feat: Service を LoadBalancer 対応にしローカル LB の IP で管理画面へアクセス可能に (v2.1.263-a)

- templates/service.yaml: service.type 既定を LoadBalancer に。annotations
  (kube-vip の VIP 指定等) / loadBalancerIP / loadBalancerClass /
  loadBalancerSourceRanges / externalTrafficPolicy / nodePort / labels を追加。
  Ingress 機能は変更なし（LoadBalancer と併用可）
- values.yaml / values.schema.json: service ブロックを拡張
- templates/NOTES.txt: LoadBalancer の EXTERNAL-IP 案内を追加
- examples/loadbalancer-oauth.values.yaml: Ingress 無効 + LB + source range 制限 +
  サブスクリプション認証 (authMode: oauth) の構成例を追加
- README: 「Claude 認証（API 課金なし / サブスクリプション）」「管理画面への
  アクセス（LoadBalancer / Ingress）」セクションを追加。claude setup-token →
  anthropic.authMode: oauth（CLAUDE_CODE_OAUTH_TOKEN 注入）でローカル実行と同一挙動
- helm lint / template 検証済み

values.yaml

@@ -308,8 +308,32 @@ ingress:
   #      - claude-code.example.com
 
 service:
-  type: ClusterIP
+  # LoadBalancer  : ローカルネットワークの LB（kube-vip / MetalLB / Cilium LB-IPAM 等）から
+  #                 IP を払い出し、その IP で管理画面へアクセスする（Ingress 不要・既定）
+  # ClusterIP     : Service IP のみ。port-forward か Ingress 経由でアクセス
+  # NodePort      : 各ノードの高位ポートで公開
+  type: LoadBalancer
   port: 80
+  # NodePort を固定したい場合のみ（type: NodePort）
+  nodePort: null
+  # Service に付与するアノテーション。kube-vip で VIP を指定する例:
+  #   kube-vip.io/loadbalancerIPs: "192.168.9.50"
+  #   kube-vip.io/vipHost: "cpi11"
+  # MetalLB でプールを指定する例:
+  #   metallb.universe.tf/address-pool: "lan"
+  annotations: {}
+  # 払い出す IP を直接指定（LB 実装が対応していれば）。annotations 指定を推奨。
+  loadBalancerIP: ""
+  loadBalancerClass: ""
+  # 接続元をローカルネットワークに限定する（LB 実装が対応していれば）。
+  # Ingress を張らない構成では、ここで許可レンジを絞ることが第一の防御線になる。
+  loadBalancerSourceRanges: []
+  #  - 192.168.9.0/24
+  #  - 10.0.0.0/8
+  # Local にすると実クライアント IP を保持する（kube-proxy/LB 実装依存）
+  externalTrafficPolicy: ""
+  # Service 自体への追加ラベル
+  labels: {}
 
 # --------------------------------------------------------------------------
 # 制御プレーンの Pod / コンテナセキュリティ