LDAP/AD-Auth fuer Dashboard: User-Bind gegen insight.local, Zugriff nur fuer Domänen-Admins

- ldap_auth Service: User bindet als user@domain (kein Servicekonto noetig),
  Gruppenpruefung ueber Matching-Rule-In-Chain (verschachtelte Gruppen)
- Login-Route: lokaler User zuerst, dann LDAP-Fallback; LDAP-User werden
  lokal gespiegelt (is_ldap, is_admin, Profildaten aus AD)
- Neue Config: ldap_domain, ldap_admin_group, ldap_timeout_seconds
- ldap3 Dependency, 7 Unit-Tests (ldap3 gemockt), ruff+mypy sauber
- Gruppen-DN verified am DC: CN=Domänen-Admins,CN=Users,DC=insight,DC=local

README.md

@@ -41,7 +41,9 @@ Kundennetz A                     Kundennetz B                     Zentrale
 - **Netzwerk-Scan**: Ping + Port-Probe (5985/22), legt gefundene Hosts zentral an
 - **Log-Upload** in Batches (kein Live-Stream noetig, 10s Dashboard-Refresh)
 - **Audit-Log**: strukturiert, pro Kunde filterbar
-- **Auth**: JWT (RS256) fuer Dashboard-User, API-Key (SHA-256 gehasht) fuer Satelliten
+- **Auth**: JWT (RS256) fuer Dashboard-User, API-Key (SHA-256 gehasht) fuer Satelliten;
+  Dashboard-Login optional per LDAP/AD (User-Bind, kein Servicekonto) mit
+  Zugriffsbeschraenkung auf die konfigurierte Admin-Gruppe
 
 ## Quick Start (Zentrale, Development)
 
@@ -94,8 +96,16 @@ Wichtig: die Zentrale muss per HTTPS von den Kunden-Standorten aus erreichbar se
 
 ## Umgebungsvariablen
 
-Siehe `.env.example`. Zentrale braucht nur noch: SECRET_KEY, DATABASE_URL, JWT-Keys,
-optional LDAP. WinRM/SSH-Config ist in den Satellite gewandert (dessen `config.yaml`).
+Siehe `.env.example`. Zentrale braucht nur noch: SECRET_KEY, DATABASE_URL, JWT-Keys.
+WinRM/SSH-Config ist in den Satellite gewandert (dessen `config.yaml`).
+
+## LDAP / Active Directory
+
+Dashboard-Login per AD (User-Bind, kein Servicekonto): Der User bindet mit
+seinen eigenen Credentials als `user@domain`, die Gruppenmitgliedschaft wird
+ueber die Matching-Rule-In-Chain geprueft (verschachtelte Gruppen aufloesend).
+Nur Mitglieder von `LDAP_ADMIN_GROUP` bekommen Zugang. Lokal angelegte User
+(Initial-Admin) bleiben als Fallback wirksam.
 
 ## Development