ausfuehrer: Nur-Lesen-Modus (nur Bericht, jeder andere Auftrag abgelehnt), wahlweise bei der Einrichtung

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

deploy/homelab/ausfuehrer.py

@@ -13,7 +13,8 @@ Container des Homelab-Teils braucht keinen Proxmox-Schlüssel.
                vertraut — er kann nur aus der Liste wählen.
 
 Nur die Standardbibliothek (Debian-Python des Hosts). Konfiguration: /etc/mc2-ausfuehrer.json
-  {"server": "http://192.168.178.x:9001", "token": "<gemeinsames Geheimnis>", "node": "pve"}
+  {"server": "http://192.168.178.x:9001", "token": "<gemeinsames Geheimnis>", "node": "pve", "nur_lesen": false}
+„nur_lesen": true liefert nur den Bericht und lehnt jeden anderen Auftrag ab.
 
 Aufruf:  ausfuehrer.py               Dauerbetrieb (systemd)
          ausfuehrer.py --bericht     Bericht einmal auf die Konsole (nur lesend, zum Prüfen)
@@ -327,6 +328,9 @@ def ausfuehren(auftrag: dict) -> dict:
     aktion = AKTIONEN.get(str(auftrag.get("aktion")))
     if aktion is None:
         return {"code": 2, "text": f"Unbekannte Aktion: {auftrag.get('aktion')!r}"}
+    # Nur-Lesen-Modus ("nur_lesen": true in der Konfiguration): Bericht ja, Änderungen nein.
+    if NUR_LESEN and aktion is not a_bericht:
+        return {"code": 2, "text": "Abgelehnt: Der Ausführer läuft im Nur-Lesen-Modus."}
     try:
         code, text = aktion(auftrag.get("parameter") or {})
     except (ValueError, RuntimeError) as exc:
@@ -379,6 +383,7 @@ _konfig = _konfig_laden()
 SERVER = str(_konfig.get("server") or "").rstrip("/")
 TOKEN = str(_konfig.get("token") or "")
 NODE = str(_konfig.get("node") or platform.node())
+NUR_LESEN = bool(_konfig.get("nur_lesen"))
 
 
 def main() -> int: