feat(auth): Authentik en hub utilisateur public — SSO de bout en bout

L'entrée unique devient la page « My applications » d'Authentik
(kaya.freeboxos.fr:9081) : login → tuiles des apps autorisées → SSO
vers Guacamole (:9080). Plus de comptes locaux Guacamole.

- Services LoadBalancer dédiés (MetalLB .201 Authentik / .202 Guacamole) :
  le DNAT par port ne peut pas router par Host derrière Traefik :80
- gateway : DNAT 9081→.201:9000 et 9080→.202:8080 + rate-limit par VIP
- Guacamole : endpoints OIDC sur l'URL publique canonique (LAN inclus,
  hairpin Freebox) + retour au SSO direct (openid prioritaire)
- doc : section « Accès externe » réécrite (hub, chaîne, config provider)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

k8s/apps/guacamole/ingress.yaml

@@ -7,7 +7,7 @@ spec:
   entryPoints:
     - web
   routes:
-    - match: Host(`portail.lab.local`) || Host(`kaya.freeboxos.fr`)
+    - match: Host(`portail.lab.local`)
       kind: Rule
       services:
         - name: guacamole