feat: soporte para Ansible Execution Environments

[juanpsm]

Closes #4

¿Qué agrega este PR?

Permite correr los playbooks desde un contenedor usando ansible-navigator.
El contenedor ya incluye Ansible y todos los roles necesarios, por lo que no
hace falta instalarlos en el host.

Se definen dos variantes de imagen:

• Imagen pública (ghcr.io/mikroways/vm-setup): incluye solo el rol público
  mikroways.workstation. Se publica automáticamente en GitHub Container Registry
  al crear un tag semver (v1.2.3).

• Imagen privada (vm-setup-mw): incluye además el rol privado
  mikroways.tools, alojado en GitLab. La clave SSH necesaria para clonarlo
  se inyecta durante el build como secreto (--mount=type=secret) y no queda
  en la imagen final. Su publicación automática está pendiente de habilitar
  (requiere confirmar permisos de packages privados en la org de GitHub).

Uso

El archivo ansible-navigator.yml configura los defaults para no tener que
repetir flags en cada comando:

# Correr contra vagrant (la forma más simple):
ansible-navigator run ansible/playbooks/vm-setup.yml \
  --container-options='--network=host' \
  --inventory ansible/inventory/vagrant.yml

Si GITHUB_API_TOKEN está definido en el entorno (via direnv), se pasa
automáticamente al contenedor para evitar rate limiting de GitHub al instalar
plugins de asdf.

Pendiente

• Habilitar publicación automática de la imagen privada con Christian (confirmar
  permisos para packages privados en la organización de GitHub)

Supersede al PR #6.