Кто что видит и кто что подтверждает

Право не существует, пока оно не написано

Реестр прав закрыт: ключ, которого в нём нет, не держит ни одна роль, и проверка доступа отказывает по умолчанию, а не разрешает. Это отличается от списка запретов тем, что новый маршрут, о котором забыли, оказывается закрытым, а не открытым.

Роль — это набор прав, а не должность. Два человека с одинаковой должностью и разными ролями видят разное, и разницу видно на экране ролей построчно.

Опасное действие требует пароля второй раз

Часть прав отмечена как повышенного риска: изменение доступа, настройка агента, снятие остановки. Держатель такого права вводит пароль повторно перед действием, даже если сессия открыта.

Отдельный набор тестов следит за тем, чтобы новый маршрут, требующий такого права, не появился без этой проверки.

Себе права не выдают, и последнего владельца не снимают

Автор изменения не может его же согласовать. Повышение собственных прав отказано. Снять последнего владельца организации нельзя — иначе ею стало бы некому управлять.

Основание: packages/contracts/src/capabilities.ts, roles.ts, docs/ACCESS_MODEL.md. Страница описывает то, что есть в этой сборке, а не то, что запланировано.