docs: 交付收尾（README/Dockerfile/Makefile 对齐 + 移除迁移状态节）

- README 重写：两阶段架构、LDAP 读/GraphQL 写、部门索引组名、离职双确认、
  部署（起 LLDAP + Authelia 官方 lldap 模板 + 配 idsync + 构建运行）、命令、测试
- Makefile：test-integration 改指本地 LLDAP（3890/17170），新增 make lldap 起容器，
  头部注释更新为 LLDAP
- AGENTS.md：移除「迁移状态」节（迁移已完成，旧实现已删除/收敛）

Makefile

@@ -1,4 +1,4 @@
-# idsync — 飞书 → OpenLDAP 同步器
+# idsync — 飞书 → SQLite → LLDAP 同步器
 # 宿主未安装 Go，所有 Go 操作都在 podman 容器内执行。
 # 注意：容器必须 --network=host，否则容器内的 127.0.0.1 指向容器自身，无法访问宿主代理。
 
@@ -32,9 +32,18 @@ test:
 vet:
 	$(PODMAN) $(GO_IMAGE) go vet ./...
 
-# 集成测试对真实 OpenLDAP 运行；容器内需能访问宿主的 slapd，
-# 因此用 host.containers.internal 并放行 no_proxy，避免流量被代理拦走。
-LDAP_TEST ?= ldap://host.containers.internal:3899
+# 集成测试对真实 LLDAP 运行（LDAP 3890 / GraphQL 17170），先 `make lldap` 起容器。
+LDAP_TEST ?= ldap://127.0.0.1:3890
+LLDAP_GQL ?= http://127.0.0.1:17170
+
+.PHONY: lldap
+lldap:
+	podman run -d --name idsync-lldap \
+		-e LLDAP_LDAP_BASE_DN=dc=example,dc=com \
+		-e LLDAP_JWT_SECRET='change-me-jwt-secret-please' \
+		-e LLDAP_LDAP_USER_PASS=adminpass \
+		-p 3890:3890 -p 17170:17170 \
+		ghcr.io/lldap/lldap:stable
 
 .PHONY: test-integration
 test-integration: