Onboarding /setup

/setup erscheint, wenn SPOT noch nicht genügend Konfiguration hat, um zu laufen. Es ist ein einzelner Bildschirm mit Karten, kein Wizard.

Bereiche

• License: Online-Aktivierung oder Installation der erhaltenen Offline-Datei.
• Server: Host, Port und HTTP/HTTPS-Schema.
• TLS: Zertifikat und Schlüssel, wenn HTTPS aktiviert wird.
• Elastic: feste Paketfähigkeit, kein frei wählbarer Modus.
• Connector Elastic: Ziel, in das Metriken und Events geschrieben werden.
• Lese-Elastic: Ziel für Dashboards und KI.
• Initiales SAP: System, Mandant, Benutzer, Secret und RFC-Parameter.
• Erster lokaler Admin: Benutzer für den Login nach Abschluss.

Regeln

• Die Karte muss License valid anzeigen, bevor der Rest des Formulars aktiviert wird. Nach Erstellung des ersten Administrators benötigen Lizenzaktionen diese Rolle.
• HTTP ist für den ersten Start gültig.
• HTTPS benötigt ein gültig ladbares Zertifikat/Schlüssel-Paar.
• In spot-suite verwendet Embedded immer http://127.0.0.1:9200 ohne Authentifizierung oder Zertifikate; External wird im Setup nicht angeboten.
• In spot-suite-external gibt es nur ein HTTPS-Ziel oder Später konfigurieren. Aufschieben erstellt den Administrator und aktiviert den eingeschränkten Modus.
• Externes Elastic erfordert HTTPS. Verwenden Sie System-CAs, eine importierte CA oder aktivieren Sie ausdrücklich Zertifikatsvalidierung deaktivieren.
• SPOT manages Data Streams and ILM ist für eingebettetes Elastic standardmäßig aktiviert. Für externes Elastic bleibt die Option deaktiviert, bis ein Administrator sie freigibt und der Berechtigungs-Preflight erfolgreich ist.
• SAP-Secrets werden vom Backend geschützt gespeichert.
• Bereits gespeicherte Secrets bleiben nur dann maskiert erhalten, wenn die Zielidentität unverändert ist.
• Für den ersten Admin gibt es keine Standard-Zugangsdaten: Legen Sie lokalen Benutzernamen und Passwort im Setup fest. Der Login akzeptiert diesen Benutzernamen; Änderungen an Passwort, Rollen oder Aktivierungsstatus beenden frühere Sitzungen sofort.

Eingebettetes Elastic

Die Suite enthält Elasticsearch 9.4.2, isoliert auf Loopback und mit deaktivierter Elastic-HTTP-Security. Paketmetadaten legen embedded fest und entfernen unvereinbare Authentifizierungs-/TLS-Werte. Backend und Agent verwenden exakt dieselbe URL.

Erzeugen Sie für diesen Modus keine Zertifikate, Benutzer, API-Keys oder p12-Stores. Die Oberfläche blendet diese Felder aus, weil eingebettetes Elastic nicht wie ein externes Ziel bearbeitet wird.

Externes Elastic und TLS-Validierung

Ein external-Ziel benötigt auch auf 127.0.0.1 HTTPS. Wählen Sie:

• System-CAs: vollständige Ketten- und Hostname-Prüfung.
• Importierte CA: Ketten- und Hostnamenprüfung, die ausschließlich der ausgewählten CA aus Configuration > Trust store vertraut; Systemwurzeln werden in diesem Modus nicht beigemischt.
• Zertifikatsvalidierung deaktivieren: TLS bleibt aktiv, Kette und Hostname werden jedoch nicht geprüft.

Die letzte Option zeigt dauerhaft diese Warnung:

Die Verbindung ist verschlüsselt, aber die Identität des Servers wird nicht geprüft. Ein Vermittler könnte Zugangsdaten und Daten abfangen.

SPOT aktiviert diese Ausnahme nie automatisch nach einem Zertifikatsfehler. Externes HTTP bleibt trotz Auswahl gesperrt. Änderungen an URL, Authentifizierung, Benutzer, SNI, CA oder TLS-Richtlinie erfordern das vollständige Credential erneut.

Ein bestehendes externes HTTP-Profil muss vor Aktivierung des neuen Profils auf HTTPS migriert werden. Ein Upgrade konvertiert es weder still zu embedded noch startet es eine Konfiguration, die Backend oder Agent den Zugriff nimmt.

Wird Elasticsearch aufgeschoben, bleibt Elasticsearch ausstehend sichtbar. Administrative Bereiche bleiben verfügbar; Datenansichten zeigen einen gezielten Sperrzustand. Das Ziel später unter Konfiguration mit Test und Save abschließen.

Assistent Embedded zu External

Nach einem Cold-Backup erklärt der Assistent, dass Historie nicht kopiert wird, testet HTTPS/TLS/Authentifizierung/ILM zweimal und speichert Backend und Connector. Danach schreibt er einen Canary mit den Connector-Zugangsdaten und verlangt, dass das Backend ihn mit eigenen Zugangsdaten liest. Lokales Elasticsearch wird erst nach diesem Ingestion-Beleg gestoppt. Bei einem Write-/Read-Fehler werden Konfiguration und Embedded-Dienst wiederhergestellt. Die Canary-Bereinigung ist best-effort und erfordert keine Delete-Berechtigung des Connectors. Zurück zu Embedded erfordert Neuinstallation.

Setup vorübergehend nicht verfügbar

SPOT öffnet das initiale Setup nur, wenn eindeutig festgestellt werden kann, ob bereits ein lokaler Administrator existiert. Kann dieser Zustand nicht geprüft werden, sperrt SPOT sowohl das Formular als auch das restliche Produkt und zeigt Setup vorübergehend nicht verfügbar mit der Aktion Erneut versuchen. Dadurch öffnet ein Betriebsfehler nicht erneut die Registrierung des ersten Administrators.

Wenn dieser Zustand erscheint:

1. Prüfen Sie, ob der SPOT-Service läuft und der Authentifizierungsspeicher für das Servicekonto erreichbar ist.
2. Prüfen Sie die Service-Logs und korrigieren Sie Berechtigungen, Datenträgerverfügbarkeit oder eine vorübergehende Sperre.
3. Löschen Sie den Speicher nicht und versuchen Sie nicht, einen weiteren ersten Administrator anzulegen.
4. Wählen Sie nach der Korrektur Erneut versuchen. SPOT fragt zunächst nur den Status erneut ab und lädt die Konfiguration erst nach einer eindeutigen Prüfung.

Bei lokalem Zugriff liefert /api/setup/status während der Sperre HTTP 503 mit dem Code setup_state_unavailable. Die Antwort enthält keine Pfade oder internen Details.

Nach dem Speichern

1. Prüfen Sie /api/setup/status, wenn Sie lokalen Zugriff haben.
2. Melden Sie sich mit dem ersten Admin an.
3. Öffnen Sie Landing und prüfen Sie, dass das Target erscheint.
4. Wenn keine Daten erscheinen, prüfen Sie Connector-Logs und RFC-Konnektivität.
5. Passen Sie Benutzer, Thresholds und KI an, bevor Sie SPOT an den Betrieb übergeben.

Nach dem Setup werden Status, Nutzung und Verlängerung unter Configuration > License verwaltet. Siehe Lizenzen und Verlängerung.