feat(macos): sudo NOPASSWD Xcode pour l'agent

hermes@tower, connecté en ssh sur marc@mac, doit lancer les rares
opérations root du toolchain Xcode sans mot de passe : bascule de
xcode-select, acceptation de la licence, runtime du simulateur.

Fragment sudoers.d dédié (security.sudo.extraConfig est déjà posé par le
bloc terminfo de nix-darwin), scopé aux trois shims
/usr/bin/{xcode-select,xcodebuild,xcrun} ; le reste du sudo de marc reste
inchangé. Vérifié : visudo parsed OK, éval du fragment et du toplevel.

profiles/macos/configuration.nix

@@ -145,5 +145,15 @@ in {
     fi
   '';
 
+  # --- sudo pour l'agent : opérations root du toolchain Xcode -------------
+  # hermes@tower se connecte en ssh (marc@mac) et pilote les rares opérations
+  # root de Xcode : bascule de xcode-select, acceptation de la licence,
+  # téléchargement du runtime du simulateur. Fragment sudoers.d séparé (pas
+  # security.sudo.extraConfig, déjà posé par le bloc terminfo de nix-darwin).
+  # Limité aux trois shims : le reste du sudo de marc exige son mot de passe.
+  environment.etc."sudoers.d/20-hermes-xcode".text = ''
+    marc ALL=(root) NOPASSWD: /usr/bin/xcode-select, /usr/bin/xcodebuild, /usr/bin/xcrun
+  '';
+
   system.stateVersion = 6;
 }