ci: изолировать пайплайны на отдельной VM

- Woodpecker workflows требуют агент с меткой isolation=dedicated-vm
- шаги выполняются в lms-ci:1 с nested dockerd, без хост-Docker сокета
- ci/Dockerfile: прогретый immutable-образ (Java, Python, Node, Gradle-кэш)
- ci-dind.sh поднимает dockerd внутри privileged-шага; ci-build-image.sh собирает образ
- deploy/WOODPECKER.md: отдельная VM, firewall, отсутствие production-секретов,
  trusted repo, чек-лист безопасности

scripts/ci-preflight.sh

@@ -1,5 +1,5 @@
 #!/usr/bin/env bash
-# Проверка окружения Woodpecker-агента (local backend) перед check/smoke/release.
+# Проверка окружения изолированного dind-шага Woodpecker перед smoke/release.
 # Ничего не устанавливает.
 set -euo pipefail