PBS: varna povezava PVE prek API-ja in šifriranja

Uvod

Ta vodnik pojasnjuje, kako povezati Proxmox VE s strežnikom Proxmox Backup Server z uporabo API žetonov Proxmox, dovoljenj, omejenih na namespace, in šifriranja na strani odjemalca. Ta pristop izboljša varnost okolja Proxmox VE, ker Proxmox VE ne potrebuje polnega gesla uporabnika PBS, strežnik za varnostne kopije pa nima dostopa do nešifriranih podatkov varnostnih kopij navideznih strojev.

Nastavili boste varno overjanje z API žetonom, registrirali shrambo Proxmox Backup Server v okolju Proxmox VE, omogočili šifriranje varnostnih kopij na strani odjemalca ter nastavili urnike za prune in garbage collection, da datastore ne bo porabil vsega razpoložljivega prostora.

Predpogoji

Ciljna publika: Sistemski administratorji s srednjo ravnjo znanja.
Ocenjeni čas izvedbe: od 45 do 60 minut.
Cilj: Ob koncu tega vodnika boste imeli varno skladišče varnostnih kopij Proxmox, povezano z okoljem Proxmox VE, z omejenim dostopom prek API žetona, šifriranimi varnostnimi kopijami navideznih strojev in nastavitvami hrambe, ki ustrezajo vaši zmogljivosti shranjevanja.

Zahtevano okolje:

• Proxmox VE 8.x ali novejši.
• Proxmox Backup Server 3.x ali novejši.
• Administratorski dostop do spletnega vmesnika ali lupine Proxmox VE.
• Administratorski dostop do spletnega vmesnika ali lupine strežnika Proxmox Backup Server.
• Obstoječ datastore PBS.
• Omrežna povezljivost od Proxmox VE do PBS na vratih TCP 8007.
• Dovolj zmogljivosti datastore za načrtovano obdobje hrambe varnostnih kopij.

Vzorčne vrednosti, uporabljene v tem vodniku:

Nadomestna oznaka	Vzorčna vrednost	Opis
<PBS_HOST>	pbs.example.com	Ime gostitelja ali naslov IP strežnika PBS
<PBS_PORT>	8007	Privzeta vrata API strežnika PBS
<DATASTORE>	backup-store	Ime datastore PBS
<NAMESPACE>	pve-prod	Namespace za ta vir Proxmox VE
<PBS_USER>	pve-backup@pbs	Uporabnik PBS, ustvarjen za Proxmox VE
<TOKEN_NAME>	pve-token	Ime API žetona
<TOKEN_ID>	pve-backup@pbs!pve-token	Celoten ID API žetona PBS
<PVE_STORAGE_ID>	pbs-secure	ID shrambe, prikazan v okolju Proxmox VE
<PBS_FINGERPRINT>	AA:BB:CC:...	Prstni odtis (fingerprint) potrdila PBS

Korak 1: Načrtujte varno zasnovo varnostnega kopiranja Proxmox

Preden spremenite kakršno koli konfiguracijo, določite, kako naj Proxmox VE dostopa do PBS.

Uporabite to zasnovo:

Komponenta	Priporočena nastavitev
Overjanje	API žeton namesto uporabniškega gesla
Obseg dostopa	Namespace v datastore, ne celoten datastore
Vloga PBS	DatastoreBackup in DatastoreReader, če je potrebno brskanje po kopijah za obnovitev
Šifriranje	Šifriranje na strani odjemalca, omogočeno v okolju Proxmox VE
Hramba	Opravilo prune v PBS ali pravilnik o hrambi datastore
Čiščenje prostora	Načrtovan garbage collection po operaciji prune
Odziv ob ogroženosti	Prekličite žeton in ustvarite nadomestnega

Ta zasnova sledi načelu najmanjših privilegijev. Proxmox Backup Server uporablja dovoljenja, ki temeljijo na vlogah in poteh. Dostop je mogoče dodeliti določenemu datastore ali poti namespace, na primer /datastore/<DATASTORE>/<NAMESPACE>.

Korak 2: Ustvarite namenskega uporabnika PBS

Prijavite se v lupino PBS kot root ali drug administrator.

Ustvarite namenskega uporabnika v realmu PBS za Proxmox VE:

proxmox-backup-manager user create <PBS_USER> \
  --comment "Proxmox VE backup user"

Pričakovani rezultat: prazen izpis ali sporočilo

User '<PBS_USER>' created.

Preverite, ali uporabnik obstaja:

proxmox-backup-manager user list

Pričakovani rezultat:

userid          enable  expire  comment
<PBS_USER>     1                Proxmox VE backup user
root@pam       1                Superuser

Korak 3: Ustvarite namespace za varnostne kopije Proxmox VE

Namespace omogoča, da v istem datastore ločite en gostitelj ali gručo Proxmox VE od drugih virov varnostnih kopij. To je uporabno za varno overjanje varnostnih kopij Proxmox, ker lahko dovoljenja omejite samo na ta namespace.

Namespace lahko ustvarite v spletnem vmesniku PBS:

1. Odprite spletni vmesnik PBS.
2. Pojdite na Datastore.
3. Izberite <DATASTORE>.
4. Odprite Content.
5. Kliknite Add Namespace.
6. Vnesite <NAMESPACE>.
7. Kliknite Create.

Pričakovani rezultat: PBS ustvari namespace v izbranem datastore.

Če imate raje ukazno vrstico, uporabite ukaz za namespace odjemalca PBS:

proxmox-backup-client namespace create <NAMESPACE> \
  --repository root@pam@localhost:<DATASTORE>

Pričakovani rezultat: prazen izpis ali sporočilo

Namespace '<NAMESPACE>' created.

Korak 4: Ustvarite API žeton

Ustvarite API žeton za uporabnika PBS v spletnem vmesniku tako, da odprete Configuration → Access Control → API Token → Add:

Lahko pa API žeton za uporabnika PBS ustvarite prek CLI:

proxmox-backup-manager user generate-token <PBS_USER> <TOKEN_NAME>

Pričakovani izpis:

{
  "tokenid": "<TOKEN_ID>",
  "value": "<TOKEN_SECRET>"
}

Takoj shranite <TOKEN_SECRET>. Po ustvarjanju ga ni več mogoče prikazati.

Korak 5: Dodelite dovoljenja z najmanjšimi privilegiji

Dovoljenja API žetona v PBS se izračunajo iz ACL žetona, nato pa se presekajo z dovoljenji nadrejenega uporabnika. V praksi tako uporabnik kot žeton potrebujeta ustrezen dostop, žeton pa nikoli ne more početi več kot njegov nadrejeni uporabnik.

Nadrejenemu uporabniku dodelite dostop za varnostno kopiranje samo do želenega namespace:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <PBS_USER>

Žetonu dodelite isto vlogo za varnostno kopiranje:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <TOKEN_ID>

Če želite, da lahko Proxmox VE brska po obstoječih lastnih kopijah v istem namespace in jih obnavlja, dodajte še DatastoreReader:

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <PBS_USER>

proxmox-backup-manager acl update \
  /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <TOKEN_ID>

Preverite ACL-je:

proxmox-backup-manager acl list

Pričakovani izpis:

ugid                         path                                      roleid
<PBS_USER>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreBackup
<TOKEN_ID>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreBackup
<PBS_USER>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreReader
<TOKEN_ID>                   /datastore/<DATASTORE>/<NAMESPACE>       DatastoreReader

Žetonu za varnostne kopije Proxmox VE ne dodeljujte vlog Admin ali DatastoreAdmin, razen če za to obstaja poseben operativni razlog. Za večino šifriranih varnostnih kopij navideznih strojev je žeton, omejen na namespace, z vlogo DatastoreBackup in po želji DatastoreReader varnejša dobra praksa za varnostne kopije Proxmox.

Korak 6: Zabeležite prstni odtis potrdila PBS

Če PBS uporablja samopodpisano potrdilo, mora Proxmox VE zaupati prstnemu odtisu (fingerprint) PBS.

Na strežniku PBS zaženite:

proxmox-backup-manager cert info | grep Fingerprint

Pričakovani izpis:

Fingerprint (sha256): <PBS_FINGERPRINT>

Shranite prstni odtis za naslednji korak.

Korak 7: Dodajte shrambo PBS v Proxmox VE

Prijavite se v lupino Proxmox VE kot root.

Dodajte shrambo PBS in kot uporabniško ime uporabite ID API žetona. Ko ste pozvani, vnesite skrivnost žetona:

pvesm add pbs <PVE_STORAGE_ID> \
  --server <PBS_HOST> \
  --port <PBS_PORT> \
  --datastore <DATASTORE> \
  --namespace <NAMESPACE> \
  --username <TOKEN_ID> \
  --fingerprint <PBS_FINGERPRINT> \
  --password

Ko ste pozvani, prilepite skrivnost API žetona:

Enter Password: <TOKEN_SECRET>

Pričakovani rezultat: Proxmox VE doda konfiguracijo shrambe PBS.

Preverite shrambo:

pvesm status --storage <PVE_STORAGE_ID>

Pričakovani izpis:

Name             Type     Status     Total        Used     Available     %
<PVE_STORAGE_ID> pbs      active     ...

Pri uporabi API žetona, omejenega na namespace, so vrednosti Total, Used in Available lahko prikazane kot 0, tudi če je stanje active. To je običajno.

To lahko nastavite tudi v spletnem vmesniku Proxmox VE:

1. Odprite Datacenter.
2. Pojdite na Storage.
3. Kliknite Add.
4. Izberite Proxmox Backup Server.
5. Nastavite ID na <PVE_STORAGE_ID>.
6. Nastavite Server na <PBS_HOST>.
7. Nastavite Datastore na <DATASTORE>.
8. Nastavite Namespace na <NAMESPACE>.
9. Nastavite Username na <TOKEN_ID>.
10. Nastavite Password na skrivnost API žetona.
11. Po potrebi nastavite Fingerprint na <PBS_FINGERPRINT>.
12. Kliknite Add.

Pričakovani rezultat: shramba se prikaže med shrambami Proxmox VE in je prikazana kot aktivna.

Korak 8: Omogočite šifriranje na strani odjemalca

Šifriranje na strani odjemalca zaščiti podatke varnostnih kopij, preden zapustijo Proxmox VE. PBS shranjuje šifrirane varnostne kopije navideznih strojev, šifrirni ključ pa ostane na strani Proxmox VE. To izboljša varnost varnostnih kopij Proxmox VE, ker ogrožen datastore PBS sam po sebi ne razkrije vsebine diskov navideznih strojev.

V spletnem vmesniku Proxmox VE:

1. Odprite Datacenter.
2. Pojdite na Storage.
3. Izberite <PVE_STORAGE_ID>.
4. Kliknite Edit.
5. Odprite zavihek Encryption in izberite Auto-generate a client encryption key.
6. Ustvarite nov ključ, če gre za novo varno skladišče varnostnih kopij.
7. Shranite varnostno kopijo šifrirnega ključa v upravitelj gesel ali brezpovezavni trezor skrivnosti.
8. Kliknite OK.

Pričakovani rezultat: nove varnostne kopije v tej shrambi PBS so šifrirane na strani odjemalca.

Priporočeno ravnanje s ključem:

Praksa	Razlog
Ključ hranite zunaj gruče Proxmox VE	Zaščiti pred izgubo gruče
Omejite dovoljenja datoteke	Zmanjša izpostavljenost na lokalni ravni
Naredite brezpovezavno kopijo ključa	Omogoča obnovitev po katastrofi
Ključa ne hranite samo v PBS	Izguba ali ogrozitev PBS ne sme preprečiti obnovitve
Preizkusite obnovitev s ključem	Potrdi, da obnovitev deluje, preden pride do incidenta

Korak 9: Ustvarite opravilo varnostnega kopiranja v Proxmox VE

Ustvarite opravilo varnostnega kopiranja, ki piše v šifrirano shrambo PBS.

V spletnem vmesniku Proxmox VE:

1. Odprite Datacenter.
2. Pojdite na Backup.
3. Kliknite Add.
4. Izberite vozlišča, navidezne stroje ali vsebnike, ki jih želite zaščititi.
5. Nastavite Storage na <PVE_STORAGE_ID>.
6. Izberite urnik, na primer vsak dan ob 02:00.
7. Način nastavite glede na vašo delovno obremenitev.
8. Hrambo pustite prazno, če bo prune upravljal PBS.
9. Kliknite Create.

Pričakovani rezultat: Proxmox VE ustvari načrtovano opravilo varnostnega kopiranja, ki šifrirane kopije zapisuje v PBS.

Hrambo upravljajte na enem mestu. Pri večini zasnov s PBS hrambo konfigurirajte v PBS z opravili prune ali nastavitvami hrambe datastore, hrambo v opravilu Proxmox VE pa pustite prazno. Tako se izognete zmedenemu prekrivanju hrambe v Proxmox VE in operacije prune v PBS.

Korak 10: Konfigurirajte nastavitve prune

Prune določa, kateri posnetki (snapshoti) varnostnih kopij ostanejo vidni in obnovljivi. Ne odstrani takoj vseh chunkov brez referenc z diska. Opravila prune v PBS lahko konfigurirate na zavihku Prune & GC ali z ukazom proxmox-backup-manager prune-job. Dokumentacija Proxmox navaja, da je konfiguracija opravil prune shranjena v /etc/proxmox-backup/prune.cfg.

Običajen pravilnik o hrambi za dnevne varnostne kopije navideznih strojev je:

Nastavitev	Vrednost	Pomen
keep-daily	7	Ohrani eno kopijo na dan za zadnjih 7 dni
keep-weekly	4	Ohrani eno kopijo na teden za zadnje 4 tedne
keep-monthly	6	Ohrani eno kopijo na mesec za zadnjih 6 mesecev

Ta pravilnik konfigurirajte na datastore:

proxmox-backup-manager prune-job create <JOB_ID> \
  --store <DATASTORE> \
  --ns <NAMESPACE> \
  --keep-daily 7 \
  --keep-weekly 4 \
  --keep-monthly 6 \
  --prune-schedule "03:00"

Pričakovani rezultat: PBS uporabi hrambo in izvaja prune vsak dan ob 03:00.

Za manjši datastore uporabite krajši pravilnik:

proxmox-backup-manager prune-job create <JOB_ID> \
  --store <DATASTORE> \
  --ns <NAMESPACE> \
  --keep-daily 3 \
  --keep-weekly 2 \
  --keep-monthly 1 \
  --prune-schedule "03:00"

Pričakovani rezultat: PBS ohrani manj obnovitvenih točk in porabi manj prostora.

Korak 11: Ocenite obseg shranjevanja varnostnih kopij

PBS deduplicira chunke, zato poraba prostora ni preprosto polna velikost navideznega stroja, pomnožena s številom kopij. Kljub temu potrebujete previdno oceno.

Uporabite to formulo:

Estimated required capacity = initial full protected data
+ changed data per backup * retained backup points
+ safety margin

Primer 1: Majhno okolje

Vrednost	Količina
Zaščiteni podatki navideznih strojev	600 GiB
Povprečna dnevna stopnja sprememb	3 odstotke
Spremenjeni podatki na dan	18 GiB
Hramba	7 dnevnih, 4 tedenske, 6 mesečnih
Približno število ohranjenih obnovitvenih točk	17
Ocena spremenjenih podatkov	306 GiB
Varnostna rezerva	30 odstotkov

Izračun:

600 GiB + (18 GiB * 17) = 906 GiB
906 GiB * 1.30 = 1177.8 GiB

Priporočena zmogljivost datastore: vsaj 1,2 TiB, po možnosti 1,5 TiB ali več.

Primer 2: Večje produkcijsko okolje

Vrednost	Količina
Zaščiteni podatki navideznih strojev	4 TiB
Povprečna dnevna stopnja sprememb	5 odstotkov
Spremenjeni podatki na kopijo	204.8 GiB
Hramba	14 dnevnih, 8 tedenskih, 12 mesečnih
Približno število ohranjenih obnovitvenih točk	34
Ocena spremenjenih podatkov	6.8 TiB
Varnostna rezerva	30 odstotkov

Izračun:

4 TiB + (204.8 GiB * 34) = 10.8 TiB
10.8 TiB * 1.30 = 14.04 TiB

Priporočena zmogljivost datastore: vsaj 14 TiB, po možnosti 16 TiB ali več.

Korak 12: Konfigurirajte garbage collection

Garbage collection (GC) je proces, ki dejansko odstrani chunke brez referenc iz datastore. Prune odstrani posnetke varnostnih kopij v skladu s pravili hrambe, vendar lahko chunki ostanejo na disku, če se nanje še sklicujejo drugi posnetki ali če so še znotraj varnostnega okna.

Garbage collection v PBS ima dve fazi:

Faza	Kaj se zgodi
Mark	PBS prebere indeksne datoteke in posodobi čas dostopa za chunke, na katere obstajajo reference
Sweep	PBS pregleda chunke in odstrani tiste, starejše od mejnega časa, če se nanje ne sklicuje noben posnetek

PBS uporablja mejni čas, ki temelji na najstarejšem izvajajočem se zapisovalniku varnostne kopije ali na 24 urah in 5 minutah pred začetkom GC. Chunki znotraj tega odloga so zabeleženi kot čakajoče odstranitve in niso takoj izbrisani. To ščiti trenutno potekajoče varnostne kopije in upošteva obnašanje relatime datotečnega sistema.

Načrtujte GC po operaciji prune:

proxmox-backup-manager datastore update <DATASTORE> \
  --gc-schedule "04:30"

Pričakovani rezultat: PBS izvaja garbage collection vsak dan ob 04:30.

Priporočen urnik za dnevno varnostno kopiranje ob 02:00:

Opravilo	Primer ure	Namen
Varnostna kopija Proxmox VE	02:00	Ustvarjanje šifriranih varnostnih kopij navideznih strojev
Prune v PBS	03:00	Uporaba pravilnika o hrambi
Garbage collection v PBS	04:30	Sprostitev chunkov brez referenc, ko je to varno

Preverite stanje GC:

proxmox-backup-manager garbage-collection status <DATASTORE>

Po potrebi ročno zaženite GC:

proxmox-backup-manager garbage-collection start <DATASTORE>

Pričakovani rezultat: PBS zažene opravilo garbage collection na ravni datastore. Uradna dokumentacija PBS prav tako vsebuje te ukaze in možnost v spletnem vmesniku na zavihku Prune & GC datastore.

Korak 13: Zaženite testno varnostno kopiranje

Opravilo varnostnega kopiranja zaženite ročno iz Proxmox VE:

1. Odprite Datacenter.
2. Pojdite na Backup.
3. Izberite opravilo varnostnega kopiranja.
4. Kliknite Run now.
5. Potrdite dejanje.

Pričakovani rezultat: opravilo varnostnega kopiranja se uspešno zaključi.

Preverite lahko tudi iz lupine Proxmox VE:

pvesm status --storage <PVE_STORAGE_ID>

Pričakovani izpis:

Name              Type     Status
<PVE_STORAGE_ID>  pbs      active

V PBS odprite:

1. Datastore.
2. <DATASTORE>.
3. Content.
4. <NAMESPACE>.

Pričakovani rezultat: nova varnostna kopija navideznega stroja ali vsebnika se prikaže v namespace.

Preverjanje

Preverite dovoljenja žetona v PBS:

proxmox-backup-manager user permissions <TOKEN_ID> \
  --path /datastore/<DATASTORE>/<NAMESPACE>

Pričakovani rezultat: žeton kaže dovoljenja za datastore samo za ciljni namespace.

Preverite dostop do shrambe iz Proxmox VE:

pvesm status --storage <PVE_STORAGE_ID>

Pričakovani rezultat:

<PVE_STORAGE_ID> pbs active

Preverite, ali so varnostne kopije šifrirane:

1. Odprite Proxmox VE.
2. Izberite varnostno kopijo navideznega stroja v shrambi PBS.
3. Prepričajte se, da so operacije obnovitve na voljo iz Proxmox VE.
4. Prepričajte se, da je kopija ključa shranjena zunaj gruče.

Preverite konfiguracijo prune in GC:

proxmox-backup-manager datastore show <DATASTORE>

Pričakovani rezultat: konfiguracija datastore prikazuje urnika za prune in garbage collection.

Kaj storiti, če je API žeton ogrožen

Če je bila skrivnost žetona razkrita, jo takoj prekličite.

V PBS izbrišite žeton:

proxmox-backup-manager user delete-token <PBS_USER> <TOKEN_NAME>

Pričakovani rezultat: PBS odstrani žeton.

Nato ustvarite nadomestni žeton:

proxmox-backup-manager user generate-token <PBS_USER> <NEW_TOKEN_NAME>
proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup --auth-id '<PBS_USER>!<NEW_TOKEN_NAME>'
proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader --auth-id '<PBS_USER>!<NEW_TOKEN_NAME>'

Posodobite geslo shrambe v Proxmox VE:

pvesm set <PVE_STORAGE_ID> --username '<PBS_USER>!<NEW_TOKEN_NAME>'
pvesm set <PVE_STORAGE_ID> --password

Ko ste pozvani, prilepite novo skrivnost žetona.

Pričakovani rezultat: Proxmox VE uporablja novi žeton za varno overjanje z API žetonom.

Razveljavitev sprememb

Odstranite vnos shrambe Proxmox VE:

pvesm remove <PVE_STORAGE_ID>

Pričakovani rezultat: Proxmox VE odstrani konfiguracijo shrambe PBS. Obstoječe varnostne kopije v PBS ostanejo v datastore.

Izbrišite API žeton:

proxmox-backup-manager user delete-token <PBS_USER> <TOKEN_NAME>

Pričakovani rezultat: PBS prekliče API žeton.

Odstranite vnose ACL:

proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreReader \
  --auth-id <ID> --delete 1

proxmox-backup-manager acl update /datastore/<DATASTORE>/<NAMESPACE> DatastoreBackup \
  --auth-id <ID> --delete 1

Pričakovani rezultat: PBS odstrani dovoljenja za namespace.

Namenskega uporabnika odstranite, če ga ne potrebujete več:

proxmox-backup-manager user remove <PBS_USER>

Pričakovani rezultat: PBS odstrani uporabnika.

Odpravljanje težav

Proxmox VE prikazuje shrambo PBS kot neaktivno

Preverite omrežni dostop:

nc -vz <PBS_HOST> 8007

Pričakovani izpis:

Connection to <PBS_HOST> 8007 port [tcp/*] succeeded!

Preverite prstni odtis PBS:

proxmox-backup-manager cert info | grep Fingerprint

Če se je prstni odtis spremenil, ga posodobite v Proxmox VE:

pvesm set <PVE_STORAGE_ID> --fingerprint <PBS_FINGERPRINT>

Overjanje z API žetonom ne uspe

Prepričajte se, da je uporabniško ime celoten ID žetona:

<PBS_USER>!<TOKEN_NAME>

Primer:

pve-backup@pbs!pve-token

Prepričajte se, da polje za geslo vsebuje skrivnost žetona in ne gesla uporabnika PBS.

Preverite dovoljenja:

proxmox-backup-manager acl list

Žeton mora imeti vnose ACL na poti namespace, nadrejeni uporabnik pa mora imeti prav tako združljiva dovoljenja.

Varnostno kopiranje ne uspe zaradi napak z dovoljenji

Preverite pot namespace:

/datastore/<DATASTORE>/<NAMESPACE>

Pri dodeljevanju ACL-jev ne uporabljajte poti datastore v datotečnem sistemu, kot je /mnt/datastore/<DATASTORE>. Poti ACL v PBS uporabljajo obliko /datastore/<DATASTORE>.

Datastore po operaciji prune še naprej raste

To je običajno pričakovano, če GC še ni stekel ali če so chunki še znotraj varnostnega okna. PBS chunkov ne izbriše takoj po operaciji prune, ker se nanje lahko še sklicujejo drugi posnetki ali pa jih ščiti okno mejnega časa GC.

Preverite stanje GC:

proxmox-backup-manager garbage-collection status <DATASTORE>

Če GC ni načrtovan, ga konfigurirajte:

proxmox-backup-manager datastore update <DATASTORE> \
  --gc-schedule "04:30"

Šifriranih varnostnih kopij ni mogoče obnoviti

Prepričajte se, da ima shramba Proxmox VE še vedno dostop do šifrirnega ključa.

Preglejte svoj notranji popis ključev varnostnih kopij. Če je izvirna gruča Proxmox VE izgubljena, obnovitev zahteva shranjen šifrirni ključ. Brez njega lahko šifriranje varnostnih kopij na strani odjemalca prepreči obnovitev.

Zaključek

Konfigurirali ste varno povezavo med Proxmox VE in Proxmox Backup Server z namenskim uporabnikom PBS, API žetoni Proxmox, dovoljenji, omejenimi na namespace, in šifriranjem na strani odjemalca. Nastavili ste tudi urnike za prune in garbage collection, da šifriranje varnostnih kopij v Proxmox ostane vzdržno, ko se zgodovina kopij povečuje.

Ta konfiguracija izboljša overjanje varnostnih kopij Proxmox VE, ščiti šifrirane varnostne kopije navideznih strojev pred izpostavljenostjo na strani strežnika in zagotavlja praktično, varno skladišče varnostnih kopij za dolgoročno konfiguracijo strežnika Proxmox Backup Server.

Priporočeni naslednji koraki:

• Preizkusite popolno obnovitev navideznega stroja.
• Preizkusite obnovitev na ravni datotek.
• Šifrirni ključ shranite na vsaj dveh varnih lokacijah.
• Spremljajte rast datastore po vsakem ciklu prune in GC.
• Dodajte opravila preverjanja PBS za odkrivanje tihe poškodovanosti varnostnih kopij.
• Postopek preklica žetonov dokumentirajte v svojem načrtu odzivanja na incidente.

Različica dokumenta: 1.0
Zadnja posodobitev: junij 2026
Lastnik: Ekipa za tehnično dokumentacijo