GitOps क्या है, और यह push आधारित डिप्लॉयमेंट से कैसे अलग है?

GitOps सिस्टम की वांछित हालत git में रखता है और target एनवायरनमेंट के अंदर एक agent चलाता है जो लगातार वह हालत खींचकर असलियत को उससे मिलाता रहता है। push आधारित deploy में CI के पास cluster के credentials होते हैं और वह बाहर से बदलाव apply करती है। pull मॉडल का मतलब है कि CI को प्रोडक्शन credentials कभी नहीं चाहिए, drift अपने आप ठीक होता है, और git history इस बात का सही audit log बन जाती है कि डिप्लॉय क्या है।

परिभाषित करने वाली बात यह नहीं कि manifests git में हैं, बल्कि यह कि cluster के अंदर एक agent रिपॉज़िटरी देखता रहता है और चल रही हालत को उससे मिलाता रहता है। push आधारित का मतलब है मेरे CI job के पास write access वाला kubeconfig है और वह बाहर से apply करता है, तो वे credentials CI सिस्टम में मौजूद रहते हैं, और apply के बाद उसे कोई फिक्र नहीं रहती। pull मॉडल में CI सिर्फ रिपॉज़िटरी में लिखती है। बाहर किसी को cluster credentials नहीं चाहिए, जिससे attack surface काफी सिकुड़ जाता है। और चूंकि reconciliation एक loop है, कोई घटना नहीं, अगर कोई रात दो बजे हाथ से deployment एडिट कर दे तो वह वापस पलट जाता है और मुझे drift दिख जाता है। हालांकि असहज हिस्से असली हैं। एनवायरनमेंट के बीच promotion एक pull request बन जाती है जो किसी overlay में image tag बदलती है, जो पहले धीमा लगता है जब तक आप यह न समझें कि वही audit रिकॉर्ड भी है। secrets को key management service के खिलाफ encryption चाहिए, क्योंकि रिपॉज़िटरी खुद सुरक्षित जगह नहीं। और आपको एक लिखा हुआ break glass रास्ता चाहिए, उन मौकों के लिए जब outage ठीक करने के बीच reconciliation ही खड़ी हो।