Mobile-Menu

Proxmox VE 9 härten und sicher betreiben – Teil 2 Realms, ACLs und Firewall sichern Proxmox VE 9 ab

Von Thomas Joos 8 min Lesedauer

Nach Boot-Kette und Management-Daemon rückt für den sicheren Betrieb von Proxmox VE 9 der Zugriff auf den Server in den Vordergrund. Au­then­ti­fi­zie­rungs-Realms, ein pfadbasiertes Rollenmodell, die eingebaute Firewall und das SDN-Forwarding bestimmen, wer welche Ressource erreicht und welcher Verkehr im Cluster zulässig bleibt.

Realms, Rollen und Firewall-Regeln legen gemeinsam fest, wer auf einen Proxmox-Cluster zugreifen darf. Fehlt eines dieser Elemente, bleibt die Absicherung lückenhaft.(Bild: Gemini / KI-generiert)
Realms, Rollen und Firewall-Regeln legen gemeinsam fest, wer auf einen Proxmox-Cluster zugreifen darf. Fehlt eines dieser Elemente, bleibt die Absicherung lückenhaft.
(Bild: Gemini / KI-generiert)

Teil 1 dieser Artikelreihe zeigt die Absicherung der Boot-Kette, Paketquellen, automatische Updates, pveproxy und SSH. Der zweite Teil arbeitet eine Ebene höher und nimmt Identität sowie Netzgrenzen in den Blick. Die Benutzerkonten führt Proxmox VE Cluster-weit in "/etc/pve/user.cfg", jede Anmeldung bindet es an einen Realm. Das Berechtigungsmodell verteilt Rollen entlang einer Baumstruktur aus Pfaden, die eingebaute Firewall und das Software-Defined-Networking filtern den Verkehr auf Knoten- und VNet-Ebene. Die folgenden Abschnitte zeigen Befehle, Konfigurationsdateien und konkrete Werte.

Bildergalerie
Bildergalerie mit 9 Bildern

Realms anbinden, Zwei-Faktor erzwingen

Ein Realm bildet die Brücke zwischen Proxmox VE und der Quelle der Anmeldedaten. Mehrere Realm-Typen stehen bereit. Linux-PAM meldet vorhandene Systemkonten am Host an. Der mitgelieferte Proxmox VE Authentication Server hinterlegt seine Passwort-Hashes nach SHA-256 getrennt in "/etc/pve/priv/shadow.cfg". Verzeichnisdienste binden Proxmox VE über LDAP sowie über Microsoft Active Directory an. Eine Kopplung an externe Identitätsanbieter gelingt über OpenID Connect auf Basis von OAuth 2.0. Sämtliche Realm-Definitionen führt Proxmox VE in "/etc/pve/domains.cfg" zusammen.

Weiterführende Inhalte