feat(alerting): livraison Telegram des alertes via Alertmanager

Les règles d'alerte `prospection` s'évaluaient déjà dans Prometheus mais ne
notifiaient nulle part. On câble Alertmanager pour livrer les alertes sur le bot
Telegram de prospection, via `telegram_configs` natif d'Alertmanager.

- iac Vault : policy read-only `alertmanager-telegram` sur
  kvv2/data/prospection/telegram + rôle k8s `alertmanager` (SA
  prometheus-alertmanager, ns tools).
- VSO : VaultAuth + VaultStaticSecret resynchronisent kvv2/prospection/telegram
  vers un Secret `alertmanager-telegram` dans le ns tools (le Secret prospection
  est namespace-scoped, non réutilisable). rolloutRestartTargets sur le
  StatefulSet Alertmanager.
- prometheus values : lien server -> Alertmanager (prometheus-alertmanager:9093),
  route + receiver `telegram` (bot_token_file monté, chat_id inline, parse_mode
  HTML, send_resolved), et montage du Secret via extraSecretMounts.

Additif : ni grafana ni les règles d'alerte existantes ne sont touchés.

Co-Authored-By: Claude Opus 4.8 <[email protected]>

hashicorp-vault/iac/main.tf

@@ -74,6 +74,29 @@ resource "vault_kubernetes_auth_backend_role" "vso" {
   alias_name_source                = "serviceaccount_name"
 }
 
+# Alertmanager (ns tools) doit lire le token du bot Telegram de prospection
+# pour livrer les alertes. Rôle k8s dédié + policy read-only sur kvv2/prospection/telegram.
+data "vault_policy_document" "alertmanager_telegram" {
+  rule {
+    path         = "kvv2/data/prospection/telegram"
+    capabilities = ["read"]
+  }
+}
+resource "vault_policy" "alertmanager_telegram" {
+  name   = "alertmanager-telegram"
+  policy = data.vault_policy_document.alertmanager_telegram.hcl
+}
+resource "vault_kubernetes_auth_backend_role" "alertmanager" {
+  backend                          = vault_auth_backend.kubernetes.path
+  role_name                        = "alertmanager"
+  bound_service_account_names      = ["prometheus-alertmanager"]
+  bound_service_account_namespaces = ["tools"]
+  token_ttl                        = 3600
+  token_policies                   = ["default", vault_policy.alertmanager_telegram.name]
+  audience                         = "vault"
+  alias_name_source                = "serviceaccount_name"
+}
+
 module "app_policies" {
   source                     = "./modules/app_policy"
   for_each                   = { for app in var.applications : app.name => app }