Dodatki

Tvoja gostovana nadzorna ravnina nima paketa. Nastaviš njeno obliko (1 do 3 API strežnike, omejitev stanja) in nanjo dodaš dodatke.

Ta stran je praktično dopolnilo k Ceniku. Za vsak dodatek ti pove, kaj dobiš, kako ga uporabljaš in, kjer je smiselno, kateri ukaz lahko prilepiš. Referenca API opisuje vse poti API, ki jih navaja ta stran.

Dodatke izbiraš v nadzorni plošči: v čarovniku za ustvarjanje in pozneje pod Nastavitve → Oblika clustra. Kartica Dodatki na strani clustra prikazuje samo, kaj je nameščeno.

Operator kubehz tvojo izbiro prevede v ustrezne nastavitve Kubermatic (KKP) na tvoji nadzorni ravnini. KKP-ja nikoli ne urejaš neposredno.

Aplikacije niso dodatki

Dodatki so možnosti nadzorne ravnine. Programska oprema, ki teče v tvojem clustru, prihaja iz kataloga aplikacij na zavihku Aplikacije clustra.

Izberi aplikacijo in različico, po želji podaj vrednosti Helm, operator pa jo namesti (GET /api/catalog/apps, PUT /api/clusters/{id}/apps/{name}). Danes katalog vsebuje cert-manager. Več aplikacij sledi, ko jih pregledamo.

Vključeno, ne dodatki

Dve stvari, ki ju pričakuješ kot dodatka, nista dodatka, ker ju ima vsaka gostovana nadzorna ravnina:

• Varnostne kopije etcd: vsaka gostovana nadzorna ravnina vključuje načrtovane posnetke, privzeto vklopljene. Podrobnosti so spodaj v razdelku Varnostne kopije etcd.
• Visoka razpoložljivost: HA je število API strežnikov, ki ga nastaviš (3 API strežniki), ne ločena postavka. Nastavi tri in imaš HA.

Dodatki na kratko: vsak spodnji dodatek je do 1. decembra 2026 0 EUR. Tabela prikazuje cene po ceniku, ki začnejo veljati po tem datumu, brez DDV. Potrošniki plačajo DDV dodatno: 22 % v Sloveniji ali stopnjo svoje države. Stran Cenik prikazuje cene z DDV.

0 EUR do 1. decembra 2026

Dodatek	Cena od 1. decembra 2026	Mesečna meja	Zahteva
Spletna nadzorna plošča clustra (Headlamp)	0,001 €/uro	0,73 €/mesec	poljubna oblika
OPA / Gatekeeper	brezplačno	brezplačno	poljubna oblika
Varnostne kopije etcd	vključeno	vključeno	vsaka nadzorna ravnina
Revizijsko beleženje	0,001 €/uro	0,73 €/mesec	poljubna oblika
Monitoring	0,010 €/uro	7,30 €/mesec	poljubna oblika
Beleženje	0,008 €/uro	5,84 €/mesec	3 API strežniki
Namenska vozlišča	0,018 €/uro	13,14 €/mesec	3 API strežniki

Kako meri merilnik. kubehz vsako začeto uro zaračuna v celoti. Obračun se začne, ko vir ustvariš. kubehz vir zaračunava, dokler obstaja, v katerem koli stanju. Le izbris ustavi strošek.

Urni zneski ene enote nikoli ne presežejo njene mesečne cene. Številka €/mesec je urna postavka, pomnožena s 730 urami, in je najvišji znesek, tudi v 31-dnevnem mesecu.

kubehz dodatke obračuna ločeno. Če dodatek ostane, ko izbrišeš kaj drugega, ga kubehz zaračunava, dokler ne izbrišeš tudi dodatka. Glej Cene.

Ena cena ni na tem seznamu, ker ni dodatek. Statično vozlišče (worker vozlišče, ki ga prineseš sam) stane 0,001 €/uro na vozlišče, največ 0,73 €/mesec brez DDV. kubehz ga zaračuna po urah, ko javlja Ready.

Vozlišče v stanju NotReady je edina izjema od zgornjih pravil: kubehz ga nikoli ne zaračuna. Glej Statična vozlišča.

Spletna nadzorna plošča clustra (Headlamp)

Kaj omogoča. Gostovano spletno nadzorno ploščo Headlamp za tvoj cluster. kubehz jo poganja ob tvoji nadzorni ravnini in jo objavi na takoj dostopnem javnem naslovu:

https://dash-<cluster-id>.kubehz.cloud

Odpri jo s strani s podrobnostmi clustra v nadzorni plošči kubehz (gumb Odpri nadzorno ploščo). Prijaviš se s svojim računom kubehz (ista prijava SSO kot za platformo).

Kaj lahko vidiš in počneš, sledi tvojemu Kubernetes RBAC. Headlamp posreduje tvoj lastni identitetni žeton API strežniku in sam ne hrani nobenih skrbniških poverilnic. Brez kubeconfig, brez proxyja, brez drugega gesla.

Stane 0,001 €/uro, največ 0,73 €/mesec brez DDV, na vsaki obliki. Odkljukaš jo lahko v čarovniku in pod Nastavitve → Oblika. Čarovnik za ustvarjanje ne izbere nobenega dodatka namesto tebe: tega obkljukaš sam.

Headlamp je julija 2026 za tem dodatkom nadomestil opuščeno nadzorno ploščo kubernetes-dashboard: ista možnost, ista cena, boljša pot dostopa.

Raje lokalna aplikacija? Namizni Headlamp odpre isti cluster s preneseno kubeconfig, brez dodatka. Tako dobiš nadzorno ploščo tudi za self-hosted clustre.

Rezervna pot: kubectl proxy. Če na tvojem clustru še teče stara nadzorna plošča kubernetes-dashboard v clustru, jo še vedno dosežeš prek proxyja storitev API strežnika. Proxy se overi s tvojo lastno kubeconfig:

1. Prenesi kubeconfig clustra iz nadzorne plošče kubehz (stran s podrobnostmi clustra).

2. Zaženi lokalni proxy do API strežnika:

   kubectl --kubeconfig ./kubeconfig proxy

3. Odpri naslov proxyja storitve za nadzorno ploščo v brskalniku:

   http://localhost:8001/api/v1/namespaces/kubernetes-dashboard/services/https:kubernetes-dashboard:/proxy/

Proxy prevzame tvojo kubeconfig. Nadzorna plošča vidi natanko to, kar bi videl z kubectl, in nič več.

OPA / Gatekeeper

Kaj omogoča. Uveljavljanje pravilnikov OPA Gatekeeper v tvojem clustru. Gatekeeper ob sprejemu (admission) preveri vire glede na pravilnike, ki jih napišeš kot objekta ConstraintTemplate + Constraint.

Je brezplačno in na voljo na vsaki obliki. Operator ta dodatek preslika na KKP-jev opaIntegration.enabled. Komponente Gatekeeper tečejo znotraj tvojega clustra.

Kako ga uporabljaš. Ko je dodatek vklopljen, uporabi ConstraintTemplate (določa pravilo za ponovno uporabo) in nato Constraint (pravilo uporabi za določene vrste). Klasika za začetek je „vsak imenski prostor mora imeti oznako owner“:

Prikaži celoten YAML za ConstraintTemplate + Constraint

# 1. Predloga: pravilo „required labels" za ponovno uporabo.
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8srequiredlabels
spec:
  crd:
    spec:
      names:
        kind: K8sRequiredLabels
      validation:
        openAPIV3Schema:
          type: object
          properties:
            labels:
              type: array
              items:
                type: string
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8srequiredlabels
        violation[{"msg": msg}] {
          provided := {label | input.review.object.metadata.labels[label]}
          required := {label | label := input.parameters.labels[_]}
          missing := required - provided
          count(missing) > 0
          msg := sprintf("you must provide labels: %v", [missing])
        }
---
# 2. Omejitev: zahtevaj oznako `owner` na vsakem imenskem prostoru.
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLabels
metadata:
  name: ns-must-have-owner
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Namespace"]
  parameters:
    labels: ["owner"]

Oba dokumenta shrani kot required-labels.yaml in ju nato uveljavi:

kubectl apply -f required-labels.yaml

Kako izgleda uveljavljanje. Zatem spletni kavelj za sprejem (admission webhook) zavrne imenski prostor brez oznake owner:

$ kubectl create namespace demo
Error from server (Forbidden): admission webhook "validation.gatekeeper.sh" denied
the request: [ns-must-have-owner] you must provide labels: {"owner"}

Namesto tega ustvari imenski prostor kar z oznako in Gatekeeper ga sprejme:

kubectl apply -f - <<EOF
apiVersion: v1
kind: Namespace
metadata:
  name: demo
  labels:
    owner: platform-team  # poljubna vrednost — pravilnik zahteva samo ključ
EOF

Varnostne kopije etcd

Kaj omogoča. Načrtovane posnetke etcd tvoje nadzorne ravnine, podatkovne shrambe za vsakim objektom v tvojem clustru (Deployments, Secrets, CRD-ji, vse).

Vsaka gostovana nadzorna ravnina jih vključuje, privzeto vklopljene. Ničesar ti ni treba kupiti ali vklopiti. Operator za tvoj cluster pripravi KKP-jev EtcdBackupConfig.

Urnik in hramba. Varnostne kopije tečejo vsakih 6 ur (cron 0 */6 * * *). kubehz ohrani zadnjih 20 posnetkov in starejše samodejno počisti. Posnetke zapiše v objektno shrambo, ki jo upravlja kubehz, v EU. Vedra ne upravljaš sam.

Enkratni posnetki in obnovitev. Ob urniku lahko posnetek narediš tudi sam, na primer pred tveganim posegom, in obnoviš iz katerega koli posnetka, ki ga imaš. Oboje je samopostrežno: v razdelku Varnostne kopije na strani clustra ali prek API-ja.

V API-ju POST /api/clusters/{id}/snapshots z name naredi posnetek, GET izpiše seznam, DELETE .../snapshots/{name} izbriše posnetek, dejanje obnovitve na posnetku pa ga obnovi.

Obnovitev je KKP EtcdRestore na tvoji nadzorni ravnini. API strežnik je nedosegljiv tistih nekaj minut, kolikor traja obnovitev, in vsak objekt, ki se je spremenil po posnetku, je izgubljen. Če želiš, da pogleda še kdo drug, pred klikom vprašaj v klepetu.

Revizijsko beleženje

Kaj omogoča. Kubernetes revizijsko beleženje API-ja na tvoji nadzorni ravnini: zapis, kdo je kaj naredil proti API strežniku (zahteve, subjekti, glagoli, viri).

Stane 0,001 €/uro, največ 0,73 €/mesec brez DDV, na poljubni obliki. Operator ta dodatek preslika na KKP-jev auditLogging s fiksno prednastavitvijo pravilnika.

Katera prednastavitev velja. kubehz omogoči prednastavitev revizijskega pravilnika recommended. Ta uravnotežena raven zajame varnostno pomembne operacije brez količine polnega toka zahtev/odgovorov. Prednastavitve ne moreš spremeniti: urejevalnika pravilnikov na cluster ni.

Kam gredo dogodki. API strežnik na tvoji nadzorni ravnini oddaja revizijske dogodke. Na strani clustra ali s PUT /api/clusters/{id}/audit-delivery izbereš njihovo dostavo:

• webhook vsak paket pošlje na tvojo končno točko HTTPS (z neobveznim svežnjem CA).
• s3 jih zapiše v tvoje vedro, združljivo s S3 (končna točka, vedro, predpona, dostopni ključ).
• none jih obdrži samo na nadzorni ravnini.

Da dogodke pregleduješ in iščeš, ta dodatek združi z Beleženjem. Beleženje ti da mesto, kjer jih bereš v velikem obsegu.

Monitoring

Kaj omogoča. Metrike na cluster: kubehz jih zbira v tvojem clustru in pošilja na platformo kubehz. Stane 0,010 €/uro, največ 7,30 €/mesec brez DDV, na poljubni obliki.

Dodatek vklopiš v nadzorni plošči kubehz: ob ustvarjanju clustra med možnostmi dodatkov v čarovniku ali kasneje pod Nastavitve → Oblika clustra. Prometheus teče v tvojem clustru in napaja platformo. Ne poganjaš ga in ne skaliraš sam.

Kaj krije plačilo. Platformno stran: večnajemniško shrambo metrik s 15-dnevno hrambo, poizvedbeno pot nadzorne plošče in opozarjanje. Vse to poganja in upravlja kubehz.

Na tvoji strani teče agent za monitoring na tvojih lastnih workerjih: 2 repliki, ki skupaj zahtevata 220m CPU in 532 MiB pomnilnika (glej Zmogljivost workerjev). Plačilo krije naš zaledni sistem in shrambo, ne tvojih računskih virov.

Kaj kubehz zbira. Zdravje clustra in vozlišč ter porabo virov nadzorne ravnine in delovnih obremenitev (običajni signali Kubernetes/cAdvisor/kube-state). Metrike CPU, pomnilnika, podov in vozlišč skozi čas dobiš brez lastnega Prometheusa.

Kje jih vidiš. Metrike se pojavijo v razdelku Monitoring na strani clustra v nadzorni plošči kubehz.

Opozarjanje. Isti razdelek hrani tudi tvoja pravila za opozorila in prejemnike:

• Skupina pravil je datoteka s pravili Prometheus za metrics ali logs (PUT /api/clusters/{id}/monitoring/rules/{name} z YAML v data).
• Prejemnik je URL webhook ali naslov email (PUT .../monitoring/receivers/{name}).

Svoj račun na opozorilna sporočila clustra naročiš s stikalom na isti strani ali s POST /api/clusters/{id}/alerts/subscription.

Beleženje

Kaj omogoča. Agregacijo dnevnikov na cluster, temelječo na Lokiju, prek istega sklada platforme. Stane 0,008 €/uro, največ 5,84 €/mesec brez DDV, in zahteva obliko s tremi API strežniki.

Kot pri monitoringu dodatek vklopiš v nadzorni plošči kubehz: ob ustvarjanju clustra med možnostmi dodatkov v čarovniku ali kasneje pod Nastavitve → Oblika clustra. Zbiralnik v slogu promtail teče v tvojem clustru in pošilja dnevnike podov na Loki platforme. Lokija ne poganjaš sam.

Kaj krije plačilo. Platformni zajem, 7-dnevno shrambo dnevnikov in poizvedbeno pot za brskalnikom dnevnikov v nadzorni plošči. Vse to poganja in upravlja kubehz.

Zbiralnik na tvojih vozliščih je tvoj: na vsakem vozlišču workerja zahteva 60m CPU in 74 MiB pomnilnika. Plačilo krije naš zaledni sistem in shrambo.

Hramba. Dodatek vključuje 7-dnevno hrambo dnevnikov: dnevnike zadnjega tedna lahko poizveduješ, starejši podatki potečejo.

Kje jih vidiš. Dnevniki se pojavijo v nadzorni plošči kubehz ob monitoringu. Uvajanje brskalnika dnevnikov v nadzorni plošči še poteka. Danes ti dodatek da zbiranje in 7-dnevno hrambo.

Beleženje je tudi naravni spremljevalec Revizijskega beleženja: da ti mesto, kjer bereš revizijske dogodke.

Namenska vozlišča

Kaj omogoča. Postavi tvojo nadzorno ravnino na namensko fizično strojno opremo (bare-metal) v floti kubehz namesto na deljene oblačne VM. Nadzorna ravnina dobi stabilnejšo, izolirano zmogljivost.

Stane 0,018 €/uro, največ 13,14 €/mesec brez DDV, in zahteva obliko s tremi API strežniki. Operator premakne tvojo nadzorno ravnino na vozlišča razreda metal (sprememba umestitve, ne sprememba velikosti).

Živa migracija ob preklopu. Namensko je povratno. Ko ga vklopiš (ali izklopiš), operator sproži živo migracijo nadzorne ravnine na bazen metal (ali z njega). Operator premakne delovno obremenitev: clustra ne gradiš znova.

Omejitev zmogljivosti (iskren del). Fizična strojna oprema je redek bazen, ki ga namerno omejujemo. Zato je namensko omejeno z zmogljivostjo ob pripravi. Če je bazen metal na spodnji meji, možnosti nekaj časa morda ne moreš naročiti, niti na clustru s tremi API strežniki.

To je namerno: metal dodamo, ko povpraševanje to upraviči. Možnost zahteva obliko s tremi API strežniki, da clustri za enkratno uporabo ne trošijo redke zmogljivosti. Če možnost ob poskusu ni na voljo, se znova odpre, ko dodamo zmogljivost.

Zmogljivost workerjev

Nekateri dodatki poganjajo pode na tvojih gostovanih workerjih, ti podi pa zahtevajo CPU in pomnilnik. Preden kubehz tak dodatek vklopi, preveri, ali nabori workerjev lahko sprejmejo sistemske pode in vse dodatke, ki si jih izbral. Preverjanje šteje te zahteve (requests):

Na tvojih workerjih	CPU	Pomnilnik	Šteje se
Sistemski podi na vsakem vozlišču	175m	114 MiB	na vozlišče workerja
Sistemski podi za cluster	320m	484 MiB	enkrat na cluster
Monitoring (2 repliki agenta)	220m	532 MiB	enkrat na cluster
Beleženje (zbiralnik)	60m	74 MiB	na vozlišče workerja
OPA / Gatekeeper	200m	1024 MiB	enkrat na cluster
cert-manager (katalog aplikacij)	60m	160 MiB	enkrat na cluster

Spletna nadzorna plošča clustra, revizijsko beleženje, varnostne kopije etcd in namenska vozlišča tečejo ob nadzorni ravnini. Na tvojih workerjih ne potrebujejo ničesar.

Pravilo. Nabori morajo dati vsaj 1,5-kratnik vsote teh zahtev, za CPU in za pomnilnik. 50 % rezerve pokrije porabo nad zahtevami, dodatni pod med postopno posodobitvijo (rolling update) in napako ocene.

kubehz oceni, koliko da eno vozlišče, iz njegovega strežniškega tipa: vCPU × 1000m minus 400m CPU in 93 % njegovega pomnilnika minus 500 MiB. Nabor s samodejnim skaliranjem se šteje z najmanjšim številom vozlišč.

Primer. En worker z 2 vCPU in 4 GB (cpx22 ali cax11) da 1600m CPU in 3309 MiB. Sistemski podi in monitoring potrebujejo (175 + 320 + 220) × 1,5 = 1073m CPU in (114 + 484 + 532) × 1,5 = 1695 MiB. En tak worker zadošča.

Kdaj kubehz preverja. Ko ustvariš cluster z workerji in dodatki, dodaš dodatek, namestiš aplikacijo iz kataloga ali clustru brez workerjev dodaš prve workerje. Na clustru, ki že ima workerje, to preverjanje nikoli ne zavrne spremembe nabora (zmanjšanje, nov tip, odstranitev).

Statičnih naborov kubehz ne presoja (njihove velikosti ne pozna). Ko katalog Hetzner ni na voljo, kubehz spremembo prav tako spusti skozi.

Ko ne gre. kubehz spremembo zavrne z ADDON_NEEDS_CAPACITY. Besedilo pomoči navede, kaj potrebujejo dodatki in sistemski podi, kaj dajo nabori, in primer nabora, ki zadošča (na primer 2 × cax11).

Izberi večji strežniški tip, dodaj workerje ali odstrani dodatek. Vsak gostovani worker potrebuje tudi vsaj 2 vCPU: glej Strežniški tipi.

Naslednji koraki

• Cenik: celoten cenik dodatkov.
• Gostovana nadzorna ravnina: oblika in gostovana pot v celoti.
• Nabori workerjev: nabori, skaliranje in avtoskaliranje na tvojem clustru.
• Nadzorna plošča in račun: kjer preklapljaš dodatke in preneseš kubeconfig.

---

Status dokumenta

Vidik	Podrobnost
Stanje	dodatki aktivni, s samopostrežnimi posnetki, obnovitvijo, dostavo revizijskih dogodkov in opozarjanjem. Brskalnik dnevnikov v nadzorni plošči: uvajanje poteka
Zadnji pregled	2026-10-30