feat(k8s): Ingress, Zertifikat und Netzwerk nach Muster Wabenhain/ApiCore

- Ingress: HTTP->HTTPS-Middleware redirect-to-https wieder am Ingress
  (wie Wabenhain), Service-Port als Nummer, cert-manager letsencrypt-prod.
- NetworkPolicy: Traefik ueber das Pod-Label (traefik/rke2-traefik) in
  jedem Namespace erkannt statt fester Namespace "traefik" - verhindert,
  dass die Seite unerreichbar wird, wenn Traefik z. B. in kube-system laeuft.
- README: Voraussetzungen pruefen und Deployment Schritt fuer Schritt
  (kubectl wait auf Postgres) wie bei Wabenhain.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/05-ingress.yaml

@@ -1,4 +1,5 @@
-# ANPASSEN: Domain (2x, auch APP_URL in 01-config.yaml), ClusterIssuer.
+# Ingress fuer Traefik + cert-manager (gleiches Muster wie Wabenhain).
+# ANPASSEN: Domain (2x, auch APP_URL in 01-config.yaml).
 apiVersion: networking.k8s.io/v1
 kind: Ingress
 metadata:
@@ -6,6 +7,8 @@ metadata:
   namespace: artista
   annotations:
     cert-manager.io/cluster-issuer: letsencrypt-prod
+    # HTTP -> HTTPS ueber die Middleware unten (Praefix = Namespace).
+    traefik.ingress.kubernetes.io/router.middlewares: artista-redirect-to-https@kubernetescrd
 spec:
   ingressClassName: traefik
   tls:
@@ -21,4 +24,14 @@ spec:
               service:
                 name: artista-modelcamp-app
                 port:
-                  name: http
+                  number: 80
+---
+apiVersion: traefik.io/v1alpha1
+kind: Middleware
+metadata:
+  name: redirect-to-https
+  namespace: artista
+spec:
+  redirectScheme:
+    scheme: https
+    permanent: true