feat(auth): Authentik en hub utilisateur public — SSO de bout en bout (#82)

L'entrée unique devient la page « My applications » d'Authentik
(kaya.freeboxos.fr:9081) : login → tuiles des apps autorisées → SSO
vers Guacamole (:9080). Plus de comptes locaux Guacamole.

- Services LoadBalancer dédiés (MetalLB .201 Authentik / .202 Guacamole) :
  le DNAT par port ne peut pas router par Host derrière Traefik :80
- gateway : DNAT 9081→.201:9000 et 9080→.202:8080 + rate-limit par VIP
- Guacamole : endpoints OIDC sur l'URL publique canonique (LAN inclus,
  hairpin Freebox) + retour au SSO direct (openid prioritaire)
- doc : section « Accès externe » réécrite (hub, chaîne, config provider)

Co-authored-by: Claude Fable 5 <noreply@anthropic.com>

k8s/apps/authentik/service.yaml

@@ -9,3 +9,21 @@ spec:
   ports:
     - port: 9000
       targetPort: 9000
+---
+# VIP MetalLB dédiée — exposition Internet via DNAT s01 (kaya.freeboxos.fr:9081).
+# Bypass Traefik : le DNAT par port ne peut pas router par Host derrière un
+# entrypoint unique.
+apiVersion: v1
+kind: Service
+metadata:
+  name: authentik-external
+  namespace: auth
+  annotations:
+    metallb.io/loadBalancerIPs: 192.168.10.201
+spec:
+  type: LoadBalancer
+  selector:
+    app: authentik-server
+  ports:
+    - port: 9000
+      targetPort: 9000