feat(auth): annuaire Authentik + portail consoles Guacamole

- k8s/apps/authentik : IdP OIDC (auth.lab.local), namespace auth —
  server + worker 2026.5.3, Redis in-cluster, PG sur storage-01, PVC media
- k8s/apps/guacamole : portail consoles SSH web s01/g01 (portail.lab.local) —
  guacd + webapp 1.6.0, SSO OIDC vers Authentik, Job initdb idempotent
- ansible : rôle console_user (user sans sudo pour les consoles, s01 + g01),
  bases PG authentik/guacamole, secrets vault (mdp PG + clé SSH console)
- doc : admin/k8s/auth-portal.md (déploiement, config initiale, pièges)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ansible/roles/console_user/tasks/main.yml

@@ -0,0 +1,19 @@
+---
+# Utilisateur non privilégié pour les consoles SSH du portail Guacamole
+# (portail.lab.local). Pas de sudo : les utilisateurs du portail observent,
+# l'administration reste sur les comptes habituels.
+
+- name: Create console user
+  ansible.builtin.user:
+    name: "{{ console_user_name }}"
+    shell: /bin/bash
+    home: "{{ console_user_home }}"
+    create_home: true
+    state: present
+
+- name: Authorize Guacamole SSH key
+  ansible.posix.authorized_key:
+    user: "{{ console_user_name }}"
+    key: "{{ console_user_public_key }}"
+    exclusive: true
+    state: present