docs(rbac): добавить матрицу realm-ролей Keycloak

operator/rbac.md — новая страница с полной матрицей RBAC:
- Scope ACL (ordinis:client:public/internal/restricted)
- Workflow роли (schema:reviewer, schema:publisher, record:reviewer)
- Action matrix (endpoint → required scope + role)
- Типичные профили (consumer, maker, reviewer, publisher, admin)
- Composite role 'ordinis:admin' для one-shot assignment
- Keycloak setup инструкция (Admin Console шаги)
- Диагностика типичных 403 ошибок

toc.yaml — link в раздел Руководство оператора.
operator/index.md, reviewer/index.md — cross-references к rbac.md.

Покрывает Phase 1d enforcement (MR !162) — пользователи теперь
знают какие роли назначать в Keycloak realm 'nstart'.

docs/reviewer/index.md

@@ -26,6 +26,13 @@ DRAFT → REVIEW_PENDING → APPROVED → PUBLISHED
 - [Ревью schema drafts](schema-drafts.md) — пошаговая инструкция, как
   смотреть diff, какие проверки делать, как принимать решение
 
+## Какая роль нужна
+
+Для approve / reject schema drafts требуется realm role
+`ordinis:schema:reviewer`. Для финального publish — `ordinis:schema:publisher`
+(обычно более узкая группа). Полная матрица — см.
+[Роли доступа](../operator/rbac.md) в руководстве оператора.
+
 ## Когда чаще всего стоит REJECT или REQUEST_CHANGES
 
 | Сценарий | Что делать |