Domaines et HTTPS

Une fois déployée, une installation est accessible via l’adresse IP publique de son serveur. Pour donner aux utilisateurs une vraie adresse web, ouvrez l’onglet Domaines de l’installation. Vous devez être Administrateur de l’organisation.

La zone Accès et domaines en haut liste toutes les adresses auxquelles l’installation est accessible.

Avant de commencer

• Le serveur a besoin d’une adresse IP publique, et des ports entrants 80 et 443 ouverts sur Internet (ou sur le réseau de vos utilisateurs).
• Pour le HTTPS automatique, l’agent doit avoir été démarré avec une adresse e-mail de contact Let’s Encrypt. La commande d’installation du portail en inclut une (--acme-email). Si vous exécutez l’agent comme service, définissez ACME_EMAIL, comme indiqué dans Garder l’agent en marche.

Sans ACME_EMAIL, le site est servi en HTTP simple

Si l’agent a été démarré sans adresse e-mail (par exemple avec une ancienne commande d’installation, ou un fichier de service sans ACME_EMAIL), un domaine configuré en Let’s Encrypt (HTTPS automatique) est servi en HTTP simple. L’adresse de l’installation s’affiche alors en http:// dans le portail, et l’application mobile Scolah Compass ne peut pas s’y connecter. Ajoutez ACME_EMAIL aux paramètres de l’agent et redémarrez-le avant de publier l’adresse.

Option 1 : un sous-domaine Scolah

L’option la plus rapide. Scolah crée pour vous les enregistrements DNS sous scolah.com.

1. Cliquez sur Ajouter un sous-domaine Scolah.
2. Saisissez un Sous-domaine : lettres minuscules, chiffres et tirets, comme lakeside-dashboards.
3. Cliquez sur Attacher. L’installation devient accessible à l’adresse lakeside-dashboards.scolah.com.

Certaines applications servent plusieurs sites. Scolah Compass, par exemple, comporte une API, un portail d’administration et une application pour les travailleurs sociaux. Pour ces applications, le portail crée une adresse par site, comme api.lakeside-compass.scolah.com et app.lakeside-compass.scolah.com.

Option 2 : votre propre domaine

Utilisez cette option pour servir l’installation depuis le domaine de votre organisation, comme dashboards.lakeside.org.

1. Cliquez sur Ajouter un domaine personnalisé.
2. Saisissez le nom d’hôte de chaque site exposé par l’application. Laissez un champ vide pour ignorer ce site.
3. Choisissez un Mode TLS. Utilisez Let’s Encrypt (HTTPS automatique) sauf si vous avez une raison de ne pas le faire.
4. Cliquez sur Attacher. Le domaine est ajouté à l’état En attente, avec les enregistrements DNS à créer :
   • un enregistrement A qui fait pointer votre nom d’hôte vers l’adresse IP publique du serveur, ou un CNAME lorsque l’adresse publique du serveur est un nom d’hôte (fréquent pour les clusters Kubernetes derrière un load balancer cloud)
   • un enregistrement TXT à _scolah-verify.<votre nom d'hôte> qui prouve que vous contrôlez le domaine
5. Créez les deux enregistrements chez votre fournisseur DNS (les boutons de copie vous aident).
6. Une fois les enregistrements propagés (généralement quelques minutes, parfois plus), cliquez sur Vérifier.

Un domaine personnalisé en attente de vérification DNS

Lorsque la vérification réussit, le domaine affiche Vérifié et l’agent commence à le router. Avec Let’s Encrypt, la première visite peut prendre quelques secondes, le temps que le certificat soit émis.

Chaque domaine affiche aussi Routé une fois que le serveur le sert, ou Non routé avec la raison, par exemple un certificat manquant. Sur un cluster Kubernetes, voir aussi Domaines et HTTPS sur un cluster.

Modes TLS

Mode	À utiliser lorsque
Let’s Encrypt (HTTPS automatique)	Presque toujours. Le serveur obtient et renouvelle automatiquement un certificat gratuit.
Apporter votre propre certificat	Votre organisation doit utiliser son propre certificat. Cliquez sur Ajouter un certificat à côté du domaine et collez le certificat et sa clé privée. Le serveur sert alors le HTTPS avec ce certificat et redirige le HTTP vers le HTTPS. Tant que vous n’en ajoutez pas, le domaine n’est pas servi du tout et affiche Non routé (en attente du certificat).
Sans TLS (derrière un proxy externe)	Le HTTPS est déjà géré par un proxy, un load balancer ou un CDN placé devant le serveur.
Terminé par votre Gateway (Gateway API Kubernetes)	Clusters Kubernetes uniquement : la Gateway de votre cluster détient déjà le certificat, et l’installation y rattache une route. Voir Connecter un cluster Kubernetes.

Supprimer un domaine

Cliquez sur Supprimer à côté du domaine. Le trafic vers ce nom d’hôte cesse d’atteindre l’installation. Pensez aussi à supprimer les enregistrements DNS chez votre fournisseur.