software steht so weit.

jetzt build + docker build und testen

deploy/compose/agent/.env.example

@@ -0,0 +1,9 @@
+# Image: lokal gebaut (docker build -t sultan:latest .) oder aus der Registry
+SULTAN_IMAGE=sultan:latest
+# SULTAN_IMAGE=git.everdc.eu/chmln-app-dev/sultan:v0.1.0
+
+# Einladung vom Server: docker compose exec sultan-server sultan token invite --tenant=…
+SULTAN_TOKEN=
+
+# Gruppe des Docker-Sockets: getent group docker | cut -d: -f3
+DOCKER_GID=

deploy/compose/agent/compose.yaml

@@ -0,0 +1,30 @@
+# sultan agent auf einem Docker-Host (Backend).
+#
+#   cp .env.example .env && $EDITOR .env      # SULTAN_TOKEN, DOCKER_GID
+#   install -d -m 0700 -o 65532 -g 65532 suldata
+#   docker compose up -d
+#
+# network_mode: host ist Absicht:
+#   - Backend-Adresse: der Agent meldet die Host-IP (Route zum Server bzw.
+#     --backend-interface=wt0), nicht die Container-IP aus dem Bridge-Netz.
+#   - Knoten-ID: Default ist der Hostname – mit Host-Netz der des Hosts statt
+#     der zufälligen Container-ID.
+services:
+  sultan-agent:
+    image: ${SULTAN_IMAGE:-sultan:latest}
+    container_name: sultan-agent
+    restart: unless-stopped
+    network_mode: host
+    command: ["sultan", "agent", "--data-dir=/suldata", "--config-dir=none"]
+    environment:
+      # Ausgabe von `sultan token invite`; nach dem ersten Start nicht mehr nötig,
+      # stehen lassen ist harmlos.
+      SULTAN_TOKEN: ${SULTAN_TOKEN:-}
+    # Lesezugriff auf den Docker-Socket für den nonroot-User (UID 65532).
+    group_add:
+      - "${DOCKER_GID:?DOCKER_GID setzen: getent group docker | cut -d: -f3}"
+    volumes:
+      # :ro schützt nur die Socket-Datei, nicht die API – der Agent nutzt
+      # ausschließlich lesende Aufrufe (Container-Liste, Events).
+      - /var/run/docker.sock:/var/run/docker.sock:ro
+      - ./suldata:/suldata    # node.key (0600) und node.json – persistent halten!

deploy/compose/server/.env.example

@@ -0,0 +1,6 @@
+# Image: lokal gebaut (docker build -t sultan:latest .) oder aus der Registry
+SULTAN_IMAGE=sultan:latest
+# SULTAN_IMAGE=git.everdc.eu/chmln-app-dev/sultan:v0.1.0
+
+# Adresse, unter der Agents den Server erreichen – steckt danach in jeder Einladung
+SULTAN_PUBLIC_URL=https://webproxy11.example.de:8443

deploy/compose/server/compose.yaml

@@ -0,0 +1,27 @@
+# sultan server auf dem Ingress-Knoten (neben Traefik).
+#
+#   cp .env.example .env && $EDITOR .env
+#   install -d -m 0700 -o 65532 -g 65532 suldata     # Datenverzeichnis für den nonroot-User
+#   docker compose up -d
+#   docker compose exec sultan-server sultan token tenant add …
+#
+# Traefik (Host-Netz oder Binary) pollt http://127.0.0.1:8080/v1/traefik-config.
+services:
+  sultan-server:
+    image: ${SULTAN_IMAGE:-sultan:latest}
+    container_name: sultan-server
+    restart: unless-stopped
+    # Im Container auf allen Interfaces lauschen; nach außen nur 127.0.0.1 veröffentlichen.
+    command:
+      - "sultan"
+      - "server"
+      - "--data-dir=/suldata"
+      - "--provider-addr=:8080"
+      - "--lander-addr=:8081"
+      - "--public-url=${SULTAN_PUBLIC_URL}"
+    ports:
+      - "8443:8443"           # Agents (TLS 1.3)
+      - "127.0.0.1:8080:8080" # Traefik-Provider & Checkmk – Klartext, nie öffentlich
+      - "127.0.0.1:8081:8081" # Lander (Hinweis-/Wartungsseiten) für Traefik
+    volumes:
+      - ./suldata:/suldata    # sultan.db, server.key/.crt, master.key – sichern!