refactor(k8s): schlanker Umfang, Postgres und Medien auf SMB

Auf Wunsch des Betreibers auf das Noetige reduziert: StatefulSet
PostgreSQL, Services, Ingress, App-Deployment, zwei SMB-PersistentVolumes
(Postgres-Daten, Medien). Beibehalten nach Absprache: Worker-CronJob
(Folgeraten, Reservierungsfreigabe, Mail-Wiederholung), ConfigMap und die
NetworkPolicies (Sicherheitsbefund Rate-Limit-Umgehung).

- Migration als initContainer im App-Deployment statt eigenem Job
- Entfernt: Backup-CronJob/-Volume (NAS sichert die Freigabe),
  Migrations-CronJob, PodDisruptionBudget, HTTP-Redirect-Ingress und
  Middleware, Namespace-Objekt (einmalig von Hand anzulegen)
- PostgreSQL auf SMB als bewusste, dokumentierte Ausnahme mit
  hard, cache=strict, SMB 3.1.1 + seal, uid 70 / 0700

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/base/worker.yaml

@@ -0,0 +1,43 @@
+# Worker: gibt abgelaufene Reservierungen frei (nach Rueckfrage bei Stripe),
+# zieht faellige Raten ein, trennt Zahlungsmethoden nach der letzten Rate und
+# versendet den E-Mail-Ausgang. Ohne ihn laufen Ratenzahlung und
+# Reservierungsfreigabe nicht. Idempotent; Forbid verhindert Ueberlappung.
+apiVersion: batch/v1
+kind: CronJob
+metadata:
+  name: artista-modelcamp-worker
+spec:
+  schedule: "*/10 * * * *"
+  timeZone: "Europe/Berlin"
+  concurrencyPolicy: Forbid
+  startingDeadlineSeconds: 300
+  successfulJobsHistoryLimit: 3
+  failedJobsHistoryLimit: 5
+  jobTemplate:
+    spec:
+      backoffLimit: 1
+      activeDeadlineSeconds: 900
+      template:
+        metadata:
+          labels:
+            artista/db-client: "true"
+        spec:
+          restartPolicy: Never
+          automountServiceAccountToken: false
+          securityContext:
+            runAsNonRoot: true
+            runAsUser: 1001
+            seccompProfile: { type: RuntimeDefault }
+          containers:
+            - name: worker
+              image: artista-modelcamp-tools
+              command: ["tsx", "scripts/worker.ts"]
+              envFrom:
+                - configMapRef: { name: artista-modelcamp-config }
+                - secretRef: { name: artista-modelcamp-secrets }
+              resources:
+                requests: { cpu: 50m, memory: 192Mi }
+                limits: { memory: 512Mi }
+              securityContext:
+                allowPrivilegeEscalation: false
+                capabilities: { drop: ["ALL"] }