记录我把两个 K3s 集群的子域名 DNS 从 Terraform 手改交给 external-dns 的过程，以及既有记录零停机接管时踩到的坑。

以 diegolnasc/kubernetes-best-practices 仓库为蓝本过一遍 K8s 生产实践，顺手补上 Gateway API、ValidatingAdmissionPolicy、原生 Sidecar 这些仓库还没覆盖的新特性。

在K3s homelab环境中部署ZITADEL作为OIDC身份提供者，结合oauth2-proxy和Traefik Gateway API的ForwardAuth机制，为所有自托管服务实现统一的SSO单点登录。