Paillasse/docs/adr/0005-visio-jitsi.md

ADR 0005 — Visio de classe : Jitsi auto-hébergé, jetons du portail, prof seul modérateur

• Date : 2026-10-12
• Statut : accepté

Contexte

Étape 15 : une visio pour la classe, sur le même serveur, où seuls les élèves de la classe entrent (nom non modifiable), où tout le monde arrive en sourdine et où seul le prof donne la parole.

Décisions

1. Jitsi Meet en Docker (docker-jitsi-meet, version figée stable-11248), rôle Ansible visio, derrière le Nginx de l'hôte sur meet.syllabuslab.fr.
2. JVB sur le réseau de l'hôte : Docker tourne sans pont par défaut ni règles iptables (étape 5), donc la publication de l'UDP 10000 par NAT Docker est impossible. JVB écoute directement l'UDP 10000 (ouvert dans nftables, accord d'Adam) et joint Prosody par 127.0.0.1:5222.
3. Pont interne br-visio autorisé dans la chaîne forward (accord d'Adam) : avec br_netfilter, le trafic entre conteneurs d'un même réseau Docker passe par forward, dont la politique drop bloquait Jicofo et le conteneur web. Seul le trafic qui entre ET ressort par br-visio est accepté.
4. Accès par jeton JWT (HS256) signé par le portail, un par personne, pour une salle au nom imprévisible ; pas d'invités (ENABLE_GUESTS=0). Le secret est généré sur le serveur et copié dans le .env du portail par Ansible.
5. Rôle de modérateur lu dans le jeton (context.user.moderator, module natif token_affiliation) ; ENABLE_AUTO_OWNER=0 et JICOFO_ENABLE_AUTH=0 : sinon Jicofo authentifie chaque participant et donne le rôle de propriétaire à tous (constaté : un élève pouvait ouvrir son micro sans la parole).
6. Modération du micro activée par la page du prof à son arrivée (toggleModeration), « Donner la parole » = askToUnmute (qui autorise le micro quand la modération est active, d'après la documentation de l'IFrame API).
7. État de la classe tenu par le portail (cache Redis, verrou) : mains levées par ordre d'arrivée, correspondance élève ↔ participant Jitsi, salle d'attente. La main levée suit toujours l'événement Jitsi (raiseHandUpdated) : une seule source.

Alternatives écartées

• Publier l'UDP 10000 par Docker : demande de rendre à Docker la main sur iptables, ce qu'on a refusé dès l'étape 5.
• Mettre tous les conteneurs sur le réseau de l'hôte : conflits de ports avec Kolla (ex. 10.10.0.1:8000) et services internes exposés sur toutes les interfaces.
• Relais TURN sur 443 pour les réseaux qui bloquent l'UDP : impose de restructurer l'entrée HTTPS (aiguillage par nom) ; reporté (choix d'Adam).

Conséquences

• Réseaux scolaires qui bloquent l'UDP : pas de son ni d'image tant que le relais TURN sur 443 n'existe pas (docs/dette.md).
• Capacité ramenée de 22 à 20 VM (docs/capacite.md).
• Permissions-Policy du portail délègue caméra, micro et partage d'écran au seul meet.syllabuslab.fr ; le site meet n'est intégrable que dans le portail (frame-ancestors).