OpenKeel : la solution Cloud souveraine, française à portée européenne du groupe inherent Découvrir inherent
Composants · Services et orchestration
Zones et recordsets publiés par ExternalDNS (un DNSEndpoint par recordset).
OpenKeel implementation in Go of OpenStack Designate (DNS as a Service), generated from the reverse-specification of branch stable/2026.2 by the generate-go-from-spec skill. It replaces the Python service without its clients noticing (python-designateclient and its OSC plugin, Neutron's DNS driver, Heat's OS::Designate::*, Skyline): same 78 routes, status codes, {code, type, message, request_id} error bodies and policies, writes answered 202 PENDING. What is reproduced and what differs is in docs/CONFORMANCE.md; the security checklist is in docs/SECURITY.md.
DNS publication is Kubernetes-native: zones are created through the DNS server's API (PowerDNS), recordsets become ExternalDNS DNSEndpoint custom resources, and a reconciler reports ACTIVE/ERROR by querying the authoritative servers. designate-worker, designate-producer and designate-mdns are replaced by that reconciler; designate-central runs in-process (no RPC).
github.com/openkeel/openkeel-designatedesignate-api: API on port 9001, health and metrics on 9090, -migrate for the migration Job;designate-reconciler: pushes zones (PowerDNS API + DNSEndpoints), polls the servers, purges deleted zones; one active replica (Lease);designate-sink: Nova and Neutron notifications to managed records (optional, RabbitMQ);designate-manage: database sync, pool update --file pools.yaml, pool show-config.Extrait de openkeel-designate/README.md (en anglais).
78 opérations de l'API REST d'origine (routes et actions de corps), et leur état dans OpenKeel.
Les échanges fonctionnels d'API de Designate Python sont rejoués contre le service Go, avec des vecteurs d'algorithme et les attentes des clients couvertes par le rejeu.
548 échanges de 299 tests fonctionnels d'API Python donnent le même statut et le même corps.
go test -tags e2e ./test/e2e/..., E2E_MYSQL_DSN pour MariaDB 11.4 ; E2E_STRICT=1 réussit avec 32 différences connues.
Dernier résultat 516 / 548 identiques sur les deux moteurs (le rejeu de l'original Python donne 501 / 548).
Source : openkeel-designate/docs/CONFORMANCE.md
Les numéros de série SOA, le statut des zones et des enregistrements, les résultats de poll et l'import de fichiers de zone se calculent comme en Python.
go test ./... dans internal/central et internal/zonefile.
Dernier résultat 263 / 263.
Source : openkeel-designate/docs/CONFORMANCE.md
Filtres de nom, links.next, décomptes, en-têtes Designate, 202 PENDING, 404 sur les zones supprimées, 400 pour les enregistrements gérés, mises à jour PTR conformes aux attentes des clients.
Couvert par le rejeu. Vrais designateclient/OSC, Neutron, Heat, Skyline et designate-tempest-plugin non exécutés.
Dernier résultat Toutes satisfaites par construction et couvertes par le rejeu.
Source : openkeel-designate/docs/CONFORMANCE.md
Le cycle de vie des zones face à un serveur DNS, l'API de zones PowerDNS, l'écrivain ExternalDNS et le récepteur de notifications se comportent comme spécifié.
internal/reconciler avec un faux serveur DNS, internal/backend, internal/sink.
Dernier résultat Réussi.
Source : openkeel-designate/docs/CONFORMANCE.md
Designate conserve ses 78 opérations d'API mais publie les enregistrements via ExternalDNS et les API des fournisseurs DNS : mdns, les cibles de pool de type BIND et les workers RPC disparaissent.
Repris par ExternalDNS
Les zones sont créées via l'API du serveur DNS (PowerDNS, Route 53, Azure, Google, Cloudflare) et les recordsets deviennent des DNSEndpoints qu'ExternalDNS publie.
L'état de la zone est confirmé en interrogeant les serveurs faisant autorité. Le serial SOA et les serveurs de noms servis relèvent du fournisseur, et les clés TSIG sont informatives.
Source : openkeel-designate/docs/CONFORMANCE.md
Repris par Kubernetes Leases
Central s'exécute dans le processus avec une transaction par requête ; un seul réconciliateur, détenteur d'un Lease, remplace worker, producer et mdns.
Même comportement de l'API, y compris 202 PENDING sur les écritures ; un MessagingTimeout 504 ne peut plus se produire.
Source : openkeel-designate/docs/CONFORMANCE.md
Repris par ExternalDNS
ExternalDNS ne sait pas publier ces types.
Ils sont refusés avec le propre 400 de Designate, 'not a supported record type'. Les opérateurs peuvent les activer pour un backend qui les publie.
Source : openkeel-designate/docs/CONFORMANCE.md
Repris par ExternalDNS
ExternalDNS ne gère pas les zones secondaires ; seul un backend qui les prend en charge (PowerDNS) peut les récupérer.
Les zones secondaires fonctionnent sur PowerDNS ; sur Route 53, Azure, Cloud DNS ou Cloudflare elles passent en ERROR.
Source : openkeel-designate/docs/CONFORMANCE.md
Seul ce qui a été écarté par choix de conception figure ici ; le travail pas encore fait se trouve dans les Known gaps du docs/CONFORMANCE.md du module. Tous les modules
Vue « service » générée par la skill diagramme depuis le modèle d'OpenKeel.
Plein écran| De | Vers | Protocole | Quoi |
|---|---|---|---|
| Designate API | Designate worker + sink | RabbitMQ | RPC zone/recordset |
| RabbitMQ cluster | Designate worker + sink | RabbitMQ | sink: Nova/Neutron events |
| Designate worker + sink | ExternalDNS | API Kubernetes | DNSEndpoint per recordset |
| Designate worker + sink | Authoritative DNS | API REST | zone API, status polling |
Branche stable-2026.2 · 9 fichiers
Lire la reverse-specValorisation (FinOps) : usage collecté depuis Prometheus, valorisé par des règles hashmap et des scripts CEL, historique valorisé dans InfluxDB ; avec openkeel-pricing (devis de coût et de carbone), il alimente la page FinOps / GreenOps de Skyline.
Orchestration : pas encore de service Go ; les commandes stack et orchestration sont réécrites dans ok.
API EC2 Query (97 actions), signatures SigV2 et SigV4 vérifiées par Keystone : AWS CLI, boto3, Terraform.