refactor(k8s): schlanker Umfang, Postgres und Medien auf SMB

Auf Wunsch des Betreibers auf das Noetige reduziert: StatefulSet
PostgreSQL, Services, Ingress, App-Deployment, zwei SMB-PersistentVolumes
(Postgres-Daten, Medien). Beibehalten nach Absprache: Worker-CronJob
(Folgeraten, Reservierungsfreigabe, Mail-Wiederholung), ConfigMap und die
NetworkPolicies (Sicherheitsbefund Rate-Limit-Umgehung).

- Migration als initContainer im App-Deployment statt eigenem Job
- Entfernt: Backup-CronJob/-Volume (NAS sichert die Freigabe),
  Migrations-CronJob, PodDisruptionBudget, HTTP-Redirect-Ingress und
  Middleware, Namespace-Objekt (einmalig von Hand anzulegen)
- PostgreSQL auf SMB als bewusste, dokumentierte Ausnahme mit
  hard, cache=strict, SMB 3.1.1 + seal, uid 70 / 0700

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/overlays/production/ingress.yaml

@@ -1,6 +1,8 @@
 # Ingress fuer Traefik mit cert-manager.
-# Anpassen: Host (auch in APP_URL, kustomization.yaml), ingressClassName
+# Anpassen: Host (auch APP_URL in kustomization.yaml), ingressClassName
 # ("kubectl get ingressclass"), ClusterIssuer, TLS-Secret-Name.
+# HTTP->HTTPS-Umleitung erwartet dieses Manifest EntryPoint-weit in Traefik
+# (Helm: ports.web.redirections.entryPoint.to=websecure).
 #
 # X-Forwarded-For/X-Real-Ip: Rate Limits verlassen sich darauf, dass Traefik
 # vom Client mitgeschickte Werte verwirft. Dafuer im Traefik-EntryPoint
@@ -30,35 +32,3 @@ spec:
                 name: artista-modelcamp-app
                 port:
                   name: http
----
-# HTTP -> HTTPS. Entfaellt, wenn Traefik das bereits EntryPoint-weit tut
-# (Helm: ports.web.redirections.entryPoint.to=websecure).
-apiVersion: networking.k8s.io/v1
-kind: Ingress
-metadata:
-  name: artista-modelcamp-http-redirect
-  annotations:
-    traefik.ingress.kubernetes.io/router.entrypoints: web
-    traefik.ingress.kubernetes.io/router.middlewares: artista-artista-modelcamp-redirect-https@kubernetescrd
-spec:
-  ingressClassName: traefik
-  rules:
-    - host: modelcamp.example.org
-      http:
-        paths:
-          - path: /
-            pathType: Prefix
-            backend:
-              service:
-                name: artista-modelcamp-app
-                port:
-                  name: http
----
-apiVersion: traefik.io/v1alpha1
-kind: Middleware
-metadata:
-  name: artista-modelcamp-redirect-https
-spec:
-  redirectScheme:
-    scheme: https
-    permanent: true