Connecter Proxmox VE

Le datastore s’ajoute comme un stockage de type Proxmox Backup Server. Vous avez besoin des informations de connexion de votre espace client : serveur, port, datastore, utilisateur (token) et secret du jeton.

Utilisez toujours le nom du serveur indiqué dans l’espace client (par exemple pbs-01.exemple.fr), jamais une adresse IP : le certificat du serveur est émis pour ce nom.

Prérequis réseau : vos nœuds Proxmox VE doivent pouvoir joindre le serveur en sortie, en TCP sur le port 8007.

Ce stockage sauvegarde vos VM et vos conteneurs. Pour sauvegarder aussi la configuration de l’hôte lui-même (réseau, stockages, utilisateurs), voir Sauvegarder la configuration d’un hôte Proxmox VE.

Par l’interface web

1. Ouvrez Datacenter, puis Stockage, Ajouter et Proxmox Backup Server.
2. Renseignez l’onglet Général :
   • ID : un nom au choix pour ce stockage, par exemple mypbs-acme ;
   • Serveur : l’adresse du serveur indiquée dans l’espace client ;
   • Nom d’utilisateur : l’utilisateur (token), de la forme acme@pbs!pve ;
   • Mot de passe : le secret du jeton ;
   • Datastore : le nom de votre datastore ;
   • Espace de noms : laissez vide ;
   • Empreinte : laissez vide (recommandé, fonctionne avec Proxmox VE à jour) ; pour un ancien Proxmox VE, voir plus bas ;
   • Nœuds : tous, sauf si vous voulez limiter les nœuds qui sauvegardent.
3. Onglet Rétention : choisissez Conserver toutes les sauvegardes. Votre rétention, réglée dans l’espace client myPBS, est appliquée côté serveur ; votre jeton ne peut pas supprimer de sauvegarde, une rétention réglée dans Proxmox VE échouerait donc.
4. Onglet Chiffrement : choisissez maintenant si vous chiffrez vos sauvegardes, voir Chiffrement côté client.
5. Validez avec Ajouter.

Par la commande pvesm

La commande fournie par l’espace client est équivalente, sans empreinte (recommandé, fonctionne avec Proxmox VE à jour). Exécutez-la en root sur un nœud ; la configuration est partagée par tout le cluster.

pvesm add pbs mypbs-acme \
  --server pbs-01.exemple.fr --port 8007 \
  --datastore acme \
  --username 'acme@pbs!pve' \
  --password 'SECRET-DU-JETON'

Pour un ancien Proxmox VE qui demande l’empreinte, ajoutez l’option correspondante (voir L’empreinte du certificat) :

pvesm add pbs mypbs-acme ... --fingerprint 'AB:CD:EF:...'

Le bloc ajouté à /etc/pve/storage.cfg ressemble à ceci. Le secret n’y figure pas : Proxmox VE le range à part, dans /etc/pve/priv/storage/.

pbs: mypbs-acme
	server pbs-01.exemple.fr
	port 8007
	datastore acme
	username acme@pbs!pve
	content backup

Si vous éditez ce fichier à la main, renseignez ensuite le secret :

pvesm set mypbs-acme --password 'SECRET-DU-JETON'

Pour que Proxmox VE n’essaie jamais de supprimer de sauvegarde sur ce stockage, réglez sa rétention sur « tout conserver » :

pvesm set mypbs-acme --prune-backups keep-all=1

Vérifiez ensuite que le stockage est actif :

pvesm status --storage mypbs-acme

Plusieurs Proxmox VE sur un même datastore

Un cluster Proxmox VE peut partager un même datastore sans précaution : le cluster garantit que chaque VM et chaque conteneur a un numéro unique.

Avec des Proxmox VE indépendants (hors cluster), chacun numérote ses VM de son côté : deux nœuds peuvent avoir chacun une VM 101. Sur un même datastore, leurs sauvegardes arrivent alors dans le même groupe vm/101 et sont traitées comme celles d’une seule VM :

• la rétention efface une partie des sauvegardes : au-delà des dernières 48 heures, elle ne garde qu’une sauvegarde par jour pour le groupe, donc d’une seule des deux VM ;
• les limites quotidiennes se déclenchent : les sauvegardes des deux VM s’additionnent, et le datastore peut passer en lecture seule jusqu’à minuit ;
• la restauration prête à confusion : chaque nœud voit les sauvegardes des deux VM sous le même numéro ;
• les sauvegardes sont plus lentes : chaque passage relit tout le disque, faute de pouvoir repartir de la sauvegarde précédente.

Rien ne signale l’erreur au moment de la sauvegarde. Pour l’éviter :

• un datastore par nœud (recommandé) : chaque Proxmox VE indépendant a son propre datastore myPBS ;
• ou des numéros uniques : renumérotez les VM et les conteneurs pour qu’aucun numéro ne soit utilisé sur deux nœuds, avant de les sauvegarder sur le même datastore.

L’empreinte du certificat

L’empreinte (fingerprint) est le condensé SHA-256 du certificat du serveur. Le serveur présente un certificat public, reconnu automatiquement et renouvelé de lui-même avant son échéance. Deux méthodes de connexion sont possibles.

Sans empreinte (recommandé)

Laissez le champ Empreinte vide et n’ajoutez pas --fingerprint : Proxmox VE vérifie le certificat avec les autorités de certification du système, comme un navigateur. C’est la commande affichée par défaut dans l’espace client ; elle fonctionne avec Proxmox VE à jour, et rien n’est à faire quand le certificat est renouvelé.

Avec l’empreinte (ancien Proxmox VE)

Un ancien Proxmox VE, ou un nœud dont les autorités de certification ne sont pas à jour, peut refuser la connexion sans empreinte. Dans l’espace client, carte Connexion Proxmox VE, ouvrez Ancien Proxmox VE ? Utiliser l’empreinte : vous y trouvez l’empreinte actuelle (bouton Copier), la date de fin de validité du certificat et la date approximative du prochain renouvellement.

Avec une empreinte, vous devez la mettre à jour après chaque renouvellement du certificat (environ tous les 60 jours), sinon les sauvegardes échouent avec une erreur d’empreinte. Pour un stockage déjà ajouté, la commande prête à copier est affichée au même endroit :

pvesm set mypbs-acme --fingerprint 'AB:CD:EF:...'

Cochez Me prévenir quand l’empreinte change : à chaque renouvellement, vous recevez un e-mail avec la nouvelle empreinte et cette commande. Vous pouvez aussi contrôler l’empreinte vous-même depuis un nœud :

openssl s_client -connect pbs-01.exemple.fr:8007 -servername pbs-01.exemple.fr </dev/null 2>/dev/null \
  | openssl x509 -noout -fingerprint -sha256

Dès que votre Proxmox VE est à jour, revenez à la méthode sans empreinte :

pvesm set mypbs-acme --delete fingerprint

Si l’empreinte ne correspond plus, Proxmox VE refuse la connexion : voir Dépannage.

Le jeton API

Vous ne vous connectez pas avec un mot de passe de compte, mais avec un jeton API (token) :

• le nom d’utilisateur se termine par !pve : c’est le nom du jeton, rattaché à l’utilisateur de votre datastore ;
• le secret du jeton sert de mot de passe ;
• ses droits se limitent à votre seul datastore : il peut envoyer des sauvegardes, les lister et les restaurer.

Le jeton ne peut pas supprimer de sauvegarde. Seule votre rétention, réglée dans l’espace client et appliquée par le serveur, supprime les anciennes sauvegardes. C’est une protection contre les rançongiciels : un jeton volé ne permet pas d’effacer vos sauvegardes. Dans Proxmox VE, le bouton Supprimer d’une sauvegarde de ce stockage échoue donc avec une erreur de permission : c’est normal.

Régénérer le jeton

Depuis l’espace client, vous pouvez générer un nouveau secret, par exemple si l’ancien a été perdu ou exposé. L’ancien est révoqué immédiatement : les sauvegardes échouent tant que Proxmox VE n’a pas le nouveau secret.

Mettez-le à jour dans Datacenter, Stockage, le stockage myPBS, Modifier, champ Mot de passe, ou en ligne de commande :

pvesm set mypbs-acme --password 'NOUVEAU-SECRET'

Le nom d’utilisateur ne change pas, et vos sauvegardes existantes restent rattachées au même jeton : rien d’autre à modifier. Si vous synchronisez aussi depuis votre propre Proxmox Backup Server, mettez à jour le secret du « Remote » de la même façon (voir Synchroniser votre PBS avec myPBS).