infra: Compose-Stack mit Monitoring, ohne LiteLLM (Task 5.2)

- deploy/compose/infra: Dienst litellm entfernt (D4), Router auf LITELLM_BASE_URL
  (appsrv08, Port noch offen), alle Images gepinnt, Grafana und pve-exporter
  ohne Profile, node-exporter für den LXC, Zustand über KNASTER_STATE_DIR
- Prometheus: GPU-VMs per file_sd (node, gpu), Proxmox-Knoten per IP, infra-node
- Grafana: Datasource und Dashboards provisioniert (grafana.com 10347, 1860,
  14574 sowie knaster-Übersicht)
- Alertmanager: n8n-Receiver nur vorbereitet (auskommentiert)
- Ansible: Rollen infra-stack und gpu-exporters, Playbooks monitoring.yml und
  monitoring-targets.yml, Skript monitoring-targets.py (tofu output → file_sd)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

deploy/compose/infra/.env.example

@@ -1,13 +1,21 @@
+# Vorlage für deploy/compose/infra. Im Cluster schreibt die Ansible-Rolle infra-stack die Datei
+# /opt/knaster/infra/.env (0600) im LXC infra; Geheimnisse erzeugt sie dort mit `openssl rand`.
 KNASTER_VERSION=dev
 KNASTER_SITE=knaster
+KNASTER_STATE_DIR=.
 KNASTER_API_TOKEN=change-me
 KNASTER_DRY_RUN=true
 KNASTER_CANARY_INTERVAL=60
 POSTGRES_PASSWORD=change-me
-LITELLM_API_KEY=change-me
-LITELLM_MASTER_KEY=change-me
-OPENROUTER_API_KEY=
-RERANK_URL=http://gpu-embed-1:8082
+GRAFANA_ADMIN_PASSWORD=change-me
+GRAFANA_KIOSK_PASSWORD=change-me
+# D4: LiteLLM mit PSE auf appsrv08, kein eigener LiteLLM im Stack.
+# TODO (Nutzer, Task 6.3): Port festlegen. Der LiteLLM läuft auf appsrv08 nur im internen Netz
+# (`litellm:4000`); am 12.10. waren von ops aus 4000/4001/8000 auf 192.168.100.29 geschlossen.
+# Port auf appsrv08 für 192.168.100.0/24 freigeben (oder per Traefik) und hier eintragen.
+LITELLM_BASE_URL=http://192.168.100.29:4000
+LITELLM_API_KEY=
+RERANK_URL=
 NOTIFY_WEBHOOK_URL=
 KNASTER_JOB_WEBHOOK_URL=
 PORTAINER_HOST=
@@ -15,4 +23,4 @@ PORTAINER_KEY=
 PROXMOX_URL=
 PROXMOX_TOKEN_ID=
 PROXMOX_TOKEN_SECRET=
-KNASTER_WEBHOOK_AUTH=Bearer change-me
+KNASTER_WEBHOOK_AUTH=