docs(15-06): complete Gruppenverwaltung im Admin-UI plan

.planning/phases/15-modul-berechtigungen-gruppen-user-grants/15-06-SUMMARY.md

@@ -0,0 +1,200 @@
+---
+phase: 15-modul-berechtigungen-gruppen-user-grants
+plan: 06
+subsystem: ui
+tags: [nextjs, next-intl, react, admin, groups, ldap]
+
+# Dependency graph
+requires:
+  - phase: 15-modul-berechtigungen-gruppen-user-grants
+    plan: 02
+    provides: GroupsService/GroupsController — vollständiges CRUD für Gruppen und Mitgliedschaften, GroupsService.getImpact als Zahlenquelle für den Löschdialog (D-17)
+provides:
+  - "/admin/groups Seite: Tabelle (Name/AD-Bindung/Standardgruppe/Mitglieder/Aktionen), Anlege/Umbenennen-Modal mit AD-Radio-Auswahl aus GET /ldap/groups (D-05, D-18), Mitglieder-Modal mit LDAP-Herkunfts-Sperre (D-19), Löschdialog mit konkreten Zahlen (D-17)"
+  - "Sechster Admin-Navigationseintrag 'Gruppen' mit eigenem Roster-Icon"
+  - "Sämtliche i18n-Schlüssel der gesamten Phase 15 in de.json/en.json — admin.groups.*, admin.users.grants.*, adminModules.grantsLink/grants.*/activationDialog.*, modules.accessDenied.*, marketplace.statusNoAccess/toastNoAccess, header.admin.groups"
+affects: [15-07, 15-08]
+
+actuals:
+  tokens: 14500
+  tasks: 3
+  commits: 3
+
+tech-stack:
+  added: []
+  patterns:
+    - "AD-Bindungs-Auswahl per Radio-Liste (nicht Checkbox) aus derselben GET /ldap/groups-Discovery, die admin/ldap/page.tsx für den Import-Filter nutzt — Markup 1:1 übernommen, nur input type gewechselt"
+    - "Sichtbare Fehlerbehandlung für Lösch- und AD-Discovery-Fehlschläge (border-destructive/50 bg-destructive/10), bewusster Bruch mit dem sonst projektweiten silent-fail-Muster der Admin-Lösch-Dialoge — dokumentiert als Code-Kommentar an DeleteGroupDialog"
+    - "ICU-select-Syntax in next-intl-Werten ({granted, select, true {freigeben} other {entziehen}}) für Checkbox-aria-labels, die je nach Zustand zwei Verbformen brauchen, ohne einen zweiten i18n-Schlüssel anzulegen"
+
+key-files:
+  created:
+    - apps/web/src/app/(portal)/admin/groups/page.tsx
+    - apps/web/src/app/(portal)/admin/groups/components/GroupFormModal.tsx
+    - apps/web/src/app/(portal)/admin/groups/components/GroupMembersModal.tsx
+    - apps/web/src/app/(portal)/admin/groups/components/DeleteGroupDialog.tsx
+    - apps/web/src/app/(portal)/admin/groups/groups-page.test.tsx
+  modified:
+    - apps/web/src/messages/de.json
+    - apps/web/src/messages/en.json
+    - apps/web/src/components/admin/admin-sidebar.tsx
+
+key-decisions:
+  - "Task 2/3-Split von page.tsx: Task 2 committet die Seite mit Create/Edit-Modal verdrahtet, aber Mitglieder-/Lösch-State bereits deklariert und an die Aktionsbuttons gehängt, ohne die (noch nicht existierenden) Task-3-Komponenten zu importieren — hält jeden Task-Commit für sich buildbar, statt beide Dateien in einem Commit zu bündeln"
+  - "Erstellen einer Gruppe MIT sofortiger AD-Bindung läuft zweistufig (POST /groups, dann PATCH /groups/:id {ldapDn}), weil CreateGroupDto ausschliesslich name entgegennimmt (15-02) — keine Schema-/DTO-Änderung nötig, nur Client-seitige Sequenzierung"
+  - "matrixCheckboxLabel/directCheckboxLabel (Wave-4-Schlüssel für 15-07/15-08) als next-intl-ICU-select mit zusätzlichem granted-Parameter modelliert, um freigeben/entziehen aus einem einzigen Schlüssel zu bedienen, statt zwei separate Schlüssel anzulegen"
+
+requirements-completed: [PERM-01]
+
+coverage:
+  - id: D1
+    description: "/admin/groups Tabelle mit Name/AD-Bindung/Standardgruppe/Mitglieder/Aktionen, leerer Zustand, optimistischer Standardgruppen-Stern-Toggle mit Rollback bei Fehler"
+    requirement: "PERM-01"
+    verification:
+      - kind: unit
+        ref: "apps/web/src/app/(portal)/admin/groups/groups-page.test.tsx (describe 'AdminGroupsPage': empty state, populated table, star-toggle PATCH + rollback — 4 Tests)"
+        status: pass
+      - kind: other
+        ref: "grep-Nachweise aus Task 2 acceptance_criteria (font-weight-Vokabular, sechs Sidebar-Einträge) + pnpm --filter @tessera/web run build"
+        status: pass
+    human_judgment: false
+  - id: D2
+    description: "GroupFormModal: Anlegen/Umbenennen mit AD-Bindung per Radio-Auswahl aus GET /ldap/groups (D-05/D-18), sichtbarer Fehler-/Leerfall bei der AD-Suche statt stillem Leerbild"
+    requirement: "PERM-01"
+    verification:
+      - kind: other
+        ref: "grep-Nachweise aus Task 2 acceptance_criteria: type=\"radio\" vorhanden, type=\"checkbox\" abwesend, ldap/groups referenziert, discoverError/noResults sichtbar ausgeführt"
+        status: pass
+      - kind: other
+        ref: "pnpm --filter @tessera/web run build (Typecheck inkl. GroupFormModal) + pnpm --filter @tessera/web test (voller Lauf, 162/162 grün)"
+        status: pass
+    human_judgment: true
+    rationale: "Kein interaktiver Komponententest öffnet das Modal und klickt einen Radio-Eintrag — die Task-2-acceptance_criteria verlangten explizit nur grep-Nachweise für diese Datei, kein Render-Test. Der volle Klickpfad (Discover -> Radio wählen -> Speichern -> Chip erscheint) und insbesondere das Verhalten gegen ein echtes AD wurden in dieser Session nicht im Browser geprüft (kein Browser-Tool verfügbar)."
+  - id: D3
+    description: "GroupMembersModal: Mitglieder-Chips mit Herkunfts-Badge, LDAP-Mitgliedschaften mit deaktiviertem Entfernen-Button (D-19), manuelles Hinzufügen per Benutzersuche"
+    requirement: "PERM-01"
+    verification:
+      - kind: unit
+        ref: "groups-page.test.tsx ('disables the remove button for LDAP-sourced members and keeps it active for MANUAL members')"
+        status: pass
+      - kind: other
+        ref: "grep-Nachweise: disabled/ldapManaged in GroupMembersModal.tsx"
+        status: pass
+    human_judgment: false
+  - id: D4
+    description: "DeleteGroupDialog: laedt GET /groups/:id/impact, zeigt memberCount/grantCount konkret (D-17), bleibt bei fehlgeschlagenem DELETE offen mit sichtbarer Fehlermeldung (T-15-24, bewusste Abweichung vom silent-fail-Präzedenzfall)"
+    requirement: "PERM-01"
+    verification:
+      - kind: unit
+        ref: "groups-page.test.tsx ('shows both concrete numbers...', 'stays open and shows a visible error when DELETE fails')"
+        status: pass
+      - kind: other
+        ref: "grep-Nachweise: impact-Aufruf + border-destructive/50 bg-destructive/10 in DeleteGroupDialog.tsx"
+        status: pass
+    human_judgment: false
+  - id: D5
+    description: "Vollständiges manuelles Durchklicken im Browser aus dem Plan-<verification>-Block: Anlegen, Umbenennen, Standardmarkierung setzen/abschalten, AD-Bindung setzen/lösen, Mitglied hinzufügen/entfernen, Löschdialog mit gefüllter Gruppe, sowie AD-Suche/Löschen bei abgeschalteter API"
+    verification: []
+    human_judgment: true
+    rationale: "Diese Session hatte kein Browser-/Playwright-Tool zur Verfügung (nur Read/Write/Edit/Bash/Skill) — der interaktive Durchlauf aus dem Plan-<verification>-Block konnte nicht ausgeführt werden. Abgedeckt ist stattdessen: vollständiger Vitest-Lauf (162/162 grün), fehlerfreier Produktions-Build inkl. Next.js-Typecheck, sowie alle grep-basierten acceptance_criteria aus allen drei Tasks. In WINDOWS.md als unrun-verify vermerkt."
+
+duration: ca. 35min
+completed: 2026-08-04
+status: complete
+---
+
+# Phase 15 Plan 06: Gruppenverwaltung im Admin-UI Summary
+
+**`/admin/groups` mit Tabelle, Anlege/Umbenennen-Dialog samt AD-Radio-Bindung, Mitglieder-Dialog mit LDAP-Herkunftssperre und Löschdialog mit konkreten Zahlen — plus sämtliche i18n-Schlüssel der gesamten Phase 15 in de.json/en.json (auch die erst von 15-07/15-08 benötigten).**
+
+## Performance
+
+- **Duration:** ca. 35 min
+- **Started:** 2026-08-04T16:30:00Z (ungefähr — kein expliziter Start-Timestamp erfasst)
+- **Completed:** 2026-08-04T17:05:00Z
+- **Tasks:** 3
+- **Files modified:** 8
+
+## Accomplishments
+
+- `de.json`/`en.json` tragen deckungsgleich (762 Schlüssel) alle Übersetzungen der gesamten Phase 15 — nicht nur für `/admin/groups`, sondern auch die von den Wave-4-Plänen 15-07/15-08 benötigten Namensräume (`admin.users.grants.*`, `adminModules.grantsLink`/`grants.*`/`activationDialog.*`, `modules.accessDenied.*`, `marketplace.statusNoAccess`/`toastNoAccess`), damit diese Pläne parallel laufen können, ohne die Übersetzungsdateien anzufassen
+- `AdminSidebar` hat einen sechsten Eintrag "Gruppen" → `/admin/groups` mit einem eigenen Roster-/Listen-Icon (Lucide `list`-Glyphe), optisch klar vom Personen-Icon des Benutzer-Eintrags unterschieden
+- `/admin/groups` zeigt eine Tabelle mit Name, AD-Bindungs-Badge, Standardgruppen-Stern-Toggle (optimistisch mit Rollback bei Fehler, volle Refetch bei Erfolg wegen der serverseitigen Exklusivität aus D-13), Mitgliederzahl und den drei Aktionen Bearbeiten/Mitglieder/Löschen
+- `GroupFormModal` bindet eine Gruppe an eine AD-Gruppe ausschliesslich über eine Radio-Auswahl aus der bestehenden `GET /ldap/groups`-Discovery (D-05, D-18) — kein Freitextfeld für einen DN, damit T-15-23 (getippter DN im späteren LDAP-Filter) strukturell ausgeschlossen bleibt. Fehlschlag oder Leerergebnis der AD-Suche erscheinen sichtbar (`ldapBind.discoverError`/`.noResults`) statt einer stillen Leerliste
+- `GroupMembersModal` zeigt Mitglieder als Chips mit Herkunfts-Badge; bei Herkunft `LDAP` ist der Entfernen-Button deaktiviert mit Tooltip "Wird über AD-Sync verwaltet" (D-19) — nur der Sync darf diese Mitgliedschaft entfernen
+- `DeleteGroupDialog` lädt `GET /groups/:id/impact` und interpoliert `memberCount`/`grantCount` konkret in den Warntext (D-17); bricht bewusst mit dem projektweiten silent-fail-Präzedenzfall der übrigen Lösch-Dialoge, weil ein unbemerkter Fehlschlag hier einen Admin im Glauben liesse, eine Gruppe samt Freigaben sei weg, während sie weiterhin Zugriff gewährt (T-15-24) — der Dialog bleibt bei einem Fehlschlag offen und zeigt die Meldung im bestehenden `error`-Div-Muster
+- 7 neue Komponententests in `groups-page.test.tsx`: leerer Zustand, gefüllte Tabelle, Stern-Toggle (Erfolg + Rollback bei Fehler), deaktivierter vs. aktiver Entfernen-Button je nach Mitgliedschafts-Herkunft, Löschtext mit beiden Zahlen, sichtbare Fehlermeldung bei fehlgeschlagenem Löschen — voller Web-Testlauf 162/162 grün, `pnpm --filter @tessera/web run build` fehlerfrei
+
+## Task Commits
+
+Jeder Task wurde atomar committet:
+
+1. **Task 1: Alle i18n-Schlüssel der Phase und der sechste Admin-Navigationseintrag** - `90dc398` (feat)
+2. **Task 2: Gruppenübersicht mit Anlege-, Umbenennen- und AD-Bindungs-Dialog** - `c3ba1f7` (feat)
+3. **Task 3: Mitglieder-Dialog und Löschdialog mit konkreten Zahlen** - `4985e43` (feat)
+
+**Plan metadata:** siehe Commit dieser SUMMARY.md (docs: complete plan)
+
+## Files Created/Modified
+
+- `apps/web/src/app/(portal)/admin/groups/page.tsx` - Gruppenübersicht, State/Fetch-Logik, Standardgruppen-Stern-Toggle, hängt alle drei Dialoge ein
+- `apps/web/src/app/(portal)/admin/groups/components/GroupFormModal.tsx` - Anlegen/Umbenennen inkl. AD-Radio-Bindung
+- `apps/web/src/app/(portal)/admin/groups/components/GroupMembersModal.tsx` - Mitglieder-Chips + manuelles Hinzufügen per Benutzersuche
+- `apps/web/src/app/(portal)/admin/groups/components/DeleteGroupDialog.tsx` - Löschdialog mit `impact`-Zahlen und sichtbarem Fehlerfall
+- `apps/web/src/app/(portal)/admin/groups/groups-page.test.tsx` - 7 Komponententests
+- `apps/web/src/messages/de.json`, `en.json` - alle i18n-Schlüssel der gesamten Phase 15
+- `apps/web/src/components/admin/admin-sidebar.tsx` - sechster Navigationseintrag
+
+## Decisions Made
+
+- Task 2/3-Split von `page.tsx`: Task 2 committet die Seite mit Create/Edit-Modal verdrahtet und Mitglieder-/Lösch-State bereits deklariert, aber ohne Import der (in Task 2 noch nicht existierenden) Task-3-Komponenten — jeder Task-Commit bleibt für sich buildbar
+- Gruppen-Erstellung mit sofortiger AD-Bindung läuft zweistufig (`POST /groups`, dann `PATCH /groups/:id {ldapDn}`), weil `CreateGroupDto` aus 15-02 ausschliesslich `name` entgegennimmt — keine Schema-/DTO-Änderung, reine Client-Sequenzierung
+- `matrixCheckboxLabel`/`directCheckboxLabel` (Wave-4-Schlüssel für 15-07/15-08) als next-intl-ICU-`select` mit einem zusätzlichen `granted`-Parameter modelliert (`{module} für Gruppe {group} {granted, select, true {freigeben} other {entziehen}}`), damit ein einziger Schlüssel beide Aria-Label-Varianten (freigeben/entziehen) bedient, statt zwei separate Schlüssel für denselben Text-Baustein anzulegen
+- `DeleteGroupDialog` behandelt einen fehlgeschlagenen `impact`-Abruf (nicht nur den Lösch-Aufruf selbst) sichtbar und deaktiviert den Löschen-Button, statt mit `memberCount: 0`/`grantCount: 0` eine falsche Zahl zu zeigen — D-17 verlangt konkrete, korrekte Zahlen, ein Fallback auf 0 wäre irreführend
+
+## Deviations from Plan
+
+### Auto-fixed Issues
+
+**1. [Rule 2 - fehlende Funktionalität] DeleteGroupDialog behandelt einen fehlgeschlagenen impact-Abruf sichtbar**
+- **Found during:** Task 3, beim Implementieren von `DeleteGroupDialog`
+- **Issue:** Der Plan beschreibt nur den Fehlerfall des eigentlichen `DELETE`-Aufrufs explizit; ein fehlschlagender `GET /groups/:id/impact`-Aufruf hätte sonst entweder eine `undefined`-Anzeige oder (schlimmer) eine falsche `0`/`0`-Zahl gezeigt — beides würde D-17 verletzen, das konkrete, korrekte Zahlen verlangt
+- **Fix:** `impactError`-State zeigt bei fehlgeschlagenem Impact-Abruf den Fehler-Div statt des Warntexts und deaktiviert den Löschen-Button, bis die Zahlen tatsächlich geladen sind
+- **Files modified:** `apps/web/src/app/(portal)/admin/groups/components/DeleteGroupDialog.tsx`
+- **Commit:** `4985e43`
+
+**2. [Rule 2 - fehlende Funktionalität] ICU-select für matrixCheckboxLabel/directCheckboxLabel statt reiner Freigeben-Formulierung**
+- **Found during:** Task 1, beim Anlegen der Wave-4-Schlüssel `admin.groups.grants.matrixCheckboxLabel` und `admin.users.grants.directCheckboxLabel`
+- **Issue:** Der Copywriting Contract des UI-SPEC beschreibt für dieselbe Checkbox zwei Textvarianten ("… freigeben" bzw. "… entziehen" je nach Zustand), der Plan listet aber nur je einen Schlüssel mit den Parametern Modul/Gruppe bzw. Modul/Benutzer — ohne einen dritten Parameter hätte der Schlüssel nur eine der beiden Zustandsvarianten abdecken können
+- **Fix:** Beide Schlüssel nutzen next-intl-kompatible ICU-`select`-Syntax mit einem zusätzlichen `granted`-Boolean-Parameter, der zwischen den beiden Verbformen wählt — bleibt bei genau einem Schlüssel pro aria-label, wie im Plan vorgegeben
+- **Files modified:** `apps/web/src/messages/de.json`, `apps/web/src/messages/en.json`
+- **Commit:** `90dc398`
+
+---
+
+**Total deviations:** 2 auto-fixed (beide Rule 2 — fehlende Funktionalität)
+**Impact on plan:** Beide Ergänzungen waren für Korrektheit (D-17) bzw. Vollständigkeit der Wave-4-Schlüssel notwendig. Kein Scope Creep — beide bleiben innerhalb der im Plan beschriebenen Dateien und Verantwortlichkeiten.
+
+## Issues Encountered
+
+- Diese Session lief ohne Browser-/Playwright-Tool (nur Read/Write/Edit/Bash/Skill verfügbar). Der im Plan unter `<verification>` geforderte manuelle Durchklick-Test im Browser (Anlegen, Umbenennen, Standardmarkierung, AD-Bindung setzen/lösen, Mitglied hinzufügen/entfernen, Löschdialog mit gefüllter Gruppe, sowie AD-Suche/Löschen bei abgeschalteter API) konnte nicht ausgeführt werden. Abgedeckt ist stattdessen: voller Vitest-Lauf (162/162 grün, davon 7 neue Tests für diesen Plan), fehlerfreier Produktions-Build inkl. Next.js-Typecheck, und alle grep-basierten `acceptance_criteria` aus allen drei Tasks. Als `coverage`-Eintrag D5 (`human_judgment: true`) und in `.planning/WINDOWS.md` als `unrun-verify` vermerkt — ein menschlicher Durchklick-Test vor dem Ship dieser Phase wird empfohlen.
+- Die lokale Dev-DB hat nur einen Mandanten mit einer Gruppe ("Alle Benutzer", laut lokaler Notiz aktuell `isDefault = false`). Dieser Plan hat die DB in dieser Session nicht angefasst — kein Stern-Toggle wurde live gegen die lokale API ausgeführt (siehe Issue oben), der DB-Zustand ist unverändert gegenüber dem Sessionstart.
+
+## User Setup Required
+
+None - keine externe Service-Konfiguration nötig.
+
+## Next Phase Readiness
+
+- `de.json`/`en.json` sind vollständig für die gesamte Phase 15 vorbereitet — 15-07 und 15-08 können parallel laufen, ohne die Übersetzungsdateien anzufassen
+- `/admin/groups` ist vollständig nutzbar (PERM-01): Gruppen anlegen/umbenennen/löschen, Mitglieder manuell zuweisen/entfernen, AD-Bindung setzen/lösen, Standardgruppe markieren
+- Empfehlung vor `/gsd-ship` dieser Phase: einmaliger manueller Durchklick-Test im Browser (siehe Issues Encountered/D5), da diese Session ohne Browser-Tool lief
+- Kein neuer Blocker aus diesem Plan; 15-04 (AD-Gruppen-Mitgliedschafts-Sync) blieb wie in den Files-to-read vermerkt an einem offenen Human-Verify-Checkpoint stehen (nicht Teil dieses Plans) — dessen `15-04-SUMMARY.md` existiert entsprechend noch nicht
+
+---
+*Phase: 15-modul-berechtigungen-gruppen-user-grants*
+*Completed: 2026-08-04*
+
+## Self-Check: PASSED
+
+Alle neun in dieser SUMMARY genannten Dateien existieren auf der Platte, alle drei Task-Commit-Hashes (`90dc398`, `c3ba1f7`, `4985e43`) sind im Git-Log auffindbar.