# Changelog

## Unreleased

- UPID-Polling-Job fuer Proxmox-Tasks mit VM-Status-Update und Audit-Writer angelegt.
- Worker-Grundgeruest mit asynq, Redis-Anbindung, DB-Ping und Dummy-Job-Handler angelegt.
- Interne Operator-Endpunkte fuer Cluster-Anlage, Token-Rotation und Status-Updates ohne Token-Leak angelegt.
- Proxmox-HTTP-Client mit TLS-Fingerprint-Pinning, Token-Auth, Timeout und Retry angelegt.
- Cluster-Repository zum verschluesselten Speichern und entschluesselten Laden von Proxmox-Tokens angelegt.
- AES-GCM-Krypto-Layer fuer verschluesselte Cluster-Tokens mit Master-Key-Konfiguration angelegt.
- Autorisierungs-Middleware fuer deklarative Rollen-/Permission-Pruefung pro Route angelegt.
- Membership-Resolver fuer tenant-gescoped Backend-Routen mit 403 fuer Nicht-Mitglieder angelegt.
- Frontend-Prototyp mit Supabase Auth, Backend-Profilcheck und Platzhalter-Views angelegt.
- Zentrale RBAC-Policy-Funktion mit Rollen/Aktions-Matrix angelegt.
- Lazy Profil-Sync vom Supabase-JWT nach `public.profiles` im Backend angelegt.
- Backend-JWT-Middleware mit JWKS-Validierung, lokalem HS256-Fallback und geschuetztem `/me` Endpunkt angelegt.
- RLS-Advisor-Cleanup fuer alle uebrigen Public-Tabellen angelegt.
- RLS-Migration fuer tenant-bezogene Tabellen mit Membership-basierten Policies angelegt.
- Audit-Log-Migration mit append-only Triggern und Tenant-Zeit-Index angelegt.
- VMID-Allokator-Migration mit transaktionssicherer Reservation pro Cluster angelegt.
- VMs-und-SSH-Keys-Migration mit Ressourcen-Mapping und eindeutigem Proxmox-VMID-Index angelegt.
- Cluster-Migration fuer Proxmox-Verbindungen mit `encrypted_token bytea` angelegt.
- Projekte-und-Quotas-Migration mit Defaults und Constraints angelegt.
- Kern-Tabellen-Migration fuer `profiles`, `tenants` und `memberships` angelegt.
- `golang-migrate`-Setup mit Baseline-Migration und Make-Targets fuer Up/Down/Version angelegt.
- Gemeinsames Go-Modul `platform/` mit ENV-Konfiguration und strukturiertem JSON-Logging angelegt.
- Forgejo-Actions-CI mit Go/Frontend-Verifikation und Gitleaks-Secret-Scan angelegt.
- E0-T01 begonnen: Monorepo-Grundstruktur, Root-Dokumentation, Env-Beispiel und minimale Service-Startpunkte angelegt.
- Annahme dokumentiert: vorlaeufiger Modulpfad ist `proxui`.
- E0-T02 vorbereitet: Makefile-Targets und ESLint-Config angelegt; fehlgeschlagener reduzierter Supabase-Compose wurde entfernt, naechster Ansatz ist die offizielle Supabase-Self-Hosted-Konfiguration.
- Offizielle Supabase-Self-Hosted-Docker-Konfiguration unter `deploy/supabase/` eingebunden.
- E0-T02 verifiziert: offizieller Supabase-Stack startet lokal, Auth-Admin-Users-Route funktioniert ueber Kong.