Follow-ups deferred out of the v2 bulk replacement

v2 일괄 교체(BA-7294) 작업 중 드러났으나 그 범위에 넣지 않고 미뤄둔 건들. 넷 다 후속이며 함께 진행한다.

### 구성

- BA-7415 — 기본 키페어 마커를 불변식으로 강제하고 로그인 읽기의 대체 선택을 지운다.
- BA-7414 — 지명된 id 를 scope 검색이 아니라 bulk get 으로 읽어 권한 확인이 개체별로 걸리게 한다.
- BA-7411 — resource_allocations 와 중복된 session/kernel 컬럼을 지우고 나머지를 점검한다.
- BA-7409 — 새 id 의 기본값을 UUIDv7 로 두되, 신뢰할 수 없는 보유자에게 건네지는 id 는 UUIDv4 로 남긴다.

### 순서

BA-7415 를 먼저 한다. BA-7297 이 남겨둔 로그인 경로의 대체 선택이 여기서 사라진다.
나머지 셋은 서로 독립이다.

JIRA Issue: BA-7416

Start with BA-7415 and the login path left by BA-7297, since the issue requires that work first. Then review BA-7414, BA-7411, and BA-7409 independently; done means all four deferred follow-ups are completed within their stated scopes and in the required order.

Written by the indexing model from the issue text.