# sultan server auf dem Ingress-Knoten (neben Traefik).
#
#   cp .env.example .env && $EDITOR .env
#   install -d -m 0700 -o 65532 -g 65532 suldata     # Datenverzeichnis für den nonroot-User
#   docker compose up -d
#   docker compose exec sultan-server sultan token tenant add …
#
# Traefik (Host-Netz oder Binary) pollt http://127.0.0.1:8080/v1/traefik-config.
services:
  sultan-server:
    image: ${SULTAN_IMAGE:-sultan:latest}
    container_name: sultan-server
    restart: unless-stopped
    # Im Container auf allen Interfaces lauschen; nach außen nur 127.0.0.1 veröffentlichen.
    command:
      - "sultan"
      - "server"
      - "--data-dir=/suldata"
      - "--provider-addr=:8080"
      - "--lander-addr=:8081"
      - "--public-url=${SULTAN_PUBLIC_URL}"
    ports:
      - "8443:8443"           # Agents (TLS 1.3)
      - "127.0.0.1:8080:8080" # Traefik-Provider & Checkmk – Klartext, nie öffentlich
      - "127.0.0.1:8081:8081" # Lander (Hinweis-/Wartungsseiten) für Traefik
    volumes:
      - ./suldata:/suldata    # sultan.db, server.key/.crt, master.key – sichern!