O que é GitOps, e como isso difere de um deploy baseado em push?

O GitOps mantém o estado desejado do sistema no git e roda um agente dentro do ambiente alvo que puxa continuamente esse estado e reconcilia a realidade com ele. Um deploy baseado em push faz o CI segurar credenciais do cluster e aplicar mudanças de fora. O modelo de pull significa que o CI nunca precisa de credenciais de produção, a deriva é corrigida automaticamente, e o histórico do git é um log de auditoria fiel do que está implantado.

O ponto que define não é os manifestos viverem no git, é um agente dentro do cluster observar o repositório e reconciliar continuamente o estado em execução para que ele bata. Baseado em push significa que o meu job de CI segura um kubeconfig com acesso de escrita e aplica de fora, então essas credenciais existem no sistema de CI, e assim que ele aplica ele para de se importar. Com o modelo de pull, o CI só escreve em um repositório. Nada de fora precisa de credenciais do cluster, o que reduz bastante a superfície de ataque. E como a reconciliação é um loop e não um evento, se alguém edita um deployment na mão às duas da manhã, aquilo é revertido e eu consigo enxergar a deriva. As partes desconfortáveis são reais, porém. A promoção entre ambientes vira um pull request que muda uma tag de imagem em um overlay, o que parece mais lento até você perceber que isso também é o registro de auditoria. Segredos precisam de criptografia contra um serviço de gestão de chaves, já que o repositório em si não é um lugar seguro. E você precisa de um caminho de emergência documentado para quando a reconciliação for justamente o que está entre você e resolver uma indisponibilidade.