Initial commit

docker-compose.yml

@@ -0,0 +1,121 @@
+# Paperless-ngx fuer die ecoDMS-Migration
+#
+# Vorbereitung einmalig:
+#   mkdir -p data/{data,media,export,consume,pgdata,redis}
+#   chown -R 1500:1500 data/{data,media,export,consume,redis}
+#   chown 999:999      data/pgdata
+#   # auf Btrfs zusaetzlich, VOR dem ersten Start:
+#   chattr +C data/pgdata data/redis
+#
+# Auf Systemen mit SELinux im Enforcing-Modus brauchen Bind Mounts eine
+# Kennzeichnung. Dauerhaft ueber semanage, siehe docs/01.
+#
+# Aufruf:
+#   docker compose up -d --build
+
+services:
+
+  broker:
+    image: docker.io/library/redis:7
+    restart: unless-stopped
+    user: "1500:1500"
+    volumes:
+      - ./data/redis:/data
+    healthcheck:
+      test: ["CMD", "redis-cli", "ping"]
+      interval: 10s
+      timeout: 5s
+      retries: 5
+
+  db:
+    image: docker.io/library/postgres:17
+    restart: unless-stopped
+    #
+    # KEIN "user:" setzen. Das Einstiegsskript korrigiert beim Start Besitzer
+    # und Rechte des Datenverzeichnisses und schaltet dann selbst auf seinen
+    # internen Benutzer postgres (UID 999) herunter. Ein erzwungener Benutzer
+    # laesst das mit "Permission denied" scheitern. Stattdessen gehoert das
+    # Verzeichnis auf dem Host der 999.
+    volumes:
+      - ./data/pgdata:/var/lib/postgresql/data
+    environment:
+      POSTGRES_DB: paperless
+      POSTGRES_USER: paperless
+      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
+      POSTGRES_INITDB_ARGS: "--data-checksums"
+    healthcheck:
+      test: ["CMD-SHELL", "pg_isready -U paperless -d paperless"]
+      interval: 10s
+      timeout: 5s
+      retries: 5
+
+  gotenberg:
+    # Wandelt Office-Dokumente in PDF und rendert HTML-Mails.
+    # Ohne diesen Dienst bleiben Office-Originale ohne Archivdatei.
+    #
+    # KEIN "user:" setzen. Chromium legt beim Start ein Crashpad-Verzeichnis
+    # im Home des internen Benutzers an. Unter fremder UID scheitert das mit
+    # "chrome_crashpad_handler: --database is required" (HTTP 500 beim Rendern
+    # von .eml). Unkritisch: keine Bind Mounts, nur internes Netz.
+    image: docker.io/gotenberg/gotenberg:8
+    restart: unless-stopped
+    command:
+      - "gotenberg"
+      - "--chromium-disable-javascript=true"
+      - "--chromium-allow-list=file:///tmp/.*"
+
+  tika:
+    # Version GEPINNT und nicht ":latest".
+    # ":latest" zeigt inzwischen auf Tika 4.0.0, und Paperless 3.1 quittiert
+    # das mit "HTTP 406 Not Acceptable" bei JEDEM Office-Dokument und JEDER
+    # .eml - ohne verwertbare Fehlermeldung im Task. Diesen Stand nicht ohne
+    # Test anheben.
+    image: docker.io/apache/tika:3.2.3.0
+    restart: unless-stopped
+    user: "1500:1500"
+
+  webserver:
+    # Ohne E-Rechnungs-Plugin stattdessen:
+    #   image: ghcr.io/paperless-ngx/paperless-ngx:3.1.0
+    # und den build-Block entfernen.
+    build:
+      context: .
+      dockerfile: Dockerfile
+    image: paperless-ngx-local:3.1.0
+    restart: unless-stopped
+    #
+    # Das Image startet bereits als unprivilegierter Benutzer (1000:1000),
+    # nicht als root. USERMAP_UID/GID sind damit wirkungslos - sie greifen
+    # nur, wenn das Einstiegsskript als root beginnt. Die UID wird deshalb
+    # hier fest gesetzt, passend zum Dateibesitz unter ./data.
+    user: "1500:1500"
+    depends_on:
+      db:
+        condition: service_healthy
+      broker:
+        condition: service_healthy
+      gotenberg:
+        condition: service_started
+      tika:
+        condition: service_started
+    ports:
+      - "${BIND_IP:-127.0.0.1}:8000:8000"
+    volumes:
+      - ./data/data:/usr/src/paperless/data
+      - ./data/media:/usr/src/paperless/media
+      - ./data/export:/usr/src/paperless/export
+      - ./data/consume:/usr/src/paperless/consume
+      # Nur waehrend der Migration: Exportbestand read-only einhaengen.
+      #- /pfad/zu/export-daten:/ecodms:ro
+    env_file: .env
+    healthcheck:
+      test: ["CMD", "curl", "-fs", "-S", "--max-time", "2", "http://localhost:8000"]
+      interval: 30s
+      timeout: 10s
+      retries: 5
+      start_period: 60s
+    logging:
+      driver: json-file
+      options:
+        max-size: "10m"
+        max-file: "3"