GitOps для DNS-зон ломается там, где ручные правки считают нормой

GitOps для DNS-зон ломается там, где ручные правки считают нормой

Давайте разберем флоу запроса: источник истины — Git, а не панель у провайдера. Зона хранится как код, изменения проходят review, валидируются и попадают в деплой только после проверки синтаксиса, TTL, SOA и конфликтов имен.

Ключевые правила:
— один репозиторий на доменную область или четкое разбиение по зонам;
— отдельный pipeline для lint, zone transfer check и сравнения с текущим состоянием;
— запрет прямых правок в проде, иначе drift неизбежен;
— явный план отката: предыдущий commit должен восстанавливать зону без ручной магии.

Риски типовые: забытый CNAME рядом с A-записью, случайный decrement serial, некорректный wildcard, рассинхрон между master и secondary. Если pipeline не умеет ловить это до apply, GitOps превращается в красивую упаковку для инцидента.

Исключаем Human Error через автоматизацию. Стабильность DNS — это фундамент, а не опция.