"""SCIM 2.0 最小子集 (U4 SSO 集成)。

- POST   /scim/v2/Users       — 创建用户
- PATCH  /scim/v2/Users/{id}  — 禁用 (active=false) / 更新
- GET    /scim/v2/Users       — 列表 / 过滤

SCIM push 失败触发实时告警（日志 error + OTel event）。
Bearer token 认证（SCIM token 独立于 JWT，配置于 agentkit.yaml auth.scim_token）。
"""