---
- name: Basis-Image – Härtung
  hosts: all
  become: true
  roles:
    - role: cis_hardening          # z. B. aus Ansible-Lockdown, im Repo gepinnt
      vars:
        # Beispiele für begründete Abweichungen:
        # SSH muss für Packer bis zum Ende des Builds erreichbar bleiben
        # Partitionierungsregeln greifen bei Cloud-Images nicht
  tasks:
    - name: Root-Login per SSH verbieten
      ansible.builtin.lineinfile:
        path: /etc/ssh/sshd_config
        regexp: '^#?PermitRootLogin'
        line: 'PermitRootLogin no'