5-1 不変条件を managed settings に昇格する

最初の一歩。starter-kit 内の deny を棚卸しし、3分類して、「組織として必ず守らせたいもの」を managed へ移します。

1. 棚卸し：starter-kit の deny / セキュリティ設定を洗い出す
2. 3分類：①全社で必ず禁止／②部門・repoで判断／③個人の自衛
3. 昇格：①を managed.deny へ ＋ allowManagedPermissionRulesOnly

managed へ昇格する代表例（①全社で必ず禁止）

• .env／~/.ssh／secrets/** 読取禁止
• sudo・rm -rf 禁止
• git push --force 承認制
• 外部送信 承認制
• 本番操作 禁止

allowManagedPermissionRulesOnly:true 有効時は user/project の rule が効かない → 必要な deny は managed へ移植する