准备 Pilot ACK tenancy 与访问入口资源

## Question

为真实内部 Pilot 准备 Kubernetes Workload Plane：选择受支持的 ACK 版本并分配 namespace、quota、StorageClass、NetworkPolicy、DNS/TLS、访问入口和 `platform-worker` namespace-scoped ServiceAccount/RBAC；确认 Agent StatefulSet、Service、PVC、Kubernetes Secret 引用、Registry pull、健康检查与路由所需的集群能力，并回读 API capability 与 `auth can-i`。

本票只负责 ACK/Kubernetes 资源和 Agent Workload 部署方案，不负责 ImageRegistryAdapter、Tag-to-Digest、平台 Secret 加密/keyring 生命周期、平台镜像构建、数据库迁移、整体 Helm release 或其他平台部署；缺失实现进入 Kubernetes reconciliation 或 Platform Delivery Implementation Issue。

## Blocked by

- #149