feat(monitoring): экспортер метрик по контейнерам поверх Docker Engine API

Разбивка по контейнерам (CPU/память/сеть) — то, что не смог дать
cAdvisor из-за несовместимости с containerd-снапшоттером сервера 1gb
(убран в 7f5c888). Свой минимальный сервис container-exporter (Python/
aiohttp/prometheus_client) опрашивает Docker Engine API параллельно в
фоновой задаче, не завязываясь на scrape-интервал Prometheus.

Доступ к докер-сокету изолирован через docker-socket-proxy: экспортеру
разрешены только GET /containers/json и /containers/*/stats, любые
изменяющие запросы блокируются на уровне прокси (POST=0) — полная
компрометация экспортера не даёт управлять Docker. Ни один из двух
сервисов не публикует портов наружу.

В host.json возвращены панели «Топ контейнеров по CPU/памяти» на новых
метриках vidconf_container_* (в 0.0.9 их убрали вместе с cAdvisor).

deploy/monitoring/prometheus.yml

@@ -1,7 +1,7 @@
 # Конфигурация Prometheus (devops) — сбор метрик backend,
-# PostgreSQL, Redis, железа хоста и локального LLM-сервера. Поднимается
-# compose-профилем `monitoring` (deploy/docker-compose.yml, сервис
-# `prometheus`).
+# PostgreSQL, Redis, железа хоста, контейнеров и локального LLM-сервера.
+# Поднимается compose-профилем `monitoring` (deploy/docker-compose.yml,
+# сервис `prometheus`).
 #
 # Имена метрик backend (`vidconf_http_request_duration_seconds`,
 # `vidconf_pipeline_sessions`, `vidconf_celery_queue_depth`) — КОНТРАКТ с
@@ -42,6 +42,17 @@ scrape_configs:
     static_configs:
       - targets: ["node-exporter:9100"]
 
+  # Метрики по каждому контейнеру (CPU/память/сеть отдельно у backend,
+  # worker, postgres и т.д. — профиль monitoring, сервис
+  # `container-exporter`). Отвечает на вопрос «какой из контейнеров ест
+  # ресурсы», в отличие от job `node` (только хост целиком). Замена
+  # cAdvisor (несовместим с containerd-снапшоттером сервера `1gb`, см.
+  # .forcc/JOURNAL.md) — свой экспортер поверх Docker Engine API,
+  # метрики `vidconf_container_*`, см. deploy/monitoring/container-exporter/.
+  - job_name: container-exporter
+    static_configs:
+      - targets: ["container-exporter:9419"]
+
   # Локальный LLM-сервер (llama.cpp, LLAMA_ARG_ENDPOINT_METRICS=1). Адрес
   # `llm:8080` разрешается ОДНИМ из двух compose-сервисов в зависимости от
   # выбранного при установке пресета — `llm` (CPU, профиль `llm`, уровни