🐛 [BUG] server-nestjs: adminRole.upsert/delete events have no consumer (Keycloak/GitLab admin sync dead) — cutover blocker #2723

Description

Le service AdminRoleService de server-nestjs émet adminRole.upsert / adminRole.delete (admin-role.service.ts:45,124,169), mais aucun consommateur @OnEvent('adminRole.*') n'existe dans server-nestjs. Côté legacy, hook.adminRole.upsert/delete (apps/server/src/resources/admin-role/business.ts:42,66,94) déclenche la synchronisation des groupes OIDC Keycloak et des groupes admin/auditeur GitLab.

C'est le même schéma de régression silencieuse que #2590 (projectMember, corrigé) et #2575/#2576 : les écritures admin-role restent aujourd'hui sans effet sur Keycloak/GitLab dès que les routes sont servies par server-nestjs — dérive d'état silencieuse, sans erreur.

Ce défaut bloque la bascule nginx-strangler de /api/v1/admin/roles tant qu'un pont n'existe pas.

PRs liées

• test(server-nestjs): parité reconcile-only des rôles admin keycloak + garde d'émission #2581 — parité reconcile-only des rôles admin keycloak (en revue, connexe)
• test(server-nestjs): audit de parité de migration + parité unit/e2e vault-zone #2578 — audit de parité de migration (en revue, connexe)

Issues liées

• [NestJS] Modularisation de server #1889 — [NestJS] Modularisation de server

Exemples simples

Spécifications techniques

• Ajouter un consommateur @OnEvent('adminRole.upsert') / @OnEvent('adminRole.delete') (module keycloak et/ou gitlab, miroir du pattern projectMember.*) appelé via capturePluginResult, ou trancher l'arrêt des émissions — décision à documenter dans cette issue, comme pour 🐛 [BUG] server-nestjs: projectMember.upsert/delete events have no consumer (GitLab member sync dead)  #2590.

Définition du fini

• Le choix de conception est tranché et documenté dans cette issue (consommateurs @OnEvent vs arrêt des émissions)
• Le comportement cible couvre les trois sites d'émission (admin-role.service.ts:45,124,169)
• Les specs verrouillant ce comportement sont ajoutées sous apps/server-nestjs
• La parité avec le contrat legacy (hook.adminRole.*) est vérifiée