feat(deploy): register managed platform runtime components

infra/synology/README.md

@@ -202,6 +202,26 @@ TASKER_SYNC_SOURCE=1 ./infra/synology/deploy-current.sh
 
 Если emergency-fix был сделан прямо на Synology в этих env-файлах, перенести sanitized-значение в `.env.synology.example`/docs, а секрет оставить только в live env.
 
+### Gelios: сбор всех units доверенного подключения
+
+`GELIOS_UNIT_SCOPE=all` означает **все текущие и будущие units только одной уже
+настроенной пары `GELIOS_TENANT_ID` + `GELIOS_CONNECTION_ID`**. Это не wildcard
+на другие tenants или providers. Provider credential остаётся только в Engine.
+Пропавший из очередного ответа unit не удаляется: его stable provider ID и
+`last_seen_at` сохраняются; видимость на карте — отдельная логика витрины.
+
+Перед каноническим `nodedc-deploy apply` включить политику на Synology (скрипт
+создаёт backup и не выводит секреты):
+
+```bash
+sudo bash /volume1/docker/nodedc-deploy/inbox/prepare-gelios-all-units-env.sh
+```
+
+Затем применить узкий Platform-артефакт, собранный с `--gateway-only`, через
+`nodedc-deploy`. В его plan должны быть только `gelios-postgres` и
+`gelios-gateway`; общий `docker-compose` в такой архив не входит. После apply
+Gateway начинает принимать весь состав units этого подключения.
+
 ## AI Hub relay-only deploy
 
 Для локального тестирования с внешней Codex-машиной нельзя деплоить Launcher, Engine, Ops, Authentik или Tasker. Единственная допустимая удалённая точка в этой схеме — `ai-workspace-hub`, потому что удалённый worker должен иметь публичный WebSocket/HTTP relay.