---
- name: Golden Image – Webserver
  hosts: all
  become: true
  vars:
    image_version: "dev"

  tasks:
    - name: Paketstand aktualisieren (Patchen passiert im Build, nicht im Betrieb)
      ansible.builtin.apt:
        update_cache: true
        upgrade: dist

    - name: nginx installieren
      ansible.builtin.apt:
        name: nginx
        state: present

    - name: unattended-upgrades entfernen (Instanzen bleiben identisch zum Image)
      ansible.builtin.apt:
        name: unattended-upgrades
        state: absent
        purge: true

    # Bewusst KEIN Health-Endpoint im Image: den legt cloud-init als letzten
    # Schritt an, damit eine Instanz erst nach dem Bootstrap Verkehr bekommt.

    - name: Image-Version dokumentieren
      ansible.builtin.copy:
        dest: /etc/image-release
        content: "{{ image_version }}\n"
        mode: "0644"

    - name: nginx beim Boot starten
      ansible.builtin.systemd:
        name: nginx
        enabled: true