Secretia をインストール

Secretia はディストリビューションです：公式の Ollama と Open WebUI のイメージを動かし、小さなブランディング層を加えます。ホストに合った方法を選んでください — 1 ファイルの Compose、または 3 つの別々のサービス（EasyPanel では最も扱いやすい選択肢）。

要件

Docker ホスト

Docker イメージを動かせる任意のサーバー。Ollama はモデルを ollama pull するために一度だけ外向きのインターネットを必要とします。その後はすべてローカルです。

十分な RAM

7〜8B のモデルにはおよそ 4〜5 GB が必要です。CPU のみでも動きますが、GPU の方がはるかに高速です。

セッションシークレット

Open WebUI 用の長いランダム文字列をひとつ（openssl rand -hex 32）。SSO の場合は、Lockatus クライアントの詳細（オプション）。

実行する

EasyPanel (3 services)

EasyPanel は Compose よりも別々のサービスを好みます。プロジェクトと 3 つのサービスを作成します。

1. ollama — App → Docker Image ollama/ollama:latest。/root/.ollama にボリュームをマウントします。ドメインなし（内部）。
2. open-webui — App → Docker Image ghcr.io/open-webui/open-webui:main。/app/backend/data をマウントします。環境変数（下記）を設定します。ドメインなし（内部）。
3. secretia — App → GitHub diegoparras/secretia、Build = Dockerfile。OPEN_WEBUI_UPSTREAM=open-webui:8080 を設定します。あなたの公開ドメイン → ポート 8080 を割り当てます。

ひとつのプロジェクト内では、サービス同士は名前で到達し合えます（http://ollama:11434、open-webui:8080）。完全なチェックリストはリポジトリの DEPLOY.md にあります。

Docker Compose

git clone https://github.com/diegoparras/secretia.git && cd secretia
cp .env.example .env      # set WEBUI_URL, WEBUI_SECRET_KEY and the OAUTH_* vars
docker compose up -d

compose は Ollama、Open WebUI、ブランディング用 nginx を一緒に起動します。公開されるのはブランディングサービスのみです（ポート 8080）。

Minimal (2 services)

最もシンプルな方法をお望みですか？ ollama + open-webui だけを動かし、ドメインを open-webui（ポート 8080）に直接向けます。「Secretia」という名前と Lockatus ログインは維持されますが、マゼンタのアクセントは失われます — それはブランディングサービスが加えるものだからです。

環境変数（Open WebUI）

Variable	Example	説明
OLLAMA_BASE_URL	http://ollama:11434	モデルエンジンの所在（内部ホスト名）。
WEBUI_NAME	Secretia	UI に表示されるアプリ名。
WEBUI_URL	https://your-domain	公開 URL — OIDC リダイレクトの構築に使われます。
WEBUI_SECRET_KEY	(random)	セッション／暗号化キー。openssl rand -hex 32。秘密に保ってください。
ENABLE_SIGNUP	false	ローカルのサインアップをオフに — アカウントは Lockatus 経由で入ります。
ENABLE_OAUTH_SIGNUP	true	初回の Lockatus ログイン時にユーザーを自動作成します。
OAUTH_CLIENT_ID	secretia	Lockatus に登録したアプリのスラッグ。
OAUTH_CLIENT_SECRET	(secret)	Lockatus に登録したシークレット。
OPENID_PROVIDER_URL	…/.well-known/openid-configuration	Lockatus のディスカバリ URL。
OPENID_REDIRECT_URI	https://your-domain/oauth/oidc/callback	Lockatus に登録したものと一致している必要があります。

ブランディングサービスが取る変数はひとつだけです：OPEN_WEBUI_UPSTREAM（デフォルト open-webui:8080）。

初回起動

1. ドメインを開いて Lockatus でサインインします。
2. 最初のユーザーが通常は管理者になります。そうでない場合は、Open WebUI → Settings → Users で昇格させます。
3. ollama サービスのターミナルで、モデルを取得します。

ollama pull llama3.1:8b      # or qwen2.5:7b, or llava:7b for images

モデルは Secretia のピッカーに自動的に現れます。

シングルサインオン

OAUTH_* / OPENID_* 変数を設定し、Lockatus に secretia を登録すれば（リダイレクト URI + アクセスマトリクス）、ログインをスイート全体と連携できます。空のままにすると、スタンドアロンの管理者ログインを維持します。