# Première cible de déploiement — client Linux + serveur distant (SSH)

## Variante : machine IA unique

Dans cette variante, **Ollama**, **AnythingLLM** et les **services** `smart_ide` tournent sur le **même hôte**. Les URLs `127.0.0.1` pour l’inférence et le RAG sont **locales à cette machine** ; Lapce et/ou le **front web** sur la même machine ou derrière le même reverse proxy les consomment **sans tunnel SSH**. Les **trois environnements** (test, pprod, prod) restent séparés par configuration et DNS — voir [platform-target.md](./platform-target.md). L’**orchestrateur** et **`ia-dev-gateway`** peuvent cohabiter sur cet hôte.

Cette variante **ne remplace pas** le modèle client/serveur SSH : elle le complète pour les postes ou farms « tout-en-un ».

## Modèle

La **première cible de déploiement** décrite ci-dessous n’est pas un poste tout-en-un sur la même machine que le socle IA.

| Rôle | Où ça tourne | Contenu typique |
|------|----------------|-----------------|
| **Client** | Machine **Linux** de l’utilisateur (poste local) | Shell d’édition / UX (ex. Lapce), orchestrateur côté client si applicable, connexion **SSH** persistante ou à la demande |
| **Serveur distant** | Hôte joignable en **SSH** (LAN, bastion, ou jump host selon l’infra) | **Socle technique IA** (Ollama, AnythingLLM Docker, services associés), **clones des dépôts**, exécution des **agents** / scripts / OpenShell sur le périmètre autorisé ; **Local Office** ([`services/local-office/`](../services/local-office/), API fichiers Office programmatique) si déployé |

L’utilisateur travaille depuis un **Linux client** ; le **calcul**, les **modèles**, la **mémoire RAG** et les **sources de vérité Git** résident sur le **serveur** (ou une ferme de serveurs derrière la même session SSH).

## Conséquences

- Les URLs « locales » du serveur (`localhost:11434`, `localhost:3001`, …) sont **locales au serveur**. Depuis le client, l’accès passe par **tunnel SSH** (`-L`), **ProxyJump**, ou configuration explicite (hostname interne, VPN) selon la politique réseau.
- L’**agent gateway** et le **policy-runtime** (OpenShell) s’exécutent idéalement **là où tournent les agents et les repos** — le serveur — sauf décision contraire documentée.
- Le **workspace AnythingLLM par projet** vit **côté serveur** (stockage du conteneur ou chemin monté sur l’hôte distant). La moulinette de synchro lit les **dépôts sur le serveur**.
- **Local Office** : données sous `services/local-office/data/` (ou chemins surchargés par `STORAGE_PATH` / `DATABASE_PATH`) sur l’**hôte qui exécute l’API** ; à sauvegarder et à protéger comme toute instance de fichiers métier.
- Le client doit disposer d’une **identité SSH** autorisée sur le serveur (voir `add-ssh-key.sh` et [infrastructure.md](./infrastructure.md)).

## Tunnels SSH (poste client)

Le poste client peut exposer localement les ports « loopback » du serveur via `ssh -L ...`.

Script d’aide (génère la commande à exécuter, sans la daemoniser) :

```bash
./scripts/smart-ide-ssh-tunnel-plan.sh --mode minimal
```

Ce script résout `--project/--env` via `projects/active-project.json` (local, gitignoré) ou variables, puis lit `projects/<id>/conf.json` → `smart_ide.remote_data_access.environments.<env>.ssh_host_alias`.

## Documentation liée

- Vision produit et envs : [platform-target.md](./platform-target.md)  
- Topologie LAN / bastion : [infrastructure.md](./infrastructure.md)  
- Services Ollama / AnythingLLM / Local Office sur l’hôte qui **héberge** le socle : [services.md](./services.md)  
- Répartition logique des modules : [system-architecture.md](./system-architecture.md) (à lire avec ce découpage physique)  
- SSO front / docv : [features/sso-docv-enso.md](./features/sso-docv-enso.md)