[DTP-Worker] Sprint 2 · Agrégateur RBAC : run-book d'application VPS unifié (3 volets → 1 plan ordonné SPEC §7)

Clôt le volet RBAC en-repo : recoud fixtures Role+DocPerm, plan User Permission
et Role Profile en un run-book ordonné + manifeste agrégé. Zéro chiffre
recalculé (tout vient d'un manifeste source, #6), graphe de dépendances validé
(Role avant Role Profile), cohérence inter-volets + couverture bijective 50/50.
16 tests + job CI rbac-applyplan-tests · 99 tests de régression au total.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

05_deliverables_mvp/rbac/RBAC_50_ROLES_SPEC.md

@@ -122,7 +122,11 @@ du code sans vérifier l'existence courante »).
 ## 7. Application sur VPS (hors périmètre worker)
 
 Ce worker n'écrit **jamais** sur le VPS. L'agent ERPNext Backend appliquera la
-cible côté serveur (`erpnext-backend-1`) :
+cible côté serveur (`erpnext-backend-1`) dans l'ordre ci-dessous. Ce run-book
+est **consolidé et vérifié** en-repo par l'agrégateur
+[`apply_plan/`](apply_plan/README.md) (`python3 rbac_apply_plan.py build` →
+`apply_plan.json` + `MANIFEST.json` agrégé : comptes des 3 volets, confirmations
+VPS fusionnées, graphe de dépendances, recoupement bijectif des 50 rôles) :
 
 1. Générer les fixtures `Role` + `Custom DocPerm` depuis `rbac_50_roles.json`
    — **livré** : [`fixtures_gen/`](fixtures_gen/README.md) (`python3 rbac_fixtures_gen.py build`).
@@ -159,6 +163,13 @@ cible côté serveur (`erpnext-backend-1`) :
 > métier + console technique `plateforme`) couvrant les **50 rôles de façon
 > bijective**, 100 % DocTypes natifs v15 (`Role Profile` + `Has Role`), aucun
 > DocType custom à confirmer. 11 tests + job CI `rbac-roleprofile-tests`.
+>
+> ✅ Le **run-book d'application unifié** (agrégat des 3 volets ci-dessus) est
+> **livré** en-repo ([`apply_plan/`](apply_plan/README.md)) : les 6 étapes de ce
+> §7 sous forme d'un plan ordonné + un manifeste agrégé (comptes consolidés,
+> confirmations VPS fusionnées, cohérence inter-volets). Zéro chiffre recalculé
+> (tout vient d'un manifeste source, #6), graphe de dépendances validé (Role
+> avant Role Profile). 16 tests + job CI `rbac-applyplan-tests`.
 
 ## 8. Vérification (en-repo, sans toucher au VPS)