DNS-Records und Wildcard-Zertifikat, ohne Konsole

• Welche DNS-Anbieter werden unterstützt?

  Cloudflare und Scaleway DNS. In Zonen bei beiden legt Clusterward Records selbst an, gleicht sie stündlich ab, übernimmt fremde Records auf Wunsch und zieht sie beim Controller-Wechsel um. Nur Proxy und Weiterleitungen an der Edge gibt es allein bei Cloudflare. Hosts in anderen Zonen funktionieren ebenfalls: Sie legen den Record selbst an, Clusterward zeigt die Zieladresse, wartet auf die Auflösung und rendert Ingress und Zertifikat.

• Was brauche ich für eine Zone bei Scaleway DNS?

  Die Zone muss in Scaleway Domains & DNS bestehen: Eine dort gekaufte Domain hat sie, eine anderswo registrierte fügen Sie als externe Domain hinzu und stellen beim Registrar die Nameserver ns0.dom.scw.cloud und ns1.dom.scw.cloud ein. Dazu eine IAM-Anwendung mit dem Berechtigungssatz DomainsDNSFullAccess auf das Projekt der Zone und einen API-Schlüssel für sie. Im Cockpit unter DNS registrieren Sie die Zone mit Zugangs- und Geheimschlüssel; Clusterward prüft vorher, dass der Schlüssel die Zone sieht, und schreibt Records mit 300 Sekunden TTL, damit ein Umzug in Minuten wirkt.

• Wie entsteht ein Wildcard-Zertifikat für eine Zone bei Scaleway DNS?

  Per DNS-01, wie bei Cloudflare. Weil cert-manager keinen eingebauten Scaleway-Solver hat, installieren Sie einmal den Scaleway-DNS-Webhook über die Setup-Karte des Clusters; er beantwortet die Challenge mit dem Schlüssel der Zone. Bis er läuft, lehnt Clusterward die Ausstellung mit einem klaren Hinweis ab. Ausgestellt wird das Zertifikat für *.example.com und example.com und in jeden Namespace gespiegelt.

• Löscht Clusterward jemals einen Record, den ich angelegt habe?

  Nein. Gelöscht werden ausschließlich Records, die Clusterward selbst erzeugt und in seiner Registry vermerkt hat. Existiert für einen Host bereits ein fremder Record, meldet das Cockpit einen Konflikt und lässt ihn stehen. Übernehmen Sie ihn, darf Clusterward ihn ändern, etwa beim Controller-Wechsel – löschen wird es ihn trotzdem nie, beim Entfernen vergisst es ihn nur.

• Kann Clusterward bestehende Records übernehmen?

  Ja. Die Zonenseite listet Records, die jemand anderes angelegt hat, und „Übernehmen“ stellt einen davon unter die Verwaltung von Clusterward, nach einer Bestätigung. Er wird dann wie ein eigener geändert, beim Anbieter aber nie gelöscht. Der stündliche Abgleich mit dem Anbieter hält die Registry dabei aktuell.

• Kann ich auf der Zonenseite selbst Records anlegen?

  Ja, A- und CNAME-Records: „Add record…“ auf der Zonenseite, Name relativ zur Zone (www oder @ für die Zone selbst), Ziel und optional ein Kommentar. Clusterward legt den Record beim Anbieter an und verwaltet ihn danach – das Ziel ändern Sie mit „Edit record…“, „Delete record“ löscht ihn beim Anbieter. Hat der Name schon einen fremden Record dieses Typs, übernehmen Sie diesen stattdessen. Andere Typen wie MX oder TXT bleiben in der Konsole des Anbieters; die übrigen A-Records der Zone zeigt die Seite unter „Other records in the zone“.

• Wann brauche ich ein Wildcard-Zertifikat?

  Sobald viele Subdomains einer Basis-Domain entstehen, etwa ein Host pro Kunde. Let’s Encrypt begrenzt neue Zertifikate pro registrierter Domain und Woche; ein Wildcard-Zertifikat deckt alle Subdomains mit einer einzigen Ausstellung ab. Clusterward stellt es per DNS-01 aus und spiegelt das Secret in jeden Namespace.

• Was bedeutet TLS-Modus „auto“?

  Bei der Registrierung des Hosts fragt Clusterward einmal DNS. Zeigt der Host auf Cloudflares Proxy, endet TLS an der Edge und Clusterward fordert kein Let’s-Encrypt-Zertifikat an; der Host antwortet mit einem selbstsignierten Zertifikat, das Cloudflares Modus „Full“ genügt – für „Full (strict)“ wählen Sie Let’s Encrypt oder ein Wildcard. Andernfalls wird ein Let’s-Encrypt-Zertifikat angefordert. Die Entscheidung wird am Host festgehalten.

• Wie funktionieren Weiterleitungen?

  Liegt der Host in einer registrierten Zone und läuft sein Record über den Cloudflare-Proxy, schreibt Clusterward bei jedem Deploy eine Redirect-Regel in die Zone: ein 301 auf https, die Startseite geht auf den Zielpfad, jede andere Seite behält Pfad und Query. Eine fremde Regel für denselben Host bleibt als Konflikt stehen. Das Zonen-Token braucht dafür zusätzlich das Recht „Dynamic URL Redirects: Edit“. Alle anderen Weiterleitungen beantwortet der Cluster mit einem schlichten 301 auf https, dort ohne den Pfad der aufgerufenen Seite. Die Domains-Karte zeigt, wo eine Weiterleitung beantwortet wird.

• Kann ich einen Host auf bestimmte IP-Bereiche beschränken?

  Ja, pro Domain mit einer Liste erlaubter Quell-Bereiche. Sie wirkt nur, wenn der Cluster echte Client-Adressen sieht, also mit aktivem Proxy-Protokoll und für Hosts ohne Cloudflare-Proxy. Ein Aussperren der eigenen Adresse wird bewusst nicht verhindert.

• Was passiert beim Wechsel des Ingress-Controllers?

  Ein Cutover: Vorher zeigt ein Plan pro Host, wer den Record umzieht. Dann rendert der bisherige Controller mit seiner eigenen Klasse weiter, der neue kommt hinzu, beide Load Balancer bedienen die Hosts mit gültigen Zertifikaten. Clusterward zieht eigene und übernommene Records um, legt für einen Host, den nur ein Wildcard beantwortet, einen eigenen an und schließt den Cutover eine Stunde, nachdem jeder Host auf die neue Adresse zeigt. Ein Controller-Wechsel per einfacher Einstellung wird verweigert.

• Wie erfahre ich von ablaufenden Zertifikaten?

  Ein täglicher Lauf prüft alle Zertifikate und verwalteten Wildcards. Läuft eines in 14 Tagen ab oder ist nicht bereit, entsteht einmal pro Tag eine Benachrichtigung an die abonnierten Kanäle.

Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten in der Regel am selben Werktag.