feat: echte Rolleninhalte für guest-session/brave-fedora/onlyoffice-fedora

Ersetzt die reinen Marker-Datei-Platzhalter durch echte Anforderungen des
Schulcomputer-Workspace:

- guest-session: flüchtige Gastsitzung über lokalen gast-User +
  pam_namespace-tmpfs-Polyinstantiation, nopasswdlogin-Login. PAM-Layout
  wird über ansible_facts os_family erkannt (RedHat vs. Debian), da der
  Rollenname für beide Backends geteilt wird.
- brave-fedora: Installation via Flatpak/Flathub, neue optionale
  standardbrowser-Option (tuxflotte_optionen) setzt/entfernt den
  System-Default in /etc/xdg/mimeapps.list, mit Firefox-Fallback.
- onlyoffice-fedora: Installation via Flatpak/Flathub.

site.yml reicht zusätzlich zu tuxflotte_auftrag_states auch
tuxflotte_auftrag_optionen pro Rolle durch.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

roles/onlyoffice-fedora/tasks/main.yml

@@ -4,6 +4,22 @@
     state: directory
     mode: "0755"
 
+- name: Ensure flathub remote is configured
+  community.general.flatpak_remote:
+    name: flathub
+    flatpakrepo_url: https://flathub.org/repo/flathub.flatpakrepo
+    state: present
+    method: system
+  when: tuxflotte_state == "present"
+
+- name: Install OnlyOffice via Flatpak
+  community.general.flatpak:
+    name: org.onlyoffice.desktopeditors
+    remote: flathub
+    state: present
+    method: system
+  when: tuxflotte_state == "present"
+
 - name: Record that the onlyoffice-fedora role ran
   ansible.builtin.copy:
     dest: /run/tuxflotte/agent/applied/onlyoffice-fedora.marker
@@ -11,6 +27,13 @@
     mode: "0644"
   when: tuxflotte_state == "present"
 
+- name: Remove OnlyOffice Flatpak (Auftrag abgewählt)
+  community.general.flatpak:
+    name: org.onlyoffice.desktopeditors
+    state: absent
+    method: system
+  when: tuxflotte_state == "absent"
+
 - name: Remove onlyoffice-fedora marker (Auftrag abgewählt)
   ansible.builtin.file:
     path: /run/tuxflotte/agent/applied/onlyoffice-fedora.marker