docs: fix stale status claims, move CLAUDE.md into repo, add host-config note

Documentation audit across the repo found several places still describing finished work as pending or in-progress (Authentik Stage 2, Element Call fork, NetworkPolicies in TASKS.md's own Next Steps section, the Boje troubleshooting entry). Also moves CLAUDE.md from the untracked parent directory into the repo root and brings its content up to date, and documents the new host-config/ pattern in README.md. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
2026-07-29 12:00:00 +00:00
parent 376772078a
commit 932443df63
6 changed files with 390 additions and 49 deletions
@@ -115,30 +115,21 @@ verankert. Was in dieser Session erledigt wurde:
   - **Status**: NEXT

 ### 🟠 **NEXT 1–2 WEEKS – HIGH**
-1. **Authentik End-to-End Test**
-   - Test: Login flow Element → MAS → Authentik → Matrix User
-   - Test: Password reset
-   - Create: Test invite links
-   - Est. Time: 2 hours
+1. ✅ **Authentik End-to-End Test** — erledigt als Teil von Issue #7 (Enrollment/Recovery/2FA,
+   2026-07-27), mit echten Test-Usern verifiziert. **Status**: COMPLETE

-2. **Element Call Fork**
-   - Fork: element-hq/element-call
-   - Feature: Video/audio constraints parameters
-   - Integration: Synapse well-known config
-   - Est. Time: 2–3 days
+2. ✅ **Element Call Fork** — erledigt, Closes Issue #8 (2026-07-28), siehe
+   `docs/deployment-guides/04-element-customization.md` Kapitel 4. **Status**: COMPLETE

-3. **External PostgreSQL Migration**
+3. **External PostgreSQL Migration** → [Issue #9](https://rohana.axion1337.de/sorb/axion1337.chat-gitops/issues/9)
   - Decision: CloudNativePG vs. Hetzner Postgres
   - Setup: HA + Replication
   - Migration: Move data from ESS embedded Postgres
   - Testing: Verify all services work
   - Est. Time: 1–2 days

-4. **NetworkPolicies Deployment**
-   - Create: Default-Deny for `matrix` namespace
-   - Create: Allow rules (Synapse↔Postgres, MAS↔Postgres, Ingress→Web, etc.)
-   - Test: Ensure no service breakage
-   - Est. Time: 1 day
+4. ✅ **NetworkPolicies Deployment** — erledigt, Closes Issue #10 (2026-07-28), Default-Deny
+   für `matrix`+`authentik` Namespaces. **Status**: COMPLETE

 ---

@@ -419,39 +410,25 @@ detaillierte Historie (aktuell bis v0.17.0) und [[00-TASKS]] im Wiki für die Ko

 ## 📊 Prioritäts-Kategorien

-### 🔴 CRITICAL (do immediately)
- Hetzner Cloud Firewall setup
- Database backup strategy
- SSH hardening
+Alle Punkte hier sind als Gitea-Issues nachgehalten (Nummern siehe oben/Backlog-Verweis) - diese
+Kategorisierung ist nur eine grobe Einordnung, keine zweite Tracking-Quelle.

-### 🟠 HIGH (do within 1–2 weeks)
- Authentik Stage 2 completion
- External PostgreSQL migration
- NetworkPolicies
- Element Call fork
+### 🟠 HIGH
+- External PostgreSQL migration (#9)

 ### 🟡 MEDIUM (do within 1 month)
- CrowdSec + Falco
- Mjolnir bot
- Renovate/Trivy
- PSA restricted mode
- Kernel hardening
+- CrowdSec + Falco (#29, #30)
+- Renovate/Trivy (#31, #32)
+- K3s API Hardening, auditd, Kernel Hardening, Lynis (#25-#28)

 ### 🟢 LOW (nice-to-have, do if time allows)
- Content scanner (ClamAV)
 - External-Secrets upgrade
- SSH port relocation
 - Advanced federation rules

 ---

 ## 📝 Notes & Decision Points

-### Authentik Stage 2 Blocker
-⏳ **Waiting for**: User to manually configure Authentik OIDC Provider in Authentik Admin UI.
- Once done, provide Client ID + Secret
- Then: Commit Stage 2 MAS config
-
 ### Database: CloudNativePG vs. Hetzner Postgres
 - **CloudNativePG**: Open-source, runs on K3S, full control
 - **Hetzner Postgres**: Managed, backups included, less ops overhead
@@ -472,12 +449,13 @@ detaillierte Historie (aktuell bis v0.17.0) und [[00-TASKS]] im Wiki für die Ko

 - `docs/deployment-guides/README.md` – Overview
 - `docs/deployment-guides/01-turn-server-setup.md` – TURN
- `docs/deployment-guides/02-authentik-identity-provider.md` – Authentik (Stage 1 + Stage 2 plan)
+- `docs/deployment-guides/02-authentik-identity-provider.md` – Authentik (Stage 1+2 + Enrollment/Recovery/2FA)
 - `docs/deployment-guides/03-monitoring-integration.md` – Monitoring
- `docs/deployment-guides/04-element-customization.md` – Themes, Desktop
+- `docs/deployment-guides/04-element-customization.md` – Themes, Desktop, Element Call Fork
 - `docs/deployment-guides/05-room-policies.md` – Policies
+- `docs/deployment-guides/06-moderation-content-scanning.md` – Draupnir, ClamAV Content Scanning
+- `docs/deployment-guides/07-host-maintenance-notifications.md` – Host-Wartungsbenachrichtigungen

 ---

-**Last Updated**: 2026-05-14  
-**Next Review**: 2026-05-21
+**Last Updated**: 2026-07-30
@@ -1,7 +1,6 @@
 # Authentik als Identity Provider für Matrix

-**Status**: ✅ Stage 1 Deployed (Authentik läuft)  
-**Pending**: Stage 2 (MAS Integration)  
+**Status**: ✅ Deployed (Stage 1 + Stage 2 + Enrollment/Recovery/2FA, Closes Issue #7)  
 **Domain**: `auth.axion1337.chat`

 ## Überblick
@@ -41,5 +40,22 @@ Authentik = OIDC Provider für MAS → Zentrales Login + Einladungs-basierte Reg

 Authentik Admin → Flows & Stages → Invitations → Create

+## Enrollment/Recovery/2FA Fix (2026-07-27, Issue #7)
+
+Der `matrix-invitation`-Flow hatte nur 2 von 5 nötigen Stages (kein Write/Password/Login) -
+Nutzer wurden nie in Synapse angelegt. Behoben und als Authentik Blueprint
+(`apps/authentik/authentik-blueprints.yaml`) deklarativ ins Repo übernommen: vollständiger
+`matrix-invitation`-Flow (Invite → Prompt → Write → Password → Login → Redirect), leerer
+`matrix-recovery`-Flow ergänzt, `Brand.default_application` gesetzt. 2FA/Passkey-Selbst-
+Einrichtung optional (`not_configured_action=skip`), auffindbar über
+`axion1337.chat/docs/setup/security.html`. Details: siehe Wiki
+[Authentik-OIDC.md](https://rohana.axion1337.de/sorb/axion1337.chat-gitops/wiki/Authentik-OIDC).
+
+**Issue #13 geschlossen (2026-07-29)**: der ursprünglich hier vorgesehene direkte 2FA-Link auf
+`account.axion1337.chat/account/` (per MAS Custom-Template-Override) wurde verworfen - live
+geprüfte OIDC-Discovery zeigt, dass MAS keine 2FA/Passkey-Deep-Link-Action unterstützt. Jetzt
+als Client-seitige Änderung nachgehalten:
+[ThreadNet-Web#4](https://rohana.axion1337.de/sorb/ThreadNet-Web/issues/4).
+
 ---
 **Weitere Details**: Siehe Kapitel 2 in diesem Projekt.
@@ -9,11 +9,12 @@ Die Implementierungen wurden in dieser Reihenfolge durchgeführt. Für neue Setu
 | # | Titel | Datei | Status | Zieldomäne |
 |---|-------|-------|--------|-----------|
 | 1 | TURN Server für WebRTC Video-Calls | `01-turn-server-setup.md` | ✅ Deployed | `turn.axion1337.chat` |
-| 2 | Authentik als Identity Provider | `02-authentik-identity-provider.md` | ✅ Stage 1 Deployed | `auth.axion1337.chat` |
+| 2 | Authentik als Identity Provider | `02-authentik-identity-provider.md` | ✅ Deployed | `auth.axion1337.chat` |
 | 3 | Monitoring mit Alloy/Prometheus/Loki | `03-monitoring-integration.md` | ✅ Deployed | lokal (10.0.0.3) |
 | 4 | Element Web Anpassung & Desktop-Apps | `04-element-customization.md` | ✅ Deployed | `axion1337.chat` |
 | 5 | Room Policies (Retention, Publication, Auto-Join) | `05-room-policies.md` | ✅ Deployed | Matrix Synapse |
 | 6 | Moderationsbot (Draupnir) & Content Scanning | `06-moderation-content-scanning.md` | ✅ Deployed | Matrix Synapse |
+| 7 | Host-Wartungsbenachrichtigungen (unattended-upgrades) | `07-host-maintenance-notifications.md` | ✅ Deployed | Host-Ebene (kein K8s) |

 ---

@@ -87,7 +88,13 @@ Custom Themes, Desktop-Setup-Scripts, Element Admin.
 Message Retention, Room Publication, Auto-Join Policies.

 ### [06-moderation-content-scanning.md](06-moderation-content-scanning.md)
-Draupnir Moderationsbot (Bans, Policy-Listen), Content Scanner via eigenes Synapse-Modul (Issue #19) - beide live getestet.
+Draupnir Moderationsbot (Bans, Policy-Listen), Content Scanner via eigenes Synapse-Modul für
+unverschlüsselte Räume UND client-seitiges Scanning für verschlüsselte Räume/DMs (Issue #19 +
+Erweiterung) - inkl. Electron/Desktop-Deckungslücke (Issue #44). Beide live getestet.
+
+### [07-host-maintenance-notifications.md](07-host-maintenance-notifications.md)
+Erster nicht-GitOps-verwalteter Mechanismus im Repo: systemd-Timer auf dem nackten Host meldet
+per Mail + Matrix-Thread-Reply anstehende `unattended-upgrades`, bevor sie laufen (Issue #24).

 ---

@@ -85,7 +85,7 @@ Dieser Ordner enthält detaillierte Troubleshooting- und Reparaturanleitungen f
 | Problem | Nutzer | Guide | Status |
 |---------|--------|-------|--------|
 | Nur Standard Enrollment funktioniert | akadmin ✅ | - | Resolved |
-| User nur in Authentik, nicht in Synapse | Boje | `DIAGNOSTIK-AUTHENTIK-FLOW.md` | In Progress |
+| User nur in Authentik, nicht in Synapse | Boje | `DIAGNOSTIK-AUTHENTIK-FLOW.md` | **Resolved (2026-07-27)** — identischer Root Cause wie bei Klaus (fehlende Write/Password/Login-Stages im `matrix-invitation`-Flow), behoben durch denselben Issue-#7-Fix. Nicht erneut mit Boje selbst nachgetestet, aber mit anderen Test-Usern (`clark`, `lucky`) end-to-end verifiziert - der zugrundeliegende Flow ist jetzt für jeden Nutzer korrekt. |
 | Einladungslink-Fehler: "kein ausstehender benutzer" | Klaus | `AUTHENTIK-CREATE-INVITATION-FLOW.md` | **Fixed (2026-07-27)** — `matrix-invitation` Flow hatte nur Invite+Prompt Stage-Bindings, beide auf `order=0`. Write/Password/Login-Stages fehlten komplett. Live gefixt + als Blueprint (`apps/authentik/authentik-blueprints.yaml`) reproduzierbar gemacht. |
 | OIDC-Integration unklar | General | `AUTHENTIK-FIX-TEMPLATE.md` | Reference |

@@ -108,5 +108,5 @@ Dieser Ordner enthält detaillierte Troubleshooting- und Reparaturanleitungen f

 ---

-**Zuletzt aktualisiert**: 2026-05-18  
+**Zuletzt aktualisiert**: 2026-07-30  
 **Verfasser**: Claude Code + Thore