docs(ansible): README par rôle (19) + gaps IaC découverts à l'audit

Audit complet des rôles vs état réel du cluster. Chaque rôle a maintenant
un README.md : but, variables (défauts + surcharges host_vars/vault),
handlers, vérifications, caveats.

Gaps découverts et documentés :
- minio : rôle VIDE (tasks/main.yml sans aucune tâche), service inactif —
  placeholder à implémenter ou retirer (ports 9000/9001 ouverts pour rien)
- llama_server : ne gère que l'instance GPU :1234 — les services CPU
  llama-server-system :1236 et llama-server-monitor :1237 sont créés à la
  main sur gpu-01, non reproductibles par make apply-gpu (+ un
  llama-server-dev.service non documenté présent sur l'hôte)
- hermes_auto_improve : defaults port/repo/branch/log non consommés
  (valeurs en dur dans les scripts), défaut branch obsolète
- lm_studio : README de dépréciation, candidat suppression

Tables admin/ops/ansible.md, README.md et CLAUDE.md corrigées en conséquence.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ansible/roles/hermes_auto_improve/README.md

@@ -0,0 +1,28 @@
+# hermes_auto_improve
+
+Worker d'analyse quotidienne de la doc par Hermes : trigger server HTTP (`:9095`) + script d'analyse. Le scheduling est fait par **n8n** (workflow « Hermes Doc Worker », 22h) — pas de timer systemd.
+
+## Ce que fait le rôle
+
+- Installe `gh` CLI (repo officiel)
+- Déploie les deux scripts depuis `tools/hermes-auto-improve/` :
+  - `/usr/local/bin/hermes-auto-improve` (← `auto-improve.py`)
+  - `/usr/local/bin/hermes-auto-improve-server` (← `trigger-server.py`)
+- Service systemd `hermes-auto-improve` (le serveur HTTP, `HOME=/root` pour les credentials gh)
+- Crée `/var/lib/hermes-auto-improve` (state)
+
+## Variables
+
+| Variable | Défaut | Note |
+|---|---|---|
+| `hermes_auto_improve_state_dir` | `/var/lib/hermes-auto-improve` | seule variable réellement consommée |
+| `hermes_auto_improve_port` / `repo` / `branch` / `log` | … | ⚠️ **non utilisées** — les valeurs sont codées en dur dans les scripts Python (port 9095, `/srv/data/lab/Funk-lab`, branche `hermes/daily-work`) ; le défaut `branch: feature/hermes-auto-improve` est obsolète |
+
+## Dépendances hors-rôle
+
+- Credentials `gh` de root sur storage-01 (auth GitHub faite à la main — non gérée par Ansible)
+- Clone `/srv/data/lab/Funk-lab` (créé à la main)
+- Port 9095 ouvert par le rôle `gateway`
+- Hermes + LiteLLM + llama-server up (les analyses passent par le profil funk-ai)
+
+Doc d'exploitation : `admin/ia/hermes-auto-improve.md`