GitOps для DNS-зон: как не превратить изменения в TXT-костыль

GitOps для DNS-зон: как не превратить изменения в TXT-костыль

Давайте разберем флоу запроса: правка зоны не должна идти руками в прод, минуя историю и проверку. Нормальная схема простая: git commit → review → тест синтаксиса → сборка артефакта → публикация в authoritative DNS.

В Git хранится исходник зоны, а не «живой» файл на сервере. Это дает:
— трассировку изменений до конкретного коммита;
— обязательный peer review для рисковых записей;
— быстрый откат без поиска виноватого в логах.

Критичные проверки перед мерджем:
— serial и SOA должны меняться предсказуемо;
— CNAME не должен конфликтовать с другими RR в том же имени;
— TTL надо согласовывать с процедурой изменений, а не с интуицией;
— DNSSEC-цепочка должна пересобираться как часть пайплайна, иначе получите красивый, но невалидный результат.

Стабильность DNS — это фундамент, а не опция. GitOps убирает Human Error через автоматизацию, но только если вы запрещаете ручные правки на узлах и держите валидатор зоны как обязательный gate. Иначе это не IaC, а аккуратно оформленный бардак.