refactor(k8s): schlanker Umfang, Postgres und Medien auf SMB

Auf Wunsch des Betreibers auf das Noetige reduziert: StatefulSet
PostgreSQL, Services, Ingress, App-Deployment, zwei SMB-PersistentVolumes
(Postgres-Daten, Medien). Beibehalten nach Absprache: Worker-CronJob
(Folgeraten, Reservierungsfreigabe, Mail-Wiederholung), ConfigMap und die
NetworkPolicies (Sicherheitsbefund Rate-Limit-Umgehung).

- Migration als initContainer im App-Deployment statt eigenem Job
- Entfernt: Backup-CronJob/-Volume (NAS sichert die Freigabe),
  Migrations-CronJob, PodDisruptionBudget, HTTP-Redirect-Ingress und
  Middleware, Namespace-Objekt (einmalig von Hand anzulegen)
- PostgreSQL auf SMB als bewusste, dokumentierte Ausnahme mit
  hard, cache=strict, SMB 3.1.1 + seal, uid 70 / 0700

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/base/postgres.yaml

@@ -1,14 +1,11 @@
 # PostgreSQL fuer Buchungen, Zahlungen, Gutscheine und Protokoll.
 #
-# SPEICHER: Blockspeicher mit ReadWriteOnce verwenden (z. B. Longhorn,
-# local-path, Ceph RBD). KEINE SMB/CIFS-Freigabe als Datenverzeichnis:
-# SMB bildet POSIX-Sperren, fsync-Garantien und Dateirechte nicht so ab,
-# wie PostgreSQL sie fuer Absturzsicherheit voraussetzt — Datenverlust bei
-# Stromausfall oder Neustart ist die Folge. Sicherungen (backup-CronJob)
-# duerfen dagegen auf SMB/NFS liegen.
-#
-# Alternative fuer hoehere Verfuegbarkeit: CloudNativePG-Operator; dann
-# dieses Manifest weglassen und DATABASE_URL auf dessen Service zeigen lassen.
+# Datenverzeichnis: PVC "artista-modelcamp-postgres-data" (storage.yaml), im
+# Produktions-Overlay auf SMB. Das ist eine BEWUSSTE, vom Betreiber
+# akzeptierte Ausnahme von der Empfehlung "Blockspeicher": SMB garantiert
+# Sperren und fsync nicht in jedem Fall wie ein lokales Dateisystem. Die
+# Mount-Optionen in smb-volumes.yaml sind darauf ausgelegt; Risiken und
+# Hinweise zur Sicherung stehen in docs/BETRIEB.md.
 apiVersion: apps/v1
 kind: StatefulSet
 metadata:
@@ -24,11 +21,14 @@ spec:
       labels:
         app.kubernetes.io/name: artista-modelcamp-postgres
     spec:
+      automountServiceAccountToken: false
+      # Beim Beenden sauber herunterfahren (Checkpoint), bevor das Volume
+      # ausgehaengt wird — auf Netzwerkspeicher besonders wichtig.
+      terminationGracePeriodSeconds: 120
       securityContext:
         runAsNonRoot: true
         runAsUser: 70
         runAsGroup: 70
-        fsGroup: 70
         seccompProfile: { type: RuntimeDefault }
       containers:
         - name: postgres
@@ -52,23 +52,18 @@ spec:
             periodSeconds: 5
           livenessProbe:
             exec: { command: ["pg_isready", "-U", "artista"] }
-            initialDelaySeconds: 30
+            initialDelaySeconds: 60
             periodSeconds: 20
+            failureThreshold: 6
           resources:
             requests: { cpu: 100m, memory: 256Mi }
             limits: { memory: 1Gi }
           securityContext:
             allowPrivilegeEscalation: false
             capabilities: { drop: ["ALL"] }
-  volumeClaimTemplates:
-    - metadata:
-        name: data
-      spec:
-        accessModes: ["ReadWriteOnce"]
-        # storageClassName: longhorn
-        resources:
-          requests:
-            storage: 10Gi
+      volumes:
+        - name: data
+          persistentVolumeClaim: { claimName: artista-modelcamp-postgres-data }
 ---
 apiVersion: v1
 kind: Service