feat(grafana): SSO OIDC via Authentik + admin par groupe lab-admins

- values.yaml monitoring : auth.generic_oauth (auth_url navigateur,
  token/api sur le Service interne), root_url, mapping lab-admins→Admin /
  sinon Viewer. Login local conservé (break-glass).
- vault : vault_grafana_oauth_client_secret (= secret k8s
  monitoring/grafana-oauth-secret, déjà créé)
- doc : runbook « ajouter une app » complété (exemple Grafana concret +
  groupe lab-admins) et procédure SQL pour promouvoir un compte SSO admin
  Guacamole (appliquée à Alkatrazz)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

admin/k8s/auth-portal-admin.md

@@ -14,6 +14,18 @@ sont dans **`admin/k8s/auth-portal.md`** ; le guide à envoyer aux utilisateurs
 > `guacadmin` (compte local) est **inaccessible** tant que le SSO est prioritaire —
 > c'est voulu. Dépannage : piège n°3 de `auth-portal.md`.
 
+> **Rendre un compte SSO admin Guacamole** (fait pour `Alkatrazz`) : les droits système
+> ne s'assignent pas via un compte non-admin, donc au bootstrap on passe par la base
+> (`guacamole_entity` : `type='USER'`, `name` = username Authentik casse comprise) :
+> ```sql
+> -- sur storage-01, id de l'entité = son entity_id dans guacamole_entity
+> INSERT INTO guacamole_system_permission (entity_id, permission)
+> SELECT <id>, perm::guacamole_system_permission_type
+> FROM (VALUES ('ADMINISTER'),('CREATE_CONNECTION'),('CREATE_CONNECTION_GROUP'),
+>              ('CREATE_SHARING_PROFILE'),('CREATE_USER'),('CREATE_USER_GROUP')) AS v(perm);
+> ```
+> Ensuite ce compte gère tout depuis l'UI (y compris promouvoir d'autres admins).
+
 ## Cycle de vie d'un utilisateur
 
 ### Créer (≈2 min)
@@ -75,6 +87,37 @@ Pour chaque nouvelle app (Grafana, n8n…) :
 
 La tuile apparaît automatiquement sur le hub des membres du groupe.
 
+### Le groupe `lab-admins` (admin partout)
+
+Groupe transverse : ses membres reçoivent le **rôle admin dans chaque app** intégrée
+(mapping fait côté app, ex. Grafana `role_attribute_path`). `Alkatrazz` en fait partie.
+Créer si absent : *Directory → Groups → Create* `lab-admins`, y ajouter les admins.
+
+### Exemple concret : Grafana (SSO OIDC)
+
+Côté k8s c'est déjà fait (values.yaml monitoring : `auth.generic_oauth`, secret k8s
+`monitoring/grafana-oauth-secret` = `vault_grafana_oauth_client_secret`). **Reste la
+config Authentik (UI)** :
+
+1. *Applications → Providers → Create → OAuth2/OpenID Provider* :
+   - Name `grafana`, Authorization flow `default-provider-authorization-implicit-consent`
+   - **Client type : Confidential** (Grafana garde un secret, contrairement à Guacamole)
+   - **Client ID : `grafana`** · **Client Secret : coller `vault_grafana_oauth_client_secret`**
+     (`make vault-view`) — doit être **identique** des deux côtés
+   - **Redirect URI (Strict) : `http://grafana.lab.local/login/generic_oauth`**
+   - **Signing Key** : le certificat self-signed
+2. *Applications → Create* : Name `Grafana`, **slug `grafana`**, provider `grafana`,
+   Launch URL `http://grafana.lab.local`, une icône si tu veux
+3. *Bindings* → lier un groupe (ou laisser ouvert). Pour être admin : être dans
+   `lab-admins` (mappé → rôle Grafana **Admin** ; les autres → **Viewer**)
+4. Tester : hub → tuile Grafana → connecté en Admin. **Break-glass** si le SSO casse :
+   `http://grafana.lab.local/login` en `admin` / `adminPassword` (values.yaml).
+
+⚠️ Grafana n'est exposé que sur le **LAN** (`grafana.lab.local`) — la tuile ne
+fonctionne donc que depuis le LAN tant qu'on n'ajoute pas de redirection Internet
+dédiée (comme pour le portail). Pièges : redirect_uri au caractère près, et les pods ne
+résolvant pas `lab.local`, `token_url`/`api_url` pointent sur le Service interne.
+
 ## Durcissement (quand l'usage s'installe)
 
 - **MFA/TOTP** : chaque utilisateur peut enrôler une app d'authentification

ansible/group_vars/all/vault.yml

@@ -1,132 +1,145 @@
 $ANSIBLE_VAULT;1.1;AES256
-61306339643263663766346630346361326334356330616562393134366139663764623130646534
-3237353162366637656164663538393563643835623632630a653666363536393731656663636631
-32313834396237636632666565363934366230656233663430636331323637326133303036626231
-3562383638306337380a306635376533343431663833363537636139323862643838343731616236
-66663439636562656139353934323162336530373931383635356634353761623765613933366436
-62313364613736353639363339326334333131393934373932303665643938313338343238386665
-64333165306536386466333838613132303361303533386335343030393663396331623064303539
-61306235663032623066313861323837303638306532646639313637363534663231306231343761
-36636664383433613763313139383565346262323163393262383561663366386334333064656338
-35653232643430313635313964353234326465346435323530323639653361363061643966333666
-37303862653861343664333332346461626266623763633730316132306332393832626433663261
-33613664633839396662363162663030373936396534376334633364373236626233333965626236
-34326261636438643039376363666630366238396134613063633634623337663039643666336466
-33633264303566393765643564383539343933383334393130653964616265366630373863383332
-64633731353531363531346466343533373437393562636663613933646434633535316232313062
-64346231326538303733663631666634336230653861646561373362636139646663326661663637
-64356239343862366562666664373234353761343430343330366436366663386463346164636135
-63393862393562313232383836336536666361616332356131316438313861326365373163333635
-65353233333665623432343463623364643964306239616633353637316336633865623030646162
-39633965636661616431333739363036666536623439636139653962353630343435326639333630
-64356466613962343463653733653436336363383964336131623266323661396638613234346365
-35323464393137383862613564613264303135643736636438323935666633353737323062663266
-38353164303137353734356530643834386134623663383530363037346431663464646230616234
-38616235633739633939396634373539373634643235623265623533663563343932623636656431
-38363731333039363835343938326536363138653337366236646163636638623838363066323937
-37333037353937366531373763326637653839633037383237663132666262616364356335646638
-64663036353339353637626635343435303932336237383962393036653632316565666165326136
-37613566336363656264623730316465383835643361393631616638376463356435626662633334
-61653662333633313730626538333766363466626530303062616338313936656437303261316235
-38363764636632663936313730613738643930613562643664643963613930333132323364616166
-64356437613938313062343066326234666366323364393362616435616337643334343730616561
-30333332343935663833313933633631656336653166373034656461363561373434313465386637
-32613435316131383638366661326535303865643062323464393865343635333866313939396532
-39396638303462343162613233613834623635383064316635376331363139396536623362383435
-38323066666234623231383433386366326466653837633763396463373865616438666263393931
-63636531343133313930306464396530353765333038346564336165623161393964636337303930
-33373230653035353933633863653036626431316236633730633630373737303734353231316638
-38633536663265333766313636383835323636386434643939613436313038653838656335353731
-35643132613062303130653132366364646334616231376464383866363033333638346139663935
-39656337313638356462373631636135323135373963616566363866333230353736373662356564
-62373631346139303063633236623438373533353431646462396432383837646239373537643064
-37646138383234323638303932326632383161306333623437643363363736633763303439636562
-38336463376230616132333731616238323934623137333939613332313264373938613163393638
-36353864373630626464656435623633363331313538376533386566663333636164613063323534
-34366238656637376462623230383965363661653938653932663130666264666466373062393730
-64616531633464393335393931346266356365653037303432336632623762666638623338363963
-32646261363939623762363865333062346336346234363832303463366333333736653664336436
-37373965656334633933633630326139386438306535333938653734346133613165386664656530
-62613765396536343735613330313637653466663237653139623336663934383362626630646139
-65376135626330353262643536346236393531663531373439383363353631303065396538343837
-61656336633237393663653833376461353430363766373963376332383235626364323766633737
-61376564353537376236626436303738663530363865633331303433333539306433303662313966
-62663830333734383939643662336362393564393733326438356436343037626264636338653261
-32313837653566353364383635353534663765626333396561656134376338633834396135373030
-38383833633263636537656465323539373362393234366238316663353061353635353536643035
-63313964313634343564613763313936356430306637353564323734303230643932643733333762
-34653063653535666331373864643938643838623961383533386630323431363336613633346532
-37333439353538356264616630383431333238303637323235633966393066383331623465613037
-36376433376536313335306232326435626361336232653237336436323936323663646337306263
-61336261636566336563633633353833643763323132383865373039383765353232343066353566
-35626161626633646235343733363333626161316635643366346437326539396135356233383566
-36623464343966336434313934666263653030656135383766366636376161326633336435303661
-38306362623030346530376639343162626637656437646266333665643639336434356636633534
-36376337616161613130376132306630636230393264333261666235353438646433313633616431
-33653163313763323965323336666630373465646538396539303065623163313565663864343733
-38393438383632616665333332386432313465646230663566393139333761623336633136656436
-33376562636264376134383535386366326262656137646361306265613532343133396135333663
-61613462326662633038363537356137633131393736656338376539633831666331623963386361
-66396537356135333639323663336165663430356665323137653137666264616666366333313236
-38373337333833343866373537303366656235366534346262346666613137303534393836306366
-37323262343730336137653665343634363931303335333032646631643036633933326463353338
-31376638383564333639363238643863343665363637343161336435343165383738306264306435
-64306638376266613163613633366561393337613935316536323862376136396162643463393837
-34396338656564303966653434393733303935326636323562336531643266373762643039363664
-65623964336434616663643962303739623839313066626139623037333163666137376562613230
-32366132346139613232343039363263663965363730373334356363383336636561636363373061
-31333033306433623030636332626264363835626330383265343937353566343065666636306135
-36373033373066363666616636366130383130333964613039366238353633636661313233353330
-61663137616431303633393462386262636332656164383934623162643235616536356337303265
-66633235396431373336366364303165363261663132306432393931616463646130633437363132
-38343738303434633138383336366661393131386362613634653435373633663431636536373631
-66346465633365303934396233363030343633366566343334626230343361393139386464393735
-65663031323964663233363837643930643865356334653165356139633838356361613533363262
-32343861326437646363663834356330343132396161353764353330633865376464356462316432
-31343635323232636132303838333538343063643462316263376264323663323435636133623733
-33313034623566643138663136643735616563613865643731636465333537326464313266343262
-31306435306434373537646131316362333836633563653063633131623065393238366330396539
-34353638353732613237633238643032616538383939353061323561653065376365303538376562
-34636632626362326562356666373934333931333631636136376436653266656333626138343364
-62643066363066346133313362353962363134613239386334666433343265613262656463663862
-35313035643963353166383835353135633862633137373862663766363838306134623735333234
-36636435363765333230396337393239393065666261336335636436623164346237376237333133
-38396137616233396664613539646135373266363661626230613263343135663661653134386638
-64626666323762353937663562363434393961323562626230316266636630646331623136336164
-36653237663239373338303963353065356531636438643638323133366537663565393637333937
-62353835373964613066623137353631343035326466376362633764363733653335363730623138
-64343130653932393962383732623038623535353831666166313135316330386561333762363566
-62353337653331353561346461353261333635313533353932323631656362356135346539316239
-31386138646134396564366264346662313165303931663664393136386565656533313031373236
-38303736643133313464636435396632323938633430653462386236333163633064393339613635
-37373763663939663239356535306339303365643136326237636331386135623663636238376235
-39383732613538313362646430356166306465343264623432393535396132653737373262326630
-65313239386661633439346236353266653736303733306538623135663464333130396431656334
-38383534623763373134623162396333356235316639373935333339613437373135376463643036
-35316662393765386137353334393465633964363763663036626339356164366566356161663332
-38313466623337343361353932646137616465363763643033356439626132326264386364633839
-36653163383733366535643866313237386632383137386666666661326637626436346136373135
-63666466383836633334656133346137663961343939653433663463323732323762396139643137
-62363339346338316631663937353763343938333561333861353335366633326664653663376535
-33626337363466383833303162376334656266316662373666626630353365663037386131633363
-66393166643533396663303834353032666361636566646235643064373064396636663363363564
-37353662626166316132333066373537356166306138333538643465356238366363666434303833
-64366361626163323431396533623936346332393962636363643862363765366633623839343665
-65643935383631303138623939656634613334313331323362323037336436316465663961356261
-31306134643539323635663539396564393135376130373238663439333938306332663539646166
-32636238396134326134353636323030333864363263386162356364636331363766386338396638
-65353861643939376166633033346262623239383431643066383132356661313463333262303064
-63626264633961313062636362313030626164306434393165623064666266313130313931613237
-35303266623231376636366364383264396163613234393836333465306531643066363033323235
-62353730323266363364326437343335383566333532343538313434626263373061393461633933
-33343432313333303536373163393861643639383235303130386332353266626634343666613862
-30366662303931333932343236663736333965636436343633373435633361653139396232303437
-36313061333835613838353138666635396661333166663033306365633933313961323233623932
-64643130376364346337313838663935626661336137376663613236333262336466303866393663
-36653362396262363266343261633235323735363863343166306236633036633639343034616635
-63356463353365643063623736646664373031663936316664383338313764623935336662376364
-38376366663161626530393634336133663162383535353934363035626638626464643465373935
-61313334306665613334663733363537333336346164376131313231626566353566623462396636
-61346362396534353737613365623730333530626561316663396466353433353237366630393538
-31326132373664316665333336323134613736646561633064336333303932333432326264613830
-356635396330333132373432663432323238
+61343730373839626636353231356232396132396238376331396264373537626265636436316362
+3338373738303964396432663333386230653236343035610a663339376366326366356262613261
+35663063333137373561313636613633326261653531363564323631393132333563626565323138
+3130346439653137310a376433633064393936373937666238646632633737316363353966656139
+31336131633333353431633937333230386230626266313539316164356534666232383032346636
+32613730393361613232623163333836613039653963653561646566363165343637626364653865
+34653265333165336431313634616162303932333931333031313664353164343465376664656635
+65636135336336333336373261313434343134316235396162306634363765393765343366613835
+63656163386661623663316336343433643464613662643965323533313139393833666166323331
+65623966653437346439653961613232356235396438393965393435323330633430626165336464
+39333831346266663137353061313165326532313334616361663030313263633239633365363766
+64373533313064666134646365353566656161633239663436393865646638666235336230353262
+32396662646633396132353939366433383535373739346531643537356536333363376661346634
+65626331306230333738306562616533353665653138333265346137313639653266326235393431
+62326435643164313133336437343539653563333863333939303963616136303537653337613533
+33376164366565636663353562623134623364326437653433313134373035323663363561333730
+33633334616533383231333362303663333661366237396166636539323330386665633536383133
+66316337613331373339343632333131353130316630383766376666333631656638626161663565
+39323465323834626332613863383764333363393265336130666133303238356136393030316561
+35616230356266363136653835393832313137396532646464386439363139623739343364633163
+35663232316232346661636163616566663966633362636365653561316533626531396264633638
+31303464326264343632336265326137333862376662623761346466623365353131316663376364
+63333633633732613564333966666635666635646638313333626434383438343537373936663839
+64356533383465646535666232636539623362393862626430616434336134336266633265626664
+64313335306561346537333236643764363136366262613331313561323132373337383764643439
+30643431343266333335613266656630356131376136653738396261316339346566376237373363
+65306630303465663562346631313434616566613932653938653539643635323161383235373061
+32643932616435303764343964393965313661353065356461353632316638313263373531626536
+37323833346230363230666166316364643937313064316432386436613733326637313135333832
+38663164643930316465306330303139336637333631383262646362386638333961356538663965
+32633866343961396339336136656634326632303732653561653663663465656139303037343134
+31616334663462306236303833323866653338356336656530656134356135373231313730616631
+35363665636234353565333635616137303539626663306432636530353331326366363464656535
+32666365666638316230653332663962653633323762636636363566336333353933626561653835
+38376334336530623564653663363334363934663230323566333934626561366238633335353633
+62663730646263613562323563663534306465343464656464356131666661653136636163313664
+33353334333235353563613436356532623261646132383534353734346365613134616461396338
+30386365636337643666343262333434356635393638623432653132666634626437643164313830
+30373461393530333933646631343332323136663534316238653936316265353638313564333365
+31636331366433303630353931653237393233323863383431303565656234383065303861656330
+36366666616435383761613964356339613738396438633830656265323361623033373635613131
+31653330623361653536373366303966326330656330633439323038333662626436373966633465
+39303730303266313661343134613564633564303134393039663762316565313337373534343836
+66623761663861326464393830353438336166653236326537333031363931646139373761356563
+66363562363466363765323038306432636532373039383664386631643836383937396637663538
+37643438393534613739373133303537313331303530386464323861393533353163373062613733
+66336630373234363461346266613030316533343633613265343436656633333832646264346661
+35396339343237306161663063323561346139393933643239393461623261646663373565626562
+35303665303262333239613262343633643832396564336533663935363266313863333365356435
+33396565393336616539626261653537343263363037353839346338666233386138363035396565
+30643036613937316637356265663433363164303237613531636536316232666161386461353636
+35316662353461346439353863353838663234666439343035363339643563323335386666396466
+37633138346266336536323835313437636462363566383435313136663561373333343063326566
+33366330333732383266393331313136366136663831616534386136633333663332626138323762
+30396435303962623436383432333265636161313334353339353235626333373631633137646361
+32633530326561663565343535323830626566613465313237323461303432333839343537396562
+63303663313738323536356561666134343035306365666236336561393435323065323139636636
+37313363313535316461626261393236616163363231386632323832323139343032373863393034
+32383630653238393432633532303631356237666635656561363037653732373033656262313063
+62326137343932653561306165643562366361616232633666653366643634363466353562343434
+61343536373763386131393562616166623164396266306666643837316533633461633830626534
+61316631653835366235386338356666363763346135646139323734326332663363326262626435
+35613939336431306535633531303636356633323461613832363364336236633935303861626433
+30303932353832663966353564323466323934373664353432623238623130626630343435313135
+34656261383163613934663636366239303038343030623762316633356365333331663630353538
+61636365326436636233303930396261636333353730333830613236393936643630343864376439
+34623963666362633065303436393765643738616530323636396331333065633861393636633932
+31663437373131343435653066386235366566383135333836633433616633313965633663376439
+39383834366334626264613235363162313663346439363163363330363438646536353139613362
+35333933323464623264623762366565383132383536636338323539343638643566636532366533
+32383564333431343163663965613365636564643038303037616161383133313530323235363034
+39666538636135393636336165393131636231333737643463393434663936356339376635343264
+65623761346535366262343566653530383938616139626138346565373232343737656464653531
+34623137373461613339323539356135653739373262353766643839393233643738636165626230
+31633433633531613435323532633636343339653833333162343661666530376431613865383866
+66633939316436303631376566613063343531366463336661633637353061303330363665366464
+30356162656433326237363566356234316535636337666633393733343666643038663133623931
+35323338616237343739643964316430386133383537396239663138343165313565356562363330
+63383033616563633365396535616339356335636439636362343832333532613830623836323661
+35313936613332336261303031393964316264643764373331636630653132623733393033333336
+64646161353762633133333331353962663966616436343037326463303630636265373430666130
+36363464386664646132303138376337643135376364626166343464366432346334383638666663
+36373831666564623331373966663236613563326162303661333766643861643232616361326161
+32666433333264383564396139626666393663636236353731353834363765303139363039613339
+32326336323461356363363337366162643934326438306535653665313134396664356238326538
+34643633336131326630613733393835303761353436336639336335383234663764663165316164
+64636334383764633663616532326531323265616162323035376132333965313165393564363664
+36666666356266333063336230316262633839626164343034386363663134383630306537323931
+66343731393233653733373466356364623735646238393264336264343930326436623036313039
+61336631316261343936383935336435333334663565636437386135653961666534616232656230
+33346134633738356137643037343337353061633338656665393661316338646536333635666633
+63633963336662323032616638323930626438646233366663303130373265633238356330616338
+34323163326239343637316632323062363166343666323730303662393963616366626365633635
+34363861323436366666353034373432346665326163393737633133383333363964663431653136
+32393432626630366665346136346536316431633362323635376461663262333062313631323736
+63313033646362623434376135393830303534666338376632383535303632333939656634306164
+39663536386431373332333964343537643266373233663664393463353235656661383338316536
+62643235646532626439666332383530643238663831313938333166653232613331613761363939
+30303032613561323230663930396431323235616532623834343432653862616135346131346436
+32336466366332326664346666396635623836613137636636323836353138363330346165656132
+66323034623536343633376437316137303432623530626138636662316430653963383835623731
+30396338646132313936363566303664333833326635356239663038643466623565626137323238
+37626164343831646262646530373764316531333930303636326666633763363662326538653461
+62393932396162626365313765393339383430663662633466366437633136613135653931653736
+33643136386530353761663539373963383336633238626665333738363063306138646339383666
+30613733623061646237656364363931663763626665353435386631653130626635393136316238
+39316132343035306362336565386164646364353835363764333534633335646237616436356633
+30306339643366333461323433313361646362383464633837626639643032323135343163323039
+33356635643037316565653336356136313961396337303432313964363964363463373961646163
+37376135323563333733323366623638306163613937353932646239633735663866366631383138
+37666164396336376332613734663362353638326330313664373635336161633334623138393835
+38346338366364383161346335653136353734616534363535373666653037316263636666626532
+34623032343532363066656635393931373033636239323439613233623735623265363662343631
+36653039376263623437666661346230613632633332376335353064653635616234376361643539
+39376130323564353032366432303832653636356637343438346338396235363665373866636435
+37623537326338346634356636653965663462343763326162653136326633326333613935653030
+33613230393238373730363262633061346534646437313637363864373034313363663531656238
+31656130616334323437643438623232663032366662396630323935653236323365373135373033
+36383535656566363964346664643361393636636132373766653236373633333465313330383837
+34356231376564366236663561646461643930353865343934666561353832643966653363393537
+64626632623736376262656262396535323861306632346232613539626530636435336366646433
+34623037376633386530376664616134303436656535653537666639336234653637636262316362
+63653937613134643637613933343633356435333331646136306666623133633033656435383332
+64326265386365386230353730623131323231613563313664306430343230633432336433386261
+35353231643464333332353431666633373336373235323238393061383232353830656534616130
+62366661633064656136613738396430663433313631396135303239333638313839613131313837
+64303863313138636138336239646464623430306137376366333064636439376337386638373436
+39363336386533373962323365366634656466633663336139313530613439626635306561376530
+37336236363537656533396130646266373664633333653264336332643634323833613336643263
+61643966633838303137616230653730626139363635396236663738396434376363393239616232
+64613933356539316164303130356632376631646137613433363761643737336663376162396530
+63666334626233393335326634336438356531393337343836363435613566316363633332383636
+64386139313762386566666535336364616338373730626334336530636262336364653862383562
+32303935636665313263353437396662613935643461366338343933376366626230653236363661
+39386639373664363632653062373434396337353931326631383731616565343832643835373062
+65346165646133636231313765643464363739306430623731663532366532346138326361353031
+65356264646662333263303934353930353734623561393532313263663237303464356331636332
+65353332633739383336653830613039366366313238303930613830323964316531633064396235
+65336263363430643432366266383563323139396639363930643139613662383339323563363065
+61623036356236353230326461633338633833303061373436616533333161373764353163393464
+34356565633338396365353565653139643864353961393964343235313164353836666566633466
+36633965366235343537353264383037316630356633306434346232376162663536303931666234
+35373466666165656337663263343066396364343235663562383535323762313530376336333831
+33393864323035303864

k8s/infra/monitoring/values.yaml

@@ -10,8 +10,29 @@ grafana:
       host: 192.168.10.1:5432
       name: grafana
       user: grafana
+    server:
+      # Requis pour construire le redirect_uri OAuth (LAN : grafana.lab.local)
+      root_url: http://grafana.lab.local
+    # SSO OIDC via Authentik (app « grafana » dans l'UI Authentik).
+    # auth_url = navigateur (auth.lab.local) ; token/api = serveur→serveur (Service
+    # interne, les pods ne résolvent pas lab.local). Le login local reste actif
+    # (break-glass : admin / adminPassword ci-dessous) — ne pas mettre disable_login_form.
+    auth.generic_oauth:
+      enabled: true
+      name: Authentik
+      client_id: grafana
+      client_secret: $__env{GF_AUTH_GENERIC_OAUTH_CLIENT_SECRET}
+      scopes: openid profile email
+      auth_url: http://auth.lab.local/application/o/authorize/
+      token_url: http://authentik.auth.svc.cluster.local:9000/application/o/token/
+      api_url: http://authentik.auth.svc.cluster.local:9000/application/o/userinfo/
+      # Membre du groupe lab-admins → Admin, sinon Viewer
+      role_attribute_path: contains(groups[*], 'lab-admins') && 'Admin' || 'Viewer'
+      role_attribute_strict: false
+      allow_assign_grafana_admin: true
   envFromSecrets:
     - name: grafana-db-secret
+    - name: grafana-oauth-secret
   ingress:
     enabled: true
     ingressClassName: traefik