feat: add internal cluster admin endpoints

TODO.md

@@ -116,12 +116,18 @@ Arbeitsliste auf Basis von `proxmox-console-entwicklungsplan.md`. Die Entwurfsda
   - [x] `PVEAPIToken=<token_id>=<secret>` Auth-Header gesetzt
   - [x] `Get`, `Post`, `Put`, `Delete` mit Kontext, Timeout und Retry angelegt
   - [x] Mock-Server-Tests fuer passenden und falschen Fingerprint angelegt
+- [x] E3-T04: Admin-Endpunkt: Cluster verwalten
+  - [x] Interne Operator-Token-Middleware fuer `/internal/*` angelegt
+  - [x] `POST /internal/clusters` fuer Cluster-Anlage angelegt
+  - [x] `PUT /internal/clusters/{clusterID}` fuer Token-Rotation und Cluster-Update angelegt
+  - [x] `PATCH /internal/clusters/{clusterID}/status` fuer Status-Updates angelegt
+  - [x] Responses enthalten kein `token_secret`
 
 ## MVP-Backlog
 
 - [ ] E1: Supabase Auth, JWT-Middleware und Profil-Sync
 - [ ] E2: Datenmodell, Migrationen, RLS und VMID-Allokator
-- [ ] E3: Envelope-Encryption, Cluster-Repository und Proxmox-Client
+- [x] E3: Envelope-Encryption, Cluster-Repository, Proxmox-Client und interne Cluster-Verwaltung
 - [ ] E4: RBAC, Membership-Resolver, Policy-Funktion und Autorisierungs-Middleware
 - [ ] E6: Worker-Grundgeruest und UPID-Polling
 - [ ] E5: VM-Liste, Detail, Power-Aktionen und Reconciliation
@@ -172,3 +178,4 @@ Arbeitsliste auf Basis von `proxmox-console-entwicklungsplan.md`. Die Entwurfsda
 - 2026-06-11: AES-GCM-Krypto-Layer fuer Cluster-Tokens mit Master-Key-Validierung und Unit-Tests angelegt.
 - 2026-06-11: Cluster-Repository mit verschluesseltem Token-Speicher und Entschluesselung beim Laden angelegt.
 - 2026-06-11: Proxmox-HTTP-Client mit TLS-Fingerprint-Pinning, Token-Auth, Timeout und Retry angelegt.
+- 2026-06-11: Interne Operator-Endpunkte fuer Cluster-Anlage, Token-Rotation und Status-Updates angelegt.