ADR-0007: Installation fragt nur nach dem Netz, Aufteilung ist unerreichbar, Konsole zeigt Zustand vor Handlung

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/decisions/ADR-0007-installation-und-konsolenbereich.md

@@ -0,0 +1,140 @@
+# ADR-0007 — Die Installation fragt nur nach dem Netz; das Konsolenmenü zeigt Zustand vor Handlung
+
+**Stand:** Angenommen, 01.09.2026 · **Entscheidet:** CIO Thomas Reitz
+**Setzt voraus:** [`ADR-0004`](ADR-0004-abbild-bleibt-klein.md) (Abbild bleibt klein) · [`ADR-0002`](ADR-0002-startverfahren-und-ruecksprung.md) (Startverfahren und Rücksprung) · [`ADR-0005`](ADR-0005-geraeteschicht-aller-verkaufsvarianten.md) (Notfallzugang als Stufe 1)
+
+---
+
+## Worum es geht
+
+Der Abbildbau steht, und die Ersteinrichtung läuft heute **vollständig unbeaufsichtigt** — eine
+Autoinstall-Datei, ein Zeitschalter von einer Sekunde, keine einzige Frage. Für einen Prüfaufbau ist
+das richtig. **Für ein Gerät, das bei einem Kunden ins Rack kommt, ist es unmöglich:** Niemand hat
+ihm gesagt, welche Adresse es haben soll.
+
+Umgekehrt war nie festgelegt, **was nach der Installation geschieht.** Jemand meldet sich an der
+Konsole an — und sieht eine leere Eingabeaufforderung. `ADR-0005` hat den Notfallzugang als *Stufe 1*
+vorgesehen, aber nie ausgestaltet.
+
+Als Vergleich lag der Installer von Proxmox VE nahe: Lizenz, Zieldatenträger **mit Dateisystem- und
+Aufteilungsoptionen**, Land und Zeitzone, Passwort, Netz, Zusammenfassung. **Er ist der richtige
+Vergleich — und an genau einer Stelle das falsche Vorbild.**
+
+## Die Entscheidung
+
+### 1 · Gefragt wird nur, was das Gerät nicht selbst wissen kann
+
+| Wird gefragt | Wird nicht gefragt |
+|---|---|
+| Zieldatenträger, sobald mehr als einer da ist | **Aufteilung und Dateisystem** |
+| Land, Zeitzone, Tastatur | Paketauswahl |
+| Verwalterkennung und Passwort | Startverwalter |
+| **Netz: Rechnername, Adresse, Gateway, DNS** | alles Übrige |
+
+**Der eigentliche Grund, warum eine Installation überhaupt Fragen stellt, ist die Einbindung ins Netz
+des Kunden.** Alles andere ist entschieden, und zwar von uns.
+
+### 2 · Die Aufteilung wird nicht angeboten — sie ist unerreichbar
+
+Umgesetzt über `interactive-sections` in der Autoinstall-Datei: **Was dort nicht aufgeführt ist,
+bleibt vorbelegt und wird nicht angezeigt.** Der Speicherabschnitt steht nicht darin.
+
+> **Proxmox bietet Dateisystemwahl, weil es eine allgemeine Plattform ist. Wir dürfen sie nicht
+> bieten, weil unsere Aufteilung die Produktzusage *ist*.**
+>
+> EFI 1 GB, zwei Wurzeln à 40 GB, Bestand als Rest — **daraus besteht der Rücksprung.** Wer sie
+> wählen darf, darf ihn abwählen. Und dann steht ein Gerät beim Kunden, dessen wichtigste
+> Eigenschaft bei der Installation verlorenging, ohne dass es jemand bemerkt hat.
+
+Das ist dieselbe Linie wie im ganzen Vorhaben: **durchgesetzt vom Mechanismus, nicht von der
+Zurückhaltung des Benutzers.**
+
+### 3 · Nach dem Login kommt Zustand, dann Handlung
+
+Der Konsolenbereich zeigt **ohne einen einzigen Tastendruck**:
+
+* Welche **Wurzel** läuft — A oder B
+* Wie der letzte **Selbstprüflauf** ausging, und der **Bootzähler**
+* Die **Netzadresse**
+* **Unter welcher Adresse die Verwaltungsoberfläche der Nutzlast erreichbar ist**
+
+Der letzte Punkt ist der wertvollste und bei Proxmox abgeschaut: **Es ist die Antwort auf „Installation
+fertig, und jetzt?"** — die Frage, die sonst ein Anruf wird.
+
+Darunter die Handlungen, **nach Häufigkeit geordnet**, nicht nach Wichtigkeit:
+
+Netz einrichten · Selbstprüflauf ausführen **und sein Protokoll zeigen** · Wurzel wechseln und
+Rücksprung von Hand erzwingen · Nutzlast anhalten und starten · Protokolle ansehen ·
+**Diagnosepaket erzeugen** · Neustart · Herunterfahren · **Kommandozeile, bewusst als letzter
+Eintrag**.
+
+**Netz zuerst, weil es der mit Abstand häufigste Grund ist, warum jemand vor einer Konsole steht.**
+
+### 4 · Was dort nicht hineingehört
+
+**Nichts, was der Verwaltungsoberfläche der Nutzlast gehört** — keine Module, keine Lizenzen, keine
+Vorgänge, keine Freigaben.
+
+Der Grund steht in `ADR-0005` und ist hart: **Die eine Oberfläche muss den Ausfall der anderen
+überleben.** Sobald an der Konsole Module verwaltet werden können, ist sie keine Notfalloberfläche
+mehr, sondern eine zweite Verwaltung — mit zweiter Rechteprüfung, zweiter Spur und zweitem
+Fehlerbild.
+
+**Und die Zuständigen sind verschieden:** Der Konsolenbereich gehört dem Betreiber und repariert ein
+krankes Gerät. Die Weboberfläche gehört dem Admin des Kunden und führt den Betrieb.
+
+### 5 · Der Splash an drei Stellen
+
+| Stelle | Technik | Sicher? |
+|---|---|---|
+| **Startmenü des Mediums** | GRUB-Thema, Hintergrundbild, eigene Einträge | ja |
+| **Systemstart des Geräts** | Plymouth-Thema | ja |
+| **Installationsvorgang** | Plymouth im Start-Abbild des Mediums | **zu prüfen** |
+
+Dazu der Zeitschalter des Startmenüs **von einer Sekunde auf zehn** — sonst sieht niemand das Menü.
+
+**Die Textoberfläche des Installers bleibt.** Ein grafischer Installer wäre ein eigenes Erzeugnis mit
+eigener Pflege; Proxmox unterhält seines seit Jahren. **Zwischen einem gestalteten Startmenü und
+einem gestalteten Systemstart liegt nur die Zeit, in der jemand fünf Felder ausfüllt.**
+
+## Was daraus für die Gestaltung folgt — und es ist nicht offensichtlich
+
+> **Auf dem Splash steht `XinionOS`, nicht der Name eines Produkts.**
+
+Die `CLAUDE.md` dieser Ablage sagt: *Nirgends in dieser Ablage steht der Name eines Produkts.* Das
+gilt für den Startbildschirm genauso wie für den Programmtext — **dieselbe Geräteschicht trägt die
+ITSM-Appliance und die Anwendungsplattform**, und ein Startbildschirm, der eine davon nennt, ist auf
+dem anderen Gerät falsch.
+
+Der Produktname erscheint erst, wenn die Nutzlast startet.
+
+## Was es kostet
+
+**Eine interaktive Installation ist ein Abnahmefall mehr.** Sie kann an Stellen scheitern, an denen
+eine unbeaufsichtigte nie war — falsche Eingaben, abgebrochene Sitzungen, unerreichbares Netz.
+
+**Und die unbeaufsichtigte Installation muss trotzdem erhalten bleiben**, sonst ist keine
+Serienfertigung möglich. Beide Wege aus derselben Datei: dieselbe Vorbelegung, einmal mit und einmal
+ohne `interactive-sections`.
+
+## Zwei Funde, die dabei aufgefallen sind
+
+**In der heutigen Autoinstall-Datei fehlt ein `identity`-Abschnitt.** Ubuntus Autoinstall verlangt
+entweder ihn oder Benutzer über `user-data`; ohne beides bricht der Installer ab. **Das fällt beim
+ersten Bau auf** — besser, man weiß es vorher.
+
+**Der Zeitschalter steht auf 1.** Für die unbeaufsichtigte Installation richtig, für ein Menü mit
+Auswahl unbrauchbar.
+
+## Was ausdrücklich nicht entschieden ist
+
+* **Ob der Konsolenbereich eine Textmaske oder ein Menü in einer Schleife ist.** Beides trägt; die
+  Wahl gehört zur Umsetzung.
+* **Ob Plymouth im Start-Abbild des Mediums ersetzbar ist.** Zu prüfen, nicht anzunehmen.
+* **Der Inhalt des Diagnosepakets.** Er berührt den Offline-Rückweg (`O-5` im Backlog) und gehört
+  dort entschieden.
+
+---
+
+*Grundlage: `ADR-0002`, `ADR-0004`, `ADR-0005` · Vergleich: Installer von Proxmox VE ·
+Nichts davon ist gebaut.*