step_ca : dry-run check-safe (install + init du dépôt Smallstep)

Le rôle ajoute bien le dépôt Smallstep et installe step-cli/step-ca —
il n'était PAS cassé. Mais en --check, le dépôt/binaire ne sont pas
réellement présents → apt « No package step-cli » puis « step ca init »
échouaient (faux). Ajout de when: not ansible_check_mode sur l'install
et l'initialisation de l'AC (le service l'avait déjà).

Dry-run step_ca : failed=0 (prouvé avec vault_* de test). Config dépôt
vérifiée (clé officielle, stable/debian suite debs) — vrai déploiement
non exécuté (nécessite la voûte + action GUI).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

roles/serveur_step_ca/tasks/main.yml

@@ -33,6 +33,7 @@
     mode: "0644"
 
 - name: Installer step-ca et step-cli
+  when: not ansible_check_mode   # dry-run : le depot Smallstep n'est pas reellement ajoute
   ansible.builtin.apt:
     name: "{{ serveur_step_ca_paquets }}"
     state: present
@@ -74,6 +75,7 @@
   no_log: true
 
 - name: Initialiser l'autorite de certification (une seule fois)
+  when: not ansible_check_mode   # dry-run : le binaire step n'est pas encore installe
   ansible.builtin.command:
     cmd: >-
       step ca init