Gestión de usuarios — alta, cambio de rol, desactivación y reset de contraseña. Las operaciones requieren rol administrador y quedan registradas en usuarios_audit. No puedes desactivarte a ti mismo ni quitarte el rol admin; tampoco puedes dejar al sistema sin administradores activos.