feat(argocd) — enregistrer kadans-admin, compagnon sans état de kadans

Backoffice de modération (ADR kadans-dossier 0018) : le squelette et son
chart sont mergés côté kadans-admin depuis le 03/08, mais rien ne
l'enregistrait ici — aucune Application, rien de vivant sur le cluster.

Compagnon « sans état » au sens du runbook (09-service-compagnon.md),
même motif que kadans-jobs : ni base ni secret Vault propres, juste le
namespace partagé `kadans`. La sécurité applicative vit côté kadans-api
(requireAdmin, KADANS_ADMIN_EMAILS — déjà câblé là-bas).

⚠ Merger APRÈS que l'image kadans-admin:latest existe réellement sur le
registre (kadans-admin!wire-deploiement, le workflow qui la construit) —
sinon la première synchro tire dans le vide (ImagePullBackOff), le même
piège déjà payé une fois côté kadans-jobs.

argocd/values.yaml

@@ -60,6 +60,16 @@ gitea_applications:
     annotations:
       argocd-image-updater.argoproj.io/image-list: kadans-jobs=gitea.arcodange.lab/arcodange/kadans-jobs:latest
       argocd-image-updater.argoproj.io/kadans-jobs.update-strategy: digest
+  kadans-admin:
+    org: arcodange
+    # Backoffice de modération : ni base ni secret Vault propres (compagnon
+    # « sans état », cf. factory/doc/runbooks/new-web-app/09). La sécurité
+    # applicative vit côté kadans-api (requireAdmin, KADANS_ADMIN_EMAILS) ;
+    # ce chart n'expose qu'un ingress .lab.
+    namespace: kadans
+    annotations:
+      argocd-image-updater.argoproj.io/image-list: kadans-admin=gitea.arcodange.lab/arcodange/kadans-admin:latest
+      argocd-image-updater.argoproj.io/kadans-admin.update-strategy: digest
   kadans-api:
     org: arcodange
     # L'API cœur partage le stack Vault/DB « kadans » (VaultAuth, creds Postgres,