docs(rbac): добавить матрицу realm-ролей Keycloak

operator/rbac.md — новая страница с полной матрицей RBAC:
- Scope ACL (ordinis:client:public/internal/restricted)
- Workflow роли (schema:reviewer, schema:publisher, record:reviewer)
- Action matrix (endpoint → required scope + role)
- Типичные профили (consumer, maker, reviewer, publisher, admin)
- Composite role 'ordinis:admin' для one-shot assignment
- Keycloak setup инструкция (Admin Console шаги)
- Диагностика типичных 403 ошибок

toc.yaml — link в раздел Руководство оператора.
operator/index.md, reviewer/index.md — cross-references к rbac.md.

Покрывает Phase 1d enforcement (MR !162) — пользователи теперь
знают какие роли назначать в Keycloak realm 'nstart'.

docs/operator/index.md

@@ -19,6 +19,8 @@
 - [Закрытие записи](close-record.md) — как корректно «удалить» запись,
   сохранив историю (bitemporal модель)
 - [Журнал аудита](audit-log.md) — как посмотреть, кто и когда что менял
+- [Роли доступа (RBAC)](rbac.md) — полная матрица realm-ролей Keycloak:
+  scope ACL + workflow roles (schema reviewer, publisher, record reviewer)
 - [Разбор ошибок](errors.md) — типичные ошибки валидации и как их понять
 
 ## Базовые понятия