# #010 Bootstrap neuer Hosts
**Status:** offen
**Meilenstein:** v0.1.0
**Labels:** backend, ui
**Geschätzt:** 4 h   **Tatsächlich:** –

## Ziel
Deployment-Key auf neuen Host bringen: einmalige Passwortanmeldung (nie gespeichert) oder Copy-Paste-Befehl. Dienstbenutzer `sshkv` + sudoers.

## Aufgaben
- [ ] Einmal-Passwort nur im Arbeitsspeicher des Workers, verschlüsselt im Job, danach gelöscht
- [ ] Bootstrap-Skript: Benutzer `sshkv`, `/etc/sudoers.d/sshkv` (geprüft mit `visudo -c`), Deployment-Key in verwaltetem Block
- [ ] Alternative: Befehl zum Kopieren
- [ ] Prüfung nach Bootstrap: Anmeldung per Schlüssel, sudo ohne Passwort
- [ ] sshd-Check: `PermitRootLogin`, `PasswordAuthentication` (nur Anzeige)

## Akzeptanzkriterien
- [ ] Integrationstest gegen Test-Container: Bootstrap per Passwort und per Befehl
- [ ] Passwort taucht nirgends in DB, Logs oder Protokoll auf

## Abhängigkeiten
#009

## Notizen / Entscheidungen