Uwierzytelnianie dwuskładnikowe (2FA) w Proxmox

Klucz do całej infrastruktury

Dostęp do Proxmox = możliwość uruchamiania, kasowania i klonowania maszyn oraz dostępu do konsoli każdej z nich. Phishing albo wyciek hasła administratora to scenariusz katastrofalny. 2FA zatrzymuje atakującego nawet wtedy, gdy zna hasło — bo nie ma drugiego składnika. To dziś standard i często wymóg (polityki bezpieczeństwa, NIS2, ubezpieczenia cyber).

TOTP, klucze sprzętowe i klucze odzyskiwania

• TOTP — kod z aplikacji (Google Authenticator, Aegis, 1Password). Najprostsze i darmowe; każdy użytkownik dodaje je sobie w Datacenter → Permissions → Two Factor.
• WebAuthn / FIDO2 — klucz sprzętowy (np. YubiKey) lub biometria. Najwyższa odporność na phishing. W Datacenter → Options → WebAuthn Settings ustawiasz trzy pola: rp (nazwa strony), origin (pełny adres URL panelu) i id. Klucz dodajesz potem w Datacenter → Permissions → Two Factor.
• Recovery keys — jednorazowe kody awaryjne na wypadek utraty telefonu/klucza. Wygeneruj i przechowuj bezpiecznie.

Nie „opcja”, lecz polityka

2FA ma sens, gdy jest obowiązkowe dla kont z dostępem. Proxmox pozwala wymusić TFA na poziomie realmu (np. dla realmu Active Directory albo PVE) — wtedy logowanie bez drugiego składnika jest niemożliwe. Realm wymusza jednak tylko jedną z dwóch metod: TOTP albo YubiKey OTP (z serwerem weryfikacji Yubico); WebAuthn/FIDO2 i klucze odzyskiwania użytkownicy dodają sami, realm ich nie wymusza. Szczególnie chroń konto root@pam: 2FA + mocne hasło, a do codziennej pracy używaj kont imiennych z AD.

Żeby 2FA nie zablokowało Ciebie

• Klucze odzyskiwania wygeneruj od razu i schowaj offline — to ratunek przy utracie urządzenia.
• Dwa składniki sprzętowe dla adminów (np. dwa YubiKeye: główny + zapasowy).
• Nie polegaj na SMS — Proxmox go nie używa, i słusznie (SIM-swap). TOTP/FIDO2 są bezpieczniejsze.
• Procedura odzyskania na wypadek utraty 2FA przez kluczowego administratora — spisana i przetestowana.