Per-tenant credential keys через HKDF derivation

## Что это CredentialManager использует HKDF для деривации per-tenant ключа из root-secret. Каждый workspace получает уникальный AES-256-GCM key, без знания root'а нельзя расшифровать чужие секреты. Tests покрывают derivation determinism и rejection forged scope'а. ## Зачем Multi-tenant без per-tenant key derivation — это «common root для всех», и одна компрометация ломает всю систему. HKDF превращает root в нерасшифровываемый по умолчанию. ## Источники вдохновения - [anomalyco/openauth](ht ## 🔗 Linear - [PZD-271](https://linear.app/kuhjie/issue/PZD-271) (match confidence: 0.426)