feat(logs): journald-Input — PVE/Nicht-Docker-Nodes lieferten bisher gar keine Logs

telegraf/base.conf

@@ -17,7 +17,7 @@
   url = "${PROM_URL}"
   data_format = "prometheusremotewrite"
   timeout = "10s"
-  namedrop = ["docker_log", "apache_log"]
+  namedrop = ["docker_log", "apache_log", "journal"]
   [outputs.http.headers]
     Content-Type = "application/x-protobuf"
     Content-Encoding = "snappy"
@@ -29,7 +29,7 @@
   domain = "${LOKI_URL}"
   endpoint = "/loki/api/v1/push"
   timeout = "10s"
-  namepass = ["docker_log", "apache_log"]
+  namepass = ["docker_log", "apache_log", "journal"]
   sanitize_label_names = true
   metric_name_label = ""
   http_headers = { "Authorization" = "Bearer ${TELEGRAF_TOKEN}" }

telegraf/journal.conf

@@ -0,0 +1,31 @@
+# System-Logs (journald) → Loki
+#
+# Warum: inputs.docker_log deckt nur Container ab. PVE-Knoten und alle
+# Nicht-Docker-Hosts lieferten damit gar keine Logs — genau dort stehen aber
+# die relevanten Meldungen (pvedaemon, pveproxy, qemu, Kernel, Storage).
+#
+# Wichtig:
+#  - Läuft nur auf systemd-Systemen (kein Alpine/OpenRC).
+#  - Journal-Zugriff: Dienst läuft als root (Proxmox-Drop-in) bzw. braucht
+#    Mitgliedschaft in "systemd-journal". Der Installer setzt das per
+#    SupplementaryGroups, wenn als Benutzer "telegraf" gelaufen wird.
+#  - PVE/Cluster-Meldungen sind im Journal unter diesen Units zu finden:
+#    pvedaemon, pveproxy, pvestatd, pve-firewall, qmeventd, corosync, pmxcfs
+
+[[inputs.journal]]
+  # Nur Warnungen und schlimmer — sonst flutet das Journal Loki.
+  # Für Debugging temporär auf "info" oder "debug" setzen.
+  units = [
+    "pvedaemon", "pveproxy", "pvestatd", "pve-firewall",
+    "qmeventd", "corosync", "pmxcfs", "pve-cluster",
+    "sshd", "systemd", "kernel", "smartd", "zfs-zed", "zfs",
+    "netbird", "telegraf", "docker", "containerd", "cron",
+  ]
+  # Einheiten ohne Einträge liefern einfach nichts — kein Fehler.
+  priority = "warning"          # warning, err, crit …
+  # Kein Nachholen alter Einträge beim Start
+  since = "-1h"
+  # Felder, die als Log-Zeile nutzbar sind (sonst nur Structured-Log)
+  fieldpass = ["MESSAGE", "PRIORITY", "SYSLOG_IDENTIFIER", "UNIT", "_HOSTNAME"]
+  # Kein doppeltes Logging: docker_log deckt Container ab
+  namepass = ["journal"]