hostname 已经写在 Ingress 或 HTTPRoute 里，再去 DNS 那边手建一条记录，等于给集群状态留了一份要同步维护的副本。交给 external-dns 的代价是自己定三件事：读哪种资源、target 指向哪里、哪些记录归这个实例。

两个 K3s 集群的子域名 DNS 从 Terraform 手改交给 external-dns 之后，加一个子域名只剩一步，真正的难点是把既有记录零停机迁过去，得先预埋 ownership TXT。

以 diegolnasc/kubernetes-best-practices 仓库为蓝本过一遍 K8s 生产实践，顺手补上 Gateway API、ValidatingAdmissionPolicy、原生 Sidecar 这些仓库还没覆盖的新特性。

在 K3s homelab 环境中部署 ZITADEL 作为 OIDC 身份提供者，结合 oauth2-proxy 和 Traefik Gateway API 的 ForwardAuth 机制，为所有自托管服务实现统一的 SSO 单点登录。