Dépannage des sauvegardes Proxmox

Pour chaque message : ce qu’il signifie, et comment le corriger. Les exemples utilisent un stockage nommé mypbs-acme : remplacez-le par le vôtre.

missing key

Message : la restauration, la restauration de fichiers ou la sauvegarde échoue avec « missing key », souvent suivi de l’empreinte de la clé attendue.

Cause : la sauvegarde est chiffrée, et le stockage de ce cluster n’a pas de clé de chiffrement, ou pas la bonne. Cela arrive après une réinstallation, sur un autre cluster, ou après un changement de clé.

Solution :

1. Comparez l’empreinte attendue avec celle de vos copies de clé :

   proxmox-backup-client key show ./mypbs-acme.enc
   

2. Importez la bonne clé dans l’onglet Chiffrement du stockage myPBS, puis relancez l’opération. Voir Chiffrement côté client.

Sans la clé d’origine, ni vous ni nous ne pouvons déchiffrer ces sauvegardes.

backup owner check failed

Message : la sauvegarde d’une VM échoue avec « backup owner check failed », suivi de deux identités différentes.

Cause : dans Proxmox Backup Server, chaque groupe de sauvegardes (par exemple vm/100) appartient à l’identité qui l’a créé. Une autre identité ne peut pas y ajouter de sauvegarde.

Avec myPBS, vous utilisez toujours le même jeton, …@pbs!pve, qui garde son nom quand vous régénérez son secret : ce message ne devrait pas apparaître. Vérifiez que le nom d’utilisateur du stockage est exactement celui de l’espace client, y compris le suffixe !pve.

Si le nom est correct et que l’erreur persiste, contactez-nous : le propriétaire d’un groupe ne se modifie que côté serveur.

fingerprint mismatch

Message : le stockage devient inactif ; les sauvegardes et l’ajout du stockage échouent avec une erreur d’empreinte (« fingerprint mismatch », ou empreinte non vérifiée).

Cause : l’empreinte enregistrée dans le stockage ne correspond plus au certificat présenté par le serveur. C’est le cas après chaque renouvellement du certificat (environ tous les 60 jours) si votre stockage se connecte avec l’empreinte (ancien Proxmox VE).

Solution :

• Proxmox VE à jour : supprimez l’empreinte du stockage. La connexion se fait alors sans empreinte (recommandé) et ne sera plus touchée par les renouvellements.

  pvesm set mypbs-acme --delete fingerprint
  

• Ancien Proxmox VE : dans l’espace client, carte Connexion Proxmox VE, ouvrez Ancien Proxmox VE ? Utiliser l’empreinte et copiez la nouvelle empreinte, ou la commande prête, puis lancez-la sur un nœud :

  pvesm set mypbs-acme --fingerprint 'AB:CD:EF:...'
  

  Cochez Me prévenir quand l’empreinte change : au prochain renouvellement, vous recevrez la nouvelle empreinte et la commande par e-mail.

Si l’empreinte présentée par le serveur ne correspond pas à celle de l’espace client, ne la remplacez pas à l’aveugle et contactez-nous. Pour la contrôler depuis un nœud :

openssl s_client -connect pbs-01.exemple.fr:8007 -servername pbs-01.exemple.fr </dev/null 2>/dev/null \
  | openssl x509 -noout -fingerprint -sha256

permission check failed

Message : une opération échoue avec « permission check failed » (erreur HTTP 403).

Causes possibles :

• Suppression d’une sauvegarde : c’est voulu, voir la section suivante.
• Nom de datastore inexact : le champ Datastore doit être exactement celui de l’espace client.
• Opération non autorisée au jeton : création d’espace de noms, nettoyage, changement de propriétaire ou réglage du datastore. Ces opérations sont réservées au serveur.

Vérifiez le stockage avec :

pvesm status --storage mypbs-acme
pvesm list mypbs-acme

Suppression d’une sauvegarde impossible

Message : dans Proxmox VE, Supprimer sur une sauvegarde du stockage myPBS échoue avec une erreur de permission, par exemple « permission check failed ». Un job de sauvegarde avec une rétention réglée dans Proxmox VE se termine aussi avec une erreur lors du nettoyage.

Cause : c’est le comportement attendu. Votre jeton peut envoyer, lister et restaurer des sauvegardes, mais pas en supprimer. Seule votre rétention, réglée dans l’espace client et appliquée par le serveur, supprime les anciennes sauvegardes. C’est une protection contre les rançongiciels : un jeton volé ne permet pas d’effacer vos sauvegardes.

Solution : réglez la rétention du stockage et des jobs sur Conserver toutes les sauvegardes :

pvesm set mypbs-acme --prune-backups keep-all=1

Pour conserver moins longtemps, ou plus longtemps, changez de rétention depuis l’espace client : voir Rétention et nettoyage.

Après une régénération du jeton

Symptôme : toutes les sauvegardes vers myPBS échouent avec une erreur d’authentification, et le stockage apparaît inactif sur tous les nœuds.

Cause : le secret du jeton a été régénéré depuis l’espace client ; l’ancien est révoqué immédiatement.

Solution : renseignez le nouveau secret une fois, la configuration est partagée par le cluster :

pvesm set mypbs-acme --password 'NOUVEAU-SECRET'

Pensez aussi aux autres endroits où le jeton est utilisé, par exemple le « Remote » de votre propre Proxmox Backup Server (voir Synchroniser votre PBS avec myPBS). Si vous avez perdu le nouveau secret, régénérez-en un autre.

Datastore en lecture seule

Message : les sauvegardes échouent avec une erreur qui mentionne le mode maintenance en lecture seule (read-only), avec un message explicatif.

Causes et solutions :

Message ou situation	Cause	Que faire
« Limite quotidienne atteinte - réouverture à minuit »	seuil de blocage dépassé, ou plus de 2 sauvegardes d’une même VM en moins de 15 minutes	attendre minuit (heure de Paris), puis revoir la planification ; voir Limites de sauvegardes
paiement en échec	le paiement n’a pas abouti après la nouvelle tentative	régulariser le paiement depuis l’espace client : le déblocage est immédiat
fin d’abonnement	dernier jour après une résiliation	restaurer ce dont vous avez besoin avant la date de suppression

Dans tous les cas, les restaurations restent possibles.

Connexion impossible

Symptôme : l’ajout du stockage ou les sauvegardes échouent par dépassement de délai, ou la connexion est refusée.

Vérifiez :

• que vos nœuds peuvent joindre le serveur en TCP sur le port 8007, en sortie (pare-feu, proxy) ;
• que l’adresse du serveur est exactement celle de l’espace client ;
• la page État du service, en cas de maintenance ou d’incident en cours.

nc -vz pbs-01.exemple.fr 8007