gitea-runner: registratie bij de gebruiker in plaats van bij een repo

Alleen commentaar. De runner bedient nu Atreides Assets en Atreides
Services; een runner van een repo pakt alleen jobs van die repo, en het
opnieuw registreren staat erbij.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

tools/gitea-runner/.env.sample

@@ -1,4 +1,4 @@
 # Kopieer naar `.env` op de Umbrel en vul het token in uit Gitea:
-# repo → Settings → Actions → Runners → Create new runner.
+# gebruiker sysop → Settings → Actions → Runners → Create new runner.
 # Het token is eenmalig en wordt bij de eerste start verbruikt.
 GITEA_RUNNER_REGISTRATION_TOKEN=

tools/gitea-runner/docker-compose.yml

@@ -1,7 +1,14 @@
 # ═══════════════════════════════════════════════════════════════════════════════
-#  Gitea Actions-runner voor de Umbrel: bouwt en duwt de image van Atreides
-#  Assets als daar een tag gezet wordt. De workflow zelf staat in die repo
-#  (`.gitea/workflows/release.yml`); hier staat alleen wát hem uitvoert.
+#  Gitea Actions-runner voor de Umbrel: bouwt en duwt de images van Atreides
+#  Assets en Atreides Services als daar een tag gezet wordt. De workflows zelf
+#  staan in die repo's (`.gitea/workflows/release.yml`); hier staat alleen wát
+#  ze uitvoert.
+#
+#  GEREGISTREERD BIJ DE GEBRUIKER `sysop`, NIET BIJ EEN REPO (09-10-2026). Een
+#  runner van een repo pakt alleen jobs van die repo, en een tweede repo wacht
+#  dan zonder melding. Op gebruikersniveau bedient hij alle repo's van `sysop`
+#  en niets daarbuiten; de secrets REGISTRY_USER en REGISTRY_TOKEN staan op
+#  hetzelfde niveau.
 #
 #  GEEN UMBREL-APP, en daarom staat dit onder `tools/` en niet in een app-map.
 #  umbrelOS weet hier niets van: dit is gereedschap op het apparaat, net als de
@@ -25,9 +32,11 @@ services:
     restart: unless-stopped
     environment:
       GITEA_INSTANCE_URL: https://sc.kamenier-hamer.nl
-      # Het registratietoken komt uit Gitea (repo → Settings → Actions → Runners)
-      # en staat in `.env` ernaast, nooit in de repo. Na de eerste start is het
-      # verbruikt: de registratie zelf ligt dan in `data/.runner`.
+      # Het registratietoken komt uit Gitea (gebruiker sysop → Settings →
+      # Actions → Runners) en staat in `.env` ernaast, nooit in de repo. Na de
+      # eerste start is het verbruikt: de registratie zelf ligt dan in
+      # `data/.runner`. Opnieuw registreren is dus: `data/.runner` weg, nieuw
+      # token in `.env`, container opnieuw aanmaken.
       GITEA_RUNNER_REGISTRATION_TOKEN: ${GITEA_RUNNER_REGISTRATION_TOKEN:?zet hem in .env}
       GITEA_RUNNER_NAME: umbrel
       # HET LABEL LINKS MOET GELIJK ZIJN AAN `runs-on:` IN DE WORKFLOW. Staat daar