Herausfinden, wer eine Mail aus dem Spool gelöscht hat

[seroal]

Hallo zusammen,

kann ich irgendwie nachvollziehen, von wem/durch wen der Postuser Befehl ausgeführt wurde, welcher zur Löschung einer/bestimmter Mails führte?

2026-09-23T08:56:34.108282+02:00 mail postfix/postsuper[1701459]: 7AD18341A5: removed

Gleichzeitig sehe ich einen API Request, könnte der das verursacht haben?

"POST /api2/extjs/nodes/mail/postfix/queue/deferred HTTP/1.1" 200 25



Das Problem ist, dass eine Mail aus der Warteschlange gelöscht wurde und es geht darum herauszufinden, wer das war.



Danke!

 

[Stoiko Ivanov]

2026-09-23T08:56:34.108282+02:00 mail postfix/postsuper[1701459]: 7AD18341A5: removed

Gleichzeitig sehe ich einen API Request, könnte der das verursacht haben?

"POST /api2/extjs/nodes/mail/postfix/queue/deferred HTTP/1.1" 200 25

die 2 Zeilen hängen zusammen - ein klick unter GUI->Administration->Queues->Deferred Mail auf "Remove" fuehrt darunter ein postsuper aus um die mail aus der queue zu löeschen.

im /var/log/pmgproxy/pmgproxy.log sollte auch die IP und der user stehen, beim POST request - das sind die Infos die noch verfügbar wären.

Ich hoffe das hilft

 

[seroal]

die 2 Zeilen hängen zusammen - ein klick unter GUI->Administration->Queues->Deferred Mail auf "Remove" fuehrt darunter ein postsuper aus um die mail aus der queue zu löeschen.

im /var/log/pmgproxy/pmgproxy.log sollte auch die IP und der user stehen, beim POST request - das sind die Infos die noch verfügbar wären.

Ich hoffe das hilft

Danke, alles klar, das hilft. Die Zeile aus der pmgproxy.log hatte ich hier nichts komplett abgeschickt, da stehen Benutzer und IP Adresse drin, das ist ganz gut. Besser wäre es noch, wenn man sieht, welcher Befehl genau jeweils abgesetzt wird.

 

[Stoiko Ivanov]

Besser wäre es noch, wenn man sieht, welcher Befehl genau jeweils abgesetzt wird.

welcher API pfad mit welcher methode angesteuert wurde steht ja im log:
`POST /api2/extjs/nodes/mail/postfix/queue/deferred`
im api-viewer steht was die methode macht:
https://pmg.proxmox.com/pmg-docs/api-viewer/index.html#/nodes/{node}/postfix/queue/{queue}
(oben auf POST klicken)

die POST data (in dem fall die queue id) wird prinzipiell nicht mitgeloggt - wie bei webservern sonst auch ueblich.

 

[seroal]

Das hilft aber nur bedingt, wenn jetzt beispielsweise mehrere Admins gleichzeitig auf der Maschine unterwegs sind und die Spool bearbeiten und einer löscht Mails und der andere stößt nur eine erneute Zusendung an, kann man es doch nicht wirklich zuordnen, oder? Mir fehlt in dem Log zumindest noch die "Action", die ausgeführt wurde. Noch besser wäre es für Analysezwecke, wenn man erkennen kann, wer welche Mail gelöscht hat. Zumindest wäre es gut, wenn man das einstellen könnte.

 

[Stoiko Ivanov]

Meiner Erfahrung nach ist die Korrelation in der Praxis gut möglich - wenn es viele Admins sind die parallel auf dem PMG arbeiten, würde ich eigene user anlegen - mit dem usernamen, dem Zeitpunkt des POSTs, und der Nachricht im journal das etwas gelöscht wurde kommen die meisten gut zurecht.

POST data komplett ins log schreiben hat gutes Potential dass dann auch Sachen im log landen, die dort wirklich nicht sein sollten (sensitive Daten) - deswegen planen wir das derzeit nicht zu implementieren.