# sultan server auf dem Ingress-Knoten (neben Traefik).
#
#   cp .env.example .env && $EDITOR .env
#   install -d -m 0700 -o 65532 -g 65532 suldata     # Datenverzeichnis für den nonroot-User
#   docker compose up -d
#   docker compose exec sultan-server sultan version  # Zeitzone prüfen
#   docker compose exec sultan-server sultan token tenant add …
#
# network_mode: host wie Traefik:
#   - Ports frei wählbar (.env), ohne Mapping; die Adresse des Landers für die
#     Wartungsseiten stimmt damit automatisch.
#   - Rate-Limit und nodes.ip_address sehen die echte IP der Agents.
# Traefik pollt http://${SULTAN_PROVIDER_ADDR}/v1/traefik-config (traefik.yml, siehe
# traefik-provider.yml).
services:
  sultan-server:
    image: ${SULTAN_IMAGE:-sultan:latest}
    container_name: sultan-server
    restart: unless-stopped
    network_mode: host
    command: ["sultan", "server", "--data-dir=/suldata"]
    # Alle Einstellungen kommen aus .env (Vorlage mit Defaults: .env.example).
    # Jedes Flag ist als SULTAN_<FLAG> setzbar; leere Werte = Default.
    env_file: .env
    volumes:
      - ./suldata:/suldata    # sultan.db, server.key/.crt, master.key – sichern!