docs(ansible): README par rôle (19) + gaps IaC découverts à l'audit

Audit complet des rôles vs état réel du cluster. Chaque rôle a maintenant
un README.md : but, variables (défauts + surcharges host_vars/vault),
handlers, vérifications, caveats.

Gaps découverts et documentés :
- minio : rôle VIDE (tasks/main.yml sans aucune tâche), service inactif —
  placeholder à implémenter ou retirer (ports 9000/9001 ouverts pour rien)
- llama_server : ne gère que l'instance GPU :1234 — les services CPU
  llama-server-system :1236 et llama-server-monitor :1237 sont créés à la
  main sur gpu-01, non reproductibles par make apply-gpu (+ un
  llama-server-dev.service non documenté présent sur l'hôte)
- hermes_auto_improve : defaults port/repo/branch/log non consommés
  (valeurs en dur dans les scripts), défaut branch obsolète
- lm_studio : README de dépréciation, candidat suppression

Tables admin/ops/ansible.md, README.md et CLAUDE.md corrigées en conséquence.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ansible/roles/dnsmasq/README.md

@@ -0,0 +1,28 @@
+# dnsmasq
+
+DNS + DHCP du LAN cluster sur storage-01. Résout `*.lab.local` et fournit les baux DHCP statiques des nœuds Talos (boot PXE-like par MAC).
+
+## Ce que fait le rôle
+
+- Installe dnsmasq + config `/etc/dnsmasq.conf`
+- Override systemd : attend l'interface USB ethernet avant de démarrer
+- DHCP statique par adresse MAC pour compute-01/02/03
+- Wildcard `*.lab.local` → `traefik_ip` (192.168.10.200)
+
+## Variables principales
+
+| Variable | Défaut | Rôle |
+|---|---|---|
+| `dns_upstream` | 1.1.1.1, 9.9.9.9 | Résolveurs amont |
+| `dhcp_range_start/end` | 192.168.10.50-99 | Plage DHCP dynamique |
+| `dhcp_static_hosts` | compute-01/02/03 (par MAC) | Baux statiques Talos |
+| `traefik_ip` | 192.168.10.200 | Cible du wildcard `*.lab.local` |
+| `dns_cluster_hosts` | les 5 machines | Entrées DNS fixes |
+
+## Handlers
+
+- `Restart dnsmasq`, `Reload systemd`
+
+## Caveat
+
+Si on change le MAC d'un nœud Talos (remplacement carte mère/NIC), mettre à jour `dhcp_static_hosts` **avant** de rebooter le nœud, sinon il prend une IP dynamique et sort du cluster.