FR-43/44：账号一期=管理员代开，非用户自助注册，非重型 auth/RBAC（`aicenter-ops-console-keep-simple`）。角色（管理员/运维/只读审计）登录后以徽章展示，且真管事——导航按角色裁剪+ 越权路由拦死（Story 7.2 最小权限强制）。