refs #744: record delegated authentication capability blocker

docs/design/744-windows-ad-dds-end-user-mapping/README.md

@@ -28,7 +28,7 @@ flowchart LR
 | `dds-bob`의 같은 검색 | DATA GRANT 없음으로 default deny (`ORA-00942` 은닉) |
 | OCI AIPF OAuth client | `AIPF_DDS_AD_TEST` 생성 및 OIDC discovery 확인 완료 |
 | OCI AD Bridge client / AD 동기화 | 설치 완료 · Alice/Bob 2명과 `DDS-DDS-Users` 1개 import 성공 |
-| OCI delegated authentication | AD 비밀번호 테스트·활성화 전 |
+| OCI delegated authentication | **차단**: 이 Identity Domain에서 기능이 beta 미활성화 상태. OCI tenancy enablement 필요 |
 
 ## 핵심 결정
 
@@ -51,7 +51,7 @@ flowchart LR
 ## 전환 완료 기준
 
 - OCI AD Bridge가 `dds-alice`, `dds-bob`과 필요한 AD 그룹을 동기화한다.
-- OCI Identity Domain login이 두 사용자의 **AD 비밀번호**로 delegated authentication을 통과한다.
+- OCI tenancy에서 delegated authentication capability가 enable된 뒤, OCI Identity Domain login이 두 사용자의 **AD 비밀번호**로 delegated authentication을 통과한다.
 - AIPF가 OCI OAuth login 후 MCP에 연결된다.
 - OCI JWT의 `issuer + sub`가 각각 `DDS_U_1`, `DDS_U_2`로 매핑된다.
 - 동일한 `휴가` 검색에서 Alice는 1건을 받고 Bob은 default deny가 유지된다.