feat(setup): Erstinstallation ueber den Update-Agent, Installationskonto, Downloads

Bisher gab es nur den Update-Weg: eine Anwendung musste bereits installiert und
eingerichtet sein, damit sich etwas aktualisieren liess. Die Erstinstallation
auf einem neuen System war Handarbeit - Paket kopieren, Konfiguration
abtippen, Token besorgen.

Setup-API (neu)
- POST /api/setup/v1/login tauscht Benutzername und Passwort gegen ein Token
  mit 30 Minuten Gueltigkeit und ausschliesslich setup:install. Es wird nicht
  mitgeschrieben und lebt im Installer nur im Speicher.
- GET /api/setup/v1/catalog zeigt nur, was zur Laufzeitkennung des anfragenden
  Systems passt. Ein Projekt mit ausschliesslich Windows-Paket taucht auf einem
  Linux-Rechner gar nicht erst auf.
- POST /api/setup/v1/token stellt das Dauertoken der Anwendung aus. Welche
  Rechte vergeben werden, entscheidet der Server; die Anfrage kann nur
  einschraenken. Sonst waere der Umweg ueber ein kurzlebiges Token wirkungslos.

Rollentrennung (Migration 012)
- dc_users bekommt role, disabled und last_login_at. Die Rolle "installer"
  darf sich ueber den Setup-Weg anmelden und nicht am WebUI. Die Zugangsdaten
  werden auf jedem Zielsystem eingetippt; mit einem Administratorkonto
  verteilte man damit den Zugang zu Tokens, Lizenzen und Monitoren auf jeden
  Rechner, auf dem je etwas installiert wurde.
- Auth::verifyCredentials() prueft sessionfrei, damit Setup- und WebUI-Login
  nicht zwei verschiedene Haertungsgrade haben (Drosselung, Timing-Angleichung,
  Rehash gelten fuer beide).
- Konten mit hinterlegtem TOTP-Geheimnis werden am Setup-Weg mit 501
  abgewiesen. Eine TOTP-Pruefung gibt es im Deploymentcenter noch nicht; sie
  stillschweigend zu uebergehen waere ein Rueckschritt.
- Benutzerverwaltung im WebUI - es gab bisher gar keine, nur den einen von
  install_db.php angelegten Admin. Das letzte aktive Administratorkonto laesst
  sich weder deaktivieren noch loeschen.

Installer
- update-agent --action install fuehrt durch Anmeldung, Auswahl,
  Zielverzeichnis, Installation und Einrichtung. Die Dateien kommen ueber
  denselben Pfad wie ein Update - mit Pruefsumme, Signatur, Staging und
  Rollback. Ein zweiter Download-Weg waere ein zweiter Ort fuer dieselben
  Fehler.
- --action configure holt die Einrichtung nachtraeglich.
- setup.json im Paket beschreibt die benoetigten Werte. Bewusst im Paket und
  nicht zentral: so ist sie mit der Anwendung versioniert.
- Gefragt wird nur, was uebrig bleibt: bereits gesetzt -> detect:... ->
  provision -> fragen. Platzhalter wie changeme oder <dein-wert> gelten dabei
  nicht als eingerichtet, sonst liefe die Anwendung mit der Vorlage los.
- SetupWriter erhaelt vorhandene Inhalte. Eine appsettings.json fuehrt neben
  den abgefragten Werten meist Logging und anderes; sie neu zu erzeugen waere
  bequemer und verloere das - bei einer Neuinstallation ohne Backup.
  int und bool landen als JSON-Typ, nicht als Zeichenkette.

Downloads
- scripts/build_installer.ps1 baut selbstenthaltende Einzeldateien fuer
  win-x64, linux-x64 und linux-arm64 (rund 34 MB, .NET-Laufzeit inbegriffen).
  Ohne NativeAOT und ohne Trimming: Spectre.Console loest ueber Reflexion auf
  und braeche sonst erst beim Anwender.
- scripts/upload_installer.py laedt sie nach /installer/. Getrennt von
  deploy.py, das client-dotnet bewusst ausklammert.
- Bereich "Installer" auf der UpdateService-Seite mit Groessen, Pruefsummen
  und den wget-Befehlen; die Angaben stammen aus installer.json statt aus fest
  eingetragenem Text.
- install.sh und install.ps1 laden, pruefen die Pruefsumme und legen ab -
  sie richten bewusst nichts selbst ein. Das Manifest wird BOM-frei
  geschrieben, sonst scheitert json_decode() daran.

Enthaelt ausserdem die bislang nicht committete Arbeit an den
RocketChat-Benachrichtigungen (Migrationen 010 und 011) sowie die Loesch- und
Editierfunktion des UpdateService; die betroffenen Dateien liessen sich nicht
getrennt stagen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

scripts/installer/install.ps1

@@ -0,0 +1,72 @@
+<#
+    Holt den Deploymentcenter Update-Agent und legt ihn ausfuehrbar ab.
+
+        irm https://dc.mhdf.de/installer/install.ps1 | iex
+
+    Das Skript fuehrt die Installation NICHT selbst aus. Es laedt das Binary,
+    prueft die Pruefsumme und sagt, wie es weitergeht - was danach passiert,
+    entscheidet der Mensch davor. Ein Skript aus dem Netz, das ungefragt eine
+    Anwendung einrichtet und dabei nach Zugangsdaten fragt, waere genau das
+    Muster, vor dem man Nutzer sonst warnt.
+#>
+
+$ErrorActionPreference = 'Stop'
+
+$baseUrl   = if ($env:DC_BASE_URL) { $env:DC_BASE_URL.TrimEnd('/') } else { 'https://dc.mhdf.de' }
+$targetDir = if ($env:DC_INSTALL_DIR) { $env:DC_INSTALL_DIR } else { $PWD.Path }
+
+# ------------------------------------------------------------------ Plattform
+$arch = [System.Runtime.InteropServices.RuntimeInformation]::ProcessArchitecture
+
+switch ($arch) {
+    'X64'   { $rid = 'win-x64' }
+    default {
+        Write-Error "Nicht unterstuetzte Architektur: $arch. Verfuegbar ist derzeit win-x64."
+        return
+    }
+}
+
+$binary = "update-agent-$rid.exe"
+$target = Join-Path $targetDir 'update-agent.exe'
+$temp   = Join-Path ([System.IO.Path]::GetTempPath()) ("dc-installer-" + [guid]::NewGuid().ToString('N'))
+
+New-Item -ItemType Directory -Path $temp -Force | Out-Null
+
+try {
+    Write-Host "Lade $binary von $baseUrl ..."
+
+    $tempBinary = Join-Path $temp 'agent.exe'
+    Invoke-WebRequest -Uri "$baseUrl/installer/$binary" -OutFile $tempBinary -UseBasicParsing
+    $expected = (Invoke-WebRequest -Uri "$baseUrl/installer/$binary.sha256" -UseBasicParsing).Content.Trim().ToLower()
+
+    # --------------------------------------------------------- Pruefsumme
+    $actual = (Get-FileHash $tempBinary -Algorithm SHA256).Hash.ToLower()
+
+    if ($actual -ne $expected) {
+        Write-Error "ABBRUCH: Pruefsumme stimmt nicht ueberein.`n  erwartet: $expected`n  erhalten: $actual"
+        return
+    }
+
+    Write-Host 'Pruefsumme in Ordnung.'
+
+    # ------------------------------------------------------------ Ablegen
+    Move-Item -Path $tempBinary -Destination $target -Force
+
+    # Von Windows als "aus dem Internet" markierte Dateien loesen beim Start
+    # eine Sicherheitswarnung aus. Die Herkunft ist hier durch die gepruefte
+    # Pruefsumme belegt.
+    try { Unblock-File -Path $target -ErrorAction SilentlyContinue } catch { }
+
+    Write-Host ''
+    Write-Host "Abgelegt: $target"
+    Write-Host ''
+    Write-Host 'Weiter mit:'
+    Write-Host "  & '$target' --action install"
+    Write-Host ''
+    Write-Host "Dafuer werden Benutzername und Passwort eines Kontos der Rolle 'installer'"
+    Write-Host 'gebraucht. Ein Administratorkonto tut es auch, gehoert aber nicht auf ein'
+    Write-Host 'Zielsystem.'
+}
+finally {
+    Remove-Item -Recurse -Force $temp -ErrorAction SilentlyContinue
+}