feat: per-host WinRM/SSH credentials override (0.5.17)

Allow host-level login/password for home/workgroup PCs while keeping global domain admins in Settings.

docs/agent-control-plane.md

@@ -183,11 +183,13 @@ sequenceDiagram
 
 ## 5. П.2C — Доступ SAC к хостам
 
-### 5.1. Windows — WinRM
+### 5.1. Windows — WinRM / учётки
 
-- **Один доменный admin** в **Настройки → Управление хостами → Windows**: `DOMAIN\user` + password (encrypted).
-- Override на карточке хоста — опционально позже.
-- Используется для fallback-обновления и (при необходимости) remote ops; для qwinsta/logoff MVP — **через агента** с теми же creds, переданными в command poll (TLS + API key, не пишутся на диск агента).
+- **Глобальный доменный admin** в **Настройки → Windows**: `DOMAIN\user` + password (encrypted). Аналогично **Linux admin** для SSH.
+- **Override на карточке хоста** (**Хосты → WinRM/SSH / доступ к хосту**): `COMPUTER\user` / `.\Administrator` + password (encrypted в `hosts.mgmt_*`). Если пусто — берутся глобальные.
+- Effective creds: `get_effective_win_admin_for_host` / `get_effective_linux_admin_for_host` (source: `host` | `db` | `env`).
+- API: `GET` / `PUT /api/v1/hosts/{id}/access` (`user`, `password`, `clear`).
+- Используются для WinRM/SSH-test, fallback-update, qwinsta/logoff, remote ops; для run_as через агента — те же creds в command poll (TLS + API key, не пишутся на диск агента).
 
 ### 5.2. Linux — bootstrap password → SSH key → удалить password
 
@@ -266,7 +268,7 @@ Authorization: Bearer sac_xxx
 | POST | `/api/v1/events/{id}/actions/logoff` | logoff `{ "session_id": 5 }` |
 | GET | `/api/v1/events/{id}/actions/{cmd_id}` | Статус / результат |
 | PATCH | `/api/v1/hosts/{id}/config` | Desired config |
-| PATCH | `/api/v1/hosts/{id}/access` | Bootstrap / WinRM creds |
+| GET/PUT | `/api/v1/hosts/{id}/access` | Per-host WinRM/SSH override (mgmt_user/password) |
 | GET/PATCH | `/api/v1/settings/agent-updates` | Режим A/B, версии, источники |
 | GET/PATCH | `/api/v1/settings/host-management` | Доменный admin Windows |