Hide password changes for managed SGU users

docs/release-0.6.9.md

@@ -0,0 +1,16 @@
+# SGU Credential Provider 0.6.9
+
+Esta versión completa la autoridad de contraseñas del Auth Broker en la
+interfaz de Windows.
+
+- La GPO `SGU - User session restrictions` habilita la directiva **Remove
+  Change Password** para todas las cuentas bajo `OU=Usuarios-SGU`.
+- La opción **Cambiar una contraseña** deja de aparecer en la pantalla de
+  seguridad de Ctrl+Alt+Supr.
+- La protección real continúa en Active Directory mediante las denegaciones
+  del derecho extendido `Change Password`; la GPO únicamente evita mostrar una
+  acción que esas cuentas no pueden completar.
+
+El Auth Broker conserva el derecho administrativo separado `Reset Password`
+para sincronizar la contraseña institucional después de una autenticación SGU
+válida.

docs/security.md

@@ -21,6 +21,10 @@ the same source list. RDP uses a separate allowlist. See
 - Managed `Usuarios-SGU` accounts deny the SELF and Everyone `Change Password`
   extended right. Only an administrator or the broker through the separate
   `Reset Password` right can replace the AD password.
+- The `SGU - User session restrictions` GPO also hides the **Change a
+  password** command from the Windows Ctrl+Alt+Delete security screen for
+  managed users. This is a user-interface complement to the directory ACL,
+  not a substitute for it.
 - There is no HMAC password, pepper, local password cache, Supabase password, or
   other derived credential in this Windows path.
 - Neither application logs request bodies or passwords. Deployment configuration