ajoute la visio de classe : Jitsi auto-hébergé, jetons du portail, prof seul modérateur

Jitsi (docker-jitsi-meet, version figée) derrière Nginx sur meet.syllabuslab.fr,
accès par jeton JWT signé par le portail, modération du micro, mains levées
synchronisées avec l'application. Pare-feu : UDP 10000 et pont interne
br-visio (accords d'Adam). Jicofo n'authentifie plus lui-même : il donnait
le rôle de propriétaire aux élèves. Capacité ramenée à 20 VM.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

ansible/roles/visio/templates/docker-compose.yml.j2

@@ -0,0 +1,88 @@
+# Géré par Ansible (rôle visio). D'après docker-jitsi-meet {{ visio_version }}
+# (docker-compose.yml officiel), adapté à ce serveur :
+# - Docker tourne sans pont par défaut ni règles iptables (étape 5) : JVB est
+#   sur le réseau de l'hôte (UDP {{ visio_port_media }} sans NAT) et joint Prosody
+#   par 127.0.0.1 ;
+# - le conteneur web n'écoute que sur 127.0.0.1, derrière le Nginx de l'hôte.
+services:
+    web:
+        image: ghcr.io/jitsi/web:{{ visio_version }}
+        restart: unless-stopped
+        read_only: true
+        tmpfs:
+            - /run:size=16M,mode=1750,exec
+            - /tmp:size=16M,mode=1777,noexec
+        ports:
+            - '127.0.0.1:{{ visio_port_web }}:8000'
+        volumes:
+            - {{ visio_dossier }}/config/web:/config:Z
+            - {{ visio_dossier }}/config/storage/web:/storage:Z
+            - {{ visio_dossier }}/config/storage/transcripts:/usr/share/jitsi-meet/transcripts:ro,z
+            - {{ visio_dossier }}/config/tmp/web-load-test:/usr/share/jitsi-meet/load-test:Z
+        env_file: [/etc/visio/visio.env, /etc/visio/secrets.env]
+        networks:
+            meet.jitsi:
+        depends_on:
+            - prosody
+
+    prosody:
+        image: ghcr.io/jitsi/prosody:{{ visio_version }}
+        restart: unless-stopped
+        read_only: true
+        tmpfs:
+            - /run:size=16M,mode=1750,exec
+            - /tmp:size=16M,mode=1777,noexec
+        ports:
+            # Pour JVB, sur le réseau de l'hôte.
+            - '127.0.0.1:5222:5222'
+        expose:
+            - '5269'
+            - '5347'
+            - '5280'
+        volumes:
+            - {{ visio_dossier }}/config/prosody/config:/config:Z
+            - {{ visio_dossier }}/config/prosody/prosody-plugins-custom:/prosody-plugins-custom:Z
+            - {{ visio_dossier }}/config/storage/prosody:/var/lib/prosody:Z
+        env_file: [/etc/visio/visio.env, /etc/visio/secrets.env]
+        networks:
+            meet.jitsi:
+                aliases:
+                    - xmpp.meet.jitsi
+
+    jicofo:
+        image: ghcr.io/jitsi/jicofo:{{ visio_version }}
+        restart: unless-stopped
+        read_only: true
+        tmpfs:
+            - /run:size=32M,mode=1750,exec
+            - /tmp:size=16M,mode=1777,noexec
+        volumes:
+            - {{ visio_dossier }}/config/jicofo:/config:Z
+        env_file: [/etc/visio/visio.env, /etc/visio/secrets.env]
+        networks:
+            meet.jitsi:
+        depends_on:
+            - prosody
+
+    jvb:
+        image: ghcr.io/jitsi/jvb:{{ visio_version }}
+        restart: unless-stopped
+        read_only: true
+        tmpfs:
+            - /run:size=32M,mode=1750,exec
+            - /tmp:size=16M,mode=1777,noexec
+        network_mode: host
+        volumes:
+            - {{ visio_dossier }}/config/jvb:/config:Z
+        env_file: [/etc/visio/visio.env, /etc/visio/secrets.env]
+        environment:
+            XMPP_SERVER: 127.0.0.1
+        depends_on:
+            - prosody
+
+networks:
+    meet.jitsi:
+        # Nom fixe : le pare-feu n'autorise le trafic entre conteneurs que
+        # sur ce pont (rôle durcissement, durcissement_ponts_internes).
+        driver_opts:
+            com.docker.network.bridge.name: br-visio