FR-188.I-1 jedi-iam：新增使用者沒選部門時預設掛租戶根部門（jedi-packages）

本卡屬 FR-188（母卡），實作設計決策 D7 的套件端。嚴重度：中。

問題是什麼（白話）

用「新增租戶」開客戶時，系統會自動建一個預設部門「System Administrator」，但刻意不建管理員帳號，留給平台管理員事後用「新增使用者」補。新增使用者時部門是選填，沒選的話帳號就只掛租戶、不掛任何部門。之後這個帳號新增設備（以及其他要求部門的資料）時，部門欄位是空的，資料庫權限規則擋下、畫面只看到 500。

首腦核對：雲端 jediadmin（Jedicogy 租戶，id 4）user_org_units 0 筆；Jedicogy 底下有部門 id 3「System Administrator」。Billows 是首次設定精靈建的，管理員有掛部門所以沒事。

在哪裡

/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/app/service/user_service.py:114   add_user
/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/app/service/user_service.py:184   新增 user org_unit 段（三個地雷註解）
/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/app/service/user_service.py:255   _default_scope_for_new_user
/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-iam/jedi_iam/app/service/tenant_provisioning_service.py:60  DEFAULT_ORG_UNIT_NAME

怎麼修

extend _default_scope_for_new_user：部門的退回順序最後加一層「該租戶的根部門」（租戶底下 parent 為空的那個；若有多個或找不到，維持現狀不掛，並記一筆 warning）。用既有的 org unit domain service 查，不直接寫 SQL。
守住三個地雷：顯式送 org_units=[] 的語意仍是「不指定任何部門」，不套用預設；None／缺 key 才走預設。改動前把 184 行那段註解逐條對過。
不在本卡：雲端 jediadmin 的資料補正（決策者裁）；主系統錯誤訊息（M-3）。

要寫測試

沒送 org_units、角色沒帶部門 → 掛根部門且為 primary；顯式 org_units=[] → 不掛；有選部門 → 照選的（突變：拿掉根部門退回要紅；把 [] 也套預設要紅）。

紀律

套件異動：開發期主 repo 走 poetry path dependency（pyproject.toml 對應那行取消註解、env -u VIRTUAL_ENV poetry update <套件名>），path 改動不 commit（git update-index --assume-unchanged pyproject.toml poetry.lock）。本卡只改套件、不發版；發版與主 repo 改回釘版在結案卡做。🔴 不在卡工作區跑會動到共用 .venv 的指令；需要驗套件新行為時在 scratchpad 開獨立 venv。
套件 repo 路徑：/Users/chouraymond/Projects/Jedicogy/module/jedi-python-package/jedi-iam；本卡不改主 repo、不發版。
branch feature/FR-172，不切 branch；顯式 git add <檔名>、禁 -am；只 add 自己改的檔。commit 不等令，push 由決策者做。
做完 commit → 本卡 append 白話回寫（做了什麼、commit hash、驗證、手測清單）→ 狀態改 修正待驗證。卡住也 commit 已完成部分並回寫卡在哪，狀態維持 In progress。
檔案內註解只寫「為什麼」與「陷阱」（一到兩行），「做了什麼／哪一棒／等發版」進 commit message，不進檔案。
不重複造輪子：要寫任何新函式前先按行為 grep 既有程式碼，三擇一 reuse → extend → 確認沒有才 new。回寫列出 reuse 了哪些、新增了哪些、為什麼不能 reuse。
資安規範：BE 動到 api/／app/／infra/ 時 .claude/rules/security/ 自動載入，照著做；從 BE 開的 session 跨 repo 改 FE，FE 規則 .claude/rules/security/frontend.md 不會自動載入，動手前自己讀。回寫列出對到哪幾條、怎麼滿足。