Inventarzugang sicher in Werkstatt-Build einbetten

README.md

@@ -90,7 +90,15 @@ bash scripts/build-release.sh
 
 Das Ergebnis liegt in `dist/csr-intake-x86_64.run`. `build/release.json` enthält
 Build-ID, Versionen und SHA-256-Prüfsummen der eingebetteten Programme. Die CI stellt
-dieselbe `.run`-Datei bei jedem erfolgreichen Build als Artefakt bereit.
+bei jedem erfolgreichen Build eine neutrale `.run`-Datei ohne Zugangsdaten als
+Artefakt bereit.
+
+Für eine werkstattgebundene Datei können `inventory-api-key` und
+`inventory-server.crt` vor dem Build in `.bundle-secrets/` abgelegt werden. Der Build
+bettet sie dann zusammen mit der Serveradresse ein und setzt die fertige Datei auf
+Modus `0700`. Beim ersten Start werden fehlende Konfigurationsdateien unter
+`config/` angelegt; vorhandene Werte bleiben erhalten. Eine solche Datei enthält
+einen lesbaren Zugangsschlüssel und darf nur wie ein Passwort weitergegeben werden.
 
 ## Projektaufbau