Chiffrer ses sauvegardes Proxmox et conserver la clé

Avec le chiffrement côté client, Proxmox VE chiffre chaque bloc de données (AES-256 en mode GCM) sur votre serveur, avant l’envoi. myPBS ne reçoit que des données chiffrées et ne détient jamais la clé.

Sans la clé, personne ne peut restaurer vos sauvegardes chiffrées : ni vous, ni myPBS. Une clé perdue rend les données définitivement irrécupérables. Lisez la partie « Conserver la clé » avant d’activer le chiffrement.

Activer le chiffrement

Le chiffrement se règle sur le stockage, de préférence dès son ajout.

Dans l’interface : Datacenter, Stockage, le stockage myPBS, Modifier, onglet Chiffrement, puis l’option qui génère automatiquement une clé. Proxmox VE affiche alors la clé et propose de la télécharger et d’en imprimer une copie papier : faites-le immédiatement.

En ligne de commande, à l’ajout du stockage ou après :

pvesm add pbs mypbs-acme ... --encryption-key autogen
# ou, sur un stockage existant :
pvesm set mypbs-acme --encryption-key autogen

La clé est enregistrée sans phrase de passe dans /etc/pve/priv/storage/mypbs-acme.enc, partagée par tous les nœuds du cluster. Toutes les sauvegardes suivantes vers ce stockage sont chiffrées.

Sur un stockage déjà utilisé

Les sauvegardes déjà envoyées restent non chiffrées, jusqu’à ce que la rétention les supprime. La première sauvegarde chiffrée de chaque VM ou conteneur ne peut pas réutiliser les blocs non chiffrés : elle envoie et stocke à nouveau toutes les données. Prévoyez la durée d’envoi et une hausse temporaire du volume stocké.

Sauvegarder la clé

Faites au moins deux copies, hors de votre cluster. Le jour où vous en aurez besoin, c’est peut-être que le cluster a disparu, et la clé avec lui.

Copie du fichier de clé vers votre poste :

scp root@pve1:/etc/pve/priv/storage/mypbs-acme.enc ./mypbs-acme.enc

Copie papier (paperkey), à imprimer et à ranger en lieu sûr :

proxmox-backup-client key paperkey /etc/pve/priv/storage/mypbs-acme.enc --output-format text

Empreinte de la clé, utile pour savoir quelle clé correspond à quelles sauvegardes :

proxmox-backup-client key show /etc/pve/priv/storage/mypbs-acme.enc

Conserver la clé

• Rangez une copie dans un gestionnaire de mots de passe ou un coffre partagé de votre équipe, et une copie papier dans un lieu physique sûr.
• Notez à quel stockage et à quelle période correspond chaque clé, surtout si vous en changez.
• Ne la confiez pas à myPBS : nous ne pouvons ni la stocker ni la récupérer pour vous.
• Testez une restauration depuis un autre cluster, ou après avoir réimporté la clé, pour vérifier que votre copie est la bonne.

Restaurer sur un autre cluster

Ajoutez le stockage myPBS sur le nouveau cluster comme d’habitude, puis importez la même clé dans l’onglet Chiffrement du stockage (option qui utilise une clé existante, en collant le contenu du fichier .enc ou de la copie papier). Les sauvegardes chiffrées redeviennent restaurables. Sans la bonne clé, la restauration échoue avec « missing key » (voir Dépannage).

La clé maîtresse (master key)

Une clé maîtresse est une paire de clés RSA qui sert de secours. Quand elle est configurée, Proxmox VE ajoute à chaque sauvegarde chiffrée une copie de la clé de chiffrement, elle-même chiffrée avec la partie publique de la clé maîtresse. Avec la partie privée, vous pouvez retrouver la clé de chiffrement à partir de n’importe quelle sauvegarde, même si le fichier .enc est perdu.

1. Créez la paire sur un poste sûr, hors du cluster. La commande demande un mot de passe qui protège la partie privée :

   proxmox-backup-client key create-master-key
   

   Elle produit master-public.pem et master-private.pem.

2. Ajoutez la partie publique au stockage myPBS, qui doit déjà avoir une clé de chiffrement :

   pvesm set mypbs-acme --master-pubkey "$(base64 -w0 master-public.pem)"
   

3. Rangez master-private.pem et son mot de passe hors ligne, séparément l’un de l’autre. Ils ne doivent jamais se trouver sur le cluster.

Seules les sauvegardes faites après l’ajout de la clé maîtresse en contiennent une copie.

Pour retrouver la clé de chiffrement, on extrait d’une sauvegarde la copie chiffrée de la clé, puis on la déchiffre avec la partie privée, par exemple avec proxmox-backup-client key import-with-master-key.

Préparer la restauration

Après avoir conservé votre clé hors du cluster, suivez le guide pour restaurer une VM, un conteneur ou des fichiers Proxmox. Pour choisir votre copie hors site, comparez les offres Standard et Premium : le chiffrement côté client est possible dans les deux.