feat(authorization): add role and tenant codes to users, implement validation logic, and create tests

docs/authorization.md

@@ -7,6 +7,12 @@ afectar las reglas de autorización.
 Los permisos administrativos deben evaluarse siempre dentro del tenant correspondiente.
 El rol `admin` es la única excepción porque su alcance es toda la plataforma.
 
+Cada registro de `users` contiene:
+
+- `rol_codigo`: código obligatorio del rol. Su valor predeterminado es `user`.
+- `tenant_codigo`: código nullable del tenant. Solamente se utiliza para usuarios con
+  rol `tenant_admin`; para `admin` y `user` debe permanecer en `null`.
+
 ## Roles
 
 | Código | Nombre | Alcance |