Hub stage 5: manage each server from one console

Zones, Cache, Blocking, DNS Client, Settings, DHCP and Logs can now be
changed on one chosen server through the hub, with that server's admin
token. Operators manage cache and blocking; admins also zones, settings
and DHCP. Under "All servers", or on a server without an admin token,
the controls are disabled with a hint.

The hub refuses settings/set changes to a server's web service fields
and anything about users, SSO or LDAP; backup, restore, log and stats
deletion and admin/* stay refused. Non-admins get settings with secrets
blanked. Write params travel in the POST body, downloads pass through
with a single-use token, and the audit log names no values.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/compose.hub.example.yaml

@@ -11,7 +11,7 @@ version: "3.8"
 # Токены кладутся в .env рядом с этим файлом (не в git):
 #   MDNS_TOKEN=...
 #   NDNS_TOKEN=...
-#   MDNS_ADMIN_TOKEN=...   # токены hub-admin (Modify и Delete только на Apps): нужны, чтобы хаб менял приложения
+#   MDNS_ADMIN_TOKEN=...   # токены hub-admin (Modify и Delete только в разделах, которыми управляете из хаба, см. docs/hub-deploy.md): нужны, чтобы хаб менял приложения и серверы
 #   NDNS_ADMIN_TOKEN=...
 #   HUB_USER=...        # логин в сам хаб
 #   HUB_PASSWORD=...    # первый вход; затем пользователи в /data/users.json (docs/hub-deploy.md, шаг 4a)

docs/hub-deploy.md

@@ -14,7 +14,9 @@
                                              └─► https://ndns.shnt.top/api/...  (NDNS_TOKEN)
 ```
 
-Что хаб показывает: Dashboard (сумма или один сервер), Logs (View Logs и Query Logs, объединённые с колонкой Server) и About. Остальные разделы скрыты, ими управляют в консоли каждого сервера.
+Что хаб показывает: Dashboard (сумма или один сервер), Logs (View Logs и Query Logs, объединённые с колонкой Server), Apps, About и разделы управления одним сервером: Zones, Cache, Blocking (Blocked и Allowed), DNS Client, Settings и DHCP. В этих разделах хаб начинает с первого сервера, а менять что-либо можно только на выбранном сервере и только ролью, у которой есть нужное право (таблица в шаге 1а).
+
+Остаётся в консоли каждого сервера: Administration (пользователи, группы, сессии, токены, SSO, LDAP), удаление логов и статистики, резервная копия и восстановление настроек (в копии лежат пользователи и токены), права на зоны и настройки веб-службы сервера (адреса, порты, HTTPS), через которую хаб сам ходит на сервер.
 
 ---
 
@@ -46,15 +48,22 @@ git tag hub-v1.0.0 && git push origin hub-v1.0.0
 Сделайте это **на обоих серверах**: `https://mdns.shnt.top` и `https://ndns.shnt.top`. Войдите в консоль сервера как администратор.
 
 1. **Группа.** Administration › Groups › **Add Group**: имя `hub-readers`, описание любое.
-2. **Права группы.** Administration › Permissions: у группы `hub-readers` отметьте только **View** в четырёх разделах:
+2. **Права группы.** Administration › Permissions: у группы `hub-readers` отметьте только **View** в каждом разделе, который хаб показывает:
 
    | Раздел | Зачем хабу |
    |---|---|
    | Dashboard | статистика, топы, график по часам, живые метрики |
    | Logs | список файлов логов и Query Logs |
    | Apps | список приложений логирования, из которых Query Logs читает записи |
-   | Settings | состояние блокировки на Dashboard |
+   | Settings | настройки и состояние блокировки |
+   | Zones | список зон, записи, экспорт зоны |
+   | Cache | дерево кеша |
+   | Allowed | список разрешённых доменов и его экспорт |
+   | Blocked | список заблокированных доменов и его экспорт |
+   | DnsClient | DNS-запрос из раздела DNS Client |
+   | DhcpServer | области и аренды DHCP |
 
+   Без View на новом разделе этот раздел в хабе отвечает «в доступе отказано». Секретные значения настроек (ключи TSIG, пароли) хаб скрывает от всех ролей, кроме `admin`.
    Modify и Delete не отмечайте нигде. Остальные разделы оставьте без прав.
 3. **Пользователь.** Administration › Users › **Add User**: имя `hub-reader`, длинный случайный пароль. Затем в карточке пользователя добавьте его в группу `hub-readers`. Из группы `Everyone` можно убрать, если у неё есть лишние права.
 4. **API-токен.** Нужен токен именно для `hub-reader`, а не для администратора:
@@ -76,14 +85,31 @@ git tag hub-v1.0.0 && git push origin hub-v1.0.0
 
 Без этого шага хаб только читает. Токены записи отдельные, у отдельного пользователя. Сделайте это **на обоих серверах**:
 
-1. **Группа** `hub-admins`. Права группы (Administration › Permissions):
-   - **Apps**: View, Modify и Delete;
-   - **Dashboard**, **Logs**, **Settings**: только View, и то лишь если хотите, чтобы этот токен мог читать то же, что `hub-reader`. Для записи приложений достаточно Apps.
-   - остальные разделы без прав.
+1. **Группа** `hub-admins`. Права группы (Administration › Permissions) дают только то, что хаб может сделать этим токеном:
+
+   | Раздел | Права | Что хаб пишет |
+   |---|---|---|
+   | Apps | View, Modify, Delete | установка, обновление, удаление, конфиги приложений |
+   | Zones | View, Modify, Delete | зоны, записи, DNSSEC, импорт |
+   | Cache | View, Delete | сброс кеша и удаление домена из кеша |
+   | Allowed, Blocked | View, Modify, Delete | добавить, удалить, очистить, импортировать |
+   | Settings | View, Modify | сохранение настроек, временное отключение блокировки, обновление списков. Delete не нужен: резервная копия и восстановление через хаб закрыты |
+   | DnsClient | View, Modify | Import из DNS Client пишет ответ в зону |
+   | DhcpServer | View, Modify, Delete | области и аренды |
+   | Dashboard, Logs | View | чтобы этот токен мог читать то же, что `hub-reader`. Delete не нужен: удаление логов и статистики закрыто |
+   | Administration | без прав | хаб это не использует |
+
+   Выдавайте Modify и Delete только в тех разделах, которыми собираетесь управлять из хаба; без права на сервере запись просто будет отклонена.
 2. **Пользователь** `hub-admin` в этой группе, длинный случайный пароль.
 3. **API-токен** для `hub-admin` (так же, как в шаге 1.4). Это `MDNS_ADMIN_TOKEN` и `NDNS_ADMIN_TOKEN`.
 
-Хаб использует эти токены только для записи приложений и для чтения конфига приложения перед удалением. Если для сервера токена нет, хаб показывает его «только для чтения» и не вызывает для записи.
+Хаб использует эти токены только для записи (приложения, зоны, кеш, блокировка, DNS Client с импортом, настройки, DHCP), для чтения конфига приложения перед изменением и для сверки веб-службы перед сохранением настроек. Если для сервера токена нет, хаб показывает его «только для чтения» и не вызывает для записи: кнопки неактивны, а под выбором сервера написано «No admin token configured on the hub».
+
+Запись идёт на один выбранный сервер. В режиме «All servers» (Dashboard, Logs, Blocking › Overview) кнопки записи неактивны с подсказкой «Choose a server».
+
+Какие роли хаба что могут: `operator` меняет кеш и списки Blocked и Allowed, `admin` меняет и зоны, настройки и DHCP; `viewer` и `apps-admin` в этих разделах только читают.
+
+Хаб отклоняет всё, чего нет в таблице путей: `admin/*` и `user/*` (кроме собственного входа хаба), `logs/delete`, `logs/deleteAll`, `dashboard/stats/deleteAll`, `settings/backup`, `settings/restore`, права на зоны (`zones/permissions/*`). Сохранение настроек с изменённым полем веб-службы сервера (`webService*`) или с полем пользователей, SSO и LDAP хаб тоже отклоняет с сообщением «Change the web service settings in that server's own console.»
 
 ---
 

docs/hub-management-plan.md

@@ -4,7 +4,7 @@
 - **общее управление**: каждый сервер из одной консоли, действия «на все серверы», сравнение и выравнивание;
 - **упор на Apps**: приложения на всех серверах и синхронизация их конфигов.
 
-Статус: план, ничего из этого ещё не сделано. Сейчас хаб только читает (`docs/hub-deploy.md`).
+Статус: этапы 0 и 1 (безопасность, Apps по серверам), 2 (установка и обновление), 3 (сравнение и синхронизация конфигов), 4 (история, откат, расхождения) и 5 (управление каждым сервером) сделаны. Этапы 6 и далее пока планы (`docs/hub-deploy.md`).
 
 ---