Proxmox VE

Proxmox verwendet für Automatisierung kein Passwort. Sie legen ein API-Token an: eine dreiteilige Kennung plus ein Secret, das Ihnen einmal gezeigt wird.

• Host: die vollständige Basis-URL der API. Sie muss HTTPS sein; lassen Sie den Port weg, wird 8006 für Sie eingesetzt.
• Token-ID: in der Form user@realm!tokenname, genau so, wie Proxmox sie schreibt.
• Token-Secret: der Wert, den Proxmox beim Anlegen des Tokens einmal zeigt.
• TLS-Fingerprint: das Zertifikat des Nodes selbst, nicht das der Stelle, die es ausgestellt hat.

openssl s_client -connect pve.example.com:8006 </dev/null 2>/dev/null | \
  openssl x509 -noout -fingerprint -sha256

Vier nicht geheime Angaben, auf dem Einstellungen-Tab. Ohne sie ist die Integration zwar verbunden, kann aber nichts anlegen.

• Node: auf welchem Node im Cluster gebaut wird. Das Panel bietet die Nodes an, die Ihr Agent tatsächlich gesehen hat; hat er noch keinen gesehen, können Sie einen eintippen.
• Storage: wohin die Festplatten neuer Maschinen kommen.
• Bridge: optional. Sie wird gespeichert und dort verwendet, wo die Plattform eine Maschine aus dem Nichts anlegt; ein Klon erbt jedoch die Bridge des Templates, aus dem er geklont wurde.
• Bereich der Maschinen-IDs: der Block von Proxmox-VM-IDs, innerhalb dessen Provibr vergeben darf.

Das ist die wichtigste Einstellung auf der Seite. Provibr vergibt Kennungen ausschließlich innerhalb des Bereichs, den Sie angeben, und fasst nichts außerhalb davon an. Halten Sie Ihre eigenen Produktivmaschinen außerhalb des Bereichs, bleiben sie unerreichbar, ganz gleich, was jemand im Panel anklickt.

Eine Maschine zu erstellen ist eine Klon-Aufgabe, gefolgt von einigen wenigen Konfigurationsaufrufen. Das Panel verfolgt die Aufgabe und zeigt echten Fortschritt, wo Proxmox ihn meldet.

1. 01Das gewählte Template auf den Node aus den Einstellungen klonen.
2. 02Die Boot-Festplatte auf die bestellte Größe vergrößern. Eine Festplatte kann nur wachsen; ist das Template bereits größer, behält die Maschine die Größe des Templates.
3. 03Kerne, Arbeitsspeicher und die Cloud-init-Einstellungen – Adresse, Gateway, Resolver, Benutzer, SSH-Schlüssel – in einem Konfigurationsaufruf setzen.
4. 04Die Firewall aktivieren und die Maschine starten.

Eine Proxmox-Verbindung trägt virtuelle Maschinen und Container. Der Tarif entscheidet, welches von beiden eine Bestellung hervorbringt, und von da an reist die Art mit jedem Befehl mit, statt geraten zu werden. Ein Container ist keine kleinere virtuelle Maschine: er teilt sich den Kernel seines Hosts, deshalb ist er günstig und deshalb gibt es eine Handvoll Dinge dort schlicht nicht.

• Der Tarif sagt virtuelle Maschine, Container oder beides. Bei beides wählt die Kundin während der Bestellung, und die Abbildliste folgt dieser Wahl, statt still eines einzusetzen.
• Ein Container wird nicht geklont, sondern ausgepackt, aus einer Containervorlage auf der Verbindung. Das ist eine andere Art Quelle als die Vorlagen, aus denen eine virtuelle Maschine geklont wird, und ein Abbild mit nur einer Containervorlage erscheint nicht in der Liste für virtuelle Maschinen.
• Unprivileged ist die Voreinstellung. Die Wurzel im Container ist nicht die Wurzel auf dem Host, und das wollen Sie, solange nicht ausdrücklich etwas anderes nötig ist.
• Speicher ist ein Wurzelvolumen plus Einhängepunkte. Der Bereich zeigt sie als Schlüssel, Quelle und Pfad im Gast; der Hostpfad steht mit Absicht nicht dabei, denn er sagt mehr über den Host als über die Maschine.

Jeder Befehl trägt die Art mit sich, und ein Befehl, der nicht passt, wird abgelehnt, bevor er ein Auftrag wird, mit dem Grund auf dem Bildschirm. Zwei dieser Gründe bedeuten wirklich Verschiedenes.

• Nie: Starten über das Netz, eine leere Maschine sowie Firmware oder Startreihenfolge. Ein Container startet nicht über eine Netzwerkkarte und hat keine Firmware, die man fragen könnte.
• Noch nicht: Festplatten, Netzwerkkarten und der Hardwarebildschirm. Ein Container hat sehr wohl Speicher und Netz, in anderer Gestalt, und die Felder einer virtuellen Maschine dafür wiederzuverwenden gäbe denselben Wörtern eine zweite Bedeutung.
• Verfügbar: anlegen, starten, stoppen, herunterfahren, Status, löschen, aussetzen, fortsetzen, neu installieren, die Firewall und ihr Schutz gegen gefälschte Adressen.
• Die Konsole ist ein eigener Fall, und sie ist ein Noch-nicht mit Begründung: die Konsole einer virtuellen Maschine ist ein Bildschirm, und den hat ein Container nicht. Was er hat, ist ein Terminal, und das ist ein anderes Protokoll und ein anderer Client.

Bei Sicherungen gibt es einen Unterschied, der leicht schiefgeht, und er wirkt genau andersherum als bei einer virtuellen Maschine. Ein Einhängepunkt ist nur dann in der Sicherung, wenn er dafür angehakt ist; eine Festplatte einer virtuellen Maschine ist darin, solange sie nicht abgehakt ist. Ein Container mit einem Datenvolumen, das niemand angehakt hat, hat also eine Sicherung, die vollständig aussieht und nur das Wurzelvolumen enthält.

Einen Container neu zu installieren ist ein Ersetzen und kein Klon darüber. Der Bereich zeigt Ihnen zuerst, was mit jedem Einhängepunkt geschieht, und ersetzt die Maschine erst danach unter einer einzigen Sperre: das Wurzelvolumen wird neu aufgebaut, und was als erhalten aufgeführt war, wird zurückgestellt. Was nicht in dieser Liste stand, wird nicht wiederhergestellt.

Provibr schreibt eine feste, kleine Menge von Cloud-init-Schlüsseln und sonst nichts: die vier Netzwerkkonfigurationen, Resolver und Suchdomain, den Benutzer, den Konfigurationstyp, SSH-Schlüssel, das Passwort und ob beim ersten Start ein Paket-Upgrade laufen soll. Die Liste gibt es auf beiden Seiten, sodass ein Feld, das zufällig Cloud-init heißt, nie eine beliebige Maschineneinstellung überschreiben kann.

Die Option „Upgrade beim ersten Start“ braucht Proxmox 8.1 oder neuer. Auf einem älteren Node wird der Aufruf ohne sie wiederholt, statt zu scheitern.

Starten, stoppen, herunterfahren, pausieren, fortsetzen, Status aktualisieren, neu installieren und löschen. Ein Herunterfahren fragt zuerst höflich beim Gastsystem an und weicht nach einer Frist auf ein hartes Stoppen aus.

Festplatten und Netzwerkkarten lassen sich hinzufügen, vergrößern, einbinden und trennen. Eine Festplatte kann nur wachsen. Die Boot-Festplatte und die Cloud-init-Festplatte lassen sich nicht trennen, die erste Netzwerkkarte ebenso wenig.

Die Firewall hat eine bearbeitbare Regelliste und ein Log; beide werden vom Node selbst gelesen und auf ihn geschrieben.

• Ein Klon erbt die Netzwerk-Bridge seines Templates. Die Bridge im Plan und in der Integration wird gespeichert und an anderer Stelle verwendet, auf einen Klon wird sie aber nicht angewendet.
• Wie voll die Festplatte innerhalb einer virtuellen Maschine ist, sieht Proxmox nicht; dieses Diagramm zeigt deshalb die zugewiesene Größe und keine Verbrauchslinie. Die übrigen Messungen sind echt.
• Templates sind von der Abfrage ausgenommen und zählen nie auf Ihre Lizenz.
• Maschinen, die es in Ihrem Cluster gibt, aber nicht in Provibr, werden bei jeder Abfrage ignoriert. Aus Proxmox importieren lassen sie sich auch nicht: Für Hypervisoren gibt es heute keinen Import.