deploy: add single-host cloud profile

deploy/server/README.md

@@ -0,0 +1,24 @@
+# 阿里云单机演示部署
+
+该配置用于单机公网演示，不是生产验收配置。只向公网发布HTTP 80；PostgreSQL、Redis、MinIO、Keycloak内部端口以及API/Worker端口均不映射到宿主机。真实RTC、模型、内容安全、HTTPS、云KMS、备份恢复和监控告警仍按阶段8验收清单执行。
+
+服务器至少需要Docker Engine 29与Compose 2.40。首次部署先生成权限为600的服务器专用配置：
+
+```sh
+./deploy/server/bootstrap-secrets.sh \
+  http://SERVER_IP \
+  0.64.0-rc.cloud1 \
+  FULL_GIT_COMMIT \
+  2026-08-26T00:00:00Z
+```
+
+载入同一候选版本的`data-terminal-cloud-backend`和`data-terminal-cloud-web`镜像后执行：
+
+```sh
+docker compose -f compose.yaml -f deploy/server/compose.override.yaml \
+  --env-file deploy/server/.env up -d --no-build \
+  postgres redis minio keycloak migrate seed mock-alert-receiver callbacks \
+  mock-provider api worker web gateway
+```
+
+安全组和主机防火墙只保留TCP 80以及受限来源的SSH 22。使用域名前只能运行HTTP演示；正式环境必须配置域名、受信HTTPS证书、生产OIDC和真实外部服务，并切换到Kubernetes生产覆盖层。