Sécurité et identités¶

admin@pve:~# ls securite/ | wc -l → 6 pages · 6 disponibles

Droits, authentification, firewall, durcissement, chiffrement.

Cette rubrique vous aide à sécuriser vos clusters Proxmox VE et vos serveurs Proxmox Backup Server : qui a le droit de faire quoi, comment les administrateurs s'authentifient, quels flux réseau sont autorisés, comment les hôtes sont durcis et comment vos sauvegardes restent lisibles par vous seul. Elle s'adresse aux administrateurs système et aux responsables infrastructure, en particulier au Day 1, avant la mise en production.

Ce que vous saurez faire¶

Créer des groupes, des pools et des rôles adaptés à chaque équipe, sans partager le compte root@pam.
Raccorder Proxmox VE à votre Active Directory, LDAP ou fournisseur OpenID Connect, et imposer un second facteur (TOTP, WebAuthn).
Activer le firewall Proxmox sans perdre l'accès, avec un IPset management et des security groups réutilisables.
Durcir SSH, restreindre l'accès à la GUI et installer des certificats ACME valides.
Créer des jetons API limités pour Terraform, Ansible et la supervision.
Chiffrer vos sauvegardes PBS et conserver les clés de récupération hors du cluster.

Prérequis¶

Ordre de lecture conseillé¶

Notions clés¶

Terme	Définition
Realm	Source d'authentification d'un utilisateur : `pam`, `pve`, AD, LDAP ou OpenID Connect.
Rôle	Ensemble nommé de privilèges, par exemple `PVEVMUser` ou `PVEAuditor`.
ACL	Association d'un utilisateur, groupe ou jeton à un rôle sur un chemin (`/`, `/vms/101`, `/pool/dev`).
Pool	Regroupement de VM et de stockages sur lequel on pose des droits en une fois.
Jeton API	Identité technique `user@realm!id` avec un secret, révocable, aux droits limités.
IPset `management`	Liste des adresses autorisées à administrer les nœuds quand le firewall est actif.
Security group	Jeu de règles firewall défini au datacenter et appliqué à plusieurs VM.
Chiffrement côté client	Chiffrement des sauvegardes par PVE avant envoi au PBS ; sans la clé, aucune restauration.

Les pages de la rubrique¶

Page	Format	Phase	Niv.	Statut
Chiffrement : disques, sauvegardes, clés de récupération	Cours	Day 0 · Concevoir	2	Rédigé
Utilisateurs, groupes, rôles, pools : modèle de droits	Cours	Day 1 · Déployer	2	Rédigé
Authentification AD, LDAP, OpenID Connect, 2FA (TOTP, WebAuthn)	Procédure	Day 1 · Déployer	2	Rédigé
Firewall Proxmox : datacenter, nœud, VM, IPset, security groups	Procédure	Day 1 · Déployer	2	Rédigé
Durcir un hôte PVE et PBS : SSH, accès GUI, certificats ACME	Checklist	Day 1 · Déployer	2	Rédigé
Jetons API et comptes de service (Terraform, Ansible, supervision)	Procédure	Day 1 · Déployer	3	Rédigé