uralkal: подключить security-audit — аудит apiserver, журнал доступа шлюза, события Zitadel

DaemonSet audit-collector на control-plane (журнал kube-apiserver → security.k8s-audit),
Deployment access-collector (OTLP :4317 — журнал доступа ingress-шлюза → security.mesh-access,
webhookevent :8088 — события Zitadel Actions v2 → security.idp-events, otlp :4319 — журнал
аудита Vault → security.vault-audit), Job idp-actions-bootstrap (Target + Execution'ы в Zitadel),
NetworkPolicy/AuthorizationPolicy, EnvoyFilter strip-audit-headers и Telemetry шлюза
на провайдер audit-access (уже раскатан в istio-pilot/uralkal).

Предусловия выполнены вне репозитория: аудит apiserver на мастерах (INFRA-3057),
топики security.* и SCRAM-пользователь в Kafka, бакет security-audit в MinIO,
секреты и роли Vault (terraform, vault-platform-secrets).

clusters/uralkal/kustomization.yaml

@@ -17,6 +17,7 @@ resources:
   - ../../infrastructure/trino/uralkal
   - ../../infrastructure/istio-config/uralkal
   - ../../infrastructure/s3-proxy/uralkal
+  - ../../infrastructure/security-audit/uralkal
 
   - ../../apps/reviews/uralkal
   - ../../apps/remarks/uralkal