On accède à la configuration de `openssl_ca_host` via `hostvars`
et pas directement pour que le rôle fonctionne pour un hôte
différent de `openssl_ca_host`.
Le rôle `openssl-cert-builder` est encore très expérimental et
dépend d'une modification de la collection `community.crypto`
qui n'est pas encore terminée et donc pas encore intégrée à
l'upstream.
Les CSR ne contiennent pas d'informations sensibles et peuvent
donc être accessibles en lecture au monde.
Cela permet d'exécuter une tâche Ansible sans élévation de
privilèges.
jeltz