feat(api): user management and audit log for admins (M1)

- /admin/users: list with search, role filter and cursor pages; create
  with a one-time temporary password; rename, change role, block;
  reset password; delete
- every change is checked against the role policy, a forbidden field
  rejects the whole patch; the last active admin is locked in the
  transaction and cannot be demoted, blocked or deleted
- role change and blocking revoke access tokens at once; blocking and
  password reset also end all sessions
- /admin/audit: newest-first journal with actor names
- path and query parameter errors are problem+json now

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

packages/i18n/locales/ru/errors.json

@@ -21,7 +21,8 @@
     "current_password_required": "Введите текущий пароль",
     "current_password_invalid": "Текущий пароль указан неверно",
     "bootstrap_not_required": "Учётные данные администратора уже изменены",
-    "session_not_found": "Сессия не найдена"
+    "session_not_found": "Сессия не найдена",
+    "forbidden": "Недостаточно прав для этого действия"
   },
   "validation": {
     "password_too_short": "Пароль должен быть не короче {{min}} символов",
@@ -34,6 +35,12 @@
     "locale_unsupported": "Этот язык не поддерживается",
     "display_name_too_long": "Имя должно быть не длиннее {{max}} символов",
     "ui_prefs_invalid": "Недопустимое значение настройки",
-    "client_type_invalid": "Неизвестный тип приложения"
+    "client_type_invalid": "Неизвестный тип приложения",
+    "role_invalid": "Неизвестная роль",
+    "cursor_invalid": "Список устарел, обновите страницу"
+  },
+  "users": {
+    "not_found": "Пользователь не найден",
+    "last_admin": "Нельзя понизить, заблокировать или удалить последнего администратора"
   }
 }