refactor(frontend): migrar a base+overlay de platform-templates

Reemplaza frontend.yaml + patches/frontend-resources.yaml por un overlay
de Kustomize sobre el base remoto de platform-templates
(workloads/ecommerce/frontend/). Agrega readinessProbe/livenessProbe
(no tenia ninguna, apuntando a /api/health que ya expone el propio
Dockerfile) y securityContext (capabilities NET_BIND_SERVICE agregada
de vuelta por el puerto 80 privilegiado -- frontend ya corre no-root de
antes, sin el problema de chown que tuvo docs-portal). El Ingress
generico del base se excluye via $patch:delete -- frontend comparte
ecommerce-ingress con catalog-api-svc, no le corresponde un Ingress
propio. Validado con kubectl kustomize contra el arbol completo de
workloads/ecommerce antes de aplicar.

Co-Authored-By: Claude Sonnet 5 <[email protected]>
Claude-Session: https://claude.ai/code/session_011FqYP3Wf1W63Qmh7qgXAAT

workloads/ecommerce/frontend/patches/deployment.yaml

@@ -0,0 +1,70 @@
+apiVersion: apps/v1
+kind: Deployment
+metadata:
+  name: app-deployment
+  labels:
+    app: frontend
+spec:
+  replicas: 2
+  strategy:
+    type: RollingUpdate
+    rollingUpdate:
+      maxUnavailable: 0
+      maxSurge: 1
+  selector:
+    matchLabels:
+      app: frontend
+  template:
+    metadata:
+      labels:
+        app: frontend
+    spec:
+      containers:
+        - name: app
+          image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.104
+          env:
+            - name: HEADLESS_PROVIDER
+              value: medusa
+            - name: MEDUSA_BACKEND_URL
+              value: http://medusa-svc:9000
+            - name: MEDUSA_REGION_ID
+              value: reg_01KZT86WPAH7A7ZZRDSX3350V2
+          envFrom:
+            - secretRef:
+                name: commerce-storefront
+          # El base usa "/" por default. El Dockerfile de frontend ya
+          # define su propio HEALTHCHECK contra /api/health -- usamos
+          # el mismo endpoint acá en vez del genérico del base, ya
+          # sabemos que existe y responde.
+          readinessProbe:
+            httpGet:
+              path: /api/health
+              port: http
+          livenessProbe:
+            httpGet:
+              path: /api/health
+              port: http
+          # El Dockerfile de frontend ya corre como usuario "nextjs" no-root
+          # (a diferencia de docs-portal) -- runAsNonRoot: true del base
+          # se queda tal cual, sin override.
+          #
+          # Sí hace falta NET_BIND_SERVICE: el puerto real es 80
+          # (privilegiado, <1024). El Dockerfile ya hace setcap sobre el
+          # binario de node para esto, pero eso solo funciona si el
+          # bounding set del contenedor lo permite -- drop: ALL del base
+          # lo bloquea igual, root o no root. Mismo motivo que docs-portal.
+          securityContext:
+            allowPrivilegeEscalation: false
+            readOnlyRootFilesystem: false
+            capabilities:
+              drop:
+                - ALL
+              add:
+                - NET_BIND_SERVICE
+          resources:
+            requests:
+              cpu: 100m
+              memory: 256Mi
+            limits:
+              cpu: "1"
+              memory: 768Mi