ajoute la visio de classe : Jitsi auto-hébergé, jetons du portail, prof seul modérateur

Jitsi (docker-jitsi-meet, version figée) derrière Nginx sur meet.syllabuslab.fr,
accès par jeton JWT signé par le portail, modération du micro, mains levées
synchronisées avec l'application. Pare-feu : UDP 10000 et pont interne
br-visio (accords d'Adam). Jicofo n'authentifie plus lui-même : il donnait
le rôle de propriétaire aux élèves. Capacité ramenée à 20 VM.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

ansible/roles/visio/templates/visio.env.j2

@@ -0,0 +1,44 @@
+# Géré par Ansible (rôle visio) — aucun secret ici (voir /etc/visio/secrets.env).
+PUBLIC_URL=https://{{ visio_domaine }}
+TZ=Europe/Paris
+
+# HTTPS assuré par le Nginx de l'hôte (certificat Let's Encrypt du portail).
+DISABLE_HTTPS=1
+ENABLE_HTTP_REDIRECT=0
+ENABLE_LETSENCRYPT=0
+
+# Entrée seulement avec un jeton signé par le portail ; pas d'invités.
+ENABLE_AUTH=1
+AUTH_TYPE=jwt
+ENABLE_GUESTS=0
+JWT_APP_ID={{ visio_jwt_app_id }}
+JWT_ACCEPTED_ISSUERS={{ visio_jwt_app_id }}
+JWT_ACCEPTED_AUDIENCES={{ visio_jwt_audience }}
+
+# Le prof seul modérateur : rôle lu dans le jeton (context.user.moderator,
+# module natif token_affiliation), jamais attribué au premier arrivé.
+XMPP_MUC_MODULES=token_affiliation
+ENABLE_AUTO_OWNER=0
+# Jicofo ne fait PAS sa propre authentification : sinon il donne le rôle de
+# propriétaire à tout utilisateur authentifié, élèves compris (constaté le
+# 2026-10-12 : un élève pouvait ouvrir son micro sans la parole). Prosody
+# vérifie toujours chaque jeton ; token_affiliation seul décide du rôle.
+JICOFO_ENABLE_AUTH=0
+
+# Salle d'attente, modération du micro et de la caméra.
+ENABLE_LOBBY=1
+ENABLE_AV_MODERATION=1
+
+# Tout le monde arrive micro et caméra coupés ; pas de page d'accueil ni de
+# pré-réunion (le nom vient du jeton et ne se modifie pas).
+START_AUDIO_MUTED=0
+START_VIDEO_MUTED=0
+ENABLE_WELCOME_PAGE=0
+ENABLE_PREJOIN_PAGE=0
+# Sans « chat » : désactivé par défaut.
+TOOLBAR_BUTTONS=microphone,camera,desktop,raisehand,participants-pane,tileview,settings,fullscreen,hangup
+
+JVB_ADVERTISE_IPS={{ visio_ip_publique }}
+JVB_PORT={{ visio_port_media }}
+VIDEOBRIDGE_MAX_MEMORY={{ visio_memoire_jvb }}
+JICOFO_MAX_MEMORY={{ visio_memoire_jicofo }}