вход
У консоли нет экрана входа — RequireAuth сразу перенаправляет в Keycloak. Приложению нужна поверхность до аутентификации, и ей нужна точно правильная трёхвариантная маршрутизация, описанная ниже.
Вход открывает Keycloak в Custom Tab — AppAuth, Authorization Code + PKCE, никогда не встроенный WebView.
Адрес окружения не показан. Под кнопками нет хоста веб-консоли: у кого есть приложение, тот должен забыть, что консоль вообще существует; потребность отладки закрывает имя сборки в «Настройки → О приложении», куда смотрит тестировщик и не смотрит оператор.
У этой учётной записи нет места оператора ни на одном сайте. Управление площадкой доступно в веб-консоли.
GET /operators/me отвечает 403 и владельцу платформы, и свежезарегистрированному одинаково. Трактовать это как «значит, регистрант» — это и есть тот самый дефект: владельцу предложили бы форму, которая необратимо делает его тенантом. Поэтому приложение выполняет ту же самую проверку на владельца и вместо этого попадает сюда.