feat(auth): migrate to Keycloak metadata auth

cli/tjwater_cli_endpoint_scope.md

@@ -306,10 +306,9 @@ app/api/v1/endpoints/snapshots.py
 app/api/v1/endpoints/cache.py
 app/api/v1/endpoints/audit.py
 app/api/v1/endpoints/users.py
-app/api/v1/endpoints/user_management.py
 ```
 
-这些接口不纳入首批 Agent CLI。原因是它们更偏运维、审计、用户管理或状态回滚，不属于 Agent 面向水务业务分析的核心调用范围。
+这些接口不纳入首批 Agent CLI。原因是它们更偏运维、审计或状态回滚，不属于 Agent 面向水务业务分析的核心调用范围。
 
 暂不暴露：
 
@@ -339,10 +338,6 @@ GET  /audit/logs/count
 GET  /getuserschema/
 GET  /getuser/
 GET  /getallusers/
-PUT    /users/{user_id}
-DELETE /users/{user_id}
-POST   /users/{user_id}/activate
-POST   /users/{user_id}/deactivate
 ```
 
 ## Help