refactor(k8s): Aufbau wie Wabenhain/ApiCore, Zertifikat funktionsfaehig

- Dateinamen nach Wabenhain-Schema (01-configmap, 02-secret,
  03-storage, 04-postgres, 05-app-deployment, 06-ingress,
  07-worker-cronjob, 08-networkpolicy); Secret-Vorlage als
  02-secret.yaml.example, echte 02-secret.yaml gitignored.
- Namespace: Pod Security "baseline" erzwungen, "restricted" als warn/audit.
  "restricted" kann den HTTP-01-Solver-Pod von cert-manager abweisen und
  damit die Zertifikatsausstellung blockieren.
- NetworkPolicy nur noch fuer PostgreSQL; keine Policy vor der App (wie
  Wabenhain/ApiCore), da sie bei Traefik im Host-Netzwerk die Seite sperrt.
- README: kompletter Neuaufbau inkl. Freigabe der Retain-PVs nach
  "kubectl delete namespace", Zertifikats-Diagnose.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/08-networkpolicy.yaml

@@ -0,0 +1,23 @@
+# Die Datenbank ist nur fuer Pods mit dem Label db-client=true erreichbar
+# (App inkl. Migration, Worker, Admin-Anlage). Beruehrt weder Traefik noch
+# cert-manager.
+#
+# Bewusst KEINE Policy vor der App (wie bei Wabenhain/ApiCore): laeuft
+# Traefik im Host-Netzwerk, wuerde sie die Website aussperren.
+apiVersion: networking.k8s.io/v1
+kind: NetworkPolicy
+metadata:
+  name: artista-modelcamp-postgres
+  namespace: artista
+spec:
+  podSelector:
+    matchLabels:
+      app: artista-modelcamp-postgres
+  policyTypes: ["Ingress"]
+  ingress:
+    - from:
+        - podSelector:
+            matchLabels:
+              db-client: "true"
+      ports:
+        - port: 5432