refactor(k8s): schlanker Umfang, Postgres und Medien auf SMB

Auf Wunsch des Betreibers auf das Noetige reduziert: StatefulSet
PostgreSQL, Services, Ingress, App-Deployment, zwei SMB-PersistentVolumes
(Postgres-Daten, Medien). Beibehalten nach Absprache: Worker-CronJob
(Folgeraten, Reservierungsfreigabe, Mail-Wiederholung), ConfigMap und die
NetworkPolicies (Sicherheitsbefund Rate-Limit-Umgehung).

- Migration als initContainer im App-Deployment statt eigenem Job
- Entfernt: Backup-CronJob/-Volume (NAS sichert die Freigabe),
  Migrations-CronJob, PodDisruptionBudget, HTTP-Redirect-Ingress und
  Middleware, Namespace-Objekt (einmalig von Hand anzulegen)
- PostgreSQL auf SMB als bewusste, dokumentierte Ausnahme mit
  hard, cache=strict, SMB 3.1.1 + seal, uid 70 / 0700

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/base/app.yaml

@@ -2,8 +2,10 @@
 # Reservierungen, Rate Limits, E-Mail-Ausgang und Zahlungsjobs liegen in
 # PostgreSQL — beliebig viele Replikate moeglich.
 #
-# Migrationen laufen NICHT beim Start, sondern als eigener, kontrollierter
-# Schritt (jobs.yaml, CronJob "artista-modelcamp-migrate", siehe docs/BETRIEB.md).
+# Migrationen laufen als eigener Schritt VOR dem App-Container: initContainer
+# "migrate" (Werkzeug-Image, `prisma migrate deploy`). Scheitert er, startet
+# die App nicht. Mehrere Replikate gleichzeitig sind unkritisch — Prisma
+# serialisiert Migrationen ueber eine Datenbank-Sperre.
 apiVersion: apps/v1
 kind: Deployment
 metadata:
@@ -37,6 +39,18 @@ spec:
           labelSelector:
             matchLabels:
               app.kubernetes.io/name: artista-modelcamp-app
+      initContainers:
+        - name: migrate
+          image: artista-modelcamp-tools
+          command: ["prisma", "migrate", "deploy"]
+          envFrom:
+            - secretRef: { name: artista-modelcamp-secrets }
+          resources:
+            requests: { cpu: 50m, memory: 128Mi }
+            limits: { memory: 512Mi }
+          securityContext:
+            allowPrivilegeEscalation: false
+            capabilities: { drop: ["ALL"] }
       containers:
         - name: app
           image: artista-modelcamp
@@ -117,13 +131,3 @@ spec:
         - port: 3000
     # Kubelet-Probes kommen vom Knoten und sind von NetworkPolicies je nach
     # CNI (Canal/Calico in RKE2) ausgenommen.
----
-apiVersion: policy/v1
-kind: PodDisruptionBudget
-metadata:
-  name: artista-modelcamp-app
-spec:
-  minAvailable: 1
-  selector:
-    matchLabels:
-      app.kubernetes.io/name: artista-modelcamp-app