docs(manuales): agregar bonus de registro del segundo administrador a RUN-DEMO-001

Documenta el flujo cuando ya existe un owner: quién debe correr el comando, cómo pasar la llave pública del nuevo administrador y cómo verificar el alta.

content/manuales/primer-administrador.md

@@ -43,3 +43,39 @@ El primer administrador recibe automáticamente el rol `owner`. Después, sólo
 ./bin/clusterlog validate --skip-zola
 git log --show-signature -1
 ```
+
+## Bonus: registrar al segundo administrador
+
+Sólo un `owner` activo puede hacer esto — corra el comando con **su propia** llave (la del primer administrador, ya registrado arriba), nunca con la del segundo.
+
+### Prerrequisitos
+
+- Usted ya es `owner` activo (procedimiento anterior completado).
+- El segundo administrador ya tiene su propia llave SSH y le compartió únicamente el archivo **público** (`.pub`) — nunca la privada.
+
+### Procedimiento
+
+```bash
+./bin/clusterlog --ssh-key ~/.ssh/id_ed25519.pub --commit admin add \
+  --id beto --name "Beto Salazar" --email beto@example.org \
+  --key /ruta/a/la/llave/del-segundo-administrador.pub \
+  --roles admin
+```
+
+Use `--roles owner,admin` sólo si el segundo administrador también debe poder registrar administradores futuros; de lo contrario, `admin` alcanza.
+
+### Verificación
+
+```bash
+./bin/clusterlog --json admin list --active
+git log --show-signature -1
+```
+
+- `admin list --active` muestra a ambos administradores.
+- Desde su propia máquina, el segundo administrador confirma su propia identidad:
+
+  ```bash
+  ./bin/clusterlog --ssh-key ~/.ssh/id_ed25519.pub identity
+  ```
+
+`data/admins.json` y `config/allowed_signers` se actualizan juntos en el mismo commit — no hace falta un paso aparte para autorizar sus futuras firmas.