Großes Kino mit #DNS und #LetsEncrypt

Mein Wildcard-Zertifikat für *.sokoll.com war ausgelaufen. Nun wird das aber seit Ewigkeiten automatisch erneuert mit dehydrated, nur diesmal nicht. dehydrated läuft auf einem anderen Rechner als der Nameserver.
Damit das funktioniert, hat dehydrated einen Hook, der via nsupdate den TXT-RR, den LE sehen möchte, in die Zone _acme-challenge.sokoll.com schreibt. Diese muß dynamisch sein, sonst funktioniert das nicht. Dymaisch heißt, es wird nicht in das Zonenfile geschrieben (ich verwende bind mit flat files), sondern in das Journal, also nach _acme-challenge.sokoll.com.jnl (weil das Zonenfile _acme-challenge.sokoll.com heißt)
Dazu muß aber der User named Schreibrechte auf das Verzeichnis haben. Nach einem Opensuse-update gehörte das aber auf einmal root bei mir. Und damit fiel dann die gesamte Orchestrierung in sich zusammen, und es gab kein neues Zertifikat.
Das Debugging hat dann etwas gedauert. Zum Glück hatte ich auf die Staging-URL bei LE umgestellt, sonst wäre ich ins Rate Limiting gelaufen und hätte warten müssen.

Denke über Selbstenterbung nach.