Ansible: общие переменные перенесены в group_vars/all

- vars/vars.yml → group_vars/all/main.yml, vars/secrets.yml →
  group_vars/all/secrets.yml; boilerplate vars_files убран из всех плейбуков
- имя secrets.yml сохранено намеренно: pre-commit-хук и .crushignore ищут
  слово secret(s) в имени файла
- host_vars инвентаря теперь имеют приоритет над общими переменными

docs/backlog/README.md

@@ -44,7 +44,6 @@ _(sec-ревью)_ — три независимых security-ревью на м
 - [Мелкий хардненинг Caddy](caddy-hardening-nits.md) — HSTS-заголовок, убрать лишний `NET_ADMIN`, убрать leftover-листенер `:29999` _(sec-ревью)_
 - [Мелкий хардненинг контейнеров](container-hardening-nits.md) — `no-new-privileges`, non-root `user:`, homepage off `:latest`, соглашение о `127.0.0.1:` портах _(sec-ревью)_
 - [Унифицировать ACL техпанелей Authelia](authelia-acl-unify.md) — rssbridge (SSRF) и dashboard за `one_factor` без subject; свести к `group:admins` + `two_factor` _(sec-ревью)_
-- [`vars_files` → `group_vars/all/`](ansible-group-vars.md) — убрать повторяющийся boilerplate `vars_files` из всех плейбуков _(ансибл-ревью)_
 - [Причесать роль `owner` под конвенции](ansible-owner-role-cleanup.md) — `assert` вместо `fail`+`when`, `loop` вместо `with_*`, добавить `meta`/README _(ансибл-ревью)_
 - [Инвентарь: `host_vars`, группы, точечный `become`](ansible-inventory-hostvars.md) — хост-специфику в `host_vars/server.yml`, хост в именованную группу, глобальный root → точечный become _(ансибл-ревью)_
 - [Фоновая зачистка стиля и конфигурации](ansible-style-nits.md) — sudoers.d, профиль ansible-lint, `ansible.cfg`, кавычки, `cache_valid_time` _(ансибл-ревью)_

docs/backlog/ansible-group-vars.md

@@ -1,22 +0,0 @@
-# `vars_files` → `group_vars/all/`
-
-**Приоритет:** низкий
-
-В каждом плейбуке повторяется boilerplate:
-
-```yaml
-vars_files:
-  - vars/secrets.yml
-  - vars/vars.yml
-```
-
-Ansible автоматически подхватывает `group_vars/all.yml` и `group_vars/all/secrets.yml`
-(vault) для группы `all`. Перенос `vars/vars.yml` → `group_vars/all/main.yml` и
-`vars/secrets.yml` → `group_vars/all/vault.yml` убирает `vars_files` из всех
-плейбуков. Низкий риск, адаптируется по одному плейбуку за раз. Учесть
-`.crushignore`/проверку шифрования vault (маска `*secrets.yml`) и pre-commit-хук
-проверки шифрования при переименовании.
-
-Контекст: [docs/drafts/ansible-review.md](../drafts/ansible-review.md) §2.
-
-Связано: все playbook-*.yml, vars/secrets.yml, vars/vars.yml, lefthook.yml.