monitoring: recupera el SSO de Grafana con Authentik

Grafana llevaba ~15 días sin SSO: ignoraba la cabecera X-authentik-username, de
modo que Authentik te dejaba pasar y Grafana te pedía credenciales igual. El
último acceso de akadmin (el usuario que crea auto_sign_up) es de hace 15 días.

El bloque [auth.proxy] estaba en el ConfigMap vivo en abril — así consta en el
export de git de aquel momento — pero el chart NUNCA lo ha generado en ninguna
de sus 7 revisiones, así que era un retoque a mano que se perdió por el camino.
Ahora va declarado en values y sobrevive a una reconstrucción.

Aparecida al arreglarlo, otra pieza del mismo tipo: la anotación
router.middlewares que engancha el forward-auth de Authentik al Ingress. Vivía
sólo por el three-way merge de Helm, igual que el montaje de alerting (0501aab)
y el token de Telegram (28f1631). Reconstruir el release habría dejado Grafana
en internet SIN autenticación de Authentik, con sólo su formulario delante.

NO se restaura disable_login_form, que sí traía la config de abril: el
formulario local se queda como puerta de emergencia, con la contraseña del
secret grafana-admin. Que el SSO fallara en silencio es justo lo que pasó aquí.

Verificado: con la cabecera, autentica como akadmin; sin ella sigue dando 401;
una petición externa a grafana.chemavx.xyz redirige (302) al authorize de
Authentik; el formulario local responde 200 y la contraseña de emergencia entra;
0 errores en el arranque. Exports regenerados: el auditor deja monitoring en 2
hallazgos, ambos conocidos (una anotación del controlador y el tag de
uptime-kuma, pendiente de decidir con el resto de tags flotantes).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

monitoring/configmap-kube-prometheus-stack-grafana.yaml

@@ -1,44 +1,25 @@
 apiVersion: v1
 data:
-  grafana.ini: '[analytics]
-
+  grafana.ini: |
+    [analytics]
     check_for_updates = true
-
-    [log]
-
-    mode = console
-
-    [paths]
-
-    data = /var/lib/grafana/
-
-    logs = /var/log/grafana
-
-    plugins = /var/lib/grafana/plugins
-
-    provisioning = /etc/grafana/provisioning
-
-    [server]
-
-    domain = grafana.chemavx.xyz
-
-    root_url = https://grafana.chemavx.xyz
-
-    [unified_storage]
-
-    index_path = /var/lib/grafana-search/bleve
-
-    [auth]
-
-    disable_login_form = true
-
     [auth.proxy]
-
+    auto_sign_up = true
     enabled = true
-
     header_name = X-authentik-username
-
-    auto_sign_up = true'
+    header_property = username
+    [log]
+    mode = console
+    [paths]
+    data = /var/lib/grafana/
+    logs = /var/log/grafana
+    plugins = /var/lib/grafana/plugins
+    provisioning = /etc/grafana/provisioning
+    [server]
+    domain = grafana.chemavx.xyz
+    root_url = https://grafana.chemavx.xyz
+    [unified_storage]
+    index_path = /var/lib/grafana-search/bleve
 kind: ConfigMap
 metadata:
   annotations:
@@ -52,4 +33,3 @@ metadata:
     helm.sh/chart: grafana-11.5.0
   name: kube-prometheus-stack-grafana
   namespace: monitoring
-