ArgoCD Sync Failed & Degraded Cheatsheet

argocd app get <app-name>

→ Sync, Operation und Health pro Ressource auf einen Blick. Zeigt, welche Ressource das Problem ist.

argocd app get <app-name> --show-operation

→ Phase (Failed/Error) und exakte Fehlermeldung der letzten Sync-Operation.

kubectl logs -n argocd \
  -l app.kubernetes.io/name=argocd-application-controller \
  --tail=100

→ Apply-Fehler, RBAC und Timeouts, die in der UI nicht sichtbar sind.

kubectl apply --dry-run=server -f manifest.yaml

→ Server-Side Dry-Run nutzt dieselbe Validierung wie ArgoCD beim echten Apply.

metadata:
  annotations:
    argocd.argoproj.io/sync-options: Replace=true

→ Für Felder, die nach Erstellung nicht änderbar sind (selector, clusterIP, volumeName).

spec:
  syncPolicy:
    syncOptions:
      - CreateNamespace=true

→ Behebt "namespace not found" beim Sync.

kubectl get pods -n <namespace> -l job-name=<hook-job>
kubectl logs -n <namespace> job/<hook-job>

→ PreSync/PostSync-Job mit Exit ≠ 0 bricht den Sync ab. Logs des Jobs prüfen.

kubectl get pods -n <namespace> -l app=<name>
kubectl logs -n <namespace> <pod> --previous

→ CrashLoopBackOff/ImagePullBackOff: Logs des vorherigen, gecrashten Containers.

kubectl describe pod -n <namespace> <pod> | grep -A5 -i readiness
kubectl get events -n <namespace> | grep -i probe

→ Pods laufen, werden aber nie Ready: Pfad, Port und initialDelaySeconds prüfen.

kubectl get endpoints -n <namespace> <service>

→ Leere Endpoints = Service-Selector passt auf keine Pod-Labels.

kubectl logs -n argocd \
  -l app.kubernetes.io/name=argocd-application-controller \
  --tail=100 | grep -i forbidden

→ Dem Controller fehlen Cluster-Rechte: ClusterRole erweitern oder Project whitelisten.

kubectl get validatingwebhookconfigurations
kubectl describe constraint <name>   # Gatekeeper

→ Welcher Webhook (OPA/Kyverno) den Apply ablehnt. Steht auch in der Sync-Message.

kubectl describe certificate -n <namespace> <name>

→ Eingebaute Health-Checks: Certificate/Rollout-Status direkt lesen (Reason).