docs: add oidc validation runbook

project-management/requirements/epics/EPIC_000003.md

@@ -34,7 +34,8 @@ Stelle einen sicheren Admin-Login bereit, der Token oder Session-Cookies ausstel
 - Abhaengigkeit von PAM und OIDC-Provider-Verfuegbarkeit.
 - Cookie-Sicherheit muss korrekt konfiguriert sein.
 
-## Zugeordnete User Stories (Done)
+## Zugeordnete User Stories
 - US_000007: PAM-Login mit Token
 - US_000008: OIDC-Login Flow
 - US_000009: Autorisierung und /me-Identitaet
+- US_000025: OIDC End-to-End Validierung und Runbook

project-management/requirements/stories/US_000025.md

@@ -0,0 +1,19 @@
+ID: US_000025 | Version: 0.1.0 | Status: Draft
+By: Codex (GPT-5)
+
+# US_000025: OIDC End-to-End Validierung und Runbook
+
+Status: Draft
+
+Als Betreiber moechte ich den OIDC-Login Ende-zu-Ende validieren und dokumentieren, damit der Betrieb auch mit einem noch nicht vollstaendigen IdP planbar ist.
+
+## Akzeptanzkriterien
+- Given ein erreichbarer OIDC-Provider oder ein Stub/Test-Provider
+- When der OIDC-Flow ueber `/login/oidc/start` und `/login/oidc/callback` durchlaufen wird
+- Then Login, Token-Validierung und Session-Cookie werden erfolgreich nachvollzogen
+- And die erforderlichen ENV-Variablen und Redirect-URIs sind im Runbook dokumentiert
+- And Fallback-Optionen fuer nicht verfuegbare OIDC-Funktionen sind beschrieben
+
+## Task-Platzhalter
+- TASK_000025: OIDC E2E validation (Details bei Story-Start)
+- TASK_000026: OIDC runbook update (Details bei Story-Start)

project-management/requirements/tasks/TASK_000025.md

@@ -0,0 +1,20 @@
+ID: TASK_000025 | Version: 0.1.0 | Status: Draft
+By: Codex (GPT-5)
+
+# TASK_000025: OIDC E2E validation
+
+## Outcome
+OIDC-Login Flow ist Ende-zu-Ende gegen einen realen oder Stub-Provider verifiziert.
+
+## Story-Bezug
+US_000025
+
+## Beschreibung
+- Teste `/login/oidc/start` und `/login/oidc/callback` mit einem Provider (oder Stub).
+- Validierung: State, Token-Exchange, Claims, Allowlist, Session-Cookie.
+- Dokumentiere Abweichungen bei nicht verfuegbaren IdP-Funktionen.
+- Testplan liegt in `docs/oidc-validation.md`.
+
+## Definition of Done (DoD)
+- Testschritte sind dokumentiert.
+- Ergebnisse inklusive Fehlerbilder sind festgehalten.

project-management/requirements/tasks/TASK_000026.md

@@ -0,0 +1,20 @@
+ID: TASK_000026 | Version: 0.1.0 | Status: Draft
+By: Codex (GPT-5)
+
+# TASK_000026: OIDC runbook update
+
+## Outcome
+Runbook beschreibt OIDC-Setup, Redirect-URIs und Fallbacks fuer einen nicht vollstaendigen IdP.
+
+## Story-Bezug
+US_000025
+
+## Beschreibung
+- Ergaenze README mit klaren OIDC-ENV-Beispielen.
+- Beschreibe exakte Redirect-URI und Host/Port-Wechsel.
+- Fuege Fallbacks hinzu (PAM-Login, Hinweise zu fehlenden IdP-Features).
+- Verweise auf `docs/oidc-validation.md` fuer die Testschritte.
+
+## Definition of Done (DoD)
+- README enthaelt konkrete OIDC-Setup-Schritte.
+- Fallbacks sind fuer Operatoren nachvollziehbar.