Argo CD のログインをEntra ID 認証にしてArgo CD のログインをセキュアにする

# Argo CD用のアプリを登録する
az ad app create \
    --display-name "argocd-app" \
    --sign-in-audience "AzureADMyOrg" \
    --web-redirect-uris "https://<Argo CDホストのIPアドレス>/auth/callback"

{
  "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#applications/$entity",
  "addIns": [],
  "api": {
    "acceptMappedClaims": null,
    "knownClientApplications": [],
    "oauth2PermissionScopes": [],
    "preAuthorizedApplications": [],
    "requestedAccessTokenVersion": null
  },
  "appId": "xxxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
  "appRoles": [],
  "applicationTemplateId": null,
  "certification": null,
  "createdDateTime": "2025-08-06T14:56:02.3890666Z",
  "defaultRedirectUri": null,
  "deletedDateTime": null,
  "description": null,
  "disabledByMicrosoftStatus": null,
  "displayName": "argocd-app",
  "groupMembershipClaims": null,
  "id": "20104315-11fc-47cc-ae95-6d656259dc60",
  "identifierUris": [],
  "info": {
    "logoUrl": null,
    "marketingUrl": null,
    "privacyStatementUrl": null,
    "supportUrl": null,
    "termsOfServiceUrl": null
  },
  "isDeviceOnlyAuthSupported": null,
  "isFallbackPublicClient": null,
  "keyCredentials": [],
  "nativeAuthenticationApisEnabled": null,
  "notes": null,
  "optionalClaims": null,
  "parentalControlSettings": {
    "countriesBlockedForMinors": [],
    "legalAgeGroupRule": "Allow"
  },
  "passwordCredentials": [],
  "publicClient": {
    "redirectUris": []
  },
  "publisherDomain": "kdkwakaba.com",
  "requestSignatureVerification": null,
  "requiredResourceAccess": [],
  "samlMetadataUrl": null,
  "serviceManagementReference": null,
  "servicePrincipalLockConfiguration": null,
  "signInAudience": "AzureADMyOrg",
  "spa": {
    "redirectUris": []
  },
  "tags": [],
  "tokenEncryptionKeyId": null,
  "uniqueName": null,
  "verifiedPublisher": {
    "addedDateTime": null,
    "displayName": null,
    "verifiedPublisherId": null
  },
  "web": {
    "homePageUrl": null,
    "implicitGrantSettings": {
      "enableAccessTokenIssuance": false,
      "enableIdTokenIssuance": false
    },
    "logoutUrl": null,
    "redirectUriSettings": [
      {
        "index": null,
        "uri": "https://<Argo CDホストのIPアドレス>/auth/callback"
      }
    ],
    "redirectUris": [
      "https://<Argo CDホストのIPアドレス>/auth/callback"
    ]
  }
}

# クライアントシークレットの値をbase64でエンコードする
# 事前にbase64でエンコードしないとシークレット設定時にエラーとなる
echo -n "<クライアントシークレットの値>" | base64

# Argo CDのConfigMap(argocd-cm)を設定する
kubectl edit cm argocd-cm -n argocd

data:
  oidc.config: |
    name: Azure
    issuer: https://login.microsoftonline.com/<テナントのディレクトリID>/v2.0
    clientID: "<appIdの値>"
    clientSecret: $oidc.azure.clientSecret
    requestedIDTokenClaims:
      groups:
        essential: true
        value: "SecurityGroup"
    requestedScopes:
      - openid
      - profile
      - email

# Argo CDのシークレットを追加する
kubectl edit secret argocd-secret -n argocd

data:
  <省略>
  oidc.azure.clientSecret: <エンコードされたクライアントシークレットの値>
  <省略>

# Argo CDのRBAC設定をする
kubectl edit cm argocd-rbac-cm -n argocd

data:
  policy.csv: |
    p, role:org-admin, applications, *, */*, allow
    p, role:org-admin, clusters, get, *, allow
    p, role:org-admin, repositories, get, *, allow
    p, role:org-admin, repositories, create, *, allow
    p, role:org-admin, repositories, update, *, allow
    p, role:org-admin, repositories, delete, *, allow
    g, "<Entra IDグループのObjectID>", role:org-admin
  policy.default: role:readonly

# Argo CD CLIでSSO認証をする
argocd login <ArgoCDのIPアドレス or URL> --sso --grpc-web

# Argo CDのConfigMap(argocd-cm)を設定する
kubectl edit cm argocd-cm -n argocd

<省略>
data:
  admin.enabled: "false"
<省略>

# Entra IDのアプリを削除する
az ad app delete --id "<APPLICATION_ID>"

# リソースグループを削除する
az group delete --name rg-argocdtest