prod: rename truenas compose to .example and gitignore the real one

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.gitea/workflows/release.yml

@@ -1,19 +1,20 @@
 name: Release
 
-# Livraison par tag : un tag "vX.Y.Z" déclenche build + push registry + release Gitea.
+# Livraison par tag : un tag "vX.Y.Z" déclenche build + push registry + release Gitea
+# + redéploiement de l'app TrueNAS "mkv2avi".
 on:
   push:
     tags:
       - "v*"
 
 permissions:
-  contents: write   # créer la release
-  packages: write   # pousser dans le registry Gitea
+  contents: write   # créer la release Gitea
 
 env:
-  REGISTRY: git.maisongrondin.fr
-  # ⚠️ namespace du registry Gitea en minuscules
-  IMAGE: git.maisongrondin.fr/alexandre/mkv2avi
+  # Registry standalone (Distribution) — auth via secrets REGISTRY_USERNAME/PASSWORD.
+  # (Le registry INTÉGRÉ de Gitea git.maisongrondin.fr refuse ces creds.)
+  REGISTRY: registry.maisongrondin.fr
+  IMAGE: registry.maisongrondin.fr/alexandre/mkv2avi
 
 jobs:
   release:
@@ -26,9 +27,7 @@ jobs:
         id: ver
         run: echo "version=${GITHUB_REF_NAME#v}" >> "$GITHUB_OUTPUT"
 
-      # Le token auto GITEA_TOKEN n'a PAS de droit push sur le registry de paquets
-      # (→ "unauthorized"). On utilise les secrets registry (niveau utilisateur).
-      - name: Connexion au registry Gitea
+      - name: Connexion au registry
         run: echo "${{ secrets.REGISTRY_PASSWORD }}" | docker login "$REGISTRY" -u "${{ secrets.REGISTRY_USERNAME }}" --password-stdin
 
       - name: Build & push de l'image
@@ -50,9 +49,19 @@ jobs:
             -H "Authorization: token $TOKEN" -H "Content-Type: application/json" \
             -d "{\"tag_name\":\"$TAG\",\"name\":\"$TAG\",\"body\":\"$BODY\"}" | jq -r '.id')
           echo "Release créée (id=$REL_ID)"
-          for f in docker-compose.prod.yml .env.prod.example; do
+          for f in docker-compose.truenas.yml.example docker-compose.prod.yml .env.prod.example; do
             curl -sSf -X POST "$API/releases/$REL_ID/assets?name=$f" \
               -H "Authorization: token $TOKEN" \
               -F "attachment=@$f;type=text/plain" >/dev/null
             echo "  asset ajouté : $f"
           done
+
+      # Redéploiement de l'app Custom TrueNAS "mkv2avi" (pull de :latest + restart).
+      # ⚠️ Prérequis : l'app "mkv2avi" doit exister sur TrueNAS (sinon 404 → échec).
+      # 172.16.11.1 = hôte TrueNAS joignable depuis le conteneur du job.
+      - name: Redéployer sur TrueNAS
+        run: |
+          curl -sf -X POST http://172.16.11.1/api/v2.0/app/redeploy \
+            -H "Authorization: Bearer ${{ secrets.TRUENAS_API_KEY }}" \
+            -H "Content-Type: application/json" \
+            -d '"mkv2avi"'

.gitignore

@@ -7,10 +7,16 @@ testmedia/
 .env
 .env.prod
 .env.*.local
+# Compose de déploiement TrueNAS rempli avec les vrais secrets
+# (le modèle versionné = docker-compose.truenas.yml.example)
+docker-compose.truenas.yml
 
 # Python
 __pycache__/
 *.pyc
 
+# IDE JetBrains
+.idea/
+
 # OS
 .DS_Store

docker-compose.prod.yml

@@ -2,7 +2,8 @@
 # derrière Nginx Proxy Manager (TLS terminé par NPM).
 #
 #   cp .env.prod.example .env.prod   # puis renseigner les secrets
-#   docker compose --env-file .env.prod -f docker-compose.prod.yml up -d --build
+#   docker compose --env-file .env.prod -f docker-compose.prod.yml pull
+#   docker compose --env-file .env.prod -f docker-compose.prod.yml up -d
 #
 # NPM (2 Proxy Hosts, forward en http vers l'IP de l'hôte) :
 #   auth.mkv2avi.maisongrondin.fr  ->  http://<IP_HOTE>:8080
@@ -60,8 +61,8 @@ services:
     restart: unless-stopped
 
   mkv2avi:
-    build: .
-    image: mkv2avi:latest
+    # Image livrée par la CI (tag → build + push). Voir .gitea/workflows/release.yml.
+    image: registry.maisongrondin.fr/alexandre/mkv2avi:latest
     container_name: mkv2avi
     environment:
       - MAX_WORKERS=${MAX_WORKERS:-1}

docker-compose.truenas.yml.example

@@ -0,0 +1,119 @@
+# Déploiement en App Custom TrueNAS "mkv2avi" — inspiré du déploiement Hooplab :
+# image tirée du registry, `pull_policy: always` (pour que `app.redeploy` récupère
+# la nouvelle image), volumes bindés sur le pool ZFS `appdata`.
+#
+# ── STOCKAGE (déjà provisionné) ──────────────────────────────────────────────────
+#   Sur TrueNAS, le stockage persistant = DATASETS ZFS (pas de simples mkdir).
+#   Créés via l'API middleware, convention appdata/<app>/<volume> (cf. Hooplab) :
+#     for ds in appdata/mkv2avi appdata/mkv2avi/{kc-db,output,keycloak}; do
+#       sudo midclt call pool.dataset.create "{\"name\":\"$ds\",\"type\":\"FILESYSTEM\"}"; done
+#   Le realm-mkv2avi.json est déjà déposé dans /mnt/appdata/mkv2avi/keycloak/.
+#
+# ── PUIS ────────────────────────────────────────────────────────────────────────
+#   TrueNAS > Apps > Discover Apps > Custom App > "Install via YAML"
+#   Nom de l'app : mkv2avi   (indispensable : c'est ce nom que cible le redeploy CI)
+#   Coller ce fichier, remplacer tous les « REMPLACE_MOI_* », puis Installer.
+#
+# ── NGINX PROXY MANAGER ──────────────────────────────────────────────────────────
+#   auth.mkv2avi.maisongrondin.fr -> http://<IP_HOTE>:8091   (le 8080 est déjà pris)
+#   mkv2avi.maisongrondin.fr      -> http://<IP_HOTE>:8090
+#   (SSL Let's Encrypt + Force SSL + Websockets sur les deux)
+
+name: mkv2avi
+
+services:
+  db:
+    image: postgres:16-alpine
+    environment:
+      POSTGRES_DB: keycloak
+      POSTGRES_USER: keycloak
+      POSTGRES_PASSWORD: REMPLACE_MOI_DB_PASSWORD
+    volumes:
+      - kc-db:/var/lib/postgresql/data
+    healthcheck:
+      test: ["CMD-SHELL", "pg_isready -U keycloak -d keycloak"]
+      interval: 5s
+      timeout: 5s
+      retries: 12
+    restart: unless-stopped
+
+  keycloak:
+    image: quay.io/keycloak/keycloak:26.0
+    command: ["start", "--import-realm"]
+    environment:
+      KC_DB: postgres
+      KC_DB_URL: jdbc:postgresql://db:5432/keycloak
+      KC_DB_USERNAME: keycloak
+      KC_DB_PASSWORD: REMPLACE_MOI_DB_PASSWORD          # identique au POSTGRES_PASSWORD ci-dessus
+      KC_BOOTSTRAP_ADMIN_USERNAME: admin
+      KC_BOOTSTRAP_ADMIN_PASSWORD: REMPLACE_MOI_KC_ADMIN_PASSWORD
+      KC_HOSTNAME: https://auth.mkv2avi.maisongrondin.fr
+      KC_HTTP_ENABLED: "true"
+      KC_PROXY_HEADERS: xforwarded
+      KC_HEALTH_ENABLED: "true"
+    volumes:
+      # Le realm-mkv2avi.json déposé dans ce dossier est importé au démarrage.
+      - keycloak-import:/opt/keycloak/data/import:ro
+    ports:
+      - "8091:8080"
+    depends_on:
+      db:
+        condition: service_healthy
+    healthcheck:
+      test: ["CMD-SHELL", "exec 3<>/dev/tcp/127.0.0.1/9000 && echo -e 'GET /health/ready HTTP/1.1\\r\\nHost: localhost\\r\\nConnection: close\\r\\n\\r\\n' >&3 && cat <&3 | grep -q '200 OK'"]
+      interval: 10s
+      timeout: 5s
+      retries: 30
+      start_period: 60s
+    restart: unless-stopped
+
+  mkv2avi:
+    image: registry.maisongrondin.fr/alexandre/mkv2avi:latest
+    pull_policy: always              # app.redeploy tire la dernière image
+    environment:
+      MAX_WORKERS: "1"
+      OIDC_ISSUER: https://auth.mkv2avi.maisongrondin.fr/realms/mkv2avi
+      OIDC_CLIENT_ID: mkv2avi
+      # DOIT être identique au champ "secret" du client "mkv2avi" dans realm-mkv2avi.json
+      # (défaut du repo = "mkv2avi-secret-change-me" → change-le des DEUX côtés).
+      OIDC_CLIENT_SECRET: REMPLACE_MOI_OIDC_CLIENT_SECRET
+      OIDC_REDIRECT_URI: https://mkv2avi.maisongrondin.fr/auth/callback
+      OIDC_POST_LOGOUT_REDIRECT_URI: https://mkv2avi.maisongrondin.fr/
+      SESSION_SECRET: REMPLACE_MOI_SESSION_SECRET           # ex: openssl rand -hex 32
+      SESSION_HTTPS_ONLY: "true"
+    volumes:
+      - media:/media:ro
+      - output:/output
+    ports:
+      - "8090:8000"
+    depends_on:
+      keycloak:
+        condition: service_healthy
+    restart: unless-stopped
+
+# Volumes bindés sur les pools ZFS (pattern Hooplab).
+volumes:
+  kc-db:
+    driver: local
+    driver_opts:
+      device: /mnt/appdata/mkv2avi/kc-db
+      o: bind
+      type: none
+  output:
+    driver: local
+    driver_opts:
+      device: /mnt/appdata/mkv2avi/output
+      o: bind
+      type: none
+  keycloak-import:
+    driver: local
+    driver_opts:
+      device: /mnt/appdata/mkv2avi/keycloak
+      o: bind
+      type: none
+  media:            # bibliothèque films (lecture seule) — adapte si besoin
+    driver: local
+    driver_opts:
+      device: /mnt/pool-r440/data/films
+      o: bind
+      type: none