ja, wie strukturieren wir das?“

Drei Hauptgründe für ArgoCD in Production.

Grund 1: Git als Single Source of Truth. Jeder Cluster-Zustand kommt aus dem Git-Repo. Bei Drift-Erkennung wird der Cluster automatisch in den gewünschten Zustand zurückgezogen. Bei Audit-Anfragen ist Git-Historie der vollständige Audit-Trail.

Grund 2: UI für Operations. Engineering-Teams plus Operations-Verantwortliche sehen Cluster-State auf einen Blick. Bei Incidents schnelles Root-Cause-Analysis.

Grund 3: Multi-Cluster-Tiefe. Ein ArgoCD-Setup managed 1-50 Cluster aus einem UI. Mehr im ArgoCD vs Flux-Vergleich.

Die Pexon-Repository-Struktur

Wir nutzen Multi-Repo-Pattern mit klarer Trennung.

Damit ist Infrastruktur klar von Application-Configuration getrennt. Engineering-Teams arbeiten in firma-app-configs, Platform-Team in firma-k8s-platform.

Das App-of-Apps-Pattern

Eine ArgoCD-Application, die andere Applications managt. Bei großen Setups elegant.

apiVersion: argoproj.io/v1alpha1
kind: ApplicationSet
metadata:
  name: platform-apps
  namespace: argocd
spec:
  generators:
    - matrix:
        generators:
          - git:
              repoURL: https://github.com/firma/firma-app-configs
              revision: HEAD
              directories:
                - path: '*/overlays/*'
          - clusters:
              selector:
                matchLabels:
                  argocd.argoproj.io/secret-type: cluster
  template:
    metadata:
      name: '{{path[0]}}-{{path[2]}}-{{name}}'
    spec:
      project: chatbot-platform
      source:
        repoURL: https://github.com/firma/firma-app-configs
        targetRevision: HEAD
        path: '{{path}}'
      destination:
        server: '{{server}}'
        namespace: '{{path[0]}}'
      syncPolicy:
        automated:
          prune: true
          selfHeal: true
        syncOptions:
          - CreateNamespace=true

Mit diesem ApplicationSet werden automatisch Applications für jede Kombination aus App-Overlay und Cluster generiert. Engineering-Team committet neuen Overlay, ArgoCD legt Application an, deployt automatisch.

SSO mit Microsoft Entra ID

Pflicht-Schritt für Production-Setups.

# argocd-cm.yaml ConfigMap
apiVersion: v1
kind: ConfigMap
metadata:
  name: argocd-cm
  namespace: argocd
data:
  url: https://argocd.firma.de
  oidc.config: |
    name: Microsoft Entra ID
    issuer: https://login.microsoftonline.com/{tenant-id}/v2.0
    clientID: {client-id}
    clientSecret: $argocd-oidc-secret:clientSecret
    requestedScopes:
      - openid
      - profile
      - email
      - groups
    requestedIDTokenClaims:
      groups:
        essential: true

Mehr zum SSO-Pattern mit Entra ID.

Notifications via Slack und Teams

ArgoCD Notification-Controller pusht Events.

apiVersion: v1
kind: ConfigMap
metadata:
  name: argocd-notifications-cm
data:
  service.slack: |
    token: $slack-token
  service.webhook.teams: |
    url: https://outlook.office.com/webhook/...
  
  trigger.on-sync-failed: |
    - description: Application sync failed
      send:
        - app-sync-failed
      when: app.status.operationState.phase in ['Error', 'Failed']
  
  template.app-sync-failed: |
    message: |
      :warning: Sync fehlgeschlagen für {{.app.metadata.name}}
      Cluster: {{.app.spec.destination.server}}
      Repository: {{.app.spec.source.repoURL}}
      Fehler: {{.app.status.operationState.message}}
    slack:
      groupingKey: ""
      notifyBroadcast: false

Bei jedem Sync-Failure landet Alert in Slack-Channel mit Direct-Link zur ArgoCD-UI.

Pexon-Sprint und Investment

2-Wochen-Festpreis-Sprint:

• Woche 1 — Setup und Repository-Struktur. ArgoCD-Installation, Repository-Setup, Initial-Applications.
• Woche 2 — SSO, Notifications, Übergabe. Entra-ID-Integration, Slack-Pipeline, Hands-on-Workshop.

Investment: 18-32k EUR je nach Komplexität. Mehr im GitOps-Tool-Vergleich ArgoCD vs Flux.

Häufig gestellte Fragen

Wie viele Applications skaliert ArgoCD?

In Pexon-Setups produktiv mit 800+ Applications pro ArgoCD-Instance. Bei sehr großen Setups Hub-Pattern mit mehreren ArgoCD-Instances.

Was bei Secret-Management?

External Secrets Operator plus Azure Key Vault. ArgoCD synct die ExternalSecret-Manifests, External Secrets Operator löst Werte aus Key Vault auf.

Wie verhält sich GitOps mit Database-Migrations?

Database-Schema-Migrations sollten nicht via GitOps-Sync laufen. Wir nutzen Init-Jobs, die vor App-Deployment laufen, oder dedizierte Migration-Jobs aus CI/CD-Pipeline.

Was bei Helm-Charts aus externen Repositories?

ArgoCD unterstützt das nativ über Helm-Repository-Configuration. Wir versionieren externe Helm-Charts allerdings im eigenen Git, um Audit-Pfade konsistent zu halten.

Wie verhält sich ArgoCD mit Service Mesh?

ArgoCD deployt die Service-Mesh-Komponenten (Istio, Linkerd) als App. Mehr im Service-Mesh-Vergleich.

Nächster Schritt

Wenn euer Engineering-Team GitOps von Pilot auf Production bringt: 30-Minuten-Call. Wir skizzieren Sprint.

Verwandte Themen