# /etc/sudoers.d/timemaster – TLS-Erneuerung aus der App (tls_admin) ohne Root-Prozess
timemaster ALL=(root) NOPASSWD: /opt/timemaster/setup-tls.sh *, /opt/timemaster/setup-tls-internal.sh *, /usr/bin/systemctl reload nginx