traefik-selectel/README.md

traefik-selectel-dns

Демон, который создаёт A-записи в Selectel DNS (API v2) для хостов из роутеров Traefik. Сертификаты выписывает сам Traefik (встроенный dnsChallenge.provider: selectelv2) — кода для этого не нужно.

Почему не плагин Traefik

Плагин (Yaegi) работает внутри цепочки обработки запросов: он не видит создание/удаление роутов и не должен хранить токен с правом записи в DNS. Отдельный демон читает Traefik API (/api/http/routers), поэтому одинаково покрывает Docker labels и file-provider.

Как работает

1. Раз в interval (и сразу после событий Docker) читает GET /api/http/routers.
2. Из rule берёт все Host(...) у роутеров со статусом enabled (HostRegexp, !Host(...) игнорируются, *.x пропускаются с warning).
3. Хосты, попадающие в zones из конфига (равны зоне или её поддомен; при вложенных зонах — самая длинная), получают A-запись ip/ttl.
4. Записи, созданные демоном, помечаются comment: managed-by=traefik-selectel-dns. Меняются/удаляются только они. Существующая A-запись без метки (и имя с CNAME) не трогается — только warning.
5. Удаление выключено по умолчанию. При delete.enabled: true запись удаляется после того, как роут отсутствует непрерывно delete.gracePeriod (состояние в памяти; после рестарта отсчёт начинается заново). Роутеры со статусом warning считаются присутствующими. При ошибке Traefik API или пустом списке (после непустого) цикл пропускается и ничего не удаляется.

Настройка

Пример полного стенда: deploy/ (docker-compose.example.yml, traefik.example.yml, config.example.yaml, dynamic/).

1. Создайте в Selectel сервисного пользователя с минимальной ролью на DNS проекта.
2. Положите креды в файлы секретов (deploy/secrets/*, не коммитить) — см. комментарий в compose.
3. Поправьте zones, ip, traefik.apiURL в config.example.yaml; wildcard tls.domains — в traefik.example.yml.
4. Для первого запуска включите dryRun: true и проверьте логи.

Сборка: docker build -t traefik-selectel-dns . (distroless, non-root, HEALTHCHECK через -healthcheck).

Конфигурация

YAML (-config или TSD_CONFIG), неизвестные поля — ошибка. Переопределение через env:

YAML	env	По умолчанию
zones	TSD_ZONES (через запятую)	обязательно
ip	TSD_IP	обязательно, IPv4
ttl	TSD_TTL	300 (60..604800)
interval	TSD_INTERVAL	30s
dryRun	TSD_DRY_RUN	false
traefik.apiURL / .timeout	TSD_TRAEFIK_API_URL / TSD_TRAEFIK_TIMEOUT	http://traefik:8080 / 10s
docker.enabled / .host	TSD_DOCKER_ENABLED / TSD_DOCKER_HOST	true / unix:///var/run/docker.sock (tcp:// тоже)
delete.enabled / .gracePeriod	TSD_DELETE_ENABLED / TSD_DELETE_GRACE_PERIOD	false / 10m
selectel.baseURL / .authURL / .timeout	TSD_SELECTEL_BASE_URL / _AUTH_URL / _TIMEOUT	api.selectel.ru/domains/v2, cloud.api.selcloud.ru/identity/v3, 30s
listen	TSD_LISTEN	:9090 (/healthz)
logLevel / logFormat	TSD_LOG_LEVEL / TSD_LOG_FORMAT	info / json

Секреты — только env (каждая поддерживает суффикс _FILE; одновременно обе — ошибка): SELECTEL_USERNAME, SELECTEL_PASSWORD, SELECTEL_ACCOUNT_ID, SELECTEL_PROJECT_ID. Для Traefik (lego) те же значения передаются как SELECTELV2_USERNAME_FILE, SELECTELV2_PASSWORD_FILE, SELECTELV2_ACCOUNT_ID_FILE, SELECTELV2_PROJECT_ID_FILE.

Безопасность

• Секреты не попадают в конфиг, образ и логи; IAM-токен (Keystone) кэшируется в памяти и обновляется заранее.
• Traefik API не публикуется наружу и ограничен ipAllowList подсетью сети control; пользовательские контейнеры в неё не подключать.
• Docker socket = root на хосте. Демону нужны только события, поэтому в примере используется docker-socket-proxy (EVENTS=1), а не прямой сокет. Без Docker events демон работает по опросу.
• Чужие записи не перезаписываются; удаление выключено по умолчанию.

Ограничения

• Только A-записи, один фиксированный IPv4 для всех хостов; AAAA нет.
• Только Host(...) с ASCII-именами (IDN — в punycode); HostRegexp и wildcard-хосты не поддерживаются.
• Метка владения — exact-match комментария; если её вручную изменить/стереть, запись считается чужой.
• Grace-состояние в памяти; несколько реплик демона одновременно не поддерживаются.
• Поток Docker events без общего таймаута (переподключается при обрыве; страховка — периодический опрос).
• Реальный Selectel API не проверялся (нет кредов) — см. отчёт в swarm-report/.