PBS: sigurna PVE veza putem API-ja i enkripcije

Uvod

Ovaj vodič objašnjava kako povezati Proxmox VE s Proxmox Backup Serverom pomoću Proxmox API tokena, dopuštenja ograničenih na namespace i enkripcije na strani klijenta. Ovaj pristup poboljšava sigurnost Proxmox VE-a jer Proxmox VE ne treba potpunu lozinku PBS korisnika, a poslužitelj sigurnosnih kopija nema pristup nešifriranim podacima sigurnosnih kopija virtualnih strojeva.

Konfigurirat ćete sigurnu autentikaciju API tokenom, registrirati pohranu Proxmox Backup Servera u Proxmox VE-u, omogućiti enkripciju sigurnosnih kopija na strani klijenta te postaviti rasporede za prune i garbage collection kako datastore ne bi potrošio sav dostupni prostor.

Preduvjeti

Ciljana publika: Sistemski administratori srednje razine znanja.
Procijenjeno vrijeme izvođenja: 45 do 60 minuta.
Cilj: Na kraju ovog vodiča imat ćete sigurno spremište sigurnosnih kopija Proxmox povezano s Proxmox VE-om, s ograničenim pristupom putem API tokena, šifriranim sigurnosnim kopijama virtualnih strojeva i postavkama zadržavanja koje odgovaraju vašem kapacitetu pohrane.

Potrebno okruženje:

• Proxmox VE 8.x ili noviji.
• Proxmox Backup Server 3.x ili noviji.
• Administratorski pristup web sučelju ili ljusci Proxmox VE-a.
• Administratorski pristup web sučelju ili ljusci Proxmox Backup Servera.
• Postojeći PBS datastore.
• Mrežna povezanost od Proxmox VE-a do PBS-a na TCP portu 8007.
• Dovoljan kapacitet datastorea za planirano razdoblje zadržavanja sigurnosnih kopija.

Primjeri vrijednosti korišteni u ovom vodiču:

Rezervirano mjesto	Primjer vrijednosti	Opis
<PBS_HOST>	pbs.example.com	Naziv hosta ili IP adresa PBS-a
<PBS_PORT>	8007	Zadani API port PBS-a
<DATASTORE>	backup-store	Naziv PBS datastorea
<NAMESPACE>	pve-prod	Namespace za ovaj izvor Proxmox VE
<PBS_USER>	pve-backup@pbs	PBS korisnik izrađen za Proxmox VE
<TOKEN_NAME>	pve-token	Naziv API tokena
<TOKEN_ID>	pve-backup@pbs!pve-token	Potpuni ID API tokena PBS-a
<PVE_STORAGE_ID>	pbs-secure	ID pohrane prikazan u Proxmox VE-u
<PBS_FINGERPRINT>	AA:BB:CC:...	Otisak (fingerprint) certifikata PBS-a

Korak 1: Planirajte sigurnu arhitekturu sigurnosnih kopija Proxmox

Prije promjene bilo koje konfiguracije definirajte kako Proxmox VE treba pristupati PBS-u.

Koristite sljedeću arhitekturu:

Komponenta	Preporučena postavka
Autentikacija	API token umjesto korisničke lozinke
Opseg pristupa	Namespace datastorea, a ne cijeli datastore
PBS uloga	DatastoreBackup uz DatastoreReader ako je potrebno pregledavanje sigurnosnih kopija radi vraćanja
Enkripcija	Enkripcija na strani klijenta omogućena u Proxmox VE-u
Zadržavanje	PBS prune zadatak ili pravilo zadržavanja datastorea
Oslobađanje prostora	Zakazani garbage collection nakon prunea
Odgovor na kompromitaciju	Opozovite token i izradite zamjenski

Ova arhitektura slijedi načelo najmanjih privilegija. Proxmox Backup Server koristi dopuštenja temeljena na ulogama i putanjama. Pristup se može dodijeliti određenom datastoreu ili putanji namespacea, primjerice /datastore/<DATASTORE>/<NAMESPACE>.

Korak 2: Izradite namjenskog PBS korisnika

Prijavite se u PBS ljusku kao root ili drugi administrator.

Izradite namjenskog korisnika u PBS realmu za Proxmox VE:

proxmox-backup-manager user create <PBS_USER> \
  --comment "Proxmox VE backup user"

Očekivani rezultat: prazan ispis ili poruka

User '<PBS_USER>' created.

Provjerite postoji li korisnik:

proxmox-backup-manager user list

Očekivani rezultat:

userid          enable  expire  comment
<PBS_USER>     1                Proxmox VE backup user
root@pam       1                Superuser

Korak 3: Izradite namespace za sigurnosne kopije Proxmox VE-a

Namespace omogućuje odvajanje jednog Proxmox VE hosta ili klastera od ostalih izvora sigurnosnih kopija unutar istog datastorea. To je korisno za sigurnu autentikaciju sigurnosnih kopija Proxmox jer se dopuštenja mogu ograničiti samo na taj namespace.

Namespace možete izraditi iz PBS web sučelja:

1. Otvorite PBS web sučelje.
2. Idite na Datastore.
3. Odaberite <DATASTORE>.
4. Otvorite Content.
5. Kliknite Add Namespace.
6. Unesite <NAMESPACE>.
7. Kliknite Create.

Očekivani rezultat: PBS izrađuje namespace u odabranom datastoreu.

Ako preferirate naredbeni redak, upotrijebite naredbu namespace PBS klijenta:

proxmox-backup-client namespace create <NAMESPACE> \
  --repository root@pam@localhost:<DATASTORE>

Očekivani rezultat: prazan ispis ili poruka

Namespace '<NAMESPACE>' created.

Korak 4: Generirajte API token

Izradite API token za PBS korisnika u web sučelju odlaskom na Configuration → Access Control → API Token → Add:

Alternativno, generirajte API token za PBS korisnika putem CLI-ja:

proxmox-backup-manager user generate-token <PBS_USER> <TOKEN_NAME>

Očekivani ispis:

{
  "tokenid": "<TOKEN_ID>",
  "value": "<TOKEN_SECRET>"
}

Odmah spremite <TOKEN_SECRET>. Nakon izrade više se ne može prikazati.

Korak 5: Dodijelite dopuštenja s najmanjim privilegijama

Dopuštenja API tokena u PBS-u izračunavaju se iz ACL-a tokena, a zatim se presijecaju s dopuštenjima nadređenog korisnika. U praksi i korisnik i token trebaju odgovarajući pristup, a token nikada ne može više od svog nadređenog korisnika.

Nadređenom korisniku dodijelite pristup za sigurnosne kopije samo na željeni namespace:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <PBS_USER>

Tokenu dodijelite istu ulogu za sigurnosne kopije:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <TOKEN_ID>

Ako želite da Proxmox VE može pregledavati i vraćati postojeće vlastite sigurnosne kopije iz istog namespacea, dodajte i DatastoreReader:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <PBS_USER>

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <TOKEN_ID>

Provjerite ACL-ove:

proxmox-backup-manager acl list

Očekivani ispis:

ugid                         path                                      roleid
<PBS_USER>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreBackup
<TOKEN_ID>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreBackup
<PBS_USER>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreReader
<TOKEN_ID>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreReader

Tokenu za sigurnosne kopije Proxmox VE-a nemojte dodjeljivati Admin ni DatastoreAdmin bez konkretnog operativnog razloga. Za većinu šifriranih sigurnosnih kopija virtualnih strojeva token ograničen na namespace s ulogom DatastoreBackup i po želji DatastoreReader sigurnija je dobra praksa za sigurnosne kopije Proxmox.

Korak 6: Zabilježite otisak certifikata PBS-a

Ako PBS koristi samopotpisani certifikat, Proxmox VE mora vjerovati otisku (fingerprintu) PBS-a.

Na PBS poslužitelju pokrenite:

proxmox-backup-manager cert info | grep Fingerprint

Očekivani ispis:

Fingerprint (sha256): <PBS_FINGERPRINT>

Spremite otisak za sljedeći korak.

Korak 7: Dodajte PBS pohranu u Proxmox VE

Prijavite se u ljusku Proxmox VE-a kao root.

Dodajte PBS pohranu koristeći ID API tokena kao korisničko ime. Kada se zatraži, unesite tajnu tokena:

pvesm add pbs <PVE_STORAGE_ID> \
  --server <PBS_HOST> \
  --port <PBS_PORT> \
  --datastore <DATASTORE> \
  --namespace <NAMESPACE> \
  --username <TOKEN_ID> \
  --fingerprint <PBS_FINGERPRINT> \
  --password

Kada se zatraži, zalijepite tajnu API tokena:

Enter Password: <TOKEN_SECRET>

Očekivani rezultat: Proxmox VE dodaje konfiguraciju PBS pohrane.

Provjerite pohranu:

pvesm status --storage <PVE_STORAGE_ID>

Očekivani ispis:

Name             Type     Status     Total        Used     Available     %
<PVE_STORAGE_ID> pbs      active     ...

Kod API tokena ograničenog na namespace vrijednosti Total, Used i Available mogu se prikazivati kao 0 čak i kada je status active. To je uobičajeno ponašanje.

Ovo možete konfigurirati i iz web sučelja Proxmox VE-a:

1. Otvorite Datacenter.
2. Idite na Storage.
3. Kliknite Add.
4. Odaberite Proxmox Backup Server.
5. Postavite ID na <PVE_STORAGE_ID>.
6. Postavite Server na <PBS_HOST>.
7. Postavite Datastore na <DATASTORE>.
8. Postavite Namespace na <NAMESPACE>.
9. Postavite Username na <TOKEN_ID>.
10. Postavite Password na tajnu API tokena.
11. Po potrebi postavite Fingerprint na <PBS_FINGERPRINT>.
12. Kliknite Add.

Očekivani rezultat: pohrana se pojavljuje među pohranama Proxmox VE-a i prikazuje se kao aktivna.

Korak 8: Omogućite enkripciju na strani klijenta

Enkripcija na strani klijenta štiti podatke sigurnosnih kopija prije nego što napuste Proxmox VE. PBS pohranjuje šifrirane sigurnosne kopije virtualnih strojeva, ali ključ za enkripciju ostaje na strani Proxmox VE-a. To poboljšava sigurnost sigurnosnih kopija Proxmox VE-a jer kompromitirani PBS datastore sam po sebi ne otkriva sadržaj diskova virtualnih strojeva.

Iz web sučelja Proxmox VE-a:

1. Otvorite Datacenter.
2. Idite na Storage.
3. Odaberite <PVE_STORAGE_ID>.
4. Kliknite Edit.
5. Idite na karticu Encryption i odaberite Auto-generate a client encryption key.
6. Generirajte novi ključ ako je riječ o novom sigurnom spremištu sigurnosnih kopija.
7. Spremite sigurnosnu kopiju ključa za enkripciju u upravitelj lozinki ili izvanmrežni trezor tajni.
8. Kliknite OK.

Očekivani rezultat: nove sigurnosne kopije na ovoj PBS pohrani šifriraju se na strani klijenta.

Preporučeno postupanje s ključem:

Praksa	Razlog
Čuvajte ključ izvan Proxmox VE klastera	Štiti od gubitka klastera
Ograničite dopuštenja datoteke	Smanjuje lokalnu izloženost
Izradite izvanmrežnu kopiju ključa	Omogućuje oporavak od katastrofe
Ne čuvajte ključ samo na PBS-u	Gubitak ili kompromitacija PBS-a ne smije blokirati oporavak
Testirajte vraćanje pomoću ključa	Potvrđuje da oporavak funkcionira prije incidenta

Korak 9: Izradite zadatak sigurnosne kopije u Proxmox VE-u

Izradite zadatak sigurnosne kopije koji piše na šifriranu PBS pohranu.

Iz web sučelja Proxmox VE-a:

1. Otvorite Datacenter.
2. Idite na Backup.
3. Kliknite Add.
4. Odaberite čvorove, virtualne strojeve ili kontejnere koje želite zaštititi.
5. Postavite Storage na <PVE_STORAGE_ID>.
6. Odaberite raspored, primjerice svaki dan u 02:00.
7. Postavite način rada prema svojem opterećenju.
8. Ostavite zadržavanje praznim ako će prune upravljati PBS.
9. Kliknite Create.

Očekivani rezultat: Proxmox VE izrađuje zakazani zadatak sigurnosne kopije koji šifrirane kopije zapisuje na PBS.

Zadržavanje držite na jednom mjestu. U većini PBS arhitektura konfigurirajte zadržavanje na PBS-u pomoću prune zadataka ili postavki zadržavanja datastorea, a zadržavanje u Proxmox VE zadatku ostavite praznim. Tako izbjegavate zbunjujuća preklapanja između zadržavanja u Proxmox VE-u i prunea u PBS-u.

Korak 10: Konfigurirajte postavke prunea

Prune određuje koji snapshotovi sigurnosnih kopija ostaju vidljivi i vratljivi. On ne uklanja odmah s diska sve chunkove bez referenci. PBS prune zadaci mogu se konfigurirati na kartici Prune & GC ili naredbom proxmox-backup-manager prune-job. Proxmox dokumentacija navodi da je konfiguracija prune zadataka pohranjena u /etc/proxmox-backup/prune.cfg.

Uobičajeno pravilo zadržavanja za dnevne sigurnosne kopije virtualnih strojeva je:

Postavka	Vrijednost	Značenje
keep-daily	7	Zadrži jednu kopiju dnevno za posljednjih 7 dana
keep-weekly	4	Zadrži jednu kopiju tjedno za posljednja 4 tjedna
keep-monthly	6	Zadrži jednu kopiju mjesečno za posljednjih 6 mjeseci

Konfigurirajte ovo pravilo na datastoreu:

proxmox-backup-manager prune-job create <JOB_ID> \
  --store <DATASTORE> \
  --ns <NAMESPACE> \
  --keep-daily 7 \
  --keep-weekly 4 \
  --keep-monthly 6 \
  --prune-schedule "03:00"

Očekivani rezultat: PBS primjenjuje zadržavanje i pokreće prune svaki dan u 03:00.

Za manji datastore koristite kraće pravilo:

proxmox-backup-manager prune-job create <JOB_ID> \
  --store <DATASTORE> \
  --ns <NAMESPACE> \
  --keep-daily 3 \
  --keep-weekly 2 \
  --keep-monthly 1 \
  --prune-schedule "03:00"

Očekivani rezultat: PBS zadržava manje točaka vraćanja i troši manje prostora.

Korak 11: Procijenite volumen pohrane sigurnosnih kopija

PBS deduplicira chunkove pa potrošnja prostora nije jednostavno puna veličina virtualnog stroja pomnožena brojem sigurnosnih kopija. Ipak vam je potrebna oprezna procjena.

Upotrijebite ovu formulu:

Estimated required capacity = initial full protected data
+ changed data per backup * retained backup points
+ safety margin

Primjer 1: Malo okruženje

Vrijednost	Iznos
Zaštićeni podaci virtualnih strojeva	600 GiB
Prosječna dnevna stopa promjene	3 posto
Promijenjeni podaci dnevno	18 GiB
Zadržavanje	7 dnevnih, 4 tjedne, 6 mjesečnih
Približan broj zadržanih točaka	17
Procjena promijenjenih podataka	306 GiB
Sigurnosna rezerva	30 posto

Izračun:

600 GiB + (18 GiB * 17) = 906 GiB
906 GiB * 1.30 = 1177.8 GiB

Preporučeni kapacitet datastorea: najmanje 1,2 TiB, po mogućnosti 1,5 TiB ili više.

Primjer 2: Veće produkcijsko okruženje

Vrijednost	Iznos
Zaštićeni podaci virtualnih strojeva	4 TiB
Prosječna dnevna stopa promjene	5 posto
Promijenjeni podaci po sigurnosnoj kopiji	204.8 GiB
Zadržavanje	14 dnevnih, 8 tjednih, 12 mjesečnih
Približan broj zadržanih točaka	34
Procjena promijenjenih podataka	6.8 TiB
Sigurnosna rezerva	30 posto

Izračun:

4 TiB + (204.8 GiB * 34) = 10.8 TiB
10.8 TiB * 1.30 = 14.04 TiB

Preporučeni kapacitet datastorea: najmanje 14 TiB, po mogućnosti 16 TiB ili više.

Korak 12: Konfigurirajte garbage collection

Garbage collection (GC) je proces koji doista uklanja chunkove bez referenci iz datastorea. Prune uklanja snapshotove sigurnosnih kopija prema pravilima zadržavanja, ali chunkovi mogu ostati na disku ako se na njih još pozivaju drugi snapshotovi ili ako su još unutar sigurnosnog prozora.

Garbage collection u PBS-u ima dvije faze:

Faza	Što se događa
Mark	PBS čita indeksne datoteke i ažurira vrijeme pristupa chunkovima na koje postoje reference
Sweep	PBS pregledava chunkove i uklanja one starije od graničnog vremena ako se na njih ne poziva nijedan snapshot

PBS koristi granično vrijeme utemeljeno na najstarijem aktivnom pisaču sigurnosne kopije ili na 24 sata i 5 minuta prije početka GC-a. Chunkovi unutar tog odgodnog razdoblja bilježe se kao uklanjanja na čekanju umjesto da se odmah brišu. To štiti sigurnosne kopije koje su u tijeku i uzima u obzir ponašanje relatime datotečnog sustava.

Zakažite GC nakon prunea:

proxmox-backup-manager datastore update <DATASTORE> \
  --gc-schedule "04:30"

Očekivani rezultat: PBS pokreće garbage collection svaki dan u 04:30.

Preporučeni raspored za dnevnu sigurnosnu kopiju u 02:00:

Zadatak	Primjer vremena	Svrha
Sigurnosna kopija Proxmox VE-a	02:00	Izrada šifriranih sigurnosnih kopija virtualnih strojeva
PBS prune	03:00	Primjena pravila zadržavanja
PBS garbage collection	04:30	Oslobađanje chunkova bez referenci kada je to sigurno

Provjerite status GC-a:

proxmox-backup-manager garbage-collection status <DATASTORE>

Po potrebi ručno pokrenite GC:

proxmox-backup-manager garbage-collection start <DATASTORE>

Očekivani rezultat: PBS pokreće zadatak garbage collectiona na razini datastorea. Službena PBS dokumentacija također navodi ove naredbe i opciju web sučelja na kartici Prune & GC datastorea.

Korak 13: Pokrenite probnu sigurnosnu kopiju

Ručno pokrenite zadatak sigurnosne kopije iz Proxmox VE-a:

1. Otvorite Datacenter.
2. Idite na Backup.
3. Odaberite zadatak sigurnosne kopije.
4. Kliknite Run now.
5. Potvrdite radnju.

Očekivani rezultat: zadatak sigurnosne kopije uspješno završava.

Možete provjeriti i iz ljuske Proxmox VE-a:

pvesm status --storage <PVE_STORAGE_ID>

Očekivani ispis:

Name              Type     Status
<PVE_STORAGE_ID>  pbs      active

Na PBS-u otvorite:

1. Datastore.
2. <DATASTORE>.
3. Content.
4. <NAMESPACE>.

Očekivani rezultat: nova sigurnosna kopija virtualnog stroja ili kontejnera pojavljuje se u namespaceu.

Provjera

Provjerite dopuštenja tokena na PBS-u:

proxmox-backup-manager user permissions <TOKEN_ID> \
  --path /datastore/<DATASTORE>/<NAMESPACE>

Očekivani rezultat: token prikazuje dopuštenja za datastore samo za ciljni namespace.

Provjerite pristup pohrani iz Proxmox VE-a:

pvesm status --storage <PVE_STORAGE_ID>

Očekivani rezultat:

<PVE_STORAGE_ID> pbs active

Provjerite jesu li sigurnosne kopije šifrirane:

1. Otvorite Proxmox VE.
2. Odaberite sigurnosnu kopiju virtualnog stroja na PBS pohrani.
3. Potvrdite da su operacije vraćanja dostupne iz Proxmox VE-a.
4. Potvrdite da je kopija ključa spremljena izvan klastera.

Provjerite konfiguraciju prunea i GC-a:

proxmox-backup-manager datastore show <DATASTORE>

Očekivani rezultat: konfiguracija datastorea prikazuje rasporede prunea i garbage collectiona.

Što učiniti ako je API token kompromitiran

Ako je tajna tokena izložena, odmah je opozovite.

Na PBS-u obrišite token:

proxmox-backup-manager user delete-token <PBS_USER> <TOKEN_NAME>

Očekivani rezultat: PBS uklanja token.

Zatim izradite zamjenski token:

proxmox-backup-manager user generate-token <PBS_USER> <NEW_TOKEN_NAME>
proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup --auth-id '<PBS_USER>!<NEW_TOKEN_NAME>'
proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader --auth-id '<PBS_USER>!<NEW_TOKEN_NAME>'

Ažurirajte lozinku pohrane u Proxmox VE-u:

pvesm set <PVE_STORAGE_ID> --username '<PBS_USER>!<NEW_TOKEN_NAME>'
pvesm set <PVE_STORAGE_ID> --password

Kada se zatraži, zalijepite novu tajnu tokena.

Očekivani rezultat: Proxmox VE koristi novi token za sigurnu autentikaciju API tokenom.

Poništavanje promjena

Uklonite unos pohrane iz Proxmox VE-a:

pvesm remove <PVE_STORAGE_ID>

Očekivani rezultat: Proxmox VE uklanja konfiguraciju PBS pohrane. Postojeće sigurnosne kopije na PBS-u ostaju u datastoreu.

Obrišite API token:

proxmox-backup-manager user delete-token <PBS_USER> <TOKEN_NAME>

Očekivani rezultat: PBS opoziva API token.

Uklonite ACL unose:

proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <ID> --delete 1

proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <ID> --delete 1

Očekivani rezultat: PBS uklanja dopuštenja za namespace.

Uklonite namjenskog korisnika ako više nije potreban:

proxmox-backup-manager user remove <PBS_USER>

Očekivani rezultat: PBS uklanja korisnika.

Rješavanje problema

Proxmox VE prikazuje PBS pohranu kao neaktivnu

Provjerite mrežni pristup:

nc -vz <PBS_HOST> 8007

Očekivani ispis:

Connection to <PBS_HOST> 8007 port [tcp/*] succeeded!

Provjerite otisak PBS-a:

proxmox-backup-manager cert info | grep Fingerprint

Ako se otisak promijenio, ažurirajte ga u Proxmox VE-u:

pvesm set <PVE_STORAGE_ID> --fingerprint <PBS_FINGERPRINT>

Autentikacija API tokenom ne uspijeva

Provjerite je li korisničko ime potpuni ID tokena:

<PBS_USER>!<TOKEN_NAME>

Primjer:

pve-backup@pbs!pve-token

Provjerite sadrži li polje za lozinku tajnu tokena, a ne lozinku PBS korisnika.

Provjerite dopuštenja:

proxmox-backup-manager acl list

Token mora imati ACL unose na putanji namespacea, a nadređeni korisnik također mora imati kompatibilna dopuštenja.

Sigurnosna kopija ne uspijeva zbog pogrešaka dopuštenja

Provjerite putanju namespacea:

/datastore/<DATASTORE>/<NAMESPACE>

Pri dodjeli ACL-ova nemojte koristiti putanju datastorea u datotečnom sustavu, primjerice /mnt/datastore/<DATASTORE>. PBS ACL putanje koriste format /datastore/<DATASTORE>.

Datastore nastavlja rasti nakon prunea

To je obično očekivano ako GC još nije pokrenut ili ako su chunkovi još unutar sigurnosnog prozora. PBS ne briše chunkove odmah nakon prunea jer se na njih mogu još pozivati drugi snapshotovi ili ih može štititi prozor graničnog vremena GC-a.

Provjerite status GC-a:

proxmox-backup-manager garbage-collection status <DATASTORE>

Ako GC nije zakazan, konfigurirajte ga:

proxmox-backup-manager datastore update <DATASTORE> \
  --gc-schedule "04:30"

Šifrirane sigurnosne kopije ne mogu se vratiti

Provjerite ima li pohrana Proxmox VE-a još uvijek pristup ključu za enkripciju.

Provjerite svoj interni popis ključeva sigurnosnih kopija. Ako je izvorni Proxmox VE klaster izgubljen, vraćanje zahtijeva spremljeni ključ za enkripciju. Bez njega enkripcija sigurnosnih kopija na strani klijenta može onemogućiti oporavak.

Zaključak

Konfigurirali ste sigurnu vezu između Proxmox VE-a i Proxmox Backup Servera pomoću namjenskog PBS korisnika, Proxmox API tokena, dopuštenja ograničenih na namespace i enkripcije na strani klijenta. Također ste konfigurirali rasporede prunea i garbage collectiona kako bi enkripcija sigurnosnih kopija u Proxmoxu ostala održiva kako povijest kopija raste.

Ova konfiguracija poboljšava autentikaciju sigurnosnih kopija Proxmox VE-a, štiti šifrirane sigurnosne kopije virtualnih strojeva od izloženosti na strani poslužitelja i pruža praktično, sigurno spremište sigurnosnih kopija za dugoročnu konfiguraciju Proxmox Backup Servera.

Preporučeni sljedeći koraci:

• Testirajte potpuno vraćanje virtualnog stroja.
• Testirajte vraćanje na razini datoteka.
• Spremite ključ za enkripciju na najmanje dvije sigurne lokacije.
• Pratite rast datastorea nakon svakog ciklusa prunea i GC-a.
• Dodajte PBS zadatke provjere kako biste otkrili tihu oštećenost sigurnosnih kopija.
• Dokumentirajte postupak opoziva tokena u svojem planu reagiranja na incidente.

Verzija dokumenta: 1.0
Zadnje ažuriranje: lipanj 2026
Vlasnik: Tim za tehničku dokumentaciju