PBS: connessione PVE sicura tramite API e crittografia

Introduzione

Questo tutorial spiega come collegare Proxmox VE a Proxmox Backup Server utilizzando token API di Proxmox, permessi limitati a un namespace e crittografia lato client. Questo approccio migliora la sicurezza di Proxmox VE perché Proxmox VE non ha bisogno della password completa di un utente PBS e il server di backup non ha accesso ai dati non cifrati dei backup delle VM.

Configurerai un'autenticazione sicura tramite token API, registrerai lo storage di Proxmox Backup Server in Proxmox VE, abiliterai la crittografia dei backup lato client e configurerai le pianificazioni di prune e garbage collection per evitare che il datastore consumi tutto lo spazio disponibile.

Prerequisiti

Destinatari: Amministratori di sistema di livello intermedio.
Tempo stimato: Da 45 a 60 minuti.
Obiettivo: Al termine di questo tutorial avrai un repository di backup Proxmox sicuro, collegato a Proxmox VE, con accesso tramite token API limitato, backup delle VM cifrati e impostazioni di retention adeguate alla tua capacità di storage.

Ambiente richiesto:

Proxmox VE 8.x o successivo.
Proxmox Backup Server 3.x o successivo.
Accesso amministrativo all'interfaccia web o alla shell di Proxmox VE.
Accesso amministrativo all'interfaccia web o alla shell di Proxmox Backup Server.
Un datastore PBS esistente.
Connettività di rete da Proxmox VE a PBS sulla porta TCP 8007.
Capacità del datastore sufficiente per il periodo di retention dei backup pianificato.

Valori di esempio utilizzati in questo tutorial:

Segnaposto	Valore di esempio	Descrizione
`<PBS_HOST>`	`pbs.example.com`	Hostname o indirizzo IP di PBS
`<PBS_PORT>`	`8007`	Porta API predefinita di PBS
`<DATASTORE>`	`backup-store`	Nome del datastore PBS
`<NAMESPACE>`	`pve-prod`	Namespace per questa origine Proxmox VE
`<PBS_USER>`	`pve-backup@pbs`	Utente PBS creato per Proxmox VE
`<TOKEN_NAME>`	`pve-token`	Nome del token API
`<TOKEN_ID>`	`pve-backup@pbs!pve-token`	ID completo del token API di PBS
`<PVE_STORAGE_ID>`	`pbs-secure`	ID dello storage mostrato in Proxmox VE
`<PBS_FINGERPRINT>`	`AA:BB:CC:...`	Fingerprint del certificato di PBS

Info

I token API di Proxmox Backup Server sono composti da un ID token e da un secret. Il secret viene mostrato una sola volta alla creazione del token, quindi salvalo subito in un password manager. Secondo la documentazione di Proxmox, i token API sono utili per una revoca semplice e per limitare i permessi per ciascun client.

Passaggio 1: Pianificare un'architettura di backup Proxmox sicura

Prima di modificare qualsiasi configurazione, definisci in che modo Proxmox VE deve accedere a PBS.

Usa questa architettura:

Componente	Impostazione consigliata
Autenticazione	Token API anziché password utente
Ambito di accesso	Namespace del datastore, non l'intero datastore
Ruolo PBS	DatastoreBackup più DatastoreReader se è necessario sfogliare i backup per il ripristino
Crittografia	Crittografia lato client abilitata in Proxmox VE
Retention	Job di prune di PBS o policy di retention del datastore
Pulizia dello spazio	Garbage collection pianificata dopo il prune
Risposta a una compromissione	Revocare il token e crearne uno sostitutivo

Questa architettura segue il principio del privilegio minimo. Proxmox Backup Server utilizza permessi basati su ruoli e su percorsi. L'accesso può essere assegnato a uno specifico datastore o al percorso di un namespace, ad esempio /datastore/<DATASTORE>/<NAMESPACE>.

Passaggio 2: Creare un utente PBS dedicato

Accedi alla shell di PBS come root o come altro amministratore.

Crea un utente dedicato nel realm PBS per Proxmox VE:

proxmox-backup-manager user create <PBS_USER> \ --comment "Proxmox VE backup user"

Risultato atteso: output vuoto o messaggio

User '<PBS_USER>' created.

Verifica che l'utente esista:

proxmox-backup-manager user list

Risultato atteso:

userid enable expire comment <PBS_USER> 1 Proxmox VE backup user root@pam 1 Superuser

Info

Un utente o un token API PBS appena creato non ha alcun permesso per impostazione predefinita. Devi assegnare un accesso esplicito prima che Proxmox VE possa utilizzarlo.

Passaggio 3: Creare un namespace per i backup di Proxmox VE

Un namespace consente di separare un host o un cluster Proxmox VE dalle altre origini di backup all'interno dello stesso datastore. È utile per un'autenticazione sicura dei backup Proxmox, perché i permessi possono essere limitati solo a quel namespace.

Puoi creare il namespace dall'interfaccia web di PBS:

Apri l'interfaccia web di PBS.
Vai a Datastore.
Seleziona <DATASTORE>.
Apri Content.
Fai clic su Add Namespace.
Inserisci <NAMESPACE>.
Fai clic su Create.

Risultato atteso: PBS crea il namespace nel datastore selezionato.

Se preferisci la riga di comando, usa il comando namespace del client PBS:

proxmox-backup-client namespace create <NAMESPACE> \
  --repository root@pam@localhost:<DATASTORE>

Info

Per creare un namespace devi inserire la password. Per gli script automatizzati, imposta le variabili d'ambiente PBS_PASSWORD e PBS_FINGERPRINT.

Risultato atteso: output vuoto o messaggio

Namespace '<NAMESPACE>' created.

Passaggio 4: Generare un token API

Crea un token API per l'utente PBS dall'interfaccia web, andando su Configuration → Access Control → API Token → Add:

In alternativa, genera un token API per l'utente PBS tramite la CLI:

proxmox-backup-manager user generate-token <PBS_USER> <TOKEN_NAME>

Output atteso:

{
  "tokenid": "<TOKEN_ID>",
  "value": "<TOKEN_SECRET>"
}

Salva subito <TOKEN_SECRET>. Dopo la creazione non può essere visualizzato di nuovo.

Warning

Non incollare il secret del token in sistemi di chat, documentazione, cronologia della shell, sistemi di ticketing o screenshot. Conservalo in un password manager o in un altro archivio di secret approvato.

Passaggio 5: Assegnare i permessi con il privilegio minimo

I permessi di un token API in PBS vengono calcolati a partire dalla ACL del token e poi intersecati con i permessi dell'utente padre. In pratica, sia l'utente sia il token necessitano dell'accesso appropriato, e il token non può mai fare più del proprio utente padre.

Concedi all'utente padre l'accesso di backup solo al namespace desiderato:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <PBS_USER>

Concedi al token lo stesso ruolo di backup:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <TOKEN_ID>

Se vuoi che Proxmox VE possa sfogliare e ripristinare i backup esistenti di sua proprietà nello stesso namespace, aggiungi anche DatastoreReader:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <PBS_USER>

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <TOKEN_ID>

Verifica le ACL:

proxmox-backup-manager acl list

Output atteso:

ugid                         path                                      roleid
<PBS_USER>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreBackup
<TOKEN_ID>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreBackup
<PBS_USER>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreReader
<TOKEN_ID>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreReader

Non assegnare Admin o DatastoreAdmin a un token di backup di Proxmox VE, a meno che non ci sia un motivo operativo specifico. Per la maggior parte dei backup di VM cifrati, un token limitato a un namespace con DatastoreBackup e, facoltativamente, DatastoreReader è una best practice più sicura per i backup Proxmox.

Passaggio 6: Annotare il fingerprint del certificato PBS

Se PBS utilizza un certificato autofirmato, Proxmox VE deve considerare attendibile il fingerprint di PBS.

Sul server PBS, esegui:

proxmox-backup-manager cert info | grep Fingerprint

Output atteso:

Fingerprint (sha256): <PBS_FINGERPRINT>

Salva il fingerprint per il passaggio successivo.

Info

La documentazione di Proxmox descrive il flusso di lavoro con il fingerprint per i certificati PBS autofirmati quando si aggiunge lo storage PBS a Proxmox VE.

Passaggio 7: Aggiungere lo storage PBS a Proxmox VE

Accedi come root alla shell di Proxmox VE.

Aggiungi lo storage PBS usando l'ID del token API come nome utente. Inserisci il secret del token quando richiesto:

pvesm add pbs <PVE_STORAGE_ID> \
  --server <PBS_HOST> \
  --port <PBS_PORT> \
  --datastore <DATASTORE> \
  --namespace <NAMESPACE> \
  --username <TOKEN_ID> \
  --fingerprint <PBS_FINGERPRINT> \
  --password

Quando richiesto, incolla il secret del token API:

Enter Password: <TOKEN_SECRET>

Risultato atteso: Proxmox VE aggiunge la configurazione dello storage PBS.

Verifica lo storage:

pvesm status --storage <PVE_STORAGE_ID>

Output atteso:

Name Type Status Total Used Available % <PVE_STORAGE_ID> pbs active ...

Con un token API limitato a un namespace, i valori Total, Used e Available possono risultare 0 anche quando lo stato è active. Questo comportamento è normale.

Puoi configurarlo anche dall'interfaccia web di Proxmox VE:

Apri Datacenter.
Vai a Storage.
Fai clic su Add.
Seleziona Proxmox Backup Server.
Imposta ID su <PVE_STORAGE_ID>.
Imposta Server su <PBS_HOST>.
Imposta Datastore su <DATASTORE>.
Imposta Namespace su <NAMESPACE>.
Imposta Username su <TOKEN_ID>.
Imposta Password sul secret del token API.
Imposta Fingerprint su <PBS_FINGERPRINT> se richiesto.
Fai clic su Add.

Risultato atteso: lo storage compare tra gli storage di Proxmox VE e risulta attivo.

Passaggio 8: Abilitare la crittografia lato client

La crittografia lato client protegge i dati di backup prima che lascino Proxmox VE. PBS memorizza backup di VM cifrati, ma la chiave di crittografia rimane sul lato Proxmox VE. Questo migliora la sicurezza dei backup di Proxmox VE, perché un datastore PBS compromesso, da solo, non espone il contenuto dei dischi delle VM.

Dall'interfaccia web di Proxmox VE:

Apri Datacenter.
Vai a Storage.
Seleziona <PVE_STORAGE_ID>.
Fai clic su Edit.
Vai alla scheda Encryption e seleziona Auto-generate a client encryption key.
Genera una nuova chiave se si tratta di un nuovo repository di backup sicuro.
Conserva una copia di backup della chiave di crittografia in un password manager o in un caveau di secret offline.
Fai clic su OK.

Risultato atteso: i nuovi backup su questo storage PBS vengono cifrati lato client.

Danger

La perdita della chiave di crittografia può rendere irrecuperabili i backup cifrati. Conserva la chiave separatamente dall'host Proxmox VE e verifica l'accesso al ripristino prima di fare affidamento sul set di backup.

Gestione consigliata della chiave:

Pratica	Motivo
Conservare la chiave al di fuori del cluster Proxmox VE	Protegge dalla perdita del cluster
Limitare i permessi del file	Riduce l'esposizione locale
Eseguire un backup offline della chiave	Consente il disaster recovery
Non conservare la chiave solo su PBS	La perdita o la compromissione di PBS non deve impedire il ripristino
Testare il ripristino con la chiave	Conferma che il ripristino funziona prima di un incidente

Passaggio 9: Creare un job di backup in Proxmox VE

Crea un job di backup che scriva sullo storage PBS cifrato.

Dall'interfaccia web di Proxmox VE:

Apri Datacenter.
Vai a Backup.
Fai clic su Add.
Seleziona i nodi, le VM o i container da proteggere.
Imposta Storage su <PVE_STORAGE_ID>.
Scegli una pianificazione, ad esempio ogni giorno alle 02:00.
Imposta la modalità in base al tuo carico di lavoro.
Lascia vuota la retention se sarà PBS a gestire il prune.
Fai clic su Create.

Risultato atteso: Proxmox VE crea un job di backup pianificato che scrive backup cifrati su PBS.

Mantieni la retention in un unico punto. Nella maggior parte delle architetture PBS, configura la retention su PBS tramite job di prune o impostazioni di retention del datastore e lascia vuota la retention del job Proxmox VE. In questo modo eviti sovrapposizioni confuse tra la retention di Proxmox VE e il prune di PBS.

Passaggio 10: Configurare le impostazioni di prune

Il prune decide quali snapshot di backup restano visibili e ripristinabili. Non rimuove immediatamente dal disco tutti i chunk non referenziati. I job di prune di PBS possono essere configurati dalla scheda Prune & GC o con proxmox-backup-manager prune-job. La documentazione di Proxmox indica che la configurazione dei job di prune è memorizzata in /etc/proxmox-backup/prune.cfg.

Una policy di retention comune per i backup giornalieri delle VM è:

Impostazione	Valore	Significato
`keep-daily`	7	Mantieni un backup al giorno per gli ultimi 7 giorni
`keep-weekly`	4	Mantieni un backup a settimana per le ultime 4 settimane
`keep-monthly`	6	Mantieni un backup al mese per gli ultimi 6 mesi

Configura questa policy sul datastore:

proxmox-backup-manager prune-job create <JOB_ID> \
  --store <DATASTORE> \
  --ns <NAMESPACE> \
  --keep-daily 7 \
  --keep-weekly 4 \
  --keep-monthly 6 \
  --prune-schedule "03:00"

Risultato atteso: PBS applica la retention ed esegue il prune ogni giorno alle 03:00.

Per un datastore più piccolo, usa una policy più breve:

proxmox-backup-manager prune-job create <JOB_ID> \
  --store <DATASTORE> \
  --ns <NAMESPACE> \
  --keep-daily 3 \
  --keep-weekly 2 \
  --keep-monthly 1 \
  --prune-schedule "03:00"

Risultato atteso: PBS mantiene meno punti di ripristino e consuma meno spazio.

Warning

Non impostare valori elevati come keep-daily 90, keep-weekly 52 e keep-monthly 36 senza aver calcolato la capacità necessaria. La deduplicazione dei backup aiuta, ma non rende lo storage illimitato.

Passaggio 11: Stimare il volume di storage dei backup

PBS deduplica i chunk, quindi il consumo di storage non è semplicemente la dimensione completa della VM moltiplicata per il numero di backup. Tuttavia, è comunque necessaria una stima prudente.

Usa questa formula:

Estimated required capacity = initial full protected data + changed data per backup * retained backup points + safety margin

Esempio 1: Ambiente piccolo

Valore	Quantità
Dati delle VM protetti	600 GiB
Tasso medio di variazione giornaliera	3 percento
Dati modificati al giorno	18 GiB
Retention	7 giornalieri, 4 settimanali, 6 mensili
Punti di ripristino mantenuti (approssimativo)	17
Stima dei dati modificati	306 GiB
Margine di sicurezza	30 percento

Calcolo:

600 GiB + (18 GiB * 17) = 906 GiB
906 GiB * 1.30 = 1177.8 GiB

Capacità consigliata del datastore: almeno 1,2 TiB, preferibilmente 1,5 TiB o più.

Esempio 2: Ambiente di produzione più grande

Valore	Quantità
Dati delle VM protetti	4 TiB
Tasso medio di variazione giornaliera	5 percento
Dati modificati per backup	204.8 GiB
Retention	14 giornalieri, 8 settimanali, 12 mensili
Punti di ripristino mantenuti (approssimativo)	34
Stima dei dati modificati	6.8 TiB
Margine di sicurezza	30 percento

Calcolo:

4 TiB + (204.8 GiB * 34) = 10.8 TiB
10.8 TiB * 1.30 = 14.04 TiB

Capacità consigliata del datastore: almeno 14 TiB, preferibilmente 16 TiB o più.

Info

Questi esempi sono volutamente prudenti. L'utilizzo effettivo dipende dalla variabilità dei dati delle VM, dal comportamento del filesystem guest, dalla compressione, dalla deduplicazione, dalla frequenza dei backup e da quanto spesso file di grandi dimensioni vengono riscritti all'interno dei sistemi guest.

Passaggio 12: Configurare la garbage collection

La garbage collection (GC) è il processo che rimuove effettivamente dal datastore i chunk non referenziati. Il prune elimina gli snapshot di backup secondo le regole di retention, ma i chunk possono rimanere su disco se altri snapshot li referenziano ancora o se si trovano ancora nella finestra di sicurezza.

La garbage collection di PBS si svolge in due fasi:

Fase	Cosa avviene
Mark	PBS legge i file di indice e aggiorna l'ora di accesso dei chunk referenziati
Sweep	PBS analizza i chunk e rimuove quelli più vecchi dell'orario limite se nessuno snapshot li referenzia

PBS utilizza un orario limite basato sul writer di backup in esecuzione più vecchio oppure su 24 ore e 5 minuti prima dell'avvio della GC. I chunk all'interno di questo periodo di tolleranza vengono registrati come rimozioni in sospeso anziché essere eliminati immediatamente. Questo protegge i backup in corso e tiene conto del comportamento relatime del filesystem.

Pianifica la GC dopo il prune:

proxmox-backup-manager datastore update <DATASTORE> \
  --gc-schedule "04:30"

Risultato atteso: PBS esegue la garbage collection ogni giorno alle 04:30.

Pianificazione consigliata per un backup giornaliero alle 02:00:

Attività	Orario di esempio	Scopo
Backup di Proxmox VE	02:00	Creare backup cifrati delle VM
Prune di PBS	03:00	Applicare la policy di retention
Garbage collection di PBS	04:30	Recuperare i chunk non referenziati quando è sicuro

Warning

Eseguire la GC subito dopo il prune non garantisce il recupero immediato dello spazio su disco. Alcuni chunk vengono mantenuti intenzionalmente come rimozioni in sospeso finché non sono abbastanza vecchi da poter essere eliminati in sicurezza.

Controlla lo stato della GC:

proxmox-backup-manager garbage-collection status <DATASTORE>

Avvia la GC manualmente quando necessario:

proxmox-backup-manager garbage-collection start <DATASTORE>

Risultato atteso: PBS avvia un task di garbage collection a livello di datastore. Anche la documentazione ufficiale di PBS riporta questi comandi e l'opzione dell'interfaccia web nella scheda Prune & GC del datastore.

Passaggio 13: Eseguire un backup di prova

Esegui manualmente il job di backup da Proxmox VE:

Apri Datacenter.
Vai a Backup.
Seleziona il job di backup.
Fai clic su Run now.
Conferma l'azione.

Risultato atteso: il task di backup viene completato con successo.

Puoi verificare anche dalla shell di Proxmox VE:

pvesm status --storage <PVE_STORAGE_ID>

Output atteso:

Name              Type     Status
<PVE_STORAGE_ID>  pbs      active

Su PBS, apri:

Datastore.
<DATASTORE>.
Content.
<NAMESPACE>.

Risultato atteso: il nuovo backup della VM o del container compare nel namespace.

Verifica

Verifica i permessi del token su PBS:

proxmox-backup-manager user permissions <TOKEN_ID> \
  --path /datastore/<DATASTORE>/<NAMESPACE>

Risultato atteso: il token mostra permessi sul datastore solo per il namespace di destinazione.

Verifica l'accesso allo storage da Proxmox VE:

pvesm status --storage <PVE_STORAGE_ID>

Risultato atteso:

<PVE_STORAGE_ID> pbs active

Verifica che i backup siano cifrati:

Apri Proxmox VE.
Seleziona il backup della VM sullo storage PBS.
Verifica che le operazioni di ripristino siano disponibili da Proxmox VE.
Verifica che la chiave sia stata salvata fuori dal cluster.

Verifica la configurazione di prune e GC:

proxmox-backup-manager datastore show <DATASTORE>

Risultato atteso: la configurazione del datastore mostra le pianificazioni di prune e garbage collection.

Cosa fare se il token API è compromesso

Se il secret del token è stato esposto, revocalo immediatamente.

Su PBS, elimina il token:

proxmox-backup-manager user delete-token <PBS_USER> <TOKEN_NAME>

Risultato atteso: PBS rimuove il token.

Quindi crea un token sostitutivo:

proxmox-backup-manager user generate-token <PBS_USER> <NEW_TOKEN_NAME>
proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup --auth-id '<PBS_USER>!<NEW_TOKEN_NAME>'
proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader --auth-id '<PBS_USER>!<NEW_TOKEN_NAME>'

Aggiorna la password dello storage in Proxmox VE:

pvesm set <PVE_STORAGE_ID> --username '<PBS_USER>!<NEW_TOKEN_NAME>'
pvesm set <PVE_STORAGE_ID> --password

Quando richiesto, incolla il nuovo secret del token.

Risultato atteso: Proxmox VE utilizza il nuovo token per l'autenticazione sicura tramite token API.

Info

I token API sono progettati per essere revocati facilmente quando un client è compromesso. È uno dei motivi principali per usare i token invece di memorizzare la password di un utente in Proxmox VE.

Ripristino delle modifiche

Danger

Prima di eliminare lo storage, salva una copia della chiave di crittografia fuori dal cluster.

Rimuovi la voce di storage di Proxmox VE:

pvesm remove <PVE_STORAGE_ID>

Risultato atteso: Proxmox VE rimuove la configurazione dello storage PBS. I backup esistenti su PBS rimangono nel datastore.

Elimina il token API:

proxmox-backup-manager user delete-token <PBS_USER> <TOKEN_NAME>

Risultato atteso: PBS revoca il token API.

Rimuovi le voci ACL:

proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <ID> --delete 1

proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <ID> --delete 1

Risultato atteso: PBS rimuove i permessi sul namespace.

Rimuovi l'utente dedicato se non è più necessario:

proxmox-backup-manager user remove <PBS_USER>

Risultato atteso: PBS rimuove l'utente.

Warning

Non eliminare il namespace o il datastore a meno che tu non voglia intenzionalmente rimuovere i dati di backup. Rimuovere la configurazione di accesso è diverso dall'eliminare i backup.

Risoluzione dei problemi

Proxmox VE mostra lo storage PBS come inattivo

Verifica l'accesso di rete:

nc -vz <PBS_HOST> 8007

Output atteso:

Connection to <PBS_HOST> 8007 port [tcp/*] succeeded!

Verifica il fingerprint di PBS:

proxmox-backup-manager cert info | grep Fingerprint

Se il fingerprint è cambiato, aggiornalo in Proxmox VE:

pvesm set <PVE_STORAGE_ID> --fingerprint <PBS_FINGERPRINT>

L'autenticazione con il token API non riesce

Verifica che il nome utente sia l'ID completo del token:

<PBS_USER>!<TOKEN_NAME>

Esempio:

pve-backup@pbs!pve-token

Verifica che il campo password contenga il secret del token e non la password dell'utente PBS.

Verifica i permessi:

proxmox-backup-manager acl list

Il token deve avere voci ACL sul percorso del namespace e anche l'utente padre deve avere permessi compatibili.

Il backup non riesce con errori di permessi

Controlla il percorso del namespace:

/datastore/<DATASTORE>/<NAMESPACE>

Non usare il percorso del filesystem del datastore, come /mnt/datastore/<DATASTORE>, quando assegni le ACL. I percorsi ACL di PBS usano il formato /datastore/<DATASTORE>.

Il datastore continua a crescere dopo il prune

Di solito è un comportamento atteso se la GC non è ancora stata eseguita o se i chunk si trovano ancora nella finestra di sicurezza. PBS non elimina i chunk subito dopo il prune, perché possono essere ancora referenziati da altri snapshot o protetti dalla finestra dell'orario limite della GC.

Controlla lo stato della GC:

proxmox-backup-manager garbage-collection status <DATASTORE>

Se la GC non è pianificata, configurala:

proxmox-backup-manager datastore update <DATASTORE> \
  --gc-schedule "04:30"

Impossibile ripristinare i backup cifrati

Verifica che lo storage di Proxmox VE abbia ancora accesso alla chiave di crittografia.

Controlla l'inventario interno delle chiavi di backup. Se il cluster Proxmox VE originale è andato perso, il ripristino richiede la chiave di crittografia salvata. Senza di essa, la crittografia dei backup lato client può impedire il recupero.

Conclusione

Hai configurato una connessione sicura da Proxmox VE a Proxmox Backup Server utilizzando un utente PBS dedicato, token API di Proxmox, permessi limitati a un namespace e crittografia lato client. Hai inoltre configurato le pianificazioni di prune e garbage collection, in modo che la crittografia dei backup in Proxmox resti sostenibile con la crescita dello storico dei backup.

Questa configurazione migliora l'autenticazione dei backup di Proxmox VE, protegge i backup cifrati delle VM dall'esposizione lato server e offre un repository di backup sicuro e pratico per la configurazione a lungo termine di Proxmox Backup Server.

Prossimi passi consigliati:

Testa il ripristino completo di una VM.
Testa un ripristino a livello di file.
Conserva la chiave di crittografia in almeno due posizioni sicure.
Monitora la crescita del datastore dopo ogni ciclo di prune e GC.
Aggiungi job di verifica di PBS per rilevare corruzioni silenziose dei backup.
Documenta il processo di revoca dei token nel tuo piano di risposta agli incidenti.

Versione del documento: 1.0
Ultimo aggiornamento: giugno 2026
Responsabile: Team di Documentazione Tecnica