Проверь логи в '/var/log/pveproxy/access.log'. Надеюсь, это поможет!

Согласен, что отсутствие логирования действий пользователей – это риск для безопасности и затрудняет расследование инцидентов. Хотел бы запросить добавление следующих событий в следующий релиз: добавление пользователя, изменение пользователя, удаление пользователя.

Для ясности: Systemd Journald (заменяет syslog и auth.log)
Код: #journalctl --since '10 minutes ago' | grep 'auth'

21.04 12:35:40 pve1 pvedaemon[1160]: <root@pam> успешная авторизация для пользователя 'root@pam'
21.04 12:35:51 pve1 pvedaemon[1160]: сбой авторизации; rhost=::ffff:172.18.0.86 > PVE Access Logs (показывает IP-адрес обновления токенов доступа)
Код: #grep -i 'POST .*/ticket' /var/log/pveproxy/access.log

::ffff:172.18.0.86 - - [22/04/2025:12:52:34 -0600] "POST /api2/extjs/access/ticket HTTP/1.1" 200 748
::ffff:172.18.0.86 - - [22/04/2025:13:06:34 -0600] "POST /api2/json/access/ticket HTTP/1.1" 200 740
И если это изменится в будущем, или я сам лучше буду понимать и смогу лучше это задокументировать, я, вероятно, обновлю раздел аудита в туториале, посвященном авторизации, который я собираю здесь: https://forum.proxmox.com/threads/h...cluster-or-on-single-node.165331/#post-765465 (и, надеюсь, я или кто-нибудь другой обновит его здесь же, так как именно это всплывает при поиске, и где я нашел часть своего ответа, с чего и начал)