fix: запрашивать токен для api.tnsu.kz, а не для Graph

Токен с aud=graph.microsoft.com api.tnsu.kz отклонял с 401 — он проверяет
аудиторию входящего JWT. Меняем scope по умолчанию на App ID URI самого
api-tnsu-portal; наш сертификат для него уже авторизован, отдельный
client secret не нужен.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

server/src/config.ts

@@ -11,7 +11,10 @@ export const config = {
   clientId: requireEnv('GRAPH_CLIENT_ID'),
   certPath: requireEnv('GRAPH_CERT_PATH'),
   keyPath: requireEnv('GRAPH_KEY_PATH'),
-  scope: process.env.GRAPH_SCOPE ?? 'https://graph.microsoft.com/.default',
+  // Токен нужен не для Graph напрямую, а для api.tnsu.kz — он сам ходит в
+  // SharePoint. Это его App ID URI: с graph.microsoft.com/.default api вернёт
+  // 401, потому что проверяет aud во входящем JWT.
+  scope: process.env.GRAPH_SCOPE ?? 'api://9232d9e2-9807-4753-808f-07250e5474b0/.default',
   port: Number(process.env.PORT ?? 3000),
   sharepointSiteUrl: 'https://tnsukz.sharepoint.com/sites/hrm',
   sharepointListName: 'Обращения'