iFinder Source "apiKey" field is undocumented and its relation to platform.json JWT auth is unclear

[dli-64]

docs/sources.md listet für Sources vom Typ ifinder ein Config-Feld apiKey auf, ohne zu erklären:

• Was dieser Key konkret ist (ein separates Credential für direkte iFinder-Source-API-Aufrufe)
• Wie/wo er sich vom JWT-basierten privateKey aus platform.json (verwendet vom iFinder-Tool, siehe iFinder-Integration.md) unterscheidet
• Wo/wie man diesen Key überhaupt erhält (in iFinder selbst? als Service-Account? als Umgebungsvariable?)

Auswirkung: Beim Anlegen einer iFinder-Source über die Admin-UI ist das Feld "API Key" als Pflichtfeld markiert, aber es gibt keinerlei Hinweis darauf, woher dieser Wert kommt. Das führt dazu, dass man versucht, denselben JWT-Private-Key wie in platform.json einzutragen (falsch) oder rät, welche Umgebungsvariable gemeint sein könnte.

Vorschlag: In sources.md eine kurze Klarstellung ergänzen: Was ist der Unterschied zwischen Source-apiKey und Tool-privateKey/JWT-Auth, und wo bekommt man Ersteres her (idealerweise mit Verweis auf die entsprechende iFinder-Admin-Stelle).

[github-actions]

The issue raises concerns about the lack of documentation for the "apiKey" field in the iFinder source configuration and its unclear relationship to the JWT-based authentication using the "privateKey" defined in platform.json. The user highlights confusion regarding the purpose of the "apiKey," how it differs from the "privateKey," and how to obtain it. Additionally, a separate issue is brought up about the undocumented prerequisites for the "Use iHub OIDC Keypair for JWT signing" option in the iFinder admin UI, which results in a 401 error if the iFinder instance is not configured to trust iHub as a JWT issuer via its JWKS endpoint. The user suggests updating the documentation to clarify these points and reduce confusion during setup.