RemoteOps (Remote_Lösung)

Enterprise Infrastructure Automation, Hybrid Remote Management & Hyper-V Orchestration

---

📖 Übersicht & Vision

RemoteOps ist eine ganzheitliche, webbasierte Automations- und Management-Plattform zur Steuerung moderner Hybrid- und Windows-Infrastrukturen. Sie schließt die Lücke zwischen manuellem Windows-Server-Betrieb (Hyper-V Manager, RSAT, Active Directory-Konsolen) und modernen Infrastructure-as-Code- (IaC) sowie CI/CD-Paradigmen.

Anstatt Infrastrukturänderungen isoliert und unprotokolliert durchzuführen, konsolidiert RemoteOps:

• die automatisierte Bereitstellung virtueller Maschinen (Hyper-V Generation 2, UEFI, Unattended),
• das Active Directory Domain Services Lifecycle-Management (OUs, Gruppen, Benutzer, GPOs) über Ansible,
• die Ausführung geprüfter PowerShell-Automationsskripte,
• den sicheren Remote-Zugriff via WinRM (HTTP/HTTPS), SSH und PowerShell Direct,
• sowie revisionssicheres Auditing, rollenbasierte Zugriffskontrollen (RBAC) und Prometheus-Monitoring.

---

🏛️ Systemarchitektur

┌────────────────────────────────────────────────────────────────────────┐
│                   RemoteOps Web Dashboard (React + TS)                 │
│      - Dashboard & Monitoring   - Target Catalog    - Script Runner    │
│      - IaC Pipeline Steuerung  - AD Management      - Revisions-Audit  │
└───────────────────────────────────┬────────────────────────────────────┘
                                    │ REST API (JWT Auth) & WebSocket
┌───────────────────────────────────▼────────────────────────────────────┐
│                  FastAPI Backend & Automation Engine                   │
│   - Auth & RBAC (Admin/Operator/Viewer)   - Job Queue & Execution      │
│   - Telemetrie & Prometheus Metrics       - Persistent State & DB      │
└─────────┬─────────────────────────┬─────────────────────────┬──────────┘
          │                         │                         │
┌─────────▼───────────────┐ ┌───────▼───────────────┐ ┌───────▼──────────┐
│   Hyper-V & PowerShell  │ │  Ansible Pipeline     │ │    Terraform     │
│   - Unattended ISO/VHDX │ │  (WSL / Control Node) │ │   - Lab Local    │
│   - Gen 2 UEFI VMs      │ │  - Phasen 00 bis 05   │ │   - Azure Cloud  │
│   - PowerShell Direct   │ │  - AD DS & GPO Audit  │ │                  │
└─────────────────────────┘ └───────────────────────┘ └──────────────────┘

---

🛠️ Verwendete Technologien

1. Frontend-Stack

• React 18 & TypeScript: Typensichere, komponentenbasierte Benutzeroberfläche.
• Vite: Blitzschnelle Build-Pipeline und HMR (Hot Module Replacement).
• Modernes Dark-Mode & Glassmorphism Design: Elegante, ansprechende Benutzeroberfläche mit Status-Badges, interaktiven Tabellen, Echtzeit-Konsolenausgaben und Parameter-Formularen.
• Lucide Icons: Standardisierte Enterprise-Symbolik für Status, Hardware und Netzwerkkonnektivität.

2. Backend-Stack

• FastAPI (Python 3.11+): Hochperformante, asynchrone REST-API mit automatischer OpenAPI-/Swagger-Dokumentation (/docs).
• Pydantic v2: Strenge Datenvalidierung und Schemagarantien für alle Requests, Parameter und Umgebungsvariablen.
• SQLAlchemy 2.0 & Alembic: ORM-Schicht für relationale Datenhaltung mit Migrationshistorie.
• Uvicorn / Gunicorn: ASGI-Produktionsserver.
• Durable Worker Pattern: Hintergrund-Worker zur asynchronen Ausführung zeitintensiver Skripte und Playbooks ohne Blockierung des UI-Threads.

3. Datenbank & State Persistence

• SQLite / MySQL / PostgreSQL: Flexible Speicherung in backend/remoteops.db für schlanken Betrieb oder MySQL/PostgreSQL in Enterprise-Umgebungen.
• Secrets- & Parameter-State: Persistierung von IaC-Konfigurationszuständen in backend/data/ad_params_state.json und geschützten State-Dateien.

---

🌐 Remote-Zugriff & Konnektivität

RemoteOps bietet nahtlose Verbindungsoptionen für heterogene Systemlandschaften:

Protokoll / Kanal	Port / Schnittstelle	Anwendungsbereich & Besonderheiten
WinRM (HTTP)	TCP 5985	Schnelle Basiskonfiguration in abgeschotteten Lab-Umgebungen mit NTLM-Authentifizierung.
WinRM (HTTPS)	TCP 5986	Enterprise-Standard mit TLS-Zertifikaten (winrm_ca_trust_path), strikter Gültigkeitsprüfung und abhörsicherer Übertragung.
PowerShell Direct	VMBus (Hyper-V)	Direkte Verbindung vom Hyper-V Host in die VM – keine IP, kein Netzwerkadapter und keine offene Firewall erforderlich.
SSH	TCP 22	Verbindung zu Linux-Hosts und modernen Windows-Systemen via OpenSSH.
Tailscale Mesh-VPN	UDP 41641 / WireGuard	MagicDNS- und Mesh-Tunneling (*.ts.net) zur sicheren Anbindung entfernter Standorte und Multi-Host-Setups.

---

🖥️ Virtualisierung & Hyper-V Management

Die Hyper-V Orchestrierung (backend/powershell/local-hyperv/) ermöglicht vollständiges VM-Lifecycle-Management:

1. Generation 2 Virtual Machines:
   • Hardware-Standards: 64-Bit UEFI, Secure Boot, dynamische Speicherverwaltung (DynamicMemory), multi-vCPU Konfiguration.
2. Unattended Windows Server 2025 Installation (Zero-Touch):
   • Automatische Erstellung angepasster Antwortdateien (Autounattend.xml).
   • Dynamische Generierung von virtuellen ISO-Medien (Mount-HyperVUnattendXml.ps1), die als zweites Bootmedium eingebunden werden.
   • Initialisiert Festplatte 0 (GPT), installiert Windows Server 2025 Standard Desktop Experience und richtet Administratorkonten, WinRM und Firewall-Regeln automatisch ein.
3. Storage-Management:
   • Automatische VHDX-Erstellung (Dynamic oder Fixed), Partitionierung und Formatierung ohne manuelle Eingriffe.
4. Virtual Switch Management:
   • Anbindung an externe Adapter, isolierte Labor-Switches (RemoteOps-Internal) oder den Hyper-V Default Switch.

---

⚡ Automation & Infrastructure as Code (IaC)

1. PowerShell Automation Engine

• Modulare Skripte in backend/powershell/ zur Server- und Rollenbereitstellung.
• Dynamisches JSON-Schema: Skripte deklarieren ihre Parameter über JSON-Schemas; das Frontend generiert daraus automatisch interaktive Eingabemasken.
• Elevation-Handling: Vorkonfigurierte Starter (run_unattend_hyperv.bat, run_hyperv_admin.bat) zur UAC-Rechteerweiterung bei administrativen Hyper-V Aufgaben.

2. Terraform

• Umgebungen in terraform/environments/:
  • lab_local: Lokale VM- und Festplattenbereitstellung über den Hyper-V Provider.
  • azure_cloud: Optionale hybride Anbindung an Cloud-Ressourcen.

3. Ansible Enterprise Active Directory Pipeline

Das Verzeichnis ansible/ad-management/ enthält eine produktionsreife, 6-stufige AD-DS-Orchestrierung:

[Phase 00: Validate]    --> Lokale Assert-Prüfung von Parametern, Kennwortstärken & TLS-CA
         │
[Phase 01: Preflight]   --> Remote-Check: WinRM HTTPS (5986), OS-Version, freier Speicher & statische IP
         │
[Phase 02: Domain]      --> Rolleninstallation (AD-DS, DNS, GPMC), Gesamtstruktur-Promotion & Auto-Reboot
         │
[Phase 03: Objects]     --> Strukturierte OUs mit Löschschutz, Gruppen, Benutzer & Computerkonten
         │
[Phase 04: GPO]         --> Registry-Gruppenrichtlinien (Login-Banner, Inaktivitäts-Timeouts) & OU-Verlinkung
         │
[Phase 05: Verify]      --> Vollständiges Audit von NTDS, DNS, ADWS, Netlogon, KDC, SYSVOL & Objekten

• 00-validate.yml: Verhindert Fehlkonfigurationen, bevor Änderungen angestoßen werden.
• 01-preflight.yml: Validiert die Voraussetzungen des Zielsystems.
• 02-domain.yml: Installiert die Rollen und fördert den Server zum Domänencontroller (corp.hawrelab.test).
• 03-objects.yml: Pflegt Organisationseinheiten, Benutzer (hawre.lab, max.lab), Sicherheitsgruppen (GG_LAB_IT, GG_LAB_HR) und Computer.
• 04-gpo.yml: Verteilt Härtungs- und Konfigurations-GPOs via Registry-Keys.
• 05-verify.yml: Führt ein strukturiertes Audit aller AD-Komponenten durch und meldet ein valides JSON-Ergebnis zurück.
• site.yml: Führt alle 6 Phasen sequenziell in einem Gesamtdurchlauf aus.

---

👥 Nutzer-, Client- & Active Directory-Verwaltung

1. Rollenbasiertes Rechtemodell (RBAC im Dashboard):
   • admin: Vollzugriff auf Infrastruktur, Secrets, Playbooks und Benutzerverwaltung.
   • operator: Ausführung von Skripten, Playbooks und Monitoring-Abfragen.
   • viewer: Nur-Lese-Zugriff auf Status, Logs und Auswertungen.
2. Active Directory Hierarchie:
   • OU=HawreLab,DC=corp,DC=hawrelab,DC=test
     • OU=Users: Benutzerkonten mit standardisierten UPNs und Kennwortrichtlinien.
     • OU=Groups: Globale Sicherheitsgruppen mit differenzierten Berechtigungsstufen.
     • OU=Computers: Vorregistrierte Clients (z. B. CLIENT01) mit Baseline-Richtlinien.
     • OU=Servers: Infrastruktur- und Anwendungsserver.
3. Client-Härtung:
   • Gruppenrichtlinien zur Erzwingung rechtlicher Hinweise (legalnoticecaption), automatischer Sperrung nach Inaktivität und Sicherheitskonfigurationen.

---

📊 Monitoring, Auditing & Observability

• Prometheus Metriken: Endpunkt /metrics für Metriken zu Job-Laufzeiten, Erfolgsquoten und HTTP-Statuscodes.
• Target Health Checks: Regelmäßige Heartbeat- und Port-Überprüfungen (ICMP, WinRM HTTP/HTTPS, SSH) aller inventarisierten Zielsysteme.
• Revisionssicheres Audit-Log: Jede Benutzerinteraktion und jede Skriptausführung wird dauerhaft in der Datenbank dokumentiert:
  • Wer hat die Aktion gestartet?
  • Welcher Befehl wurde mit welchen Parametern ausgeführt?
  • Dauer, Ausführungszeitpunkt, Exit-Code und vollständiger Standard-Output/Error-Text.

---

💾 Backup, Disaster Recovery & Datenintegrität

• Hyper-V Checkpoint-Orchestrierung: Erstellung von Sicherheits-Snapshots vor Domain-Promotions oder Systemmodifikationen.
• DSRM (Directory Services Restore Mode): Getrennte, sichere Speicherung des Wiederherstellungskennworts für Notfallreparaturen der AD-Datenbank (NTDS.dit).
• DPAPI- & Fernet-Verschlüsselung: Gespeicherte Ziel-Credentials werden auf Windows-Hosts per Windows Data Protection API (DPAPI) geschützt, unter Linux/Docker mit AES-128-CBC via Fernet.
• Idempotente Playbooks: Alle Ansible-Phasen sind idempotent gestaltet und können ohne Seiteneffekte mehrfach ausgeführt werden.

---

🚀 Schnellstart & Installation

Option A: Lokale Entwicklung unter Windows

1. Voraussetzungen:

   • Python 3.11+, Node.js 18+, Hyper-V aktiviert, WSL2 (Ubuntu) für Ansible.

2. Backend starten:

   cd backend
   python -m venv .venv
   .venv\Scripts\activate
   pip install -r requirements.txt
   python -m app.database.migrate
   uvicorn app.main:app --reload --port 8000

3. Frontend starten:

   cd frontend
   npm install
   npm run dev

4. Ansible Pipeline in WSL testen:

   wsl bash -c "cd /mnt/c/Users/HAWRE/Antigravity-Workspace/Cloud-projects/Remote_Lösung/ansible/ad-management && ansible-playbook -i inventory/hosts.yml playbooks/00-validate.yml"

---

Option B: Docker Compose

# Umgebungsvariablen setzen
cp backend/.env.example .env

# Container bauen und im Hintergrund starten
docker compose up --build -d

---

Option C: XAMPP Integration auf Windows

1. Setze die Systemvariable XAMPP_ROOT (Standard: C:\xampp).
2. Führe setup_xampp_remoteops.bat aus.
3. Führe deploy_to_xampp.py aus, um das Frontend und die Proxy-Konfiguration zu installieren.
4. Starte den Stack mit start_xampp_remoteops.bat.

---

📁 Projektstruktur

Remote_Lösung/
├── ansible/                        # Ansible Automations-Suite
│   ├── ad-management/              # Active Directory Pipeline
│   │   ├── inventory/              # Hosts & Group Variables (WinRM HTTPS)
│   │   ├── playbooks/              # Phasen 00 bis 05 & site.yml
│   │   ├── requirements.yml        # Ansible Windows & AD Collections
│   │   └── vars/                   # lab.yml (Config) & secrets.yml (Passwörter)
│   ├── inventory/                  # Hyper-V Hosts Inventar
│   └── playbooks/                  # Onboarding & Bootstrap Playbooks
├── backend/                        # FastAPI Backend-Service
│   ├── app/
│   │   ├── api/v1/                 # Endpunkte (Auth, Targets, Scripts, IaC, AD, Audit)
│   │   ├── core/                   # Security, JWT, DPAPI-Verschlüsselung, Config
│   │   ├── database/               # SQLAlchemy Modelle, DB-Session, Migrations
│   │   ├── models/                 # Pydantic & ORM Entities
│   │   └── services/               # IaC-, AD-, Execution- und Audit-Services
│   ├── data/                       # State-Dateien (ad_params_state.json, etc.)
│   └── powershell/                 # PowerShell Automations-Engine & Hyper-V Tools
│       └── local-hyperv/           # Unattended XMLs, Mount- & Provisioning-Skripte
├── frontend/                       # React 18 TypeScript Web Dashboard
│   ├── src/
│   │   ├── components/             # Reusable UI-Elemente, Navigation, Shell
│   │   ├── pages/                  # Dashboard, Targets, Scripts, IaC, AD, Audit
│   │   └── services/               # API-Clients & Authentication Interceptors
│   └── vite.config.ts              # Vite Konfiguration
├── terraform/                      # Terraform Module & Umgebungen
│   └── environments/               # lab_local & azure_cloud
├── docker-compose.yml              # Container-Orchestrierung
├── start_local.bat                 # 1-Klick Starter für Windows
└── README.md                       # Projekt-Dokumentation

---

🔒 Lizenz & Sicherheitshinweise

• Sämtliche Kennwörter und Zertifikate in vars/secrets.yml sowie .env sind vor Produktivnutzung durch sichere, individuelle Werte zu ersetzen.
• Die Ausführung von Hyper-V- und WinRM-Befehlen erfordert entsprechende lokale Administratorrechte auf dem Hostsystem.