docs: domain-admin may cover multiple assigned domains

Clarify that the global administrator sets which domains a domain-admin can manage.

Co-authored-by: Cursor <cursoragent@cursor.com>

docs/plans/domain-admin.md

@@ -15,7 +15,9 @@
 `mux.Handle("/", s.requireAuth(authed))`), сессия не несёт ничего, кроме факта
 входа.
 
-Роль выдаёт доступ к **одному домену** и только к нему:
+Роль выдаёт доступ к **явно назначенным доменам** (одному или нескольким);
+перечень доменов определяет **глобальный администратор**. Для каждого домена из
+списка:
 
 - приложения этого домена (создание, режим отправителя, перегенерация пароля,
   удаление, свой L2-лимит);
@@ -26,6 +28,7 @@
 Вне роли остаётся то, что глобально по своей природе:
 
 - добавление и удаление доменов;
+- создание domain-admin пользователей и назначение им доменов;
 - `/reload`;
 - полный бэкап (это весь `/data` вместе с `sasldb2`, то есть все домены
   сразу);
@@ -49,12 +52,13 @@ out of scope (один администратор). Появление втор
 *(Прежняя формулировка этого пункта — «2FA и несколько администраторов» —
 заменена: 2FA снята с рассмотрения, а «несколько администраторов» уточнено до
 одной конкретной роли, потому что нужна не вторая копия всевластного админа, а
-ограниченный доступ владельца отдельного домена.)*
+ограниченный доступ владельца одного или нескольких доменов — перечень задаёт
+глобальный администратор.)*
 
 ## Готово, когда
 
 - Глобальный администратор и domain-admin с разными правами работают через
-  панель; domain-admin не может выйти за пределы своего домена;
+  панель; domain-admin не может выйти за пределы **назначенных** доменов;
 - текущий единственный админ мигрирует в глобального без потери доступа;
 - бэкап/восстановление учитывает пользователей и привязки;
 - `build`/`vet`/`test`/образ зелёные.