Handy-Insel Portal: Startseite, Kopfleiste und Authentik-Anbindung

- Portal mit Kacheln aus Authentik (pro Benutzer gefiltert) und "Aktuelles"
- Web-Component <hi-topbar> als zentraler App-Umschalter für alle Tools
- OIDC-Login über Authentik, zentrales Abmelden
- Setup-Skript für Authentik (Gruppen-Bindungen, Portal-App, Service-Account)
- Deployment auf den Portal-CT per systemd

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

.env.example

@@ -0,0 +1,25 @@
+# Öffentliche Adresse des Portals (ohne / am Ende)
+PUBLIC_URL=https://portal.handy-insel.de
+PORT=3010
+HOST=0.0.0.0
+NODE_ENV=production
+DATA_DIR=/var/lib/hi-portal
+# Zufällig erzeugen: openssl rand -hex 32
+SESSION_SECRET=
+
+# Authentik OIDC-Provider "Portal" (confidential, Redirect: https://portal.handy-insel.de/auth/callback)
+OIDC_ISSUER=https://login.handy-insel.de/application/o/portal/
+OIDC_CLIENT_ID=
+OIDC_CLIENT_SECRET=
+
+# Authentik-API: Token eines Service-Accounts, der Apps pro Benutzer abfragen darf
+AUTHENTIK_URL=https://login.handy-insel.de
+AUTHENTIK_TOKEN=
+
+# Wer darf unter "Aktuelles" schreiben (Authentik-Gruppen, kommagetrennt)
+EDITOR_GROUPS=HI-Admin,HI-Leitung
+# Domains, von denen die Kopfleiste geladen werden darf / auf die nach Login zurückgeleitet wird
+ALLOWED_DOMAINS=handy-insel.de
+# Optional: Kachel-Reihenfolge (Slugs) und ausgeblendete Apps
+# APP_ORDER=preisliste,vvl,zeiterfassung,timer,kundenkarte,datenuebertragungen,service,paperless,patch-mon
+# HIDDEN_APPS=portal