{% extends "admin/layout.html" %}
{% block title %}{{ organization.name if organization else organization_id }} — Tuxflotte Admin{% endblock %}
{% block admin_content %}
<p><a href="/admin/kunden">← Organisationen</a></p>
<h2>{{ organization.name if organization else organization_id }}</h2>

{% include "admin/_kunden_nav.html" %}

{% if aktiver_tab == "organisationsdaten" %}
{# GUI-Runde 23.10.2026: Hostnamenkonvention und Ressourcen waren eigene
   Reiter; jetzt aufklappbare Abschnitte, ein Anker (#hostname,
   #ressourcen, #einstufung) klappt den passenden nach dem Speichern auf. #}
{% set kg = (kundengruppen or []) | selectattr("id", "equalto", organization.kundengruppe_id if organization else none) | first %}
<section>
    <details class="abschnitt" id="stammdaten">
        <summary>Kontakt und Notizen <small>{{ organization.kontakt_name or "" if organization else "" }}</small></summary>
        <form method="post" action="/admin/kunden/{{ organization_id }}/organisationsdaten">
            <label for="org_name">Name</label>
            <input type="text" id="org_name" name="name" value="{{ organization.name if organization else '' }}" required>

            <label for="org_kontakt_name">Ansprechpartner:in</label>
            <input type="text" id="org_kontakt_name" name="kontakt_name" value="{{ organization.kontakt_name or '' if organization else '' }}">

            <label for="org_adresse">Adresse</label>
            <input type="text" id="org_adresse" name="adresse" value="{{ organization.adresse or '' if organization else '' }}">

            <label for="org_telefon">Telefon</label>
            <input type="text" id="org_telefon" name="telefon" value="{{ organization.telefon or '' if organization else '' }}">

            <label for="org_kontakt_email">Kontakt-E-Mail</label>
            <input type="email" id="org_kontakt_email" name="kontakt_email" value="{{ organization.kontakt_email or '' if organization else '' }}">

            <label for="org_notizen">Notizen</label>
            <textarea id="org_notizen" name="notizen" rows="3">{{ organization.notizen or '' if organization else '' }}</textarea>

            <button type="submit">Speichern</button>
        </form>
    </details>

    <details class="abschnitt" id="einstufung">
        <summary>Kundengruppe, Ausrollstufe, Workspace-Creator <small>{{ kg.name if kg else "keine Kundengruppe" }} · {{ "Vorab" if organization and organization.ausrollstufe == "vorab" else "Testing" }} · Creator {{ "frei" if workspace_creator_frei else "gesperrt" }}</small></summary>
        <h4>Kundengruppe</h4>
        <p><small>
            Legt fest, welche Vorlagen-Workspaces die Organisation sieht und
            zuweisen kann. Ohne Kundengruppe sieht sie nur global freigegebene
            Vorlagen.
        </small></p>
        <form method="post" action="/admin/kunden/{{ organization_id }}/kundengruppe">
            <select name="kundengruppe_id" aria-label="Kundengruppe">
                {% for kg in kundengruppen or [] %}
                <option value="{{ kg.id }}" {% if organization and organization.kundengruppe_id == kg.id %}selected{% endif %}>{{ kg.name }}</option>
                {% endfor %}
                <option value="" {% if not organization or not organization.kundengruppe_id %}selected{% endif %}>– keine – (nur globale Vorlagen)</option>
            </select>
            <button type="submit" class="outline">Kundengruppe speichern</button>
        </form>

        <h4>Ausrollstufe</h4>
        <p><small>
            Legt fest, welchen Stand der Rollen die Geräte dieser Organisation beim Check-in ziehen.
            <strong>Testing</strong>: Änderungen, die nach den Vorab-Tests freigegeben sind (Standard, Testschulen).
            <strong>Vorab</strong>: jede Änderung sofort (nur Tuxflotte: Testlab, Liebherr).
            „Stabil“ für zahlende Kunden, die selbst über das Einspielen entscheiden, folgt später.
            Die Umstellung wirkt beim nächsten Check-in der Geräte.
        </small></p>
        <form method="post" action="/admin/kunden/{{ organization_id }}/ausrollstufe">
            <select name="ausrollstufe" aria-label="Ausrollstufe">
                <option value="testing" {% if not organization or organization.ausrollstufe != "vorab" %}selected{% endif %}>Testing – freigegebener Stand</option>
                <option value="vorab" {% if organization and organization.ausrollstufe == "vorab" %}selected{% endif %}>Vorab – Entwicklungsstand</option>
            </select>
            <button type="submit" class="outline">Ausrollstufe speichern</button>
        </form>

        <h4>Workspace-Creator</h4>
        <p><small>
            Freigeschaltet können die Kunden-Admins dieser Organisation unter „Workspace“ eigene Workspaces erstellen,
            bearbeiten, veröffentlichen und unter „Organisation › Struktur“ ihren OEs zuweisen. Gesperrt sehen sie nur,
            welche Workspaces für sie bereitstehen, und tuxflotte richtet alles ein.
        </small></p>
        <form method="post" action="/admin/kunden/{{ organization_id }}/workspace-creator">
            <label><input type="checkbox" name="frei" value="ja" {% if workspace_creator_frei %}checked{% endif %}> Workspace-Creator für diese Organisation freischalten</label>
            <button type="submit" class="outline">Speichern</button>
        </form>
    </details>

    <details class="abschnitt" id="hostname">
        <summary>Hostnamenkonvention <small>{{ (hostname_konvention.praefix if hostname_konvention else none) or "tuxflotte" }}-{{ "0" * ((hostname_konvention.stellen if hostname_konvention else 4) - 1) }}1 · {{ "zufällig" if hostname_konvention and hostname_konvention.nummer_modus == "zufaellig" else "sequenziell" }}</small></summary>
        <p><small>
            Legt fest, wie Geräte dieser Organisation bei der Installation
            automatisch benannt werden ("&lt;Präfix&gt;-&lt;Nummer&gt;"). Leerer
            Präfix = Standard "tuxflotte". Ein bereits bekanntes Gerät behält bei
            einer Neuinstallation seinen Namen, wenn er zur Konvention passt;
            sonst bekommt es einen neuen.
        </small></p>
        <form method="post" action="/admin/kunden/{{ organization_id }}/hostname-konvention">
            <label for="hk_praefix">Präfix</label>
            <input type="text" id="hk_praefix" name="praefix" placeholder="tuxflotte"
                   value="{{ hostname_konvention.praefix or '' if hostname_konvention else '' }}">

            <label for="hk_stellen">Stellen der Nummer</label>
            <input type="number" id="hk_stellen" name="stellen" min="1" max="9"
                   value="{{ hostname_konvention.stellen if hostname_konvention else 4 }}">

            <label for="hk_nummer_modus">Nummernvergabe</label>
            <select id="hk_nummer_modus" name="nummer_modus">
                <option value="sequenziell" {% if not hostname_konvention or hostname_konvention.nummer_modus == "sequenziell" %}selected{% endif %}>Sequenziell aufsteigend</option>
                <option value="zufaellig" {% if hostname_konvention and hostname_konvention.nummer_modus == "zufaellig" %}selected{% endif %}>Zufällige freie Nummer</option>
            </select>

            {% if hostname_konvention %}
            <p><small>Nächste sequenzielle Nummer: {{ hostname_konvention.naechste_sequenz }} (nur relevant im sequenziellen Modus)</small></p>
            {% endif %}

            <button type="submit">Speichern</button>
        </form>
    </details>

    <details class="abschnitt" id="ressourcen">
        <summary>Ressourcen <small>{{ ressourcen | length }} eingerichtet{% if not ressourcen_freigeschaltet %} · noch nicht freigeschaltet{% endif %}</small></summary>
        {% if not ressourcen_freigeschaltet %}
        <p><mark>Für diese Organisation noch nicht freigeschaltet</mark> (Ausrollstufe „Testing“): die Ressourcen werden gespeichert, aber nicht an Geräte verteilt, und die Kunden-Seite ist ausgeblendet.</p>
        {% endif %}
        {% set basis_url = "/admin/kunden/" ~ organization_id ~ "/ressourcen" %}
        {% set darf_bearbeiten = true %}
        {% include "_ressourcen.html" %}
    </details>

    {# Entscheidung A (25.10.2026): archivieren statt löschen. #}
    <details class="abschnitt" id="archivieren" {% if request.query_params.get("archiv_fehler") %}open{% endif %}>
        <summary>Organisation archivieren</summary>
        {% if request.query_params.get("archiv_fehler") %}<p><mark>{{ request.query_params.get("archiv_fehler") }}</mark></p>{% endif %}
        <p><small>Die Organisation verschwindet aus allen Listen. Ihre Kunden-Konten können sich nicht mehr anmelden, Installationsmedien und Aktivierungscodes werden ungültig, laufende Einladungen zur Personalisierung zurückgezogen. Die Daten bleiben für den Verlauf erhalten. Geht nur, wenn alle Geräte gelöscht sind; die lassen sich danach in einer anderen Organisation neu installieren.</small></p>
        <form method="post" action="/admin/kunden/{{ organization_id }}/archivieren">
            <label>Zur Bestätigung den Namen eintippen: <strong>{{ organization.name if organization else "" }}</strong>
                <input type="text" name="name" required autocomplete="off">
            </label>
            <button type="submit" class="secondary">Organisation archivieren</button>
        </form>
    </details>
</section>
{% endif %}

{% if aktiver_tab == "diagnosezugang" %}
<section>
    <p><small>Richtet auf Geräten, die mit einem <strong>danach</strong> erstellten Installationsmedium installiert werden, einen root-Zugang ein (per SSH, ohne „Konsolenwechsel sperren“ auch an der Konsole). Nur für die Fehlersuche gedacht. Das Passwort ist ausschließlich hier im Admin-Bereich sichtbar, auf das Installationsmedium gelangt nur sein Hash. Ausschalten wirkt nur auf neu erstellte Installationsmedien.</small></p>
    <p><small><strong>Bereits installierte Geräte:</strong> Dort sperrt das Härtungs-Merkmal „Diagnosezugang sperren“ (Workspace, OE oder Gruppe) den Zugang – root-Passwort gesperrt, SSH aus. Abwählen stellt ihn wieder her.
    Hinweis: Das Merkmal „Konsolenwechsel sperren“ nimmt die Anmeldung an der Textkonsole weg; der Diagnosezugang geht dann nur per SSH.</small></p>
    {% if diagnosezugang.aktiv %}
        <p>Status: <mark>aktiv</mark></p>
        <p>Benutzer: <code>root</code><br>Passwort: <code>{{ diagnosezugang.passwort or "— (nicht lesbar)" }}</code></p>
        <form method="post" action="/admin/kunden/{{ organization_id }}/diagnosezugang">
            <button type="submit" name="aktion" value="deaktivieren" class="secondary">Ausschalten</button>
            <button type="submit" name="aktion" value="neues_passwort" class="secondary outline">Neues Passwort erzeugen</button>
        </form>
        <p><small>Ein neues Passwort gilt nur für danach erstellte Installationsmedien – vorhandene Medien und Geräte behalten das alte.</small></p>
    {% else %}
        <p>Status: aus</p>
        <form method="post" action="/admin/kunden/{{ organization_id }}/diagnosezugang">
            <button type="submit" name="aktion" value="aktivieren">Einschalten</button>
        </form>
    {% endif %}
</section>
{% endif %}

{% if aktiver_tab == "aktivitaeten" %}
{# GUI-Runde 23.10.2026: früherer Reiter "Flows" #}
{% if unassigned_devices %}
<section>
    <h3>Unbestätigte Geräte</h3>
    <p><small>Geräte ohne Bereitstellungsvorlagen-Zuweisung. Bestätigung setzt eine Vorlage und schaltet die Installation frei (deckt den serverseitigen Teil aus ADR-0008 ab, nicht das Installer-seitige Warten im Auto-Modus).</small></p>
    <figure>
    <table>
        <tbody>
        {% for device in unassigned_devices %}
            <tr>
                <td>{{ device.hostname or device.device_fingerprint }}</td>
                <td data-sort-wert="{{ device.created_at or '' }}">{{ device.created_at | datum }}</td>
                <td>
                    <form method="post" action="/admin/flows/{{ organization_id }}/geraete/{{ device.id }}/bestaetigen">
                        <select name="bereitstellungsvorlage_id">
                            {% for bv in bereitstellungsvorlagen %}
                            <option value="{{ bv.id }}" {{ "selected" if bv.is_default else "" }}>{{ bv.label }}</option>
                            {% endfor %}
                        </select>
                        <button type="submit">Bestätigen</button>
                    </form>
                </td>
            </tr>
        {% endfor %}
        </tbody>
    </table>
    </figure>
</section>
{% endif %}

{% macro session_tabelle(sessions) %}
    <figure>
    <table class="kompakt">
        <thead><tr><th>Erstellt</th><th>Vorlage</th><th>Geräte</th><th>Läuft ab</th><th>Status</th><th></th></tr></thead>
        <tbody>
        {% for es in sessions %}
            <tr>
                <td class="nowrap" data-sort-wert="{{ es.created_at or '' }}">{{ es.created_at | datum }}</td>
                <td>{{ es.bereitstellungsvorlage_label }}</td>
                <td>{{ es.devices_used }} / {{ es.max_devices }}</td>
                <td class="nowrap" data-sort-wert="{{ es.expires_at or '' }}">{{ es.expires_at | datum }}</td>
                <td>{{ es.status }}</td>
                <td>
                    {% if not es.revoked_at %}
                    <form method="post" action="/admin/flows/{{ organization_id }}/enrollment-sessions/{{ es.id }}/widerrufen">
                        <button type="submit" class="secondary outline klein">Widerrufen</button>
                    </form>
                    {% endif %}
                </td>
            </tr>
        {% endfor %}
        </tbody>
    </table>
    </figure>
{% endmacro %}

<section>
    {% set gueltig = enrollment_sessions | selectattr("status", "equalto", "gültig") | list | length %}
    <details class="abschnitt" id="medien">
        <summary>Ausgegebene Medien <small>{{ enrollment_sessions | length }} insgesamt, {{ gueltig }} gültig</small></summary>
        <p><small>Je erstelltem Installationsmedium eine Enrollment Session, neueste zuerst. Ein neues Medium macht ältere nicht ungültig (Entscheidung 22.10.2026); „Widerrufen“ sperrt ein Medium für weitere Installationen.</small></p>
        {% if enrollment_sessions %}
        {{ session_tabelle(enrollment_sessions) }}
        {% else %}
        <p>Noch keine Enrollment Sessions.</p>
        {% endif %}

        <details>
        <summary role="button" class="secondary outline">Neue Enrollment Session anlegen</summary>
        <form method="post" action="/admin/flows/{{ organization_id }}/enrollment-sessions">
            <label>Bereitstellungsvorlage
                <select name="bereitstellungsvorlage_id">
                    {% for bv in bereitstellungsvorlagen %}
                    <option value="{{ bv.id }}">{{ bv.label }}</option>
                    {% endfor %}
                </select>
            </label>
            <label>Max. Geräteanzahl<input type="number" name="max_devices" value="10" min="1" required></label>
            <label>Läuft ab am<input type="datetime-local" name="expires_at" required></label>
            <button type="submit">Anlegen</button>
        </form>
        </details>
    </details>
</section>

<section class="aktivitaeten-tage">
    <h3>Aktivitäten</h3>
    <p><small>Installationen und Agent-Läufe der Geräte dieser Organisation, neueste zuerst (die letzten {{ aktivitaeten_abruf }} Ereignisse).
    Ein Agent-Lauf prüft alle Merkmale eines Geräts. Läufe ohne Fehler stehen je Gerät und Tag in einer Zeile, Fehler und Installationen einzeln und markiert.</small></p>
    {% if aktivitaeten_tage %}
    <style>
        .aktivitaeten-filter { display: flex; gap: 0.75rem; flex-wrap: wrap; }
        .aktivitaeten-filter select { flex: 1 1 12rem; max-width: 18rem; }
        .aktivitaeten-tage > details { margin-bottom: 0.5rem; }
    </style>
    <div class="aktivitaeten-filter">
        <select id="akt-geraet" aria-label="Nach Gerät filtern">
            <option value="">Alle Geräte</option>
            {% for g in aktivitaeten_geraete %}<option value="{{ g }}">{{ g }}</option>{% endfor %}
        </select>
        <select id="akt-art" aria-label="Nach Art filtern">
            <option value="">Alle Ereignisse</option>
            <option value="problem">Nur Fehler</option>
            <option value="installation">Installationen</option>
            <option value="agent">Agent-Läufe</option>
        </select>
    </div>
    {% for tag in aktivitaeten_tage %}
    <details {% if loop.first %}open{% endif %}>
        <summary><strong>{{ tag.titel }}</strong> <small>({{ tag.eintraege | length }}{% if tag.fehler %}, <mark>{{ tag.fehler }} mit Fehler</mark>{% endif %})</small></summary>
        <figure>
        <table class="kompakt">
            <thead><tr><th>Zeit</th><th>Gerät</th><th>Ereignis</th></tr></thead>
            <tbody>
            {% for a in tag.eintraege %}
                <tr data-geraet="{{ a.hostname }}" data-art="{{ a.art }}" data-problem="{{ 'ja' if a.problem else '' }}">
                    <td class="nowrap">{{ (a.zeit | datum)[-5:] }}</td>
                    <td class="nowrap"><a href="/admin/geraete/{{ a.device_id }}/log">{{ a.hostname }}</a></td>
                    <td>{% if a.problem %}<mark>{{ a.text }}</mark>{% else %}{{ a.text }}{% endif %}{% if a.laeufe > 1 %} <small>({{ a.laeufe }} Läufe an diesem Tag, hier der letzte)</small>{% endif %}</td>
                </tr>
            {% endfor %}
            </tbody>
        </table>
        </figure>
    </details>
    {% endfor %}
    <p id="akt-leer" hidden><small>Keine Ereignisse für diesen Filter.</small></p>
    <script src="/static/aktivitaeten-filter.js?v={{ static_version }}" defer></script>
    {% else %}
    <p><small>Noch keine Aktivitäten protokolliert.</small></p>
    {% endif %}
</section>
{% endif %}

{% if aktiver_tab == "bereitstellungsvorlagen" %}
<section>
    {% if vorlage_fehler %}<p><mark>{{ vorlage_fehler }}</mark></p>{% endif %}
    {% if bearbeiten %}
        {# GUI-Runde 09.10.2026: Bearbeiten einer bestehenden Vorlage #}
        <p><a href="/admin/kunden/{{ organization_id }}/bereitstellungsvorlagen">← alle Bereitstellungsvorlagen</a></p>
        <h3>„{{ bearbeiten.label }}“ bearbeiten</h3>
        {% if bearbeiten.geraete_anzahl or bearbeiten.medien_anzahl %}
        <p><small>Wird verwendet von {{ bearbeiten.geraete_anzahl }} Gerät(en) und {{ bearbeiten.medien_anzahl }} Installationsmedium/-medien.
        Änderungen gelten für künftige Installationen und für den Workspace dieser Geräte, sofern ihre OE keinen eigenen Workspace hat.</small></p>
        {% endif %}
        {% set v = bearbeiten %}
        {% set aktion = "/admin/kunden/" ~ organization_id ~ "/bereitstellungsvorlagen/" ~ bearbeiten.id %}
        {% set knopf = "Änderungen speichern" %}
        {% include "admin/_bereitstellungsvorlage_formular.html" %}
        <h4>Löschen</h4>
        {% if bearbeiten.geraete_anzahl or bearbeiten.medien_anzahl %}
        <p><small>Nicht möglich, solange Geräte oder Installationsmedien die Vorlage verwenden.</small></p>
        {% else %}
        <details class="inline-bestaetigung">
            <summary role="button" class="secondary outline">Vorlage löschen</summary>
            <form method="post" action="/admin/kunden/{{ organization_id }}/bereitstellungsvorlagen/{{ bearbeiten.id }}/loeschen">
                <button type="submit" class="loeschen">„{{ bearbeiten.label }}“ endgültig löschen</button>
            </form>
        </details>
        {% endif %}
    {% else %}
    <p><small><strong>Bereitstellungsvorlage oder Workspace?</strong> Die Bereitstellungsvorlage regelt die <em>Installation</em>:
    Distro, Partitionierung, Verschlüsselung und mit welchem Workspace das Gerät startet. Sie wirkt nur einmal, beim Installieren.
    Der Workspace regelt den <em>Inhalt</em>: Programme, Einstellungen, Merkmale. Ihn hält der Agent auf dem Gerät dauerhaft aktuell;
    hat die OE des Geräts einen eigenen Workspace (gleiche Distro), gilt dieser.
    Zum Bearbeiten oder Löschen auf die Bezeichnung klicken.</small></p>
    {% if bereitstellungsvorlagen %}
    <figure>
    <table class="kompakt">
        <thead><tr>
            <th data-sort>Bezeichnung</th><th data-sort data-filter>Workspace</th><th data-sort data-filter>Distro</th>
            <th>Partitionierung</th><th data-sort>Standard</th><th data-sort>Geräte</th><th data-sort>Medien</th>
        </tr></thead>
        <tbody>
        {% for v in bereitstellungsvorlagen %}
            {% set ws_distro = (workspace_distro.get(v.workspace.id) or {}) %}
            <tr>
                <td><a href="/admin/kunden/{{ organization_id }}/bereitstellungsvorlagen/{{ v.id }}" title="Bearbeiten">{{ v.label }}</a></td>
                <td>{{ v.workspace.name }}</td>
                <td class="nowrap">
                    {{ v.backend.name }} {{ v.backend.version }}
                    {% if ws_distro and ws_distro.id != v.backend.id %}<br><mark title="Der Workspace gehört zu {{ ws_distro.name }}">passt nicht zum Workspace ({{ ws_distro.name }})</mark>{% endif %}
                </td>
                <td>
                    {{ v.partitioning.root_filesystem }}
                    {% if v.partitioning.scheme == "custom" and v.partitioning.extra_partitions %}
                        + {% for p in v.partitioning.extra_partitions %}{{ p.mountpoint }} {{ p.percent }} %{{ ", " if not loop.last else "" }}{% endfor %}
                    {% endif %}
                    {% if v.disk_encryption %}<br><small>verschlüsselt</small>{% endif %}
                    {% if v.secure_boot_required %}<br><small>Secure Boot</small>{% endif %}
                </td>
                <td>{{ "ja" if v.is_default else "–" }}</td>
                <td>{{ v.geraete_anzahl }}</td>
                <td>{{ v.medien_anzahl }}</td>
            </tr>
        {% endfor %}
        </tbody>
    </table>
    </figure>
    {% else %}
    <p>Noch keine Bereitstellungsvorlagen.</p>
    {% endif %}
    <details{% if vorlage_fehler %} open{% endif %}>
        <summary role="button" class="outline">Neue Bereitstellungsvorlage anlegen</summary>
        {% set v = None %}
        {% set aktion = "/admin/kunden/" ~ organization_id ~ "/bereitstellungsvorlagen" %}
        {% set knopf = "Anlegen" %}
        {% include "admin/_bereitstellungsvorlage_formular.html" %}
    </details>

    {# GUI-Runde 09.10.2026: Gültigkeit, Nutzung, Deaktivieren/Löschen #}
    <h3 id="aktivierungscodes">Aktivierungscodes</h3>
    <p><small>Für Installationen <strong>ohne</strong> persönliches Installationsmedium (allgemeines Boot-Medium, Lokal-Test):
    Der Code wird im Installer eingetippt und ordnet das Gerät dieser Organisation zu; die Bereitstellungsvorlage wählt man danach
    im Installer aus (vorausgewählt ist die Standard-Vorlage). Medien, die der Kunde unter „Installationsmedium“ erstellt, brauchen
    keinen Code: Sie tragen ihre Vorlage schon in sich.
    Deaktivierte oder abgelaufene Codes werden abgelehnt; bereits installierte Geräte bleiben davon unberührt.</small></p>
    {% if activation_codes %}
    <figure>
    <table class="kompakt">
        <thead><tr><th>Code</th><th>Bezeichnung</th><th>Status</th><th>Gültig bis</th><th>Verwendet</th><th>Angelegt</th><th>Aktionen</th></tr></thead>
        <tbody>
        {% for ac in activation_codes %}
            <tr>
                <td class="nowrap"><code>{{ ac.code }}</code></td>
                <td>{{ ac.bezeichnung or "–" }}</td>
                <td>
                    {% if not ac.active %}<mark class="status-aus">deaktiviert</mark>
                    {% elif ac.abgelaufen %}<mark class="status-aus">abgelaufen</mark>
                    {% else %}<mark class="status-an">aktiv</mark>{% endif %}
                </td>
                <td class="nowrap">{{ ac.gueltig_bis | datum(False) if ac.gueltig_bis else "unbegrenzt" }}</td>
                <td class="nowrap">{% if ac.verwendet_anzahl %}{{ ac.verwendet_anzahl }}× · {{ ac.zuletzt_verwendet | datum(False) }}{% else %}noch nie{% endif %}</td>
                <td class="nowrap">{{ ac.created_at | datum(False) }}</td>
                <td class="aktionen">
                    <form method="post" action="/admin/kunden/{{ organization_id }}/activation-codes/{{ ac.code }}/status" class="inline">
                        <input type="hidden" name="active" value="{{ '' if ac.active else '1' }}">
                        <button type="submit" class="secondary outline klein">{{ "Deaktivieren" if ac.active else "Aktivieren" }}</button>
                    </form>
                    <details class="inline-bestaetigung">
                        <summary role="button" class="secondary outline klein">Löschen</summary>
                        <form method="post" action="/admin/kunden/{{ organization_id }}/activation-codes/{{ ac.code }}/loeschen">
                            <button type="submit" class="klein loeschen" aria-label="Code {{ ac.code }} endgültig löschen">Endgültig löschen</button>
                        </form>
                    </details>
                </td>
            </tr>
        {% endfor %}
        </tbody>
    </table>
    </figure>
    {% else %}
    <p>Noch keine Aktivierungscodes.</p>
    {% endif %}
    <details>
        <summary role="button" class="outline">Neuen Aktivierungscode erzeugen</summary>
        <form method="post" action="/admin/kunden/{{ organization_id }}/activation-codes">
            <div class="grid">
                <label>Bezeichnung <small>(optional, z. B. „Computerraum Herbst“)</small>
                    <input type="text" name="bezeichnung" maxlength="80">
                </label>
                <label>Gültigkeit
                    <select name="gueltig_tage">
                        <option value="">unbegrenzt</option>
                        <option value="1">1 Tag</option>
                        <option value="7">7 Tage</option>
                        <option value="30" selected>30 Tage</option>
                        <option value="90">90 Tage</option>
                    </select>
                </label>
            </div>
            <button type="submit">Code erzeugen</button>
        </form>
    </details>
    {% endif %}
</section>
{% endif %}

{% if aktiver_tab == "konten" %}
<section>
    <p><small>Plattform-Admin-Konten (organisationsübergreifend) werden getrennt unter <a href="/admin/accounts">Admin-Accounts</a> verwaltet, tauchen hier absichtlich nicht auf.</small></p>
    <figure>
    <table>
        <thead><tr><th>E-Mail</th><th>Org-Admin</th><th>Angelegt</th><th></th></tr></thead>
        <tbody>
        {% for b in benutzer %}
            <tr>
                <td>{{ b.email }}</td>
                <td>{{ "ja" if b.ist_organisationsadmin else "nein" }}</td>
                <td data-sort-wert="{{ b.created_at or '' }}">{{ b.created_at | datum(False) }}</td>
                <td class="aktionen">
                    <details class="inline-bestaetigung">
                        <summary role="button" class="secondary outline klein">Ändern</summary>
                        <form method="post" action="/admin/kunden/{{ organization_id }}/konten/{{ b.id }}">
                            <label for="konto_email_{{ b.id }}">E-Mail</label>
                            <input type="email" id="konto_email_{{ b.id }}" name="email" value="{{ b.email }}" required>
                            <label>
                                <input type="checkbox" name="ist_organisationsadmin" {% if b.ist_organisationsadmin %}checked{% endif %}>
                                Admin dieser Organisation
                            </label>
                            <button type="submit" class="klein">Speichern</button>
                        </form>
                    </details>
                </td>
            </tr>
        {% endfor %}
        </tbody>
    </table>
    </figure>
    <details>
    <summary role="button" class="secondary outline">Neues Konto anlegen</summary>
    <form method="post" action="/admin/kunden/{{ organization_id }}/konten">
        <label for="email">E-Mail</label>
        <input type="email" id="email" name="email" required>
        <label for="password">Passwort</label>
        <input type="password" id="password" name="password" required>
        <label>
            <input type="checkbox" name="ist_organisationsadmin">
            Admin dieser Organisation (darf eigene Kolleg:innen-Konten verwalten)
        </label>
        <button type="submit">Anlegen</button>
    </form>
    </details>
</section>
{% endif %}

{% if aktiver_tab == "struktur" %}
{# Struktur & Workspaces (Workspace-Creator neu, Schritt F, 07.10.2026):
   Workspace an der OE, vererbt nach unten. Die Distro-Konfliktregel
   prüft anode beim Speichern. #}
<section>
    {% set meldung_oe = request.query_params.get("oe") %}
    {% if not meldung_oe %}
    {% if request.query_params.get("fehler") %}<p><mark>{{ request.query_params.get("fehler") }}</mark></p>{% endif %}
    {% if request.query_params.get("hinweis") %}<p><ins>{{ request.query_params.get("hinweis") }}</ins></p>{% endif %}
    {% endif %}
    <p><small>Ein Workspace an einer OE gilt für alle Geräte darin und in ihren Unter-OEs (außer eine Unter-OE hat einen eigenen). Geräte müssen zur Distro des Workspace passen – sonst wird das Speichern mit Begründung abgelehnt. Gruppen ergänzen nur.</small></p>
    <style>
        .oe-karte { border: 1px solid var(--pico-muted-border-color); border-radius: var(--pico-border-radius); padding: 0.6rem 0.9rem; margin-bottom: 0.5rem; }
        .oe-karte small { color: var(--pico-muted-color); }
        .oe-karte details { margin: 0.4rem 0 0 0; }
        .oe-karte summary { font-size: 0.9rem; }
        .oe-karte form { margin-top: 0.5rem; }
    </style>
    {% macro oe_knoten(oe, oes, tiefe) %}
    <div class="oe-karte" data-oe="{{ oe.name }}" style="margin-left: {{ tiefe * 1.75 }}rem">
        <strong>{{ oe.name }}</strong>{% if oe.ist_standard %} <small>(Standard)</small>{% endif %}
        <small>· {{ oe.anzahl_geraete }} Gerät(e){% if oe.distros %}: {{ oe.distros | join(", ") }}{% endif %}</small><br>
        {% if oe.workspace %}
            Workspace: <strong>{{ oe.workspace.name }}</strong> <small>({{ oe.workspace.distro }}, {{ "automatisch neueste Version" if oe.workspace.automatisch else "auf v" ~ oe.workspace.version ~ " gepinnt" }})</small>
        {% elif oe.wirksamer_workspace %}
            <small>Workspace geerbt: {{ oe.wirksamer_workspace.name }} von {{ oe.wirksamer_workspace.geerbt_von }}</small>
        {% else %}
            <small>Kein Workspace – es gilt der Workspace der Installation</small>
        {% endif %}
        {% set hier = request.query_params.get("oe") == oe.id %}
        {% set oe_fehler = request.query_params.get("fehler") if hier %}
        {% set oe_hinweis = request.query_params.get("hinweis") if hier %}
        {% if oe_hinweis %}<p><ins>{{ oe_hinweis }}</ins></p>{% endif %}
        <details id="oe-{{ oe.id }}-workspace"{% if oe_fehler %} open{% endif %}>
            <summary>Workspace ändern · Unter-OE anlegen</summary>
            {% if oe_fehler %}<p><mark>{{ oe_fehler }}</mark></p>{% endif %}
            <form method="post" action="/admin/kunden/{{ organization_id }}/struktur/{{ oe.id }}/workspace">
                <div class="grid">
                    <label>Workspace
                        <select name="workspace_id">
                            <option value="">— kein eigener (erben bzw. Installation) —</option>
                            {% for w in workspaces %}
                            <option value="{{ w.id }}" {% if oe.workspace and oe.workspace.id == w.id %}selected{% endif %}>{{ w.name }} ({{ w.backend.name }})</option>
                            {% endfor %}
                        </select>
                    </label>
                    <label>Version
                        <select name="version_id">
                            <option value="">automatisch neueste</option>
                            {% for w in workspaces %}{% for v in w.versionen if v.status == "veroeffentlicht" %}
                            <option value="{{ v.id }}" {% if oe.workspace and not oe.workspace.automatisch and oe.workspace.id == w.id and oe.workspace.version == v.nummer %}selected{% endif %}>{{ w.name }} v{{ v.nummer }} pinnen</option>
                            {% endfor %}{% endfor %}
                        </select>
                    </label>
                </div>
                <button type="submit">Speichern</button>
            </form>
            <form method="post" action="/admin/kunden/{{ organization_id }}/struktur">
                <input type="hidden" name="parent_id" value="{{ oe.id }}">
                <div class="grid">
                    <input type="text" name="name" placeholder="Name der Unter-OE" required>
                    <button type="submit" class="outline">Unter-OE anlegen</button>
                </div>
            </form>
        </details>
    </div>
    {% for kind in oes | selectattr("parent_id", "equalto", oe.id) %}{{ oe_knoten(kind, oes, tiefe + 1) }}{% endfor %}
    {% endmacro %}
    {% for wurzel in organisationseinheiten | selectattr("parent_id", "equalto", none) %}{{ oe_knoten(wurzel, organisationseinheiten, 0) }}{% endfor %}
    <form method="post" action="/admin/kunden/{{ organization_id }}/struktur">
        <label>Neue OE auf oberster Ebene<input type="text" name="name" placeholder="z. B. Computerraum 1" required></label>
        <button type="submit" class="outline">Anlegen</button>
    </form>
</section>
{% endif %}

{% if aktiver_tab == "gruppen" %}
<section>
    <p><small>Querschnitts-Gruppen (z.B. Lehrer/Schulleitung) — ein Gerät kann in mehreren gleichzeitig sein.</small></p>
    {% if not gruppen %}
        <p>Keine Gruppen angelegt.</p>
    {% else %}
    <figure>
    <table>
        <thead><tr><th>Name</th><th></th></tr></thead>
        <tbody>
        {% for gruppe in gruppen %}
            <tr>
                <td>{{ gruppe.name }}</td>
                <td>
                    <a href="/admin/kunden/{{ organization_id }}/gruppen/{{ gruppe.id }}" role="button" class="outline">Verwalten</a>
                    <form method="post" action="/admin/kunden/{{ organization_id }}/gruppen/{{ gruppe.id }}/loeschen" style="display:inline">
                        <button type="submit" class="outline secondary">Löschen</button>
                    </form>
                </td>
            </tr>
        {% endfor %}
        </tbody>
    </table>
    </figure>
    {% endif %}
    <details>
    <summary role="button" class="secondary outline">Neue Gruppe anlegen</summary>
    <form method="post" action="/admin/kunden/{{ organization_id }}/gruppen">
        <label for="gruppe_name">Name</label>
        <input type="text" id="gruppe_name" name="name" required>
        <button type="submit">Anlegen</button>
    </form>
    </details>
</section>
{% endif %}
{% endblock %}