Basis: Certvia dev@a48c5fb als Fundament für Craftvia

Unveränderter Stand von certvia/dev (a48c5fb) plus Craftvia-Spezifikation
und Brandbook unter docs/craftvia/. ISMS-Module werden im Folgecommit entfernt.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/garage.toml

@@ -0,0 +1,34 @@
+# Garage-Objektspeicher — Basiskonfiguration (Single-Node pro Environment).
+# Gehört zur MinIO→Garage-Migration, siehe docs/KONZEPT-garage-migration.md (§5).
+#
+# WICHTIG — KEINE Secrets in dieser Datei (sie ist im Repo eingecheckt):
+#   rpc_secret  ← wird zur Laufzeit aus GARAGE_RPC_SECRET gelesen
+#   admin_token ← wird zur Laufzeit aus GARAGE_ADMIN_TOKEN gelesen
+# Der Garage-Daemon übernimmt beide Werte aus der Umgebung (Coolify-Env). Beide
+# NICHT über ${…} referenzieren, sondern literal in Coolify setzen (Interpolationsfalle).
+
+metadata_dir = "/var/lib/garage/meta"
+data_dir = "/var/lib/garage/data"
+
+# LMDB-Metadaten-Engine (Default, robust für Single-Node).
+db_engine = "lmdb"
+
+# Single-Node: eine Kopie (D5). Multi-Node/Replikation ist eine spätere Ausbaustufe.
+replication_factor = 1
+
+# RPC nur clusterintern. rpc_public_addr = loopback genügt für den Single-Node:
+# das Provisioning spricht die Admin-API (HTTP 3903), nicht den RPC-Port — es braucht
+# daher keine dienstübergreifende RPC-Adresse. Hält zugleich den `garage status`-
+# Healthcheck (verbindet auf rpc_public_addr) unabhängig von Compose-DNS.
+rpc_bind_addr = "[::]:3901"
+rpc_public_addr = "127.0.0.1:3901"
+
+[s3_api]
+# Region beidseitig us-east-1 (D2) — deckt sich mit dem App-Default (S3_REGION).
+s3_region = "us-east-1"
+api_bind_addr = "[::]:3900"
+
+[admin]
+# Admin-API (Bucket-/Key-/Layout-Verwaltung, /health). Nur clusterintern, admin_token
+# aus der Env. 3902 (Web) wird nicht benötigt und bewusst nicht gebunden.
+api_bind_addr = "[::]:3903"