grafana : rendre patiente la pose du mot de passe de secours

Cinquieme arret de la reconstruction from-zero, meme classe que le quatrieme :
une COURSE de premier demarrage. La commande suit de peu le premier demarrage
de grafana-server, qui cree encore sa base ; la CLI echoue sur une base absente
ou verrouillee. Rejouee seule quelques minutes plus tard, elle passe.

retries/until, comme pour l'ecriture Keycloak qui suit la synchro LDAP : on
attend une condition, pas une duree.

Note : la sonde de diagnostic a change le mot de passe admin. Verifie avant de
poursuivre que le marqueur d'empreinte etait ABSENT — la tache se rejoue donc
et repose la valeur de la voute. Aucune trace laissee.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

roles/serveur_grafana/tasks/main.yml

@@ -139,6 +139,17 @@
   # La tache ne s'execute QUE si l'empreinte differe : quand elle tourne, elle
   # change reellement le mot de passe.
   changed_when: true
+  # PATIENTE : sur une machine neuve, cette commande suit de peu le premier
+  # demarrage de grafana-server, qui cree encore sa base. La CLI echoue alors sur
+  # une base absente ou verrouillee. Constate le 2026-08-08 pendant la premiere
+  # reconstruction from-zero ; rejouee seule quelques minutes plus tard, la meme
+  # commande passe. Meme classe que l'ecriture Keycloak qui suit la synchro LDAP :
+  # une COURSE de premier demarrage, pas une panne. On attend une condition, pas
+  # une duree.
+  register: serveur_grafana_reset
+  retries: 5
+  delay: 10
+  until: serveur_grafana_reset is succeeded
   when: >-
     (serveur_grafana_marque.content | default('') | b64decode | trim)
     != (serveur_grafana_admin_password | hash('sha256'))