Declare role requirements per controller

RoleRequired supplies require_redaktion and require_admin for surfaces that
are not nodes and so cannot be reached by Node#restricted?.

Navigation is content rather than plumbing, so menu_items requires
redaktion. User management is janitorial and requires admin: index, new,
create, reset_otp, deactivate, reactivate. verify_status now also covers
show, without which any logged-in user could read any account by walking a
small id space. Editing your own account stays open.

The dashboard hides the Users and Navigation buttons from those who cannot
use them; everything else stays visible to everyone. Both denials share one
message and land on the dashboard.

Adds redella (redaktion) and alufa (redaktion + alumni) fixtures.

1 files changed, 2 insertions, 0 deletions

diff --git a/config/locales/de.yml b/config/locales/de.yml
index 74f6e8ae..04eb738e 100644
--- a/config/locales/de.yml
+++ b/config/locales/de.yml
@@ -574,6 +574,8 @@ de:
       headline_ineligible: "Dieser Asset-Typ kann kein Aufmacher sein."
       locked_by_other: "Die Seite ist gerade von jemand anderem gesperrt."
       autosave_failed: "Autosave fehlgeschlagen"
+      redaktion_required: "Diese Seite ist der Redaktion vorbehalten."
+      admin_required: "Diese Seite ist der Administration vorbehalten."
     sessions:
       otp_setup_now: "Dein Konto erfordert einen zweiten Faktor — richte ihn jetzt ein."
       logged_out: "Du wurdest abgemeldet."