pve-cluster: Phase 4 als Rolle – Admin-Gruppe/-Konten, Healer-Token, Benachrichtigungen, Firewall mit IPSET management (Tasks 4.1–4.4)

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

platform/proxmox/ansible/roles/pve-cluster/defaults/main.yml

@@ -0,0 +1,12 @@
+# Clusterweite Grundkonfiguration (Phase 4): Zugang, Benachrichtigungen, Firewall.
+# Läuft auf einem Knoten, die Einstellungen liegen in /etc/pve und gelten für alle.
+pve_site_file: "{{ playbook_dir }}/../../../../sites/{{ knaster_site }}/proxmox.yaml"
+# Healer (SPEC-healer): darf GPU-VMs nur ein- und ausschalten und ihren Zustand lesen.
+pve_healer_role: KnasterHealer
+pve_healer_privs: "VM.PowerMgmt VM.Audit"
+pve_healer_user: healer@pve
+pve_healer_token: knaster
+pve_healer_token_file: /root/.config/knaster/healer.env
+# Totmannschalter: schaltet die Firewall nach dieser Zeit wieder ab, wenn die Prüfung am Ende
+# des Laufs nicht erreicht wird (Lauf abgebrochen, ops ausgesperrt).
+pve_firewall_deadman_seconds: 600