system: root-логин по SSH запрещён, включены автообновления безопасности

- security_ssh_permit_root_login: "no" — ansible ходит под major с become,
  root по SSH не нужен
- security_autoupdate_enabled: true — unattended-upgrades ставит только
  патчи из security-репозиториев, автоперезагрузка выключена

playbook-system.yml

@@ -27,8 +27,13 @@
       ansible.builtin.import_role:
         name: geerlingguy.security
       vars:
-        security_ssh_permit_root_login: "yes"
+        # Root по SSH не нужен: ansible ходит под непривилегированным major с
-        security_autoupdate_enabled: "no"
+        # become. Заодно defense-in-depth — если PasswordAuthentication когда-то
+        # вернётся в "yes", root не откроется по паролю.
+        security_ssh_permit_root_login: "no"
+        # unattended-upgrades: шаблон роли ограничен security-репозиториями,
+        # автоматическая перезагрузка выключена дефолтом роли.
+        security_autoupdate_enabled: true
         security_fail2ban_enabled: true
 
     - name: "Copy keep files script"