Dodatki

Tvoja gostovana nadzorna ravnina se začne z naročnino (dev, starter, pro), na katero dodajaš dodatke. Ta stran je praktično dopolnilo k Ceniku: kaj ti vsak dodatek dejansko prinese, kako ga uporabljaš in — kjer je smiselno — ukaz za prilepitev.

Dodatke izbiraš v nadzorni plošči na strani s podrobnostmi clustra. Operator kubehz tvojo izbiro prevede v ustrezne nastavitve Kubermatic (KKP) na tvoji nadzorni ravnini; KKP-ja nikoli ne urejaš neposredno.

Vključeno vs. dodatek

Dve stvari, ki ju pričakuješ kot dodatek, to nista — ker sta vgrajeni:

• Varnostne kopije etcd — načrtovani posnetki so vključeni v vsako plačano naročnino, privzeto vklopljeni. Glej Varnostne kopije etcd spodaj, kaj to pomeni.
• Visoka razpoložljivost — HA je naročnina pro sama (3× API strežnik), ne ločena postavka. Izberi pro in jo imaš.

Dodatki na kratko (cene po ceniku — glej Cenik):

Dodatek	Cena	Najnižja naročnina
Spletna nadzorna plošča clustra (Headlamp)	0,50 €/mesec	poljubna (od starter privzeto vklopljena)
OPA / Gatekeeper	brezplačno	dev
Varnostne kopije etcd	vključeno	vsaka plačana naročnina
Revizijsko beleženje	0,50 €/mesec	starter
Monitoring	5 €/mesec	starter (vključeno v pro)
Beleženje	4 €/mesec	pro
Namenska vozlišča	9 €/mesec	pro

Spletna nadzorna plošča clustra (Headlamp)

Kaj omogoča. Gostovano spletno nadzorno ploščo Headlamp za tvoj cluster — kubehz jo poganja ob tvoji krmilni ravnini in objavi na takoj dostopnem javnem naslovu:

https://dash-<cluster-id>.kubehz.cloud

Odpri jo s strani s podrobnostmi clustra v nadzorni plošči kubehz (gumb Odpri nadzorno ploščo). Prijaviš se s svojim računom kubehz — ista prijava SSO kot za platformo — in kaj lahko vidiš ter počneš, sledi tvojemu Kubernetes RBAC: Headlamp posreduje tvoj lastni identitetni žeton API strežniku in sam ne hrani nobenih skrbniških poverilnic. Brez kubeconfig, brez proxyja, brez drugega gesla.

Od naročnine starter naprej je privzeto vklopljena; na dev je izklopljena (resničen prihranek) in jo lahko dodaš za 0,50 €/mesec. Headlamp je za tem dodatkom nadomestil opuščeno nadzorno ploščo kubernetes-dashboard (2026-07) — ista možnost, ista cena, bistveno boljša pot dostopa.

Raje lokalna aplikacija? Namizni Headlamp odpre isti cluster s preneseno kubeconfig — brez dodatka, in to je tudi pot do nadzorne plošče za self-hosted clustre.

Rezervna pot: kubectl proxy. Cluster, na katerem še teče stara nadzorna plošča v clustru, ostane dosegljiv prek proxyja storitev API strežnika, overjeno s tvojo lastno kubeconfig:

1. Prenesi kubeconfig clustra iz nadzorne plošče kubehz (stran s podrobnostmi clustra).

2. Zaženi lokalni proxy do API strežnika:

   kubectl --kubeconfig ./kubeconfig proxy

3. Odpri naslov proxyja storitve za nadzorno ploščo v brskalniku:

   http://localhost:8001/api/v1/namespaces/kubernetes-dashboard/services/https:kubernetes-dashboard:/proxy/

Proxy prevzame tvojo kubeconfig, tako da nadzorna plošča vidi natanko to, kar bi videl z kubectl — nič več.

OPA / Gatekeeper

Kaj omogoča. Uveljavljanje pravilnikov OPA Gatekeeper v tvojem clustru: preverjanje virov ob sprejemu (admission) glede na pravilnike, ki jih napišeš kot objekta ConstraintTemplate + Constraint. Je brezplačno in na voljo od naročnine dev naprej. Operator to preslika na KKP-jev opaIntegration.enabled; komponente Gatekeeper tečejo znotraj tvojega clustra.

Kako ga uporabljaš. Ko je dodatek vklopljen, uporabi ConstraintTemplate (določa pravilo za ponovno uporabo) in nato Constraint (ga uporabi za določene vrste). Klasika za začetek je „vsak imenski prostor mora imeti oznako owner":

# 1. Predloga: pravilo „required labels" za ponovno uporabo.
apiVersion: templates.gatekeeper.sh/v1
kind: ConstraintTemplate
metadata:
  name: k8srequiredlabels
spec:
  crd:
    spec:
      names:
        kind: K8sRequiredLabels
      validation:
        openAPIV3Schema:
          type: object
          properties:
            labels:
              type: array
              items:
                type: string
  targets:
    - target: admission.k8s.gatekeeper.sh
      rego: |
        package k8srequiredlabels
        violation[{"msg": msg}] {
          provided := {label | input.review.object.metadata.labels[label]}
          required := {label | label := input.parameters.labels[_]}
          missing := required - provided
          count(missing) > 0
          msg := sprintf("you must provide labels: %v", [missing])
        }
---
# 2. Omejitev: zahtevaj oznako `owner` na vsakem imenskem prostoru.
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLabels
metadata:
  name: ns-must-have-owner
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Namespace"]
  parameters:
    labels: ["owner"]

kubectl apply -f required-labels.yaml

Kako izgleda uveljavljanje. Zatem je imenski prostor brez oznake owner zavrnjen ob sprejemu:

$ kubectl create namespace demo
Error from server (Forbidden): admission webhook "validation.gatekeeper.sh" denied
the request: [ns-must-have-owner] you must provide labels: {"owner"}

Namesto tega ustvari imenski prostor kar z oznako in bo sprejet:

kubectl apply -f - <<EOF
apiVersion: v1
kind: Namespace
metadata:
  name: demo
  labels:
    owner: <ti>
EOF

Varnostne kopije etcd

Kaj omogoča. Načrtovane posnetke etcd tvoje nadzorne ravnine — podatkovne shrambe za vsakim objektom v tvojem clustru (Deployments, Secrets, CRD-ji, vse). To je vključeno v vsako plačano naročnino, privzeto vklopljeno; ni kaj kupiti ali vklopiti. Operator za tvoj cluster pripravi KKP-jev EtcdBackupConfig.

Urnik in hramba. Varnostne kopije tečejo vsakih 6 ur (cron 0 */6 * * *), ohrani pa se zadnjih 20 posnetkov; starejši se samodejno počistijo. Posnetki se zapisujejo v objektno shrambo, ki jo upravlja kubehz, v EU — veder ne upravljaš sam.

Obnovitev. Obnovitev iz posnetka je operacija KKP EtcdRestore na tvoji nadzorni ravnini ob pomoči operaterja — še ni gumb za samopostrežbo. Če potrebuješ obnovitev, kontaktiraj podporo s clustrom in želeno časovno točko; samopostrežna obnovitev je funkcija paketa managed, ki se še postopoma uvaja. (Varnostne kopije obstajajo prav zato, da je ta pot na voljo, ko jo potrebuješ.)

Revizijsko beleženje

Kaj omogoča. Kubernetes revizijsko beleženje API-ja na tvoji nadzorni ravnini — zapis, kdo je kaj naredil proti API strežniku (zahteve, subjekti, glagoli, viri). 0,50 €/mesec od naročnine starter naprej. Operator to preslika na KKP-jev auditLogging s fiksno prednastavitvijo pravilnika.

Katera prednastavitev se uporabi. kubehz omogoči prednastavitev revizijskega pravilnika recommended — uravnotežena raven, ki zajame varnostno pomembne operacije brez količine polnega toka zahtev/odgovorov. (Prednastavitev je fiksna; urejevalnika pravilnikov na cluster ni.)

Kam gredo dogodki. Revizijske dogodke oddaja API strežnik na tvoji nadzorni ravnini. Da jih dejansko udobno pregleduješ in iščeš, to združi z Beleženjem — revizijsko beleženje ustvari dogodke; dodatek za beleženje ti da mesto, kjer jih bereš v velikem obsegu. Brez beleženja se dogodki še vedno ustvarjajo, a nad njimi še ni združenega vmesnika.

Monitoring

Kaj omogoča. Na cluster zbrane metrike iz tvojega clustra, poslane na platformo kubehz. 5 €/mesec od naročnine starter naprej in vključeno v naročnino pro brez doplačila. Dodatek vklopiš v nadzorni plošči kubehz — ob ustvarjanju med možnostmi dodatkov v čarovniku ali kasneje na kartici dodatkov na strani clustra. Prometheus teče v tvojem clustru in napaja platformo; ne poganjaš ga ali skaliraš sam.

Kaj krije plačilo. Platformno stran: večnajemniško shrambo metrik s 15-dnevno hrambo, poizvedbeno pot nadzorne plošče in opozarjanje — vse to poganja in upravlja kubehz. Na tvoji strani teče le lahek zbiralnik na tvojih lastnih delovnih vozliščih; plačilo krije naš zaledni sistem in shrambo, ne tvojih računskih virov.

Kaj se zbira. Zdravje clustra in vozlišč, poraba virov nadzorne ravnine in delovnih obremenitev — običajni signali Kubernetes/cAdvisor/kube-state — tako dobiš metrike CPU, pomnilnika, podov in vozlišč skozi čas, ne da bi postavljal lasten Prometheus.

Kje jih vidiš. Metrike se pojavijo v razdelku Monitoring nadzorne plošče kubehz. Ta pogled se uvaja — zbiranje je aktivno; grafi v nadzorni plošči se vklapljajo cluster za clustrom. Dokler ne doseže tvojega clustra, dodatek pripravlja podatke v ozadju.

Beleženje

Kaj omogoča. Na cluster agregacijo dnevnikov, temelječo na Lokiju, prek istega sklada platforme. 4 €/mesec od naročnine pro naprej. Kot pri monitoringu dodatek vklopiš v nadzorni plošči kubehz — ob ustvarjanju med možnostmi dodatkov v čarovniku ali kasneje na kartici dodatkov na strani clustra. Zbiralnik v slogu promtail teče v tvojem clustru in pošilja dnevnike podov na Loki platforme; Lokija ne poganjaš sam.

Kaj krije plačilo. Platformni zajem, 7-dnevno shrambo dnevnikov in poizvedbeno pot za brskalnikom dnevnikov v nadzorni plošči — vse to poganja in upravlja kubehz. Zbiralnik na tvojih vozliščih je tvoj in zanemarljiv; plačilo krije naš zaledni sistem in shrambo.

Hramba. Dodatek vključuje 7-dnevno hrambo dnevnikov — zadnji teden dnevnikov je na voljo za poizvedbe, starejši podatki potečejo.

Kje jih vidiš. Dnevniki se pojavijo v nadzorni plošči kubehz ob monitoringu. Kot pogled monitoringa se brskalnik dnevnikov v nadzorni plošči uvaja; zbiranje in 7-dnevno hrambo dodatek pripravlja danes, je pa tudi naravni spremljevalec Revizijskega beleženja za branje revizijskih dogodkov.

Namenska vozlišča

Kaj omogoča. Postavi tvojo nadzorno ravnino na namensko fizično strojno opremo (bare-metal) v floti kubehz namesto na deljene oblačne VM — stabilnejša, izolirana zmogljivost za nadzorno ravnino. 9 €/mesec, samo naročnina pro. Operator usmeri tvojo nadzorno ravnino na vozlišča razreda metal (sprememba umestitve, ne sprememba velikosti).

Živa migracija ob preklopu. Namensko je povratno: vklop (ali izklop) sproži živo migracijo nadzorne ravnine na (ali z) bazen metal — operator premakne delovno obremenitev; clustra ne gradiš znova.

Omejitev zmogljivosti — iskren del. Fizična strojna oprema je redek, namerno omejen bazen. Zato je namensko omejeno z zmogljivostjo ob pripravi: če je bazen metal na spodnji meji, možnost lahko začasno ni naročljiva niti na clustru pro. To je namerno (metal se dodaja, ko povpraševanje to upraviči) in samo za pro, da vozlišča za enkratno uporabo ne trošijo redke zmogljivosti — če ob poskusu ni na voljo, se odpre, ko se doda zmogljivost.

Naslednji koraki

• Cenik — celoten cenik dodatkov.
• Gostovana nadzorna ravnina — naročnine in gostovana pot v celoti.
• Nabori workerjev — nabori, skaliranje in avtoskaliranje na tvojem clustru.
• Nadzorna plošča in račun — kjer preklapljaš dodatke in preneseš kubeconfig.

---

Status dokumenta

Vidik	Podrobnost
Stanje	dodatki aktivni; pogledi monitoringa/beleženja v nadzorni plošči se uvajajo
Zadnji pregled	2026-07-11