# System-Logs (journald) → Loki
#
# Warum: inputs.docker_log deckt nur Container ab. PVE-Knoten und alle
# Nicht-Docker-Hosts lieferten damit gar keine Logs — genau dort stehen aber
# die relevanten Meldungen (pvedaemon, pveproxy, qemu, Kernel, Storage).
#
# Wichtig:
#  - Läuft nur auf systemd-Systemen (kein Alpine/OpenRC).
#  - Journal-Zugriff: Dienst läuft als root (Proxmox-Drop-in) bzw. braucht
#    Mitgliedschaft in "systemd-journal". Der Installer setzt das per
#    SupplementaryGroups, wenn als Benutzer "telegraf" gelaufen wird.
#  - PVE/Cluster-Meldungen sind im Journal unter diesen Units zu finden:
#    pvedaemon, pveproxy, pvestatd, pve-firewall, qmeventd, corosync, pmxcfs

[[inputs.journal]]
  # Nur Warnungen und schlimmer — sonst flutet das Journal Loki.
  # Für Debugging temporär auf "info" oder "debug" setzen.
  units = [
    "pvedaemon", "pveproxy", "pvestatd", "pve-firewall",
    "qmeventd", "corosync", "pmxcfs", "pve-cluster",
    "sshd", "systemd", "kernel", "smartd", "zfs-zed", "zfs",
    "netbird", "telegraf", "docker", "containerd", "cron",
  ]
  # Einheiten ohne Einträge liefern einfach nichts — kein Fehler.
  priority = "warning"          # warning, err, crit …
  # Kein Nachholen alter Einträge beim Start
  since = "-1h"
  # Felder, die als Log-Zeile nutzbar sind (sonst nur Structured-Log)
  fieldpass = ["MESSAGE", "PRIORITY", "SYSLOG_IDENTIFIER", "UNIT", "_HOSTNAME"]
  # Kein doppeltes Logging: docker_log deckt Container ab
  namepass = ["journal"]