Onboarding /setup

/setup erscheint, wenn SPOT noch nicht genügend Konfiguration hat, um zu laufen. Es ist ein einzelner Bildschirm mit Karten, kein Wizard.

Bereiche

• License: Online-Aktivierung oder Installation der erhaltenen Offline-Datei.
• Server: Host, Port und HTTP/HTTPS-Schema.
• TLS: Zertifikat und Schlüssel, wenn HTTPS aktiviert wird.
• Elastic: feste Paketfähigkeit, kein frei wählbarer Modus.
• External-Topologie: lokaler, entfernter oder hybrider Connector-Modus.
• Read Scope: Elasticsearch+Namespace und reine Lesezugangsdaten.
• Lokaler Writer und N SAP-Einträge mit Pflicht-ID nur in local/hybrid.
• Erster lokaler Admin: Benutzer für den Login nach Abschluss.

Regeln

• Die Karte muss License valid anzeigen, bevor der Rest des Formulars aktiviert wird. Nach Erstellung des ersten Administrators benötigen Lizenzaktionen diese Rolle.
• HTTP ist für den ersten Start gültig.
• HTTPS benötigt ein gültig ladbares Zertifikat/Schlüssel-Paar.
• In spot-suite verwendet Embedded immer http://127.0.0.1:9200 ohne Authentifizierung oder Zertifikate; External wird im Setup nicht angeboten.
• In spot-suite-external wählen Sie Connector auf diesem Server (local), Connectoren auf anderen Servern (remote) oder Lokale und externe Connectoren (hybrid). Remote fragt keinen lokalen Writer oder SAP ab.
• Externes Elastic erfordert HTTPS. Verwenden Sie System-CAs, eine importierte CA oder aktivieren Sie ausdrücklich Zertifikatsvalidierung deaktivieren.
• SPOT manages Data Streams and ILM ist für eingebettetes Elastic standardmäßig aktiviert. Für externes Elastic bleibt die Option deaktiviert, bis ein Administrator sie freigibt und der Berechtigungs-Preflight erfolgreich ist.
• SAP-Secrets werden vom Backend geschützt gespeichert.
• Jeder lokale SAP-Eintrag benötigt eine explizite, eindeutige ID mit 1–128 Zeichen. Sie beginnt mit einem Buchstaben oder einer Ziffer; danach sind nur Buchstaben, Ziffern, ., _ und - erlaubt. Mehrere SAP eines Connectors teilen Writer und Namespace, bleiben aber über source_id getrennt.
• Bereits gespeicherte Secrets bleiben nur dann maskiert erhalten, wenn die Zielidentität unverändert ist.
• Für den ersten Admin gibt es keine Standard-Zugangsdaten: Legen Sie lokalen Benutzernamen und Passwort im Setup fest. Der Login akzeptiert diesen Benutzernamen; Änderungen an Passwort, Rollen oder Aktivierungsstatus beenden frühere Sitzungen sofort.

Eingebettetes Elastic

Die Suite enthält Elasticsearch 9.4.2, isoliert auf Loopback und mit deaktivierter Elastic-HTTP-Security. Paketmetadaten legen embedded fest und entfernen unvereinbare Authentifizierungs-/TLS-Werte. Backend und Agent verwenden exakt dieselbe URL.

Erzeugen Sie für diesen Modus keine Zertifikate, Benutzer, API-Keys oder p12-Stores. Die Oberfläche blendet diese Felder aus, weil eingebettetes Elastic nicht wie ein externes Ziel bearbeitet wird.

External Suite: local, remote und hybrid

Konfigurieren und testen Sie zuerst einen Read Scope. Der Test verwendet _field_caps und _search auf den exakten Streams spot-integration-<namespace>-metrics und -logs: index_not_found bedeutet gültige Verbindung ohne bisherige Ingestion, 401/403 fehlende Rechte.

In local oder hybrid wird der lokale Writer an den Scope gebunden und N SAP werden hinzugefügt; alle schreiben in denselben Namespace. Jede SAP-Karte verlangt eine explizit eingegebene ID und konfiguriert SID, Host, Systemnummer, Mandant, Benutzer, Passwort, Sprache, Zeitzone und Collection-Intervalle unabhängig; SPOT ordnet Validierungsfehler der richtigen Karte und dem richtigen Feld zu. In remote darf Setup mit Warten auf Connector-Daten enden. Targets erscheinen automatisch, sobald Schema-v2-Dokumente mit tenant_id=onprem und source_id eintreffen. Weitere Elasticsearch-Scopes werden später in Configuration ergänzt.

Bevor der erste Administrator existiert, meldet der öffentliche Setup-Status nur, ob Onboarding erforderlich ist und ob der Dienst fortfahren kann. URLs, Namespaces, Read-Scopes, Bindings, CAs, Pfade und Secrets sind ausschließlich für authentifizierte Administratoren verfügbar und werden gegebenenfalls maskiert.

Externes Elastic und TLS-Validierung

Ein external-Ziel benötigt auch auf 127.0.0.1 HTTPS. Wählen Sie:

• System-CAs: vollständige Ketten- und Hostname-Prüfung.
• Importierte CA: Ketten- und Hostnamenprüfung, die ausschließlich der ausgewählten CA aus Configuration > Trust store vertraut; Systemwurzeln werden in diesem Modus nicht beigemischt.
• Zertifikatsvalidierung deaktivieren: TLS bleibt aktiv, Kette und Hostname werden jedoch nicht geprüft.

Die letzte Option zeigt dauerhaft diese Warnung:

Die Verbindung ist verschlüsselt, aber die Identität des Servers wird nicht geprüft. Ein Vermittler könnte Zugangsdaten und Daten abfangen.

SPOT aktiviert diese Ausnahme nie automatisch nach einem Zertifikatsfehler. Externes HTTP bleibt trotz Auswahl gesperrt. Änderungen an URL, Authentifizierung, Benutzer, SNI, CA oder TLS-Richtlinie erfordern das vollständige Credential erneut.

Ein bestehendes externes HTTP-Profil muss vor Aktivierung des neuen Profils auf HTTPS migriert werden. Ein Upgrade konvertiert es weder still zu embedded noch startet es eine Konfiguration, die Backend oder Agent den Zugriff nimmt.

Wird Elasticsearch aufgeschoben, bleibt Elasticsearch ausstehend sichtbar. Administrative Bereiche bleiben verfügbar; Datenansichten zeigen einen gezielten Sperrzustand. Das Ziel später unter Konfiguration mit Test und Save abschließen.

Assistent Embedded zu External

Nach einem Cold-Backup erklärt der Assistent, dass Historie nicht kopiert wird, testet HTTPS/TLS/Authentifizierung/ILM zweimal und speichert Backend und Connector. Danach schreibt er einen Canary mit den Connector-Zugangsdaten und verlangt, dass das Backend ihn mit eigenen Zugangsdaten liest. Lokales Elasticsearch wird erst nach diesem Ingestion-Beleg gestoppt. Bei einem Write-/Read-Fehler werden Konfiguration und Embedded-Dienst wiederhergestellt. Die Canary-Bereinigung ist best-effort und erfordert keine Delete-Berechtigung des Connectors. Zurück zu Embedded erfordert Neuinstallation.

Setup vorübergehend nicht verfügbar

SPOT öffnet das initiale Setup nur, wenn eindeutig festgestellt werden kann, ob bereits ein lokaler Administrator existiert. Kann dieser Zustand nicht geprüft werden, sperrt SPOT sowohl das Formular als auch das restliche Produkt und zeigt Setup vorübergehend nicht verfügbar mit der Aktion Erneut versuchen. Dadurch öffnet ein Betriebsfehler nicht erneut die Registrierung des ersten Administrators.

Wenn dieser Zustand erscheint:

1. Prüfen Sie, ob der SPOT-Service läuft und der Authentifizierungsspeicher für das Servicekonto erreichbar ist.
2. Prüfen Sie die Service-Logs und korrigieren Sie Berechtigungen, Datenträgerverfügbarkeit oder eine vorübergehende Sperre.
3. Löschen Sie den Speicher nicht und versuchen Sie nicht, einen weiteren ersten Administrator anzulegen.
4. Wählen Sie nach der Korrektur Erneut versuchen. SPOT fragt zunächst nur den Status erneut ab und lädt die Konfiguration erst nach einer eindeutigen Prüfung.

Bei lokalem Zugriff liefert /api/setup/status während der Sperre HTTP 503 mit dem Code setup_state_unavailable. Die Antwort enthält keine Pfade oder internen Details.

Nach dem Speichern

1. Prüfen Sie /api/setup/status, wenn Sie lokalen Zugriff haben.
2. Melden Sie sich mit dem ersten Admin an.
3. Öffnen Sie Landing und prüfen Sie, dass das Target erscheint.
4. Wenn keine Daten erscheinen, prüfen Sie Connector-Logs und RFC-Konnektivität.
5. Passen Sie Benutzer, Thresholds und KI an, bevor Sie SPOT an den Betrieb übergeben.

Nach dem Setup werden Status, Nutzung und Verlängerung unter Configuration > License verwaltet. Siehe Lizenzen und Verlängerung.