fix(rbac): habilitar encolado seguro para Admision

[Duvet05]

Resumen

• conserva el nombre técnico existente Admision para que OpenMRS Initializer pueda actualizar el rol por UUID
• aplica una allowlist exacta con los permisos necesarios para registro, citas, creación/edición de consulta y encolado
• elimina herencia y permisos históricos de historia clínica, configuración, purga y administración general de colas
• documenta y valida en CI la identidad inmutable del rol

Hallazgos

• QLTY mantiene el rol UUID 71dcb611-756a-4ad3-a9bb-73b6cfe28066 con nombre Admision
• OpenMRS rechaza renombrar un rol existente; el nombre SIHSALUS Admision impedía que Initializer aplicara los cambios del CSV
• ya existe el mapping para Consulta ambulatoria por médico general + UPSS Consulta Externa, y apunta a una cola activa
• el flujo desde Citas requiere Manage Queue Entries, pero no app:home.colasAtencion.editar ni privilegios destructivos

Validación

• python3 .github/scripts/validate_ampath_forms.py
• python3 .github/scripts/validate_csv_widths.py
• python3 .github/scripts/validate_appointment_queue_integrity.py
• python3 .github/scripts/validate_ocl_exports.py
• python3 .github/scripts/validate_chart_vitals_contract.py
• mvn clean verify --batch-mode --file pom.xml
• git diff --check

Despliegue

Después del merge se necesita publicar una nueva versión de content, actualizar el distro y reiniciar OpenMRS para que Initializer corrija el rol existente.

[Copilot]

Copilot was unable to review this pull request because the user who requested the review has reached their quota limit.