# System-Logs (Syslog) → Loki
#
# Warum: inputs.docker_log deckt nur Container ab. PVE-Knoten und alle
# Nicht-Docker-Hosts lieferten damit gar keine Logs — genau dort stehen aber
# die relevanten Meldungen (pvedaemon, pveproxy, qemu, Kernel, Storage).
#
# Umsetzung: inputs.tail auf die Syslog-Dateien.
# HINWEIS: inputs.journal existiert in den offiziellen Telegraf-Builds NICHT
# (Docker-Image und InfluxData-Debian-Paket 1.40 wurden beide geprüft) — das
# Plugin braucht einen Build mit systemd-Headern. Deshalb der Datei-Weg.
#
# Voraussetzung: rsyslog schreibt eine Datei. Auf PVE ist das /var/log/syslog
# (pve-manager hängt an rsyslog). Prüfen mit: ls -la /var/log/syslog

[[inputs.tail]]
  # Fehlende Dateien sind unkritisch (Debian hat kein /var/log/messages).
  files = ["/var/log/syslog", "/var/log/messages", "/var/log/kern.log", "/var/log/daemon.log"]
  name_override = "journal"
  # Default "saved-or-end": beim ersten Start nichts nachholen, danach merken.
  initial_read_offset = "saved-or-end"
  # Zeilen als Text durchreichen (kein Parsing nötig)
  data_format = "value"
  data_type = "string"
  # Pfad als Tag, damit man in Loki nach Datei filtern kann
  path_tag = "logfile"

# Feldname vereinheitlichen: tail/value liefert "value", das Logs-Panel
# erwartet (wie docker_log) "message". Umbenennen statt Panel-Sonderfall.
[[processors.rename]]
  namepass = ["journal"]
  [[processors.rename.replace]]
    field = "value"
    dest = "message"