From 2cee9ff8a30cf30aa22cdc7a555ea08090516d0b Mon Sep 17 00:00:00 2001
From: mm <mm@kalina>
Date: Sun, 13 Sep 2026 21:06:56 +0200
Subject: [PATCH] =?UTF-8?q?docs(pve):=20Sys.Audit=20auf=20/nodes=20und=20/?=
 =?UTF-8?q?nodes/<knoten>=20noetig=20=E2=80=94=20PVEAuditor=20auf=20/=20al?=
 =?UTF-8?q?lein=20liefert=20nichts?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 README.md | 19 +++++++++++++++++++
 1 file changed, 19 insertions(+)

diff --git a/README.md b/README.md
index 3ff1669..71f07ab 100644
--- a/README.md
+++ b/README.md
@@ -51,6 +51,25 @@ Zuerst auf dem PVE-Host den Token anlegen:
 pveum user add telegraf@pve
 pveum user token add telegraf@pve monitoring -privsep 1     # UUID notieren!
 pveum acl modify / -token 'telegraf@pve!monitoring' -role PVEAuditor
+# WICHTIG: PVEAuditor auf / reicht NICHT. Das Plugin fragt zuerst
+# /nodes/<node>/dns ab und braucht dort Sys.Audit, sonst liefert es
+# komplett nichts (kein Fehler im Log, nur leere Metriken):
+pveum acl modify /nodes -token 'telegraf@pve!monitoring' -role PVEAuditor
+pveum acl modify /nodes/<PVE-KNOTENNAME> -token 'telegraf@pve!monitoring' -role PVEAuditor
+```
+
+Falls das nicht greift, eigene Rolle mit Sys.Audit:
+
+```sh
+pveum role add TelegrafAudit -privs "Sys.Audit VM.Audit Datastore.Audit Pool.Audit SDN.Audit"
+pveum acl modify / -token 'telegraf@pve!monitoring' -role TelegrafAudit
+```
+
+**Prüfen** (muss Daten liefern, nicht `null`):
+
+```sh
+curl -sk -H 'Authorization=***' \
+  https://127.0.0.1:8006/api2/json/nodes/<PVE-KNOTEN>/dns
 ```
 
 Dann auf **jedem PVE-Knoten** (auf dem Host selbst, nicht in einer VM).