refactor(k8s): Aufbau wie Wabenhain/ApiCore, Zertifikat funktionsfaehig

- Dateinamen nach Wabenhain-Schema (01-configmap, 02-secret,
  03-storage, 04-postgres, 05-app-deployment, 06-ingress,
  07-worker-cronjob, 08-networkpolicy); Secret-Vorlage als
  02-secret.yaml.example, echte 02-secret.yaml gitignored.
- Namespace: Pod Security "baseline" erzwungen, "restricted" als warn/audit.
  "restricted" kann den HTTP-01-Solver-Pod von cert-manager abweisen und
  damit die Zertifikatsausstellung blockieren.
- NetworkPolicy nur noch fuer PostgreSQL; keine Policy vor der App (wie
  Wabenhain/ApiCore), da sie bei Traefik im Host-Netzwerk die Seite sperrt.
- README: kompletter Neuaufbau inkl. Freigabe der Retain-PVs nach
  "kubectl delete namespace", Zertifikats-Diagnose.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/03-storage.yaml

@@ -0,0 +1,74 @@
+# Speicher auf der SMB-Freigabe (benoetigt csi-driver-smb, siehe README).
+# ANPASSEN: "source" (//<nas>/<freigabe>/<ordner>). Ordner vorher anlegen.
+#
+# PostgreSQL auf SMB ist eine bewusste Entscheidung (Risiko siehe
+# docs/BETRIEB.md). NAS-Backups sind fuer die laufende Datenbank nur mit
+# atomaren Snapshots (Btrfs/ZFS) konsistent.
+
+# --- PostgreSQL-Daten ---
+apiVersion: v1
+kind: PersistentVolume
+metadata:
+  name: artista-modelcamp-postgres
+spec:
+  capacity:
+    storage: 10Gi
+  accessModes: ["ReadWriteOnce"]
+  persistentVolumeReclaimPolicy: Retain
+  storageClassName: ""
+  mountOptions: [vers=3.1.1, seal, hard, cache=strict, uid=70, gid=70, dir_mode=0700, file_mode=0600, mfsymlinks, nobrl]
+  csi:
+    driver: smb.csi.k8s.io
+    volumeHandle: artista-modelcamp-postgres
+    volumeAttributes:
+      source: //nas.example.lan/artista/modelcamp-postgres
+    nodeStageSecretRef:
+      name: artista-modelcamp-smb
+      namespace: artista
+---
+apiVersion: v1
+kind: PersistentVolumeClaim
+metadata:
+  name: artista-modelcamp-postgres
+  namespace: artista
+spec:
+  accessModes: ["ReadWriteOnce"]
+  storageClassName: ""
+  volumeName: artista-modelcamp-postgres
+  resources:
+    requests:
+      storage: 10Gi
+---
+# --- Medien (Bilder/Videos; App liest nur, Dateien direkt aufs NAS legen) ---
+apiVersion: v1
+kind: PersistentVolume
+metadata:
+  name: artista-modelcamp-media
+spec:
+  capacity:
+    storage: 5Gi
+  accessModes: ["ReadWriteMany"]
+  persistentVolumeReclaimPolicy: Retain
+  storageClassName: ""
+  mountOptions: [vers=3.1.1, seal, uid=1001, gid=1001, dir_mode=0550, file_mode=0440, mfsymlinks, nobrl]
+  csi:
+    driver: smb.csi.k8s.io
+    volumeHandle: artista-modelcamp-media
+    volumeAttributes:
+      source: //nas.example.lan/artista/modelcamp-media
+    nodeStageSecretRef:
+      name: artista-modelcamp-smb
+      namespace: artista
+---
+apiVersion: v1
+kind: PersistentVolumeClaim
+metadata:
+  name: artista-modelcamp-media
+  namespace: artista
+spec:
+  accessModes: ["ReadWriteMany"]
+  storageClassName: ""
+  volumeName: artista-modelcamp-media
+  resources:
+    requests:
+      storage: 5Gi