services:
  sm:
    build: .
    image: p42-sm
    container_name: p42-sm
    restart: unless-stopped
    user: "${SM_UID:-1000}"
    ports:
      # Standardmäßig nur vom Server selbst erreichbar. Port/Adresse in .env änderbar (siehe .env.example).
      - "${SM_BIND:-127.0.0.1}:${SM_PORT:-9142}:9142"
    environment:
      TZ: Europe/Berlin
      SM_TOKEN: "${SM_TOKEN:?SM_TOKEN fehlt in .env – deploy/update-docker.sh legt ihn an}"
      SM_INTERVAL: "${SM_INTERVAL:-5}"
      SM_HISTORY: "${SM_HISTORY:-720}"
    volumes:
      # Messwerte des Hosts – alles nur lesend
      - /proc:/host/proc:ro
      # Für Plattenbelegung (auch später eingehängte Platten, daher rslave) und os-release
      - /:/host/root:ro,rslave
    # Der Container selbst braucht keinerlei Rechte und schreibt nichts
    read_only: true
    cap_drop: [ALL]
    security_opt: [no-new-privileges:true]
    networks: [default, p42]

networks:
  # Gemeinsames Netz für P42-Container: das Dashboard (P42-F.W.) erreicht diesen Dienst darin
  # unter http://p42-sm:9142, ohne dass ein Port nach außen offen sein muss.
  p42:
    name: p42
    external: true  # legt deploy/update-docker.sh bei Bedarf an (auch das von P42-F.W.)