Proxmox VE 9 härten und sicher betreiben (Teil 3) Container, Cluster und Backup in Proxmox VE 9 richtig absichern

Proxmox VE gilt als robuste Virtualisierungsplattform, doch unter der Ober­fläche lauern Risiken, die erst auf Workload-Ebene sichtbar werden. Con­tai­ner-Isolation, Memory-Encryption, redundante Cluster-Kom­mu­ni­ka­ti­on, verschlüsselte Backups und ein durchgehender Audit-Trail verbinden die Schutzschichten zu einem belastbaren Betrieb.

Teil 1 dieser Artikelreihe haben wir die Härtung der Host-Basis gezeigt. Der zweite Teil geht auf Identität und Netzgrenzen ein. Der dritte Teil rückt die laufenden Workloads, den Cluster-Verbund und den Dauerbetrieb in den Mittelpunkt. Linux-Container nutzen den gemeinsamen Host-Kernel und brauchen deshalb zusätzliche Isolationsschichten, virtuelle Maschinen erhalten über AMD SEV eine Speicherverschlüsselung auf CPU-Ebene, Corosync sichert die Cluster-Kommunikation über mehrere redundante Ringe. Verschlüsselte Backups nach dem 3-2-1-Prinzip, eine zentrale Sammlung der Logs und eine konsequente Netzwerk-Trennung spielen ebenfalls eine wichtige Rolle.

Bildergalerie

Container isolieren und VM-Speicher verschlüsseln

Linux-Container greifen auf den gemeinsamen Host-Kernel zu, was abgestufte Schutz­mecha­nis­men nötig macht. AppArmor blockiert riskante Syscalls ("mount") über hinterlegte Profile. Je Container begrenzt cgroupv2 die Geräte, den Speicher und die CPU-Zeit. Kernel-Namespaces trennen Mounts, Netzwerk und Prozesse voneinander. Ein unprivilegierter Container verweist den Root des Containers auf eine nicht privilegierte Host-UID, was die Folgen eines Ausbruchs mildert.