Verwaltung durch Personen (Weg 1), AGENTS.md, project-map.md, known-issues.md

Admin-Schlüssel je Person auf ops (Bastion) aus sites/knaster/proxmox.yaml
(access.ops_ssh_keys/_revoked), Playbook admins.yml, Test, Übergabe in
BETRIEB §15. Einstieg für Agenten und neue Admins: AGENTS.md, Projektkarte,
bekannte Probleme. Weg 2 (Verwaltung über NEX) als Entwurf in Phase 9.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

sites/knaster/proxmox.yaml

@@ -46,6 +46,12 @@ access:
   admin_group: admins          # Gruppe mit Administrator auf /; root@pam bleibt Notfallzugang
   admin_users: [r.rapp]        # persönliche Konten <name>@pve; Passwort und TOTP per scripts/pve-admin-user.sh
   mail_to: ki@mygodel.de       # Ziel der Proxmox-Benachrichtigungen (Backup, Fencing, Updates, Replikation)
+  # Verwaltung durch Personen statt durch ein Gerät (19.10., „Weg 1“): Jede Person kommt mit einem eigenen Schlüssel
+  # auf ops (Bastion) und arbeitet von dort (kubectl, Ansible, tofu). Öffentliche Schlüssel, kein Geheimnis.
+  # Ausrollen: playbooks/admins.yml auf ops. Übergabe und Entzug: docs/BETRIEB.md Abschnitt 15.
+  ops_ssh_keys:
+    - {name: r.rapp-laptop, key: "ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIHG5/rQMO4dtO8jOdAjQksFxZhdI7oSZAGNmFXVxQcoJ rrapp-laptop-2026-10-08"}
+  ops_ssh_keys_revoked: []     # ehemalige Schlüssel ({name, key}); playbooks/admins.yml entfernt sie von ops
 firewall:
   enable: true
   # IPSET management: nur diese Quellen (plus alle Knoten) erreichen 8006, 22, 5900-5999, 3128 und