[Superseded] Prevent real changes in report mode and expose timesyncd check failures (#19, #20)

[ag4710]

이 PR은 이슈별로 분리한 새 PR(#28, #29)로 대체되었습니다

💡 설명

추가하려는 기능에 대해 간결하게 설명해주세요

os-security role의 이슈 #19(systemd-timesyncd 검사 오류 은닉), #20(report 모드에서
실제 변경 및 /root 권한 오류 발생)을 해결합니다. report 모드에서는 어떤 경로로 호출되어도
role 차원에서 시스템 변경이 차단되도록 하고, 시간 동기화 검사 실패를 숨기지 않고 명확히
보고하도록 수정했습니다. 변경된 동작에 맞춰 README도 함께 갱신했습니다.

✅ 작업 상세 내용

세부적으로 수행한 작업을 작성해주세요

• account/file/service/system.yml 전체를 check_mode 블록으로 격리 (include_tasks
  전파에 의존하지 않는 role 차원 방어)
• 변경 유발 shell 태스크(.rhosts 제거, world-writable 제거, 고아 파일, 홈 환경파일
  권한)를 [점검] (read-only) / [조치](apply 전용)로 분리
• main.yml에 id -u 기반 권한 사전 판정(os_security_privileged) 추가, /root 접근이
  필요한 점검은 비특권 시 [검사 불가]로 명확히 보고
• 재시작 핸들러 4종에 check_mode 적용
• system.yml의 ignore_errors / 실패 상태 재조정 set_fact / failed_when: false
  전면 제거, systemd 환경·서비스 유닛 존재 사전 판정 후 대체 시간 동기화 서비스
  판정 및 [검사 실패]/[검사 불가] 보고 추가
• timesyncd 신규 설치 시 timedatectl set-ntp가 "NTP not supported"로 실패하는
  문제 수정 (systemd-timedated 재기동 + 재시도 추가)
• pam-auth-update --force로 인한 PAM 멱등성 순환 문제 수정 (faillock 미적용 또는
  프로필 변경 시에만 실행)
• roles/os-security/README.md 갱신 (구현 task 표, 적용 시 변경점, 실행 모드 변수
  설명을 수정된 코드 기준으로 반영)

📝 추가 설명(선택)

부가적인 설명이 필요한 경우 작성해주세요

테스트베드(Azure VM)에서 취약화 스크립트로 위반 상태를 주입한 뒤 6단계 릴레이 테스트
(1·2차 Dry-run → 1·2차 Enforce → 3·4차 Dry-run)로 검증했습니다. report 모드 무변경
diff 확인, 취약 상태 27건 전량 검출·조치, 2차 Enforce 조치 필요 0건(완전 멱등),
3·4차 Dry-run 상태 고정까지 전 구간 통과했습니다.

📚 참고 자료(선택)

참고한 문서, 링크, 이미지 등을 첨부해주세요

• 관련 이슈: [OS] systemd-timesyncd 검사 오류가 무시되어 정상 종료됨 #19, [OS][Safety] report 모드에서 실제 변경 및 권한 오류 발생 #20