refactor(k8s): Aufbau wie Wabenhain/ApiCore, Zertifikat funktionsfaehig

- Dateinamen nach Wabenhain-Schema (01-configmap, 02-secret,
  03-storage, 04-postgres, 05-app-deployment, 06-ingress,
  07-worker-cronjob, 08-networkpolicy); Secret-Vorlage als
  02-secret.yaml.example, echte 02-secret.yaml gitignored.
- Namespace: Pod Security "baseline" erzwungen, "restricted" als warn/audit.
  "restricted" kann den HTTP-01-Solver-Pod von cert-manager abweisen und
  damit die Zertifikatsausstellung blockieren.
- NetworkPolicy nur noch fuer PostgreSQL; keine Policy vor der App (wie
  Wabenhain/ApiCore), da sie bei Traefik im Host-Netzwerk die Seite sperrt.
- README: kompletter Neuaufbau inkl. Freigabe der Retain-PVs nach
  "kubectl delete namespace", Zertifikats-Diagnose.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/07-worker-cronjob.yaml

@@ -0,0 +1,38 @@
+# Alle 10 Minuten: faellige Raten einziehen, abgelaufene Reservierungen
+# freigeben, E-Mails nachsenden. Ohne ihn funktioniert Ratenzahlung nicht.
+apiVersion: batch/v1
+kind: CronJob
+metadata:
+  name: artista-modelcamp-worker
+  namespace: artista
+spec:
+  schedule: "*/10 * * * *"
+  concurrencyPolicy: Forbid
+  jobTemplate:
+    spec:
+      backoffLimit: 1
+      activeDeadlineSeconds: 900
+      template:
+        metadata:
+          labels:
+            db-client: "true"
+        spec:
+          restartPolicy: Never
+          automountServiceAccountToken: false
+          securityContext:
+            runAsNonRoot: true
+            runAsUser: 1001
+            seccompProfile: { type: RuntimeDefault }
+          containers:
+            - name: worker
+              image: git.encry.de/nick.rosenloecher/artista-modelcamp-tools:latest
+              imagePullPolicy: Always
+              command: ["tsx", "scripts/worker.ts"]
+              envFrom:
+                - configMapRef: { name: artista-modelcamp-config }
+                - secretRef: { name: artista-modelcamp-secrets }
+              resources:
+                limits: { memory: 512Mi }
+              securityContext:
+                allowPrivilegeEscalation: false
+                capabilities: { drop: ["ALL"] }