policy.default: role:admin dans argocd-rbac-cm fait de chaque compte de votre annuaire SSO un administrateur Argo CD, et une règle deny ne peut pas l'annuler. Un Secret de dépôt dont le mot de passe se trouve sous stringData est lisible par toute personne pouvant lire le dépôt Git. Un ApplicationSet qui tire son projet du config.json d'un locataire permet à ce locataire de déplacer ses Applications dans le projet de la plateforme. Ce skill détecte ces erreurs et les autres erreurs Argo CD décrites ci-dessous, et vous indique comment corriger chacune d'elles.

Votre agent exécute un scanner sur les fichiers YAML de votre dépôt GitOps : manifestes Application, ApplicationSet et AppProject, argocd-cm, argocd-rbac-cm et argocd-cmd-params-cm (y compris sous forme de patches kustomize et de littéraux configMapGenerator), argocd-secret, configuration Notifications, Secrets de dépôt, de modèle d'identifiants et de cluster, le Service et le Deployment argocd-server, ainsi que les fichiers values des charts Helm argo-cd et argocd-apps. Il lit le YAML contenu dans oidc.config et dex.config, les blocs values Helm et le JSON de configuration de cluster avec leurs propres numéros de ligne, traite $key, $secret:key, ${VAR}, les espaces réservés de chemin vault-plugin et les valeurs SOPS ENC comme des références conservées hors du fichier, vérifie le values.yaml du chart argo-cd même lorsque ses commentaires contiennent des exemples de templates Helm, et ignore les templates de charts Helm et les documents sans rapport avec Argo CD. Il ne contacte jamais un cluster, Argo CD ou un serveur Git et n'utilise jamais le réseau. Il renvoie BLOCK, REVIEW ou NOT FLAGGED, avec le fichier, la ligne, la raison et une approche plus sûre. Les secrets ne sont jamais affichés.

Ce qui est vérifié

BLOCK (à corriger avant la mise en production)

• A01 : mots de passe, jetons, clés privées et secrets client écrits dans des fichiers Argo CD (Secrets de dépôt, de modèle d'identifiants et de cluster, argocd-secret, clientSecret SSO ou bindPW dans argocd-cm, jetons de notification, values Helm argo-cd, paramètres Helm, values et env de plugin dans une Application, un mot de passe dans l'URL d'un dépôt)
• A02 : accès anonyme (users.anonymous.enabled: "true")
• A03 : policy.default: role:admin
• A04 : authentification désactivée (server.disable.auth ou --disable-auth)
• A05 : dépôts accessibles via http:// ou git:// sur un hôte public (une IP publique ou un domaine public ; les noms internes au cluster comme gitea-http.gitea et les adresses privées ne sont pas signalés)

REVIEW (à vérifier avant la publication)

• A11 : AppProjects pouvant déployer dans n'importe quel namespace sur n'importe quel cluster ou sur le cluster d'Argo CD lui-même, ou acceptant des Applications de tous les namespaces
• A12 : AppProjects autorisant tous les types de ressources à l'échelle du cluster (clusterResourceWhitelist group '*', kind '*')
• A13 : Applications de production (pre-prod et non-prod ne comptent pas) qui suivent HEAD, une branche, aucune targetRevision, une plage semver sur des tags Git ou une plage de versions de chart Helm
• A14 : synchronisation automatique avec prune et allowEmpty
• A15 : TLS désactivé : dépôts ou clusters non sécurisés (insecure), TLS interne désactivé, TLS 1.0 ou 1.1, ou server.insecure alors qu'un LoadBalancer, ou un NodePort sans ingress TLS en amont, expose directement argocd-server
• A16 : le terminal web activé (exec.enabled)
• A17 : le compte admin local laissé actif à côté du SSO, ou le hash du mot de passe admin commité
• A18 : ApplicationSets dont le projet provient des données des générateurs Git, SCM provider, pull request ou plugin

Ce qui est inclus

• Le scanner (Python 3.9+, bibliothèque standard uniquement)
• Un guide des règles avec la raison, l'approche plus sûre et le lien vers la documentation officielle d'Argo CD pour chaque règle
• Un exemple risqué et un exemple sûr (un Argo CD autogéré avec ses config maps, un Secret de dépôt, un projet, une Application de production et un ApplicationSet de locataire), ainsi que le rapport réel produit par le scanner sur l'exemple risqué

Limites

Chaque fichier YAML est lu tel qu'il est écrit. Les templates de charts Helm (fichiers du dossier templates/ d'un chart ou contenant des directives Helm sans guillemets) sont ignorés ; Jsonnet, les manifestes JSON et la sortie de kustomize ne sont pas rendus, et les paramètres définis hors du dépôt (la CLI ou l'interface argocd, les Secrets créés par un opérateur de secrets, le cluster en cours d'exécution) ne sont pas visibles. server.insecure seul n'est pas signalé, car la documentation ingress d'Argo CD l'utilise derrière un ingress qui termine le TLS. La notion de "production" dans A13 est déduite des noms, vérifiez donc ces résultats par rapport à votre processus de publication. Les identifiants présents dans d'autres objets Kubernetes sont laissés à d'autres vérifications. NOT FLAGGED n'est pas une garantie.

Contenu

Un fichier ZIP contenant 26 fichiers : SKILL.md, le scanner dans scripts/ (5 fichiers Python), references/rules.md (chaque règle avec sa raison et son approche plus sûre) et examples/ (18 fichiers d'exemple plus report.md, la sortie réelle du scanner sur l'exemple risqué).

Utilisation : Il s'agit d'un skill pour agent : un dossier contenant un fichier SKILL.md et des scripts Python qu'un agent de programmation IA comme Claude Code, Cursor ou Codex CLI peut exécuter. Décompressez-le dans le dossier des skills de votre agent (pour Claude Code : ~/.claude/skills/), puis demandez à votre agent de vérifier votre projet. Les scripts fonctionnent aussi de manière autonome avec Python 3.9 ou plus récent, sans rien à installer. Ils se contentent de lire vos fichiers : aucun accès réseau, et rien n'est envoyé nulle part.