Uprawnienia w Proxmox i integracja z Active Directory

Użytkownicy, grupy, role i ACL na ścieżkach

Uprawnienia w Proxmox to połączenie trzech elementów: kto (użytkownik lub grupa), jaka rola (zestaw przywilejów, np. PVEVMAdmin) oraz na czym (ścieżka: /, /vms/<id>, pula zasobów, storage). Uprawnienie nadajesz jako wpis ACL na ścieżce — i dziedziczy się w dół drzewa.

Logowanie firmowym kontem

Proxmox obsługuje kilka źródeł uwierzytelniania (realms): lokalne PAM, wbudowane PVE oraz LDAP/Active Directory. Dodajesz realm AD w Datacenter → Permissions → Realms, podając serwer, domenę i konto bind do odpytywania katalogu. Baza wyszukiwania LDAP to osobne pole, nie nazwa domeny. Konto w Proxmoxie i tak musi istnieć — dodane ręcznie albo zsynchronizowane — zanim pracownik się zaloguje.

• Sync grup i użytkowników: Proxmox potrafi cyklicznie synchronizować obiekty z AD (Sync Options), więc nowy pracownik w odpowiedniej grupie AD dostaje dostęp automatycznie.
• Bezpieczeństwo połączenia: używaj LDAPS (TLS), konta bind o minimalnych prawach i filtrów ograniczających zakres synchronizacji.

Dostęp przez grupy, nie konta

Klucz do utrzymywalnego dostępu: nadawaj role grupom, nie pojedynczym ludziom. Przykład: grupa AD Proxmox-Admini po synchronizacji nazywa się w Proxmoxie Proxmox-Admini-ad (nazwa grupy, myślnik i nazwa realmu — w tym przykładzie realm nazywa się ad; dla realmu firma byłoby to Proxmox-Admini-firma) → rola Administrator na /. Uprawnienie na samej nazwie z AD nie działa. Grupa DzialX-Operatorzy po synchronizacji nazywa się DzialX-Operatorzy-ad → rola PVEVMAdmin na puli DzialX. Dodanie/odebranie dostępu sprowadza się wtedy do zmiany członkostwa w AD — w jednym, znanym miejscu. Nazwy grup w Proxmoxie mogą zawierać tylko litery bez polskich znaków, cyfry, kropkę, myślnik i podkreślnik — grupy AD z polskimi znakami są przy synchronizacji pomijane. Nazwa puli używa tego samego zestawu, a ukośnik rozdziela zagnieżdżenie (najwyżej trzy poziomy).

Ład, audyt i mniejsze ryzyko

• Zasada najmniejszych uprawnień: każdy ma dokładnie tyle dostępu, ile potrzebuje — mniejsza powierzchnia ataku i błędu.
• Jedno źródło prawdy: odejście pracownika = wyłączenie konta w AD blokuje kolejne logowanie hasłem do Proxmoxa. Nie unieważnia już wystawionej sesji ani tokenów API — te trzeba odebrać albo wyłączyć użytkownika w Proxmoxie.
• Audytowalność: czytelne role i grupy ułatwiają wykazanie zgodności (ISO 27001, NIS2, polityki wewnętrzne).
• API tokens: automatyzacja i integracje dostają własne, ograniczone tokeny zamiast haseł ludzi.