feat(verzeichnis): SCIM-Endpunkt als dritte Quellenart (#029)

Bisher holt Laufzettel Personen aus dem Verzeichnis. Das setzt Lesezugriff und
einen Netzweg dorthin voraus, und beides ist nicht ueberall gegeben. Mit der Art
SCIM ruft stattdessen der Anbieter an — sofort, nicht beim naechsten Intervall.

Umgesetzt ist, was authentik, Entra ID und Okta wirklich schicken: Users mit dem
Filter userName eq, POST/GET/PUT/PATCH/DELETE, dazu ServiceProviderConfig,
Schemas und ResourceTypes. Jeder Handler prueft sein Token selbst.

Ein Token je Quelle, argon2-gehasht, einmal angezeigt — es ist der einzige
Mandantenbeweis, den eine Zustellung mitbringt. DELETE deaktiviert und loescht
nichts. Eine SCIM-Quelle wird nicht abgeglichen, an zwei Stellen gehalten: ein
Abgleich, der dort nichts liest und ERFOLG meldet, haette ueber die
Abschaltregel die ganze Belegschaft deaktiviert.

Zwei Befunde kamen aus Gegenproben, nicht aus Tests:

- PATCH remove wirkte gar nicht. Der Schalter nurGesetzte las bei PATCH jedes
  null als "nicht mitgeschickt"; eine beim Anbieter entfernte Abteilung stand
  hier weiter. Noetig war er nie — patchAnwenden liefert immer den
  vollstaendigen Zielzustand.
- Entra ID schickt active als "True"/"False". Beim Deaktivieren kommt mit einem
  reinen value === true zufaellig das Richtige heraus, beim Aktivieren nicht:
  ein wieder freigeschaltetes Konto waere fuer immer inaktiv geblieben.

Dazu ein Fehler aus #028: in verbindungTestenAktion stand zweimal dieselbe
Bedingung, der zweite Zweig war seit dem ersten Tag unerreichbar.

1432 Tests (vorher 1373). Klickprobe am gebauten Stand mit einer echten
Zustellung. Gegen echte Mandanten ist nichts gelaufen — die Anfrageformen
stammen aus der Dokumentation, und das steht so in der Testdatei.

Closes #49

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

prisma/schema.prisma

@@ -350,18 +350,32 @@ model Verzeichnisquelle {
   /// Verschluesselt wie das Bind-Passwort und mit demselben Vorsatz: es darf
   /// keine Antwort und keinen Protokolleintrag erreichen.
   clientSecretVerschluesselt String?
+
+  /// Ab hier: **nur bei `art = SCIM`** (#029).
+  ///
+  /// Das Token als **argon2-Hash**, nicht verschluesselt — anders als die
+  /// Geheimnisse darueber. Der Unterschied ist der Zweck: ein Bind-Passwort
+  /// muss Laufzettel **benutzen**, also wieder lesbar machen. Ein SCIM-Token
+  /// muss es nur **wiedererkennen**, und was man nie lesen muss, speichert man
+  /// so, dass es niemand lesen kann. Gezeigt wird es genau einmal.
+  scimTokenHash            String?
+  /// Wann das Token erzeugt wurde — fuer „seit wann gilt das“ in der Oberflaeche.
+  scimTokenGesetztAm       DateTime?
+  /// Wann zuletzt etwas geschickt wurde. Das Gegenstueck zu `letzterAbgleichAm`:
+  /// bei SCIM holt Laufzettel nicht, es bekommt.
+  letzteScimZustellungAm   DateTime?
   /// Zuordnung der LDAP-Attribute auf unsere Felder, mit AD-Vorgaben.
-  attributZuordnung          Json
+  attributZuordnung        Json
   /// Eigenes CA-Zertifikat, falls ldaps gegen eine interne CA laeuft.
-  caZertifikatPem            String?
-  abgleichIntervallMinuten   Int       @default(60)
-  letzterAbgleichAm          DateTime?
-  letzterAbgleichStatus      String?
+  caZertifikatPem          String?
+  abgleichIntervallMinuten Int       @default(60)
+  letzterAbgleichAm        DateTime?
+  letzterAbgleichStatus    String?
   /// Nimmt die Meldung der LDAP-Bibliothek auf. #016 muss sie filtern, bevor sie
   /// hier landet – rohe Bind-Fehler koennen das Passwort enthalten.
-  letzterAbgleichFehler      String?
-  erstelltAm                 DateTime  @default(now())
-  geaendertAm                DateTime  @default(now()) @updatedAt
+  letzterAbgleichFehler    String?
+  erstelltAm               DateTime  @default(now())
+  geaendertAm              DateTime  @default(now()) @updatedAt
 
   kunde        Kunde         @relation(fields: [kundeId], references: [id], onDelete: Restrict)
   mitarbeiter  Mitarbeiter[]