ABB: 2.2.2 GitOps

Dienstbeschrijving

De dienst GitOps automatiseert infrastructuur- en applicatiebeheer met Git als ‘single source of truth’. Wij gebruiken OpenShift GitOps (Argo CD) voor declaratieve deployments en Ansible Automation Platform (AAP)voor orkestratie buiten Kubernetes en dag‑2 taken. De dienst levert gestandaardiseerde ‘golden paths’, governance/policies en volledige auditbaarheid van wijziging → uitrol.

Doel en scope

• In scope: declaratieve definitie van applicaties, platformconfiguraties en infra; multi‑cluster uitrol; policy‑as‑code; supply‑chain security (SBOM/signing); secrets‑beheer; CI‑koppelingen; change/CMDB‑registratie.

• Niet in scope: ontwikkeling van business‑code (app teams), ad‑hoc handmatige wijzigingen buiten Git, en niet‑gekwalificeerde K8s‑distributies.

Waardepropositie

• Snel & voorspelbaar: declaratieve pipelines, automatische drift‑detectie en self‑service uitrol.

• Veilig & compliant: four‑eyes reviews, signed artifacts en BIO/AVG/CIS‑policies als code.

• Traceerbaar: elke verandering herleidbaar van commit SHA tot runtime.

• Hybride & schaalbaar: DC/edge/cloud, met multi‑cluster targeting en disconnected profielen.

Dienstonderdelen

1. Repositories & golden paths (app/config/infra), branching/conventies, commit signing.

2. OpenShift GitOps (Argo CD): app‑of‑apps, sync policies/windows, multi‑cluster placement.

3. AAP (Ansible Automation Platform): inventories, execution environments, event‑driven automation.

4. Policy‑as‑code & supply chain: OPA/Kyverno, image‑scanning, SBOM & signing (cosign/Notary).

5. Secrets‑beheer: External Secrets/KMS/Vault, certificaatrotatie.

6. Observability & audit: dashboards, runbooks, end‑to‑end trace.

Servicelevels (richtwaarden)

Functionele Specificaties

Onderstaande eisen beschrijven wat de dienst levert. AC = acceptatiecriteria.

Repositories & branching

• FS‑REP‑001 Repo‑indeling
  Eis: Scheiding tussen app‑config, platform‑config en infra (AAP) met duidelijke map‑/repo‑conventies.
  AC: 100% projecten volgen conventie; linter blokkeert afwijkingen.

• FS‑REP‑002 Branching & environments
  Eis: Trunk‑based of short‑lived feature branches; promotie via PR’s (DEV→TST→ACC→PRD) met tags/releases.
  AC: Four‑eyes verplicht op PRD‑branches; protected branches afdwingen.

• FS‑REP‑003 Commit signing & DCO
  Eis: GPG/SSH‑signing en Developer Certificate of Origin (DCO) vereist.
  AC: Ongetekende commits worden geweigerd; audit toont key‑herkomst.

OpenShift GitOps (Argo CD)

• FS‑GITOPS‑001 Declaratieve apps & app‑of‑apps
  Eis: Gebruik van Argo CD applicaties en app‑of‑apps patroon voor omgevingen en teams.
  AC: Nieuwe app onboard < 30 min via template; drift detect ≤ 5 min.

• FS‑GITOPS‑002 Sync policies & waves
  Eis: Afdwingbare sync policies (auto/manual), sync waves/hooks, en onderhoudsvensters.
  AC: Geen deploy tijdens ‘blackout’‑vensters; hooks loggen evidence.

• FS‑GITOPS‑003 Multi‑cluster targeting
  Eis: Plaatsing naar meerdere clusters/sites obv labels en health‑gates.
  AC: 0% misplaatsing in canary; rollback < 2 min via Git revert.

• FS‑GITOPS‑004 RBAC & SSO
  Eis: Toegang via SSO/RBAC; least privilege; view vs admin scheiding.
  AC: 100% admin‑acties gelogd; periodieke recertificatie rechten.

Ansible Automation Platform (AAP)

• FS‑AAP‑001 Orkestratie infra/dag‑2
  Eis: AAP gebruikt inventories/EE’s voor infra‑wijzigingen (bijv. DDI/PKI/OS) en dag‑2 runbooks, getriggerd door Git/Argo‑events.
  AC: Elke taak herleidbaar naar commit; idempotency aantoonbaar in tests.

• FS‑AAP‑002 Event‑driven automation
  Eis: Webhooks/EDA voor automatische reactie op repo‑wijzigingen of alerts.
  AC: P95 reactietijd < 60 s; safety checks blokkeren destructive actions.

• FS‑AAP‑003 ITSM/CMDB‑koppeling
  Eis: Changes en CI‑updates automatisch; evidence en runbook‑output opgeslagen.
  AC: CI bijgewerkt ≤ 24 uur; change sluit na geslaagde validatie.

Policy‑as‑code & supply chain security

• FS‑POL‑001 Admission policies
  Eis: OPA/Kyverno policies voor labels, Pod Security, netwerk, image provenance en resource‑quota.
  AC: Niet‑conforme manifests worden geweigerd; exceptions met eigenaar/einddatum.

• FS‑POL‑002 Scans, SBOM & signing
  Eis: SAST/DAST/container‑scans; SBOM (CycloneDX/SPDX); image signing/attestaties.
  AC: Geen release met kritieke CVE’s (CVSS ≥ 7) zonder goedgekeurde exception.

• FS‑POL‑003 Secrets & certificaten
  Eis: External Secrets (KMS/Vault), rotatie en geen secrets in Git.
  AC: 0 plaintext secrets in audits; waarschuwing ≥ 30 dagen voor expiratie.

CI & promotie‑gates

• FS‑CI‑001 Pipelines & kwaliteit
  Eis: Build/test, security‑scans en policy checks vóór merge; release candidates via tags.
  AC: Alleen green builds mogen naar PRD; resultaten traceerbaar.

• FS‑CI‑002 Promotie DEV→TST→ACC→PRD
  Eis: Gates met approvals, chatops (optioneel) en progressive delivery patronen.
  AC: P95 doorlooptijd ≤ 60 min; automatische rollback bij SLO‑schending.

Observability & audit

• FS‑OBS‑001 End‑to‑end trace
  Eis: Koppeling commit SHA ↔ Argo app ↔ cluster resources; dashboards en runbooks.
  AC: Elke productie‑resource toont herkomst‑commit; MTTD kritieke drift < 5 min.

• FS‑OBS‑002 Rapportage & FinOps
  Eis: Rapporten over doorlooptijd, succesratio’s, foutoorzaken en resourceverbruik per tenant/app.
  AC: Maandrapport automatisch; afwijkingen >10% t.o.v. norm gemarkeerd.

Disconnected/edge & veiligheid

• FS‑EDGE‑001 Disconnected GitOps
  Eis: Mirrors/caches en vertraagde sync voor sites met beperkte WAN; allow lists.
  AC: Sync hervat automatisch; geen policy‑schendingen bij offline operatie.

• FS‑SEC‑001 Break‑glass & noodpad
  Eis: Gedocumenteerd noodpad met PAM/MFA; post‑facto push back to Git.
  AC: 100% van noodwijzigingen binnen 24 uur gesynchroniseerd naar Git met evidence.

Herstel & bootstrap

• FS‑DR‑001 Bootstrap vanuit Git
  Eis: Leeg cluster kan volledig worden opgebouwd uit app‑of‑apps repo’s.
  AC: DR‑oefening slaagt ≥ 99%; time‑to‑ready ≤ 30 min voor referentiecluster.

Roadmaps

Mijlpaal 1

• Baseline GitOps: uitrol OpenShift GitOps (Argo CD) op hub‑clusters; app‑of‑apps patroon en templates; eerste AAP playbooks voor infra/dag‑2.

• Conventies vastleggen (repo‑structuur, branching, commit signing) en policy‑sets (OPA/Kyverno).

Mijlpaal 2

• Multi‑cluster GitOps: placement per site/regio; progressive delivery standaard; secrets via External Secrets/KMS.

• Supply‑chain volwassen: SBOM/signing verplicht; CI‑gates en chatops.

Mijlpaal 3

• Event‑driven automation met AAP EDA; auto‑remediatie van standaarddrift; DR‑bootstrap getest per kwartaal.

• Uitbreiding naar edge/disconnected profielen met mirrors en vertraagde sync.

Mijlpaal 4

• Self‑healing GitOps: voorspellende impactanalyse, policy optimization en FinOps‑integratie in besluitvorming.

• Referentie‑architecturen en ‘golden paths’ voor nieuwe RWS‑platformen en applicatieteams.

Landingslocaties

Waar de architectuuronderdelen landen binnen de infrastructuur, dit kan bijvoorbeeld een externe commerciële cloud zijn, een private cloud of een Rijkscloud. Hiervoor wordt de definitie in de ICT Strategie gebruikt.

Beschikbare SBBs 

Een overzicht van de oplossingen die beschikbaar zijn vanuit dit ABB en de beschrijving van de diensten die daarmee worden geleverd. Vul dit in wanneer de SBBs bekend zijn.

Koppelvlakken

Interfaces en afhankelijkheden tussen verschillende architectuurelementen. Dit zijn bijvoorbeeld de protocollen die kunnen worden gebruikt door andere bouwblokken die gebruik maken van het ABB.

Afhankelijkheden

Beschrijving waar dit ABB van afhankelijk is of welke ABBs afhankelijk zijn van het ABB. Dit geldt ook voor de verschillende serviceketens. Geef dit aan met links naar de architectuur elementen.

EIRA Koppeling

Dit bouwblok is gekoppeld binnen de EIRA aan: Vul hier de EIRA koppeling in.

Een overzicht van alle relevante EIRA bouwblokken staan hier: EIRA Technology & Physical