# Pod Security: "baseline" wird erzwungen (blockiert privilegierte Pods,
# hostPath, Host-Netzwerk usw.), laesst aber den HTTP-01-Solver-Pod von
# cert-manager zu. "restricted" wird gemeldet (warn/audit); die eigenen Pods
# dieses Namespaces erfuellen es bereits (non-root, keine Capabilities,
# seccomp RuntimeDefault).
apiVersion: v1
kind: Namespace
metadata:
  name: artista
  labels:
    pod-security.kubernetes.io/enforce: baseline
    pod-security.kubernetes.io/warn: restricted
    pod-security.kubernetes.io/audit: restricted