docs(ansible): README par rôle (19) + gaps IaC découverts à l'audit

Audit complet des rôles vs état réel du cluster. Chaque rôle a maintenant
un README.md : but, variables (défauts + surcharges host_vars/vault),
handlers, vérifications, caveats.

Gaps découverts et documentés :
- minio : rôle VIDE (tasks/main.yml sans aucune tâche), service inactif —
  placeholder à implémenter ou retirer (ports 9000/9001 ouverts pour rien)
- llama_server : ne gère que l'instance GPU :1234 — les services CPU
  llama-server-system :1236 et llama-server-monitor :1237 sont créés à la
  main sur gpu-01, non reproductibles par make apply-gpu (+ un
  llama-server-dev.service non documenté présent sur l'hôte)
- hermes_auto_improve : defaults port/repo/branch/log non consommés
  (valeurs en dur dans les scripts), défaut branch obsolète
- lm_studio : README de dépréciation, candidat suppression

Tables admin/ops/ansible.md, README.md et CLAUDE.md corrigées en conséquence.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ansible/roles/common/README.md

@@ -0,0 +1,27 @@
+# common
+
+Socle de base pour tous les hôtes AlmaLinux (storage-01, gpu-01).
+
+## Ce que fait le rôle
+
+- Hostname + timezone (`Europe/Paris`) + EPEL + upgrade complet des paquets
+- Paquets de base : vim, curl, jq, git, htop, chrony, bind-utils…
+- NTP via chrony
+- User `ansible` (groupe + sudo passwordless + clé SSH autorisée)
+- Ajoute `admin_user` au groupe `systemd-journal` (lecture des logs sans sudo)
+- Durcissement sshd
+
+## Variables principales
+
+| Variable | Défaut | Rôle |
+|---|---|---|
+| `timezone` | `Europe/Paris` | Timezone système |
+| `base_packages` | liste (14 paquets) | Paquets installés partout |
+| `ansible_service_user` | `ansible` | User de connexion Ansible |
+
+`admin_user` vient de `group_vars/all/vars.yml`.
+
+## Handlers
+
+- `Restart sshd`
+- `Reboot if kernel updated` — **attention** : un upgrade kernel déclenche un reboot