独立平台控制面

这里不再复用租户 Staff 身份。平台账号只进入控制面，只承载租户生命周期治理、平台权限与 bootstrap 运维。