Logrotate: TESM_LOG_DIR world-writable verhinderte jede Rotation

Root Cause (live auf POETEST reproduziert): /var/log/tesm war 0o777
(noch aus einer Zeit vor dem Umstieg auf root-laufende systemd-Units).
logrotate verweigert seit den aktuellen Haertungen jede Rotation in
einem group-/world-writable Verzeichnis ("insecure permissions") komplett
-- live.log wuchs auf POETEST seit der letzten Neuinstallation (9 Tage)
unbegrenzt, /var/lib/logrotate/status hatte fuer tesm ueberhaupt keinen
Eintrag. Direkte Folge: die neue Verlauf-Seite blieb leer, weil nie
live.log.1/.2/... entstanden.

Fix:
- os.chmod(TESM_LOG_DIR) und os.chmod(TESM_CLIENT_UPDATE_LOG_DIR) in
  app.py: 0o777 -> 0o755 (tesm.service/tesm-check.service laufen beide
  als root, kein anderer Dienstbenutzer schreibt hierher -- Keas eigenes
  Log liegt separat unter /var/log/kea/). Laeuft bei jedem App-Start,
  heilt bestehende Installationen also automatisch beim naechsten
  Neustart/Update.
- install.sh: chmod 777 -> chmod 755 fuer /var/log/tesm bei einer
  Frischinstallation, veraltete/falsche Kommentar-Begruendung (angeblich
  auch fuer Kea noetig) korrigiert.
- _write_logrotate_config(): zusaetzlich 'su root root' in der
  generierten Konfiguration als Absicherung, falls das Verzeichnis aus
  irgendeinem Grund wieder zu weit geoeffnet wird.
- VERSION 1.0.5 -> 1.0.6.

Live verifiziert auf Testsystem-Update-Restart: logrotate -d zeigt nach
dem Fix keine 'insecure permissions'-Fehler mehr, ein erzwungener Lauf
(logrotate -f) erzeugt sauber live.log.1/live.log.2.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

srv/tesm/VERSION

@@ -1 +1 @@
-1.0.5
+1.0.6

srv/tesm/app.py

@@ -95,7 +95,13 @@ TESM_KEA_LOG_PATH = os.environ.get("TESM_KEA_LOG_PATH", "/var/log/kea/kea-dhcp4.
 LOGROTATE_CONFIG_PATH = os.environ.get("TESM_LOGROTATE_CONFIG", "/etc/logrotate.d/tesm")
 try:
     os.makedirs(TESM_LOG_DIR, exist_ok=True)
-    os.chmod(TESM_LOG_DIR, 0o777)
+    # War früher 0o777, als noch nicht jeder schreibende Prozess (tesm.service,
+    # tesm-check.service) als root lief. Ein world-writable Verzeichnis lässt
+    # logrotate die Rotation aber aus Sicherheitsgründen komplett verweigern
+    # ("insecure permissions") -- live reproduziert: ohne Rotation blieb
+    # live.log unbegrenzt wachsen, siehe auch "su root root" in
+    # _write_logrotate_config als zusätzliche Absicherung.
+    os.chmod(TESM_LOG_DIR, 0o755)
 except OSError:
     pass
 SWITCH_DEFAULT_SSH_PORT = 22
@@ -1183,7 +1189,12 @@ def _write_logrotate_config():
     Log-Reopen-Signal (SIGHUP o.ä.) implementiert — copytruncate
     funktioniert ohne jede Kooperation des schreibenden Prozesses (Kea
     eingeschlossen: logrotate läuft als root, unterliegt also nicht Keas
-    eigenem AppArmor-Profil)."""
+    eigenem AppArmor-Profil). "su root root" ist eine explizite Absicherung
+    dagegen, dass logrotate die Rotation wegen "insecure permissions"
+    verweigert, sobald TESM_LOG_DIR aus irgendeinem Grund wieder
+    gruppen-/world-writable wird (live reproduziert: bei 0o777 rotierte
+    logrotate live.log gar nicht mehr, siehe auch os.chmod(TESM_LOG_DIR)
+    weiter oben, das den eigentlichen Regelfall -- 0o755 -- durchsetzt)."""
     interval = get_setting("log_rotation_interval", LOG_ROTATION_DEFAULT_INTERVAL)
     if interval not in LOG_ROTATION_INTERVALS:
         interval = LOG_ROTATION_DEFAULT_INTERVAL
@@ -1201,6 +1212,7 @@ def _write_logrotate_config():
         f"    missingok\n"
         f"    notifempty\n"
         f"    copytruncate\n"
+        f"    su root root\n"
         f"}}\n"
     )
     try:
@@ -5077,7 +5089,7 @@ def _write_client_update_error_log(name, exit_code, lines):
     auch ohne offenes Browser-Fenster im Nachhinein auffindbar bleibt."""
     try:
         os.makedirs(TESM_CLIENT_UPDATE_LOG_DIR, exist_ok=True)
-        os.chmod(TESM_CLIENT_UPDATE_LOG_DIR, 0o777)
+        os.chmod(TESM_CLIENT_UPDATE_LOG_DIR, 0o755)
         safe_name = secure_filename(name) or "unbenannt"
         path = os.path.join(TESM_CLIENT_UPDATE_LOG_DIR, f"{safe_name}.error")
         with open(path, "w", encoding="utf-8") as f: