US-03-04. Вход агента в КТМ

Как КТМ, я хочу пускать агента только по подписи ключом его DID и только на маршруты из мандата. ✅

• challenge → подпись ключом authentication → verify (одноразовый nonce, 2 мин, аудитория).

• /agents/authorize: route_not_allowed, runtime_not_approved (агент сменил конфигурацию), no_mandate (отозван или сменился владелец).

• 🟡 Вход сейчас — отдельный в did-svc (без токена, одноразовые строки в памяти); целевой — способ входа did в auth-svc с обычными токенами платформы (fu 04).