Ein Schlüssel gilt nur für die bezahlten Cluster.

Stand: 14. Oktober 2026

Jede Edition ist lizenziert, auch die kostenlose

Die Community Edition erhält einen Schlüssel und aktiviert ihn wie jede andere Edition. Der Unterschied liegt im Schlüssel, nicht im Verfahren: Ein Community-Schlüssel läuft nicht ab, ein bezahlter schon.

Das hat mit Buchhaltung nichts zu tun. Alles, was eine Installation darf, steht in dem Zertifikat, das sie erhalten hat: ihre Funktionen, ihr monatliches Kontingent an Image-Namen, ihre Framework- und Cluster-Anzahl. Eine Installation ohne Zertifikat ist keine kostenlose Installation, sondern eine ohne Antwort auf diese Frage – bedienen ließe sie sich nur, indem man eine Antwort unterstellt. Eine Unterstellung kann man nicht zählen, nicht an einen Cluster binden und nicht zurückziehen. Deshalb gibt es keinen unlizenzierten Modus: Die kostenlose Edition ist kostenlos, weil ihr Schlüssel das so festlegt, nicht weil ihr einer fehlt.

Der Weg dorthin besteht in beiden Fällen aus denselben drei Schritten. Legen Sie auf attestkeep.com ein Konto an, holen Sie den kostenlosen Schlüssel oder kaufen Sie den gewünschten Plan, und geben Sie den Schlüssel dann in Ihrer eigenen Konsole ein. Vorher passiert nichts: kein Vertriebsgespräch vor der kostenlosen Edition, kein Formular vor der Installation.

Woran ein Schlüssel hängt

Die Aktivierung ist ein einmaliger Austausch pro Cluster. Die Installation sendet ihren Aktivierungsschlüssel und einen Fingerabdruck des Clusters, in dem sie läuft; wir binden den Schlüssel an diesen Fingerabdruck und senden ein signiertes Zertifikat zurück, das den Fingerabdruck enthält.

Ein Schlüssel gilt für so viele Cluster, wie der Plan bezahlt. Community und Team enthalten 1, Business 3, Enterprise 5; weitere Slots gibt es im Checkout bis 10 Cluster, mehr als 10 erfordern einen individuellen Vertrag. Die Aktivierung eines vierten Clusters mit einem Schlüssel für drei wird abgelehnt, und die Ablehnung sagt, welcher der beiden Fälle vorliegt: Das Kontingent ist erschöpft und Sie können einen Slot dazukaufen, oder einer der drei ist ein Cluster, den es nicht mehr gibt und den Sie freigeben können.

Danach prüft der Operator bei jedem Start drei Dinge, ohne dass etwas den Cluster verlässt: dass die Signatur von uns stammt, dass das Zertifikat nicht abgelaufen ist und dass der enthaltene Fingerabdruck zu dem Cluster passt, in dem er tatsächlich läuft. Ein Zertifikat, das auf einen fremden Cluster kopiert wurde, scheitert an der dritten Prüfung, und zwar lokal und offline, ohne Anfrage bei uns. Die Bindung ist keine Abfrage, die wir bei Bedarf ausführen, sondern Teil dessen, was wir signiert haben.

Der Fingerabdruck ist ein Hash der Kennung des Namespace kube-system Ihres Clusters. Er entsteht mit dem Cluster und bleibt über dessen gesamte Lebensdauer gleich. Löschen und Neuinstallieren des Operators ändern ihn nicht; eine Neuinstallation braucht also nichts von uns. Ein neu aufgebauter Cluster hat dagegen einen anderen, und darum geht es im Abschnitt über den Umzug einer Lizenz.

Ihr Cluster-Kontingent und was davon übrig ist

Ein Schlüssel trägt ein Kontingent statt einer einzelnen Bindung, und jede Aktivierung verbraucht einen Slot davon. Kaufen Sie drei Cluster: Nach der ersten Installation bleiben zwei, nach der zweiten einer, nach der dritten keiner. Jedes Mal derselbe Schlüssel, kein zweiter, den Sie verwalten müssten.

Wie viel übrig ist, müssen Sie sich nicht merken. Ihr Konto zeigt den Schlüssel, die Cluster, die gerade seine Slots belegen, mit dem jeweiligen Aktivierungsdatum, und die Zahl der freien Slots; der Operator zeigt dasselbe auf seiner eigenen Lizenzseite, sobald er aktiviert ist. Ein aufgebrauchtes Kontingent ist kein Fehlerzustand. Es gibt zwei normale Antworten: einen ungenutzten Slot freigeben oder einen hinzufügen.

Cluster lassen sich einem vorhandenen Schlüssel über Ihr Konto hinzufügen, ohne die laufenden Installationen anzufassen. Das Kontingent steigt, und die nächste tägliche Prüfung bemerkt es: Eine Änderung am Gekauften gehört zu den Dingen, die ein neues Zertifikat auslösen, sodass jeder Cluster innerhalb eines Tages von selbst die neue Zahl trägt.

Warum nur die Cluster-Anzahl uns braucht

Ihr monatliches Kontingent an Image-Namen und Ihre Framework-Anzahl zählt der Operator in Ihrem eigenen Cluster, weil alles, was dabei gezählt wird, dort geschieht. Dafür braucht es uns nicht, und nichts davon wird gesendet. Mit der Node-Obergrenze ist es genauso: Sie steht im Zertifikat und wird im Cluster gegen die eigene Zählung der Nodes im Zustand Ready geprüft.

Die Cluster-Anzahl ist von anderer Art. Ein Operator in einem Cluster kann nicht wissen, dass derselbe Schlüssel noch in zwei weiteren läuft. Es gibt in einem Cluster keinen Standpunkt, von dem aus man die anderen sieht. Die Zahl kann nur dort geführt werden, wo der Schlüssel ausgestellt und die Bindungen gehalten werden.

Die tägliche Prüfung ist also keine Formalität um eine Lizenz, die auch ohne sie hielte. Sie steht hinter einer Leistung, die wir tatsächlich verkaufen; die Alternative wäre eine Cluster-Anzahl auf der Preisliste, die nichts durchsetzt. Ein Cluster, der statt der Prüfung ein Offline-Zertifikat erhält, verbraucht seinen Slot in dem Moment, in dem das Zertifikat ausgestellt wird: dieselbe Zahl, auf derselben Seite geführt.

Die tägliche Lizenzprüfung

Einmal am Tag prüft eine verbundene Installation ihre Lizenz bei uns und erhält ein frisches Zertifikat, wenn sich etwas geändert hat oder das vorhandene bald abläuft. Das lässt sich nicht abschalten; dafür gibt es keine Einstellung, weder im Chart noch anderswo. Eine Lizenz, der man das Prüfen abgewöhnen kann, setzt derjenige durch, der sie installiert hat, und das ist keine Durchsetzung. Die einzige Installation, die nie prüft, hat ein Offline-Zertifikat, und auch das ist keine Einstellung: Wir haben es auf eine Anfrage hin ausgestellt, die wir gesehen haben, für einen Cluster, dessen Slot es verbraucht hat.

Die Prüfung sendet drei Werte, sonst nichts:

• die Lizenzkennung,
• den oben beschriebenen Cluster-Fingerabdruck,
• die Operator-Version.

Sie sendet keine Image-Namen, keine Scan-Befunde, keine CVE-Kennungen, keine Workload- oder Namespace-Namen, keine Cluster-Topologie, keine Benutzerkonten und nichts aus Ihrer Datenbank. Sie kann es auch nicht: Die Image- und Framework-Grenzen werden in Ihrem Cluster gezählt; diese Zahlen haben keinen Grund, ihn zu verlassen, und es gibt keinen Codepfad, der sie mitnähme. Was übertragen wird, beantwortet genau eine Frage: Darf diese Lizenz noch auf diesem Cluster laufen? Eine zweite beantwortet es nicht.

Die genauen Felder, ihre Aufbewahrungsdauer und die Rechtsgrundlage stehen im Datenschutzhinweis.

Sie kaufen ein Jahr, das Zertifikat gilt einen Monat

Pläne gibt es monatlich oder jährlich. Das Zertifikat einer verbundenen Installation gilt nie so lange: höchstens dreißig Tage, und es wird lange vor Ablauf durch ein frisches ersetzt. An Ihrem Abonnement ändert das nichts. Das Datum auf der Rechnung ist das Datum, für das Sie bezahlt haben; das Zertifikat erneuert sich darunter still von selbst. Die Ausnahme ist ein Offline-Zertifikat: Es gilt für die ganze Laufzeit, weil nichts nachkommt, das es auffrischen würde.

Tägliche Prüfung und Zertifikat sind zwei verschiedene Dinge, und nur eines davon passiert täglich. Die Prüfung stellt eine Frage und bekommt meist „weiterhin gültig“ zur Antwort, was nichts ändert und nichts kostet. Ein neues Zertifikat gibt es in zwei Fällen: wenn sich tatsächlich etwas geändert hat (Sie haben Cluster hinzugefügt, einen freigegeben, verlängert, gekündigt) oder wenn das vorhandene weniger als zehn Tage Restlaufzeit hat. So hat eine Installation nie weniger als etwa zehn Tage Spielraum und nie mehr als dreißig, und niemand signiert und speichert jeden Morgen grundlos ein neues Zertifikat.

Dass die Obergrenze bei dreißig Tagen liegt, hat einen Grund: Ein signiertes Zertifikat ist ein Versprechen, das wir nicht zurücknehmen können. Schreiben wir ein Jahr hinein, haben wir ein Jahr aus der Hand gegeben: Eine Kündigung, eine Erstattung, eine Rückbuchung oder eine Lizenz, die Sie auf einen anderen Cluster umgezogen haben, müsste bis zum Ende dieses Jahres warten, bevor sie wirkt. Dreißig Tage sind das Längste, für das wir bereit sind, unsere Meinung nicht ändern zu können. Es ist auch das Längste, für das Sie ohne Verbindung sein können. Das ist kein Zufall: Es ist dieselbe Zahl, von zwei Seiten gesehen.

Gegen Ende einer Laufzeit reicht das Zertifikat nie über das Abonnement hinaus, zu dem es gehört. Das letzte wird so verkürzt, dass es mit Ihrem Jahr endet; eine Lizenz überlebt also nie das, was sie bezahlt hat. Verlängern Sie, stellt die nächste Prüfung die vollen dreißig Tage wieder her.

Wenn sie uns nicht erreicht – oder nie erreichen wird

Hinter dieser Überschrift stecken zwei Situationen: ein Cluster, der seine Verbindung eine Weile verloren hat, und ein Cluster, der nie eine haben wird. Die Antworten sind verschieden.

Ein normalerweise verbundener Cluster. Zwischen zehn Tagen und einem Monat passiert gar nichts, je nachdem, wie viel Laufzeit das vorhandene Zertifikat beim Verbindungsverlust noch hatte. Eine fehlgeschlagene Prüfung wird nach wenigen Stunden wiederholt, nicht erst am nächsten Tag; ein Wartungsfenster, eine Firewall-Änderung oder ein Nachmittag mit schlechtem Routing kommt bei der Installation nie als Lizenzereignis an. Zwei Wochen davon auch nicht.

Unbemerkt geschieht das aber nicht. Nach einer Woche ohne Verbindung zu uns meldet die Konsole das und zählt die verbleibenden Tage herunter; bevor das Zertifikat abläuft, erhalten die Administratoren eine E-Mail. Niemand soll es erst daran merken, dass eine Funktion fehlt.

Nach dreißig Tagen läuft das Zertifikat ab, und eine bezahlte Installation fällt auf die Community Edition zurück: Scans, Signaturprüfung, Admission-Durchsetzung und Nachweise laufen innerhalb der kostenlosen Grenzen weiter. Sie hält nicht an, sperrt Sie nicht aus und beginnt nicht, Deployments abzulehnen. Eine Community-Installation ist nicht betroffen, weil ihr Zertifikat nicht abläuft.

Nicht erreichbar sein und abgelehnt werden sind verschiedene Zustände, und die Installation behandelt sie verschieden. Schweigen verbraucht die dreißig Tage. Eine Antwort, dass diese Lizenz freigegeben oder widerrufen wurde, gilt sofort, denn dann kam die Verbindung zustande, und die Antwort war nein.

Ein Cluster ganz ohne Verbindung nach draußen. Er wird einmal von Hand aktiviert und ist danach lizenziert, ohne je mit uns zu sprechen. Die Konsole schreibt eine kleine Aktivierungsanfrage, die den Cluster benennt: seinen Fingerabdruck, den Public Key, den der Operator darin erzeugt hat, den Cluster-Namen und die Operator-Version. Auf Ihrer Lizenzseite laden Sie diese Datei hoch und das dafür ausgestellte Zertifikat herunter; bei einer Enterprise-Lizenz akzeptieren Sie dort vorher die Bedingungen für die Offline-Aktivierung, bei einer Lizenz aus einem Vertrag ist dieser Schritt schon erledigt. Es ist dasselbe signierte Dokument wie auf dem Online-Weg, für genau diesen Cluster, mit einem zusätzlichen Feld, das den Modus als offline ausweist.

Dieses Zertifikat gilt bis zum Ende der bezahlten Laufzeit plus dreißig Tage, bei einer Lizenz ohne Enddatum zwölf Monate ab Ausstellung. Eine Installation mit einem solchen Zertifikat stellt überhaupt keine Lizenzanfrage – keine Aktivierung, keine tägliche Prüfung, keine Verlängerung –, es gibt also nichts mehr zu blockieren. Dreißig Tage vor Ablauf meldet die Installation, dass die Lizenz ausläuft und ein neues Zertifikat zu holen ist; danach fällt sie wie jede abgelaufene Lizenz auf die Community Edition zurück, und eine verlängerte Lizenz braucht ein neues Zertifikat.

Ein Zertifikat, das wir nicht zurücknehmen können, können wir auch nicht freigeben. Der Slot, den es belegt, wird deshalb vom Support freigegeben, nicht über Ihr Konto, und Deactivate in der Konsole entfernt das Zertifikat nur aus dem Cluster, in dem es liegt. Offline-Aktivierung gibt es für jährliche Enterprise-Lizenzen ab dem fünfzehnten Tag nach dem Kauf und für jede jährliche Lizenz aus einem Vertrag mit uns; über den Checkout gekaufte Community-, Team- und Business-Lizenzen haben sie nicht. Die Schritte stehen in der Installationsanleitung.

Lizenz auf einen anderen Cluster umziehen

Sind alle Cluster gebunden, die ein Plan bezahlt, wird der nächste abgelehnt, und zwar mit einer Meldung, die Ihr konkretes Problem nennt statt eines allgemeinen Fehlers: Diese Lizenz ist bereits auf einem anderen Cluster aktiv; um sie hier zu nutzen, müssen Sie jenen zuerst freigeben. Die Ablehnung nennt die Cluster, die die Slots gerade belegen, und wann jeder aktiviert wurde, sodass sich „welcher ist der alte?“ beantworten lässt.

Vom alten Cluster aus. Führen Sie dort Deactivate aus: Der Slot wird sofort frei, das lokale Zertifikat gelöscht, und der neue Cluster kann ihn direkt übernehmen. Das ist der saubere Weg und der richtige, solange der alte Cluster noch existiert.

Über Ihr Konto. Gibt es den alten Cluster wirklich nicht mehr (gelöscht, neu aufgebaut, mit der Hardware verloren), geben Sie seinen Slot im Konto frei, und der neue Cluster kann ihn übernehmen.

Eines tut das nicht. Existiert der alte Cluster noch und läuft, greift die Freigabe im Konto nicht auf ihn durch und schaltet ihn nicht ab. Das kann auch nichts anderes: Er hält ein Zertifikat, das offline geprüft wird. Was er nicht mehr kann, ist verlängern. Sein Zertifikat läuft innerhalb von dreißig Tagen ab, meist früher, und die Installation fällt von selbst auf die Community Edition zurück.

Dieses Fenster ist begrenzt und bekannt, nicht offen, und jede Freigabe wird protokolliert. Wer dieselbe Lizenz immer wieder freigibt, fällt uns auf, und nach so einem Muster fragen wir nach.

Wenn eine Lizenz endet

Ablauf und Kündigung verhalten sich wie ein abgelaufenes Zertifikat: Die Installation kehrt zur Community Edition zurück und arbeitet innerhalb der kostenlosen Grenzen weiter. Es gibt keine Klippe. Admission Control hält nicht an, und nichts, was Sie bereits gescannt oder aufgezeichnet haben, wird Ihnen genommen.

Eine Kündigung mitten in der Laufzeit schaltet am Tag der Kündigung nichts ab. Sie behalten, was Sie bezahlt haben, bis die Laufzeit endet, denn dafür haben Sie bezahlt; das Zertifikat wird nach diesem Datum einfach nicht mehr verlängert.

Jede Sicherheitsfunktion steckt in der kostenlosen Edition. Ein bezahlter Schlüssel bringt Kapazität und Single Sign-On; was genau, zeigt der Vergleich.