ATLAS RAG — DÉPLOIEMENT PRIVÉ AVEC RÔLES

RÔLES PRÉCONFIGURÉS
- Raphael07             : administrateur
- SupAIL3               : gestionnaire
- divinetonduangu123    : gestionnaire
- autres membres autorisés : visiteur

1. Vérifie dans le Space :
   - SDK : Docker
   - Bucket : Raphael07/atlas-rag-data
   - Mount path : /data
   - Mode : Read & Write
   - Visibilité : Private

2. Dans Settings > Variables and secrets, crée les Secrets :
   - GROQ_API_KEY       : ta clé Groq
   - FLASK_SECRET_KEY   : une longue valeur aléatoire

3. Dans Settings > Variables, ajoute ou vérifie :
   - ATLAS_AUTHORIZED_ORG=atlas-rag-team
   - ATLAS_ADMIN_USERS=Raphael07
   - ATLAS_MANAGER_USERS=SupAIL3,divinetonduangu123

4. Le README active automatiquement Hugging Face OAuth avec :
   - hf_oauth: true
   - hf_oauth_authorized_org: atlas-rag-team

   Hugging Face créera automatiquement OAUTH_CLIENT_ID,
   OAUTH_CLIENT_SECRET, OAUTH_SCOPES et OPENID_PROVIDER_URL.

5. Envoie ce dossier avec PowerShell :

& "C:\Users\BFRET\Documents\Bot\atlas_rag_final\.hf-cli\Scripts\hf.exe" upload `
  Raphael07/atlas-rag `
  "C:\Users\BFRET\Documents\Bot\atlas_rag_hf_ready" `
  . `
  --repo-type space `
  --commit-message "OAuth et rôles Atlas RAG"

6. Quand cette version fonctionne avec ton compte administrateur, transfère le
   Space privé vers l'organisation atlas-rag-team. Après le transfert, vérifie
   que le Bucket est toujours monté sur /data en lecture-écriture et que les
   Secrets/Variables sont toujours présents.

7. Tests des rôles :
   - Raphael07 : Tableau de bord, Documents, Recherche, Chat, Configuration.
   - SupAIL3 et divinetonduangu123 : Tableau de bord, Documents, Recherche, Chat.
     Ils peuvent uploader, supprimer, reprendre et réindexer.
   - Visiteur : Recherche et Chat uniquement.

IMPORTANT
- Les protections sont appliquées côté serveur : un visiteur reçoit HTTP 403
  même s'il tente d'appeler directement une route d'administration.
- Le premier démarrage migre /data/lancedb vers /data/chunk_records.
- La base active est reconstruite sous /tmp/atlas-rag/lancedb à chaque démarrage.
- Ne lance pas plusieurs workers Gunicorn : conserve --workers 1.