feat(install): консольный установщик bj и первичная настройка по одноразовому коду

- cmd/bj-installer (вместо веб-мастера): проверка Debian 13 / Astra, пакеты, пользователь и
  каталоги, активация лицензии ключом продукта, PostgreSQL и миграции m2m_core, компоненты
  по лицензии с проверкой подписи, root-скрипты и службы, одноразовый код и итоговый экран
  с адресом http://<сервер>:8080/first-run; проверка в песочнице (--steps, --root)
- bj: /first-run — пока нет пользователей и установщик оставил код, по коду создаётся
  первый администратор (прежние установки без файла работают как раньше)
- internal/release/install.go — общая установка компонентов (bj-component-install и
  установщик); bj-component-install стал компонентом ядра
- открытые ключи вынесены в internal/license и internal/release; миграции и файлы
  развёртывания встроены (migrations/embed.go, deploy/embed.go); unit bj-server исправлен
- scripts/build-release.sh: сборка с версиями, подпись, публикация на сервер обновлений

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

deploy/embed.go

@@ -0,0 +1,10 @@
+// Package deploy — файлы развёртывания bj, которые ставит установщик (cmd/bj-installer):
+// root-скрипты для /usr/local/sbin и unit-файлы служб systemd.
+package deploy
+
+import "embed"
+
+// Files — linux/sbin/* (в /usr/local/sbin) и systemd/*.service (в /etc/systemd/system).
+//
+//go:embed linux/sbin/* systemd/bj-server.service systemd/bj-crypto.service systemd/bj-keymedia.service
+var Files embed.FS

deploy/systemd/bj-server.service

@@ -15,7 +15,7 @@ RestartSec=5
 
 # Конфигурация — через ENV или ~/.bj/setup.json (UI /admin/setup).
 Environment=BJ_HTTP_ADDR=:8080
-Environment=BJ_SETUP_PATH=/var/lib/bj/setup.json
+Environment=BJ_SETUP_PATH=/var/lib/bj/.bj/setup.json
 Environment=BJ_M2M_SENDER=MC0079200000
 Environment=BJ_M2M_RECEIVER=MC0010300000
 
@@ -32,6 +32,8 @@ ProtectSystem=strict
 ProtectHome=true
 PrivateTmp=true
 ReadWritePaths=/var/lib/bj /var/log/bj /run/bj
+StandardOutput=append:/var/log/bj/bj-server.log
+StandardError=append:/var/log/bj/bj-server.err
 ProtectKernelTunables=true
 ProtectKernelModules=true
 ProtectControlGroups=true