CT-101 Samba: ghost-Key-Rotation und Audit-Fixes (pdbedit-Pfad, passdb-Subset, is-active-Probes)

- ghost-Workstation-Key rotiert (Passphrase nicht mehr erinnerlich): neues
  Paar id_ed25519_ghostnet_ct101_ghost, samba-ghost.pub aktualisiert und auf
  CT 101 installiert; GNAI-017 Befund (f) dokumentiert die Rotation
  29.10.2026; altes Paar lokal gelöscht
- pdbedit-Pfad korrigiert: /usr/sbin/pdbedit -> /usr/bin/pdbedit (Debian),
  5 Stellen in audit-production/backup/verify-production/samba_smb
- passdb-Subset-Asserts parsen user:uid:gecos jetzt korrekt per
  regex_replace (audit/verify/samba_smb)
- is-active-Leseproben mit failed_when: false, damit die Asserts die
  klaren Fehlermeldungen liefern (audit/preflight/verify/samba_smb)
- samba_lxc_baseline enabled+startet unattended-upgrades.service nach dem
  Paket-Install (CT-100/102-Konvention), README ergänzt

Generated by Mistral Vibe.
Co-Authored-By: Mistral Vibe <vibe@mistral.ai>

docs/platform/proxmox-server/lxc/ct-101-samba/GNAI-017-PLAN_Samba-NFS-Export.md

@@ -223,7 +223,15 @@ GNENC-002 Abschnitt 4): `input/`, `jd/`, `queue/`, `work/`, `output/`,
    außerhalb des Home (UID 1002); die Gruppe `users` enthält es nicht mehr.
    (f) Der private
    `ghost`-SSH-Key erhielt am 27.10.2026 eine Passphrase (GNAI-011 Abschnitt
-   3.3); Entsperrung über den lokalen ssh-agent. (g) Mount-Topologie und
+   3.3); Entsperrung über den lokalen ssh-agent. **Key-Rotation 29.10.2026:**
+   Der Betreiber konnte sich die Passphrase nicht merken; das Paar
+   `id_ed25519_ghostnet_ct101_ghost` wurde daher neu erzeugt (neue Passphrase,
+   nur lokal beim Betreiber, nirgends protokolliert), der Public Key in
+   `files/ssh/samba-ghost.pub` aktualisiert und auf CT 101 in
+   `/home/ghost/.ssh/authorized_keys` ausgetauscht (Restrictions beibehalten,
+   alte Zeile entfernt). Das alte Paar liegt bis zur erfolgreichen
+   Audit-Anmeldung lokal als `id_ed25519_ghostnet_ct101_ghost.old` und wird
+   danach gelöscht. (g) Mount-Topologie und
    Ressourcen-Profil erfasst (27.10.2026, nach dem Reboot): Sechs Medien-Mounts
    sind produktiv eingehängt — `/media/daten1`, `/media/daten2`,
    `/media/daten3` (btrfs), `/media/datenhdd1` (ext4, leer, Verzeichnis auf der