Add fail-closed shutdown drain checkpoint

PROD-Shutdown-Drain-Checkpoint-2.3.2.txt

@@ -0,0 +1,42 @@
+PROD-RUNBOOK: SHUTDOWN-DRAIN-CHECKPOINT - VERSION 2.3.2
+Stand: 2026-08-26
+
+ZIEL
+Nach allen Receive Locations pausiert der echte Shutdown. Erst wenn BizTalk
+sauber leer gelaufen ist, setzt ein ausdrueckliches Yes Orchestrierungen,
+Send Ports und Host Instances fort.
+
+DRY-RUN
+1. Setup 2.3.2 installieren; setup_version=2.3.2.0 und Ziel-Self-Test pruefen.
+2. Diagnose, Snapshot Before und Shutdown mit aktiviertem Dry run ausfuehren.
+3. shutdown-plan.json: ReceiveLocations, OperatorCheckpoint, Orchestrations,
+   SendPorts, HostInstances.
+4. Dry-run zeigt den Checkpoint, oeffnet aber keinen Entscheidungsdialog.
+
+ECHTER SHUTDOWN
+1. Gesamtplan bestaetigen und Receive-Location-Ergebnisse beobachten.
+2. Dialog "Confirm BizTalk Inbound Drain" geoeffnet lassen.
+3. In Group Hub und Enterprise-Monitoring pruefen:
+   - kein neuer Eingang,
+   - laufende Service Instances kontrolliert gegen null,
+   - keine unerwarteten Suspended/Resumable Instances,
+   - MessageBox-, Queue-, Adapter- und Fremdsystemmetriken leer/stabil,
+   - mehrteilige Prozesse fachlich vollstaendig.
+4. Nur bei leerer Umgebung Yes waehlen.
+5. Bei Unsicherheit, Last oder Receive-Location-Fehlern No waehlen.
+
+ERGEBNIS
+Yes: Outcome=Confirmed, CheckpointDecision=Continue, Fortsetzung.
+No: Outcome=Declined, CheckpointDecision=Stop, OperatorStopped=true.
+Dialogfehler: CheckpointDecision=Error; sicherer Stopp.
+Nach No/Error sind alle spaeteren Zeilen NotExecuted. shutdown-after.json und
+shutdown-result.json werden trotzdem soweit moeglich geschrieben.
+
+APPLICATION STATUS
+Partially Started direkt nach dem Abschalten der Receive Locations ist der
+erwartete Drain-Zwischenzustand. Kein zusaetzlicher Application-Stop wird
+ausgefuehrt. Dessen staerkere Modi koennen Subscriptions entfernen, Artefakte
+unenlisten, Policies undeployen oder laufende Instanzen terminieren.
+
+DETAILS
+docs\PROD-Shutdown-Drain-Checkpoint-2026-08-26.md