PBS: conexión PVE segura mediante API y cifrado

Introducción

Este tutorial explica cómo conectar Proxmox VE con Proxmox Backup Server mediante tokens de API de Proxmox, permisos limitados a un namespace y cifrado del lado del cliente. Este enfoque mejora la seguridad de Proxmox VE, ya que Proxmox VE no necesita la contraseña completa de un usuario de PBS y el servidor de copias de seguridad no necesita acceso a los datos de las copias de las VM sin cifrar.

Configurará una autenticación segura mediante tokens de API, registrará el almacenamiento de Proxmox Backup Server en Proxmox VE, habilitará el cifrado de las copias de seguridad en el cliente y programará tareas de prune y de garbage collection para evitar que el datastore consuma todo el almacenamiento disponible.

Requisitos previos

Público objetivo: Administradores de sistemas de nivel intermedio.
Tiempo estimado: De 45 a 60 minutos.
Objetivo: Al finalizar este tutorial, tendrá un repositorio de copias de seguridad de Proxmox seguro y conectado a Proxmox VE, con acceso restringido mediante token de API, copias de seguridad de VM cifradas y ajustes de retención acordes con su capacidad de almacenamiento.

Entorno necesario:

Proxmox VE 8.x o posterior.
Proxmox Backup Server 3.x o posterior.
Acceso administrativo a la interfaz web o a la shell de Proxmox VE.
Acceso administrativo a la interfaz web o a la shell de Proxmox Backup Server.
Un datastore de PBS existente.
Conectividad de red desde Proxmox VE hasta PBS por el puerto TCP 8007.
Capacidad suficiente en el datastore para el periodo de retención de copias previsto.

Valores de ejemplo utilizados en este tutorial:

Marcador de posición	Valor de ejemplo	Descripción
`<PBS_HOST>`	`pbs.example.com`	Nombre de host o dirección IP de PBS
`<PBS_PORT>`	`8007`	Puerto de API predeterminado de PBS
`<DATASTORE>`	`backup-store`	Nombre del datastore de PBS
`<NAMESPACE>`	`pve-prod`	Namespace para este origen de Proxmox VE
`<PBS_USER>`	`pve-backup@pbs`	Usuario de PBS creado para Proxmox VE
`<TOKEN_NAME>`	`pve-token`	Nombre del token de API
`<TOKEN_ID>`	`pve-backup@pbs!pve-token`	ID completo del token de API de PBS
`<PVE_STORAGE_ID>`	`pbs-secure`	ID del almacenamiento que se muestra en Proxmox VE
`<PBS_FINGERPRINT>`	`AA:BB:CC:...`	Fingerprint del certificado de PBS

Info

Los tokens de API de Proxmox Backup Server constan de un ID de token y un secreto. El secreto se muestra una sola vez al crear el token, por lo que debe guardarlo de inmediato en un gestor de contraseñas. Según la documentación de Proxmox, los tokens de API facilitan la revocación y permiten limitar los permisos por cliente.

Paso 1: Planificar el diseño seguro de copias de seguridad de Proxmox

Antes de cambiar cualquier configuración, defina cómo debe acceder Proxmox VE a PBS.

Utilice este diseño:

Componente	Configuración recomendada
Autenticación	Token de API en lugar de contraseña de usuario
Ámbito de acceso	Namespace del datastore, no el datastore completo
Rol de PBS	DatastoreBackup más DatastoreReader si se necesita explorar las copias para restaurarlas
Cifrado	Cifrado del lado del cliente habilitado en Proxmox VE
Retención	Tarea de prune de PBS o política de retención del datastore
Liberación de espacio	Garbage collection programada después del prune
Respuesta ante un compromiso	Revocar el token y crear uno de reemplazo

Este diseño sigue el principio de mínimo privilegio. Proxmox Backup Server utiliza permisos basados en roles y en rutas. El acceso se puede asignar a un datastore concreto o a la ruta de un namespace, como /datastore/<DATASTORE>/<NAMESPACE>.

Paso 2: Crear un usuario de PBS dedicado

Inicie sesión en la shell de PBS como root u otro administrador.

Cree un usuario dedicado en el realm de PBS para Proxmox VE:

proxmox-backup-manager user create <PBS_USER> \ --comment "Proxmox VE backup user"

Resultado esperado: salida vacía o mensaje

User '<PBS_USER>' created.

Compruebe que el usuario existe:

proxmox-backup-manager user list

Resultado esperado:

userid enable expire comment <PBS_USER> 1 Proxmox VE backup user root@pam 1 Superuser

Info

Un usuario o token de API de PBS recién creado no tiene permisos de forma predeterminada. Debe asignar acceso de forma explícita antes de que Proxmox VE pueda utilizarlo.

Paso 3: Crear un namespace para las copias de seguridad de Proxmox VE

Un namespace permite separar un host o clúster de Proxmox VE de otros orígenes de copias de seguridad dentro del mismo datastore. Esto resulta útil para una autenticación segura de las copias de Proxmox, ya que los permisos se pueden limitar únicamente a ese namespace.

Puede crear el namespace desde la interfaz web de PBS:

Abra la interfaz web de PBS.
Vaya a Datastore.
Seleccione <DATASTORE>.
Abra Content.
Haga clic en Add Namespace.
Introduzca <NAMESPACE>.
Haga clic en Create.

Resultado esperado: PBS crea el namespace dentro del datastore seleccionado.

Si prefiere la línea de comandos, utilice el comando de namespace del cliente de PBS:

proxmox-backup-client namespace create <NAMESPACE> \
  --repository root@pam@localhost:<DATASTORE>

Info

Debe introducir la contraseña al crear un namespace. En scripts automatizados, defina las variables de entorno PBS_PASSWORD y PBS_FINGERPRINT.

Resultado esperado: salida vacía o mensaje

Namespace '<NAMESPACE>' created.

Paso 4: Generar un token de API

Cree un token de API para el usuario de PBS desde la interfaz web, navegando a Configuration → Access Control → API Token → Add:

Como alternativa, genere un token de API para el usuario de PBS mediante la CLI:

proxmox-backup-manager user generate-token <PBS_USER> <TOKEN_NAME>

Salida esperada:

{
  "tokenid": "<TOKEN_ID>",
  "value": "<TOKEN_SECRET>"
}

Guarde <TOKEN_SECRET> de inmediato. No se podrá volver a mostrar después de su creación.

Warning

No pegue el secreto del token en sistemas de chat, documentación, historial de la shell, sistemas de tickets ni capturas de pantalla. Guárdelo en un gestor de contraseñas o en otro almacén de secretos aprobado.

Paso 5: Asignar permisos de mínimo privilegio

Los permisos de un token de API en PBS se calculan a partir de la ACL del token y, después, se intersecan con los permisos del usuario padre. En la práctica, tanto el usuario como el token necesitan el acceso adecuado, y el token nunca puede hacer más que su usuario padre.

Conceda al usuario padre acceso de copia de seguridad únicamente al namespace deseado:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <PBS_USER>

Conceda al token el mismo rol de copia de seguridad:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <TOKEN_ID>

Si desea que Proxmox VE pueda explorar y restaurar las copias existentes de su propiedad en el mismo namespace, añada también DatastoreReader:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <PBS_USER>

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <TOKEN_ID>

Compruebe las ACL:

proxmox-backup-manager acl list

Salida esperada:

ugid                         path                                      roleid
<PBS_USER>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreBackup
<TOKEN_ID>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreBackup
<PBS_USER>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreReader
<TOKEN_ID>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreReader

No asigne Admin ni DatastoreAdmin a un token de copias de seguridad de Proxmox VE salvo que exista un motivo operativo concreto. Para la mayoría de las copias de VM cifradas, un token limitado a un namespace con DatastoreBackup y, opcionalmente, DatastoreReader es una práctica recomendada más segura para las copias de Proxmox.

Paso 6: Registrar el fingerprint del certificado de PBS

Si PBS utiliza un certificado autofirmado, Proxmox VE debe confiar en el fingerprint de PBS.

En el servidor PBS, ejecute:

proxmox-backup-manager cert info | grep Fingerprint

Salida esperada:

Fingerprint (sha256): <PBS_FINGERPRINT>

Guarde el fingerprint para el siguiente paso.

Info

La documentación de Proxmox describe el flujo de trabajo con el fingerprint para certificados autofirmados de PBS al añadir almacenamiento PBS a Proxmox VE.

Paso 7: Añadir el almacenamiento PBS a Proxmox VE

Inicie sesión como root en la shell de Proxmox VE.

Añada el almacenamiento PBS usando el ID del token de API como nombre de usuario. Introduzca el secreto del token cuando se le solicite:

pvesm add pbs <PVE_STORAGE_ID> \
  --server <PBS_HOST> \
  --port <PBS_PORT> \
  --datastore <DATASTORE> \
  --namespace <NAMESPACE> \
  --username <TOKEN_ID> \
  --fingerprint <PBS_FINGERPRINT> \
  --password

Cuando se le solicite, pegue el secreto del token de API:

Enter Password: <TOKEN_SECRET>

Resultado esperado: Proxmox VE añade la configuración del almacenamiento PBS.

Compruebe el almacenamiento:

pvesm status --storage <PVE_STORAGE_ID>

Salida esperada:

Name Type Status Total Used Available % <PVE_STORAGE_ID> pbs active ...

Al usar un token de API restringido a un namespace, los valores Total, Used y Available pueden mostrarse como 0 aunque el estado sea active. Este comportamiento es normal.

También puede configurarlo desde la interfaz web de Proxmox VE:

Abra Datacenter.
Vaya a Storage.
Haga clic en Add.
Seleccione Proxmox Backup Server.
Establezca ID en <PVE_STORAGE_ID>.
Establezca Server en <PBS_HOST>.
Establezca Datastore en <DATASTORE>.
Establezca Namespace en <NAMESPACE>.
Establezca Username en <TOKEN_ID>.
Establezca Password en el secreto del token de API.
Establezca Fingerprint en <PBS_FINGERPRINT> si es necesario.
Haga clic en Add.

Resultado esperado: el almacenamiento aparece en el almacenamiento de Proxmox VE y se muestra como activo.

Paso 8: Habilitar el cifrado del lado del cliente

El cifrado del lado del cliente protege los datos de las copias de seguridad antes de que salgan de Proxmox VE. PBS almacena copias de VM cifradas, pero la clave de cifrado permanece en Proxmox VE. Esto mejora la seguridad de las copias de Proxmox VE, ya que un datastore de PBS comprometido, por sí solo, no expone el contenido de los discos de las VM.

Desde la interfaz web de Proxmox VE:

Abra Datacenter.
Vaya a Storage.
Seleccione <PVE_STORAGE_ID>.
Haga clic en Edit.
Vaya a la pestaña Encryption y seleccione Auto-generate a client encryption key.
Genere una clave nueva si se trata de un repositorio de copias de seguridad seguro nuevo.
Guarde una copia de la clave de cifrado en un gestor de contraseñas o en una caja fuerte de secretos sin conexión.
Haga clic en OK.

Resultado esperado: las nuevas copias de seguridad en este almacenamiento PBS se cifran en el lado del cliente.

Danger

Perder la clave de cifrado puede hacer que las copias cifradas sean irrecuperables. Guarde la clave por separado del host de Proxmox VE y pruebe el acceso de restauración antes de confiar en el conjunto de copias.

Gestión recomendada de la clave:

Práctica	Motivo
Guardar la clave fuera del clúster de Proxmox VE	Protege frente a la pérdida del clúster
Restringir los permisos del archivo	Reduce la exposición local
Hacer una copia de la clave sin conexión	Permite la recuperación ante desastres
No guardar la clave solo en PBS	La pérdida o el compromiso de PBS no debe impedir la recuperación
Probar la restauración con la clave	Confirma que la recuperación funciona antes de un incidente

Paso 9: Crear una tarea de copia de seguridad en Proxmox VE

Cree una tarea de copia de seguridad que escriba en el almacenamiento PBS cifrado.

Desde la interfaz web de Proxmox VE:

Abra Datacenter.
Vaya a Backup.
Haga clic en Add.
Seleccione los nodos, VM o contenedores que desea proteger.
Establezca Storage en <PVE_STORAGE_ID>.
Elija una programación, por ejemplo, diaria a las 02:00.
Establezca el modo según su carga de trabajo.
Deje la retención vacía si PBS gestionará el prune.
Haga clic en Create.

Resultado esperado: Proxmox VE crea una tarea de copia de seguridad programada que escribe copias cifradas en PBS.

Mantenga la retención en un solo lugar. En la mayoría de los diseños con PBS, configure la retención en PBS mediante tareas de prune o los ajustes de retención del datastore, y deje vacía la retención de la tarea de Proxmox VE. Así evita solapamientos confusos entre la retención de Proxmox VE y el prune de PBS.

Paso 10: Configurar los ajustes de prune

El prune decide qué snapshots de copia de seguridad permanecen visibles y restaurables. No elimina de inmediato del disco todos los chunks sin referencias. Las tareas de prune de PBS se pueden configurar desde la pestaña Prune & GC o con proxmox-backup-manager prune-job. La documentación de Proxmox indica que la configuración de las tareas de prune se almacena en /etc/proxmox-backup/prune.cfg.

Una política de retención habitual para copias de VM diarias es:

Ajuste	Valor	Significado
`keep-daily`	7	Conservar una copia por día durante los últimos 7 días
`keep-weekly`	4	Conservar una copia por semana durante las últimas 4 semanas
`keep-monthly`	6	Conservar una copia por mes durante los últimos 6 meses

Configure esta política en el datastore:

proxmox-backup-manager prune-job create <JOB_ID> \
  --store <DATASTORE> \
  --ns <NAMESPACE> \
  --keep-daily 7 \
  --keep-weekly 4 \
  --keep-monthly 6 \
  --prune-schedule "03:00"

Resultado esperado: PBS aplica la retención y ejecuta el prune a diario a las 03:00.

Para un datastore más pequeño, utilice una política más corta:

proxmox-backup-manager prune-job create <JOB_ID> \
  --store <DATASTORE> \
  --ns <NAMESPACE> \
  --keep-daily 3 \
  --keep-weekly 2 \
  --keep-monthly 1 \
  --prune-schedule "03:00"

Resultado esperado: PBS conserva menos puntos de restauración y consume menos espacio.

Warning

No establezca valores altos, como keep-daily 90, keep-weekly 52 y keep-monthly 36, sin haber calculado la capacidad necesaria. La deduplicación de las copias ayuda, pero no hace que el almacenamiento sea ilimitado.

Paso 11: Estimar el volumen de almacenamiento de las copias

PBS deduplica chunks, por lo que el consumo de almacenamiento no es simplemente el tamaño completo de la VM multiplicado por el número de copias. Aun así, necesita una estimación conservadora.

Utilice esta fórmula:

Estimated required capacity = initial full protected data + changed data per backup * retained backup points + safety margin

Ejemplo 1: Entorno pequeño

Valor	Cantidad
Datos de VM protegidos	600 GiB
Tasa media de cambio diario	3 por ciento
Datos modificados por día	18 GiB
Retención	7 diarias, 4 semanales, 6 mensuales
Puntos de restauración conservados (aproximado)	17
Estimación de datos modificados	306 GiB
Margen de seguridad	30 por ciento

Cálculo:

600 GiB + (18 GiB * 17) = 906 GiB
906 GiB * 1.30 = 1177.8 GiB

Capacidad recomendada del datastore: al menos 1,2 TiB, preferiblemente 1,5 TiB o más.

Ejemplo 2: Entorno de producción más grande

Valor	Cantidad
Datos de VM protegidos	4 TiB
Tasa media de cambio diario	5 por ciento
Datos modificados por copia	204.8 GiB
Retención	14 diarias, 8 semanales, 12 mensuales
Puntos de restauración conservados (aproximado)	34
Estimación de datos modificados	6.8 TiB
Margen de seguridad	30 por ciento

Cálculo:

4 TiB + (204.8 GiB * 34) = 10.8 TiB
10.8 TiB * 1.30 = 14.04 TiB

Capacidad recomendada del datastore: al menos 14 TiB, preferiblemente 16 TiB o más.

Info

Estos ejemplos son deliberadamente conservadores. El uso real depende de la rotación de datos de las VM, del comportamiento del sistema de archivos invitado, de la compresión, de la deduplicación, de la frecuencia de las copias y de la frecuencia con la que se reescriben archivos grandes dentro de los sistemas invitados.

Paso 12: Configurar la garbage collection

La garbage collection (GC) es el proceso que realmente elimina del datastore los chunks sin referencias. El prune elimina snapshots de copia según las reglas de retención, pero los chunks pueden permanecer en disco si otros snapshots aún los referencian o si todavía están dentro de la ventana de seguridad.

La garbage collection de PBS tiene dos fases:

Fase	Qué ocurre
Mark	PBS lee los archivos de índice y actualiza la hora de acceso de los chunks referenciados
Sweep	PBS recorre los chunks y elimina los anteriores a la hora de corte si ningún snapshot los referencia

PBS utiliza una hora de corte basada en el escritor de copias en ejecución más antiguo o en 24 horas y 5 minutos antes del inicio de la GC. Los chunks dentro de este periodo de gracia se registran como eliminaciones pendientes en lugar de borrarse de inmediato. Esto protege las copias en curso y tiene en cuenta el comportamiento relatime del sistema de archivos.

Programe la GC después del prune:

proxmox-backup-manager datastore update <DATASTORE> \
  --gc-schedule "04:30"

Resultado esperado: PBS ejecuta la garbage collection a diario a las 04:30.

Programación recomendada para una copia diaria a las 02:00:

Tarea	Hora de ejemplo	Finalidad
Copia de seguridad de Proxmox VE	02:00	Crear copias de VM cifradas
Prune de PBS	03:00	Aplicar la política de retención
Garbage collection de PBS	04:30	Recuperar chunks sin referencias cuando sea seguro

Warning

Ejecutar la GC inmediatamente después del prune no garantiza una recuperación inmediata de espacio en disco. Algunos chunks se mantienen intencionadamente como eliminaciones pendientes hasta que son lo bastante antiguos para borrarse con seguridad.

Compruebe el estado de la GC:

proxmox-backup-manager garbage-collection status <DATASTORE>

Inicie la GC manualmente cuando sea necesario:

proxmox-backup-manager garbage-collection start <DATASTORE>

Resultado esperado: PBS inicia una tarea de garbage collection a nivel de datastore. La documentación oficial de PBS también incluye estos comandos y la opción de la interfaz web en la pestaña Prune & GC del datastore.

Paso 13: Ejecutar una copia de seguridad de prueba

Ejecute manualmente la tarea de copia de seguridad desde Proxmox VE:

Abra Datacenter.
Vaya a Backup.
Seleccione la tarea de copia de seguridad.
Haga clic en Run now.
Confirme la acción.

Resultado esperado: la tarea de copia de seguridad finaliza correctamente.

También puede comprobarlo desde la shell de Proxmox VE:

pvesm status --storage <PVE_STORAGE_ID>

Salida esperada:

Name              Type     Status
<PVE_STORAGE_ID>  pbs      active

En PBS, abra:

Datastore.
<DATASTORE>.
Content.
<NAMESPACE>.

Resultado esperado: la nueva copia de la VM o del contenedor aparece en el namespace.

Verificación

Compruebe los permisos del token en PBS:

proxmox-backup-manager user permissions <TOKEN_ID> \
  --path /datastore/<DATASTORE>/<NAMESPACE>

Resultado esperado: el token muestra permisos sobre el datastore únicamente para el namespace de destino.

Compruebe el acceso al almacenamiento desde Proxmox VE:

pvesm status --storage <PVE_STORAGE_ID>

Resultado esperado:

<PVE_STORAGE_ID> pbs active

Compruebe que las copias de seguridad están cifradas:

Abra Proxmox VE.
Seleccione la copia de la VM en el almacenamiento PBS.
Confirme que las operaciones de restauración están disponibles desde Proxmox VE.
Confirme que la clave tiene copia de seguridad fuera del clúster.

Compruebe la configuración de prune y GC:

proxmox-backup-manager datastore show <DATASTORE>

Resultado esperado: la configuración del datastore muestra las programaciones de prune y de garbage collection.

Qué hacer si el token de API está comprometido

Si el secreto del token ha quedado expuesto, revóquelo de inmediato.

En PBS, elimine el token:

proxmox-backup-manager user delete-token <PBS_USER> <TOKEN_NAME>

Resultado esperado: PBS elimina el token.

A continuación, cree un token de reemplazo:

proxmox-backup-manager user generate-token <PBS_USER> <NEW_TOKEN_NAME>
proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup --auth-id '<PBS_USER>!<NEW_TOKEN_NAME>'
proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader --auth-id '<PBS_USER>!<NEW_TOKEN_NAME>'

Actualice la contraseña del almacenamiento en Proxmox VE:

pvesm set <PVE_STORAGE_ID> --username '<PBS_USER>!<NEW_TOKEN_NAME>'
pvesm set <PVE_STORAGE_ID> --password

Cuando se le solicite, pegue el nuevo secreto del token.

Resultado esperado: Proxmox VE utiliza el nuevo token para la autenticación segura mediante token de API.

Info

Los tokens de API están diseñados para poder revocarse fácilmente cuando un cliente se ve comprometido. Este es uno de los principales motivos para usar tokens en lugar de guardar la contraseña de un usuario en Proxmox VE.

Revertir los cambios

Danger

Antes de eliminar el almacenamiento, guarde una copia de la clave de cifrado fuera del clúster.

Elimine la entrada de almacenamiento de Proxmox VE:

pvesm remove <PVE_STORAGE_ID>

Resultado esperado: Proxmox VE elimina la configuración del almacenamiento PBS. Las copias de seguridad existentes en PBS permanecen en el datastore.

Elimine el token de API:

proxmox-backup-manager user delete-token <PBS_USER> <TOKEN_NAME>

Resultado esperado: PBS revoca el token de API.

Elimine las entradas de ACL:

proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <ID> --delete 1

proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <ID> --delete 1

Resultado esperado: PBS elimina los permisos del namespace.

Elimine el usuario dedicado si ya no es necesario:

proxmox-backup-manager user remove <PBS_USER>

Resultado esperado: PBS elimina el usuario.

Warning

No elimine el namespace ni el datastore salvo que quiera borrar intencionadamente los datos de las copias. Eliminar la configuración de acceso no es lo mismo que borrar las copias de seguridad.

Solución de problemas

Proxmox VE muestra el almacenamiento PBS como inactivo

Compruebe el acceso de red:

nc -vz <PBS_HOST> 8007

Salida esperada:

Connection to <PBS_HOST> 8007 port [tcp/*] succeeded!

Compruebe el fingerprint de PBS:

proxmox-backup-manager cert info | grep Fingerprint

Si el fingerprint ha cambiado, actualícelo en Proxmox VE:

pvesm set <PVE_STORAGE_ID> --fingerprint <PBS_FINGERPRINT>

Falla la autenticación con el token de API

Confirme que el nombre de usuario es el ID completo del token:

<PBS_USER>!<TOKEN_NAME>

Ejemplo:

pve-backup@pbs!pve-token

Confirme que el campo de contraseña contiene el secreto del token y no la contraseña del usuario de PBS.

Compruebe los permisos:

proxmox-backup-manager acl list

El token debe tener entradas de ACL en la ruta del namespace, y el usuario padre también debe tener permisos compatibles.

La copia de seguridad falla con errores de permisos

Compruebe la ruta del namespace:

/datastore/<DATASTORE>/<NAMESPACE>

No utilice la ruta del sistema de archivos del datastore, como /mnt/datastore/<DATASTORE>, al asignar ACL. Las rutas de ACL de PBS usan el formato /datastore/<DATASTORE>.

El datastore sigue creciendo después del prune

Esto suele ser lo esperado si la GC aún no se ha ejecutado o si los chunks siguen dentro de la ventana de seguridad. PBS no elimina los chunks inmediatamente después del prune, porque otros snapshots aún pueden referenciarlos o la ventana de corte de la GC puede protegerlos.

Compruebe el estado de la GC:

proxmox-backup-manager garbage-collection status <DATASTORE>

Si la GC no está programada, configúrela:

proxmox-backup-manager datastore update <DATASTORE> \
  --gc-schedule "04:30"

No se pueden restaurar las copias de seguridad cifradas

Confirme que el almacenamiento de Proxmox VE sigue teniendo acceso a la clave de cifrado.

Revise el inventario interno de claves de copia de seguridad. Si se pierde el clúster de Proxmox VE original, la restauración requiere la clave de cifrado guardada. Sin ella, el cifrado de copias del lado del cliente puede impedir la recuperación.

Conclusión

Ha configurado una conexión segura entre Proxmox VE y Proxmox Backup Server mediante un usuario de PBS dedicado, tokens de API de Proxmox, permisos limitados a un namespace y cifrado del lado del cliente. También ha configurado programaciones de prune y garbage collection para que el cifrado de las copias de seguridad en Proxmox siga siendo sostenible a medida que crece el historial.

Esta configuración mejora la autenticación de las copias de seguridad de Proxmox VE, protege las copias de VM cifradas frente a la exposición en el servidor y ofrece un repositorio de copias de seguridad seguro y práctico para la configuración a largo plazo de Proxmox Backup Server.

Siguientes pasos recomendados:

Pruebe una restauración completa de una VM.
Pruebe una restauración a nivel de archivo.
Guarde la clave de cifrado en al menos dos ubicaciones seguras.
Supervise el crecimiento del datastore después de cada ciclo de prune y GC.
Añada tareas de verificación de PBS para detectar corrupción silenciosa de las copias.
Documente el proceso de revocación de tokens en su plan de respuesta a incidentes.

Versión del documento: 1.0
Última actualización: junio de 2026
Responsable: Equipo de Documentación Técnica