refactor(k8s): Aufbau wie Wabenhain/ApiCore, Zertifikat funktionsfaehig

- Dateinamen nach Wabenhain-Schema (01-configmap, 02-secret,
  03-storage, 04-postgres, 05-app-deployment, 06-ingress,
  07-worker-cronjob, 08-networkpolicy); Secret-Vorlage als
  02-secret.yaml.example, echte 02-secret.yaml gitignored.
- Namespace: Pod Security "baseline" erzwungen, "restricted" als warn/audit.
  "restricted" kann den HTTP-01-Solver-Pod von cert-manager abweisen und
  damit die Zertifikatsausstellung blockieren.
- NetworkPolicy nur noch fuer PostgreSQL; keine Policy vor der App (wie
  Wabenhain/ApiCore), da sie bei Traefik im Host-Netzwerk die Seite sperrt.
- README: kompletter Neuaufbau inkl. Freigabe der Retain-PVs nach
  "kubectl delete namespace", Zertifikats-Diagnose.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/06-ingress.yaml

@@ -0,0 +1,37 @@
+# Ingress fuer Traefik + cert-manager (gleiches Muster wie Wabenhain).
+# ANPASSEN: Domain (2x, auch APP_URL in 01-configmap.yaml).
+apiVersion: networking.k8s.io/v1
+kind: Ingress
+metadata:
+  name: artista-modelcamp
+  namespace: artista
+  annotations:
+    cert-manager.io/cluster-issuer: letsencrypt-prod
+    # HTTP -> HTTPS ueber die Middleware unten (Praefix = Namespace).
+    traefik.ingress.kubernetes.io/router.middlewares: artista-redirect-to-https@kubernetescrd
+spec:
+  ingressClassName: traefik
+  tls:
+    - hosts: [modelcamp.example.org]
+      secretName: artista-modelcamp-tls
+  rules:
+    - host: modelcamp.example.org
+      http:
+        paths:
+          - path: /
+            pathType: Prefix
+            backend:
+              service:
+                name: artista-modelcamp-app
+                port:
+                  number: 80
+---
+apiVersion: traefik.io/v1alpha1
+kind: Middleware
+metadata:
+  name: redirect-to-https
+  namespace: artista
+spec:
+  redirectScheme:
+    scheme: https
+    permanent: true