PVE用户管理

系统的 root 用户始终可以通过 Linux PAM 领域登录，并且是不受限制的管理员。该用户无法删除，但属性仍然可以更改。系统邮件将发送到分配给该用户的电子邮件地址。

由于Linux PAM对应主机系统用户，因此每个允许登录的节点上都必须存在一个系统用户。用户使用其常用的系统密码进行身份验证。该领域是默认添加的且无法删除。在可配置性方面，管理员可以选择要求从领域登录进行双因素身份验证，并将领域设置为默认身份验证领域。

Proxmox VE 身份验证服务器领域是一个简单的类 Unix 密码存储。该领域是默认创建的，与 Linux PAM 一样，唯一可用的配置项是能够要求该领域的用户进行两步身份验证，并将其设置为默认登录领域。

与其他 Proxmox VE 领域类型不同，用户完全通过 Proxmox VE 创建和身份验证，而不是针对另一个系统进行身份验证。因此，您需要在创建此类用户时设置密码。

您还可以使用外部 LDAP 服务器进行用户身份验证（例如 OpenLDAP）。在此领域类型中，将使用用户属性名称 ( user_attr ) 字段中指定的用户名属性在基本域名 ( base_dn )下搜索用户。

可以配置服务器和可选的后备服务器，并且可以通过 SSL 对连接进行加密。此外，还可以为目录和组配置过滤器。过滤器允许您进一步限制领域的范围。

例如，如果用户通过以下 LDIF 数据集表示：

基本域名将为ou=People,dc=ldap-test,dc=com，用户属性将为uid。

如果 Proxmox VE 在能够查询和验证用户之前需要验证（绑定）到 LDAP 服务器，则可以通过/etc/pve/domains.cfg中的bind_dn属性配置绑定域名。然后，其密码必须存储在/etc/pve/priv/ldap/<realmname>.pw中 （例如/etc/pve/priv/ldap/my-ldap.pw）。该文件应包含一行原始密码。

要验证证书，您需要设置capath。您可以将其直接设置为 LDAP 服务器的 CA 证书，也可以设置为包含所有受信任 CA 证书的系统路径 ( /etc/ssl/certs )。此外，您还需要设置验证选项，这也可以通过 Web 界面完成。

LDAP 服务器领域的主要配置选项如下：

要将 Microsoft AD 设置为领域，需要指定服务器地址和身份验证域。Active Directory 支持大多数与 LDAP 相同的属性，例如可选的后备服务器、端口和 SSL 加密。此外，配置后，用户可以通过同步操作自动添加到 Proxmox VE 。

与 LDAP 一样，如果 Proxmox VE 在绑定到 AD 服务器之前需要进行身份验证，则必须配置绑定用户( bind_dn ) 属性。默认情况下，Microsoft AD 通常需要此属性。

Microsoft Active Directory 的主要配置设置是：

可以自动同步基于 LDAP 的领域（LDAP 和 Microsoft Active Directory）的用户和组，而不必手动将它们添加到 Proxmox VE。您可以从 Web 界面的身份验证面板的“添加/编辑”窗口或通过pveum 领域添加/修改命令访问同步选项 。然后，您可以从 GUI 的身份验证面板或使用以下命令执行同步操作：

用户和组同步到集群范围的配置文件 /etc/pve/user.cfg。

主要的 OpenID Connect 配置选项有：

您可以设置多个第二因素，以避免丢失智能手机或安全密钥而导致您永久无法登录帐户的情况。

除了领域强制 TOTP 和 YubiKey OTP 之外，还可以使用以下两因素身份验证方法：

在支持 WebAuthn 之前，U2F 可以由用户设置。现有的 U2F 因素仍然可以使用，但建议在服务器上配置后切换到 WebAuthn。

这可以通过在添加或编辑身份验证领域时通过TFA下拉框选择可用方法之一来完成 。当领域启用了 TFA 时，它就成为一项要求，并且只有配置了 TFA 的用户才能登录。

目前有两种方法可用：

请参阅YubiKey OTP 文档，了解如何使用 YubiCloud或 托管您自己的验证服务器。

第二个因素是为了在用户的密码因某种原因泄露或被猜测时保护用户。然而，有些因素仍然可以通过暴力破解。因此，第二因素登录尝试失败次数过多后，用户将被锁定。

对于 TOTP，8 次失败尝试将禁用用户的 TOTP 因素。使用恢复密钥登录时它们会被解锁。如果 TOTP 是唯一可用的因素，则需要管理员干预，并且强烈建议要求用户立即更改密码。

由于 FIDO2/Webauthn 和恢复密钥不易受到暴力攻击，因此限制较高（100 次尝试），但超出时所有第二个因素都会被阻止一小时。

管理员可以随时通过 UI 中的用户列表或命令行解锁用户的双因素身份验证：

用户可以通过用户列表中的TFA按钮选择启用TOTP或WebAuthn作为登录的第二个因素（除非领域强制执行YubiKey OTP）。

用户可以随时添加和使用一次性恢复密钥。

打开TFA窗口后，将向用户显示一个设置 TOTP身份验证的对话框。Secret字段包含密钥，可以通过Randomize按钮随机生成。可以添加可选的颁发者名称，以向TOTP应用程序提供有关密钥所属信息的信息。大多数TOTP应用程序将显示发行者名称以及相应的 OTP值。用户名也包含在TOTP应用程序的二维码中。

生成密钥后，将显示一个二维码，该二维码可与大多数 OTP 应用程序（例如 FreeOTP）一起使用。然后，用户需要通过在“验证码” 字段中输入当前OTP值并按“应用”按钮来验证当前用户密码（除非以root身份登录）以及正确使用TOTP密钥的能力。

无需设置服务器。只需在您的智能手机上安装 TOTP 应用程序（例如FreeOTP）并使用 Proxmox 备份服务器 Web 界面添加 TOTP 因素。

要使 WebAuthn 正常工作，您需要满足两件事：

满足这两个要求后，您可以在Datacenter → Permissions → Two Factor下的Two Factor面板中添加 WebAuthn 配置。

恢复密钥代码不需要任何准备；您可以简单地在Datacenter → Permissions → Two Factor下的Two Factor面板中创建一组恢复密钥。

要允许用户使用WebAuthn身份验证，必须使用具有有效 SSL 证书的有效域名，否则某些浏览器可能会发出警告或完全拒绝身份验证。

这是通过/etc/pve/datacenter.cfg完成的。例如：

要允许用户使用U2F身份验证，可能需要使用具有有效 SSL 证书的有效域，否则，某些浏览器可能会打印警告或完全拒绝 U2F 使用。最初， 需要配置AppId [ 53 ] 。

这是通过/etc/pve/datacenter.cfg完成的。例如：

对于单个节点，AppId可以简单地是 Web 界面的地址，与浏览器中使用的完全相同，包括https://和端口，如上所示。请注意，某些浏览器在匹配AppId时可能比其他浏览器更严格。

当使用多个节点时，最好有一个单独的https服务器提供appid.json [ 54 ] 文件，因为它似乎与大多数浏览器兼容。如果所有节点都使用同一顶级域的子域，则使用 TLD 作为AppId可能就足够了。但应该注意的是，某些浏览器可能不接受这一点。

要启用U2F身份验证，请打开TFA窗口的U2F选项卡，输入当前密码（除非以 root 身份登录），然后按“注册”按钮。如果服务器设置正确并且浏览器接受服务器提供的 AppId，则会出现一条消息，提示用户按下 U2F设备上的按钮（如果是YubiKey，按钮灯应该稳定地亮起和熄灭，大致情况如下）每秒两次）。

Firefox 用户可能需要通过about:config启用security.webauth.u2f ，然后才能使用U2F令牌。

角色只是一个权限列表。Proxmox VE 附带了许多预定义的角色，可以满足大多数要求。

您可以在 GUI 中看到整套预定义角色。

您可以通过 GUI 或命令行添加新角色。

在 GUI 中，导航至数据中心的权限 → 角色选项卡，然后单击创建按钮。您可以在此处设置角色名称并从“权限”下拉菜单中选择任何所需的权限。

要通过命令行添加角色，可以使用pveum CLI工具，例如：

特权是执行特定操作的权利。为了简化管理，权限列表被分组为角色，然后可以在权限表中使用。请注意，如果不属于角色，则无法将权限直接分配给用户和路径。

我们目前支持以下权限：

访问权限分配给对象，例如虚拟机、存储或资源池。我们使用类似路径的文件系统来寻址这些对象。这些路径形成一棵自然树，并且可以选择在该层次结构中向下传播更高级别（较短路径）的权限。

路径可以模板化。当 API 调用需要模板化路径的权限时，该路径可能包含对 API 调用的参数的引用。这些引用在花括号中指定。某些参数是从 API 调用的 URI 中隐式获取的。例如， 调用/nodes/mynode/status 时的权限路径 /nodes /{node}需要 /nodes/mynode的权限，而对/access/acl 的PUT 请求中的路径{path} 引用方法的路径参数。

一些例子是：

池可用于对一组虚拟机和数据存储进行分组。然后，您可以简单地设置池 ( /pool/{poolid} ) 的权限，这些权限由所有池成员继承。这是简化访问控制的好方法。

每个方法所需的 API 权限都有记录，可以在https://pve.proxmox.com/pve-docs/api-viewer/找到。

权限被指定为一个列表，它可以解释为逻辑和访问检查函数的树：

管理员可能希望创建一组具有完全管理员权限的用户（不使用 root 帐户）。

为此，首先定义组：

然后分配角色：

最后，您可以将用户添加到新的管理员组中：

您可以通过将PVEAuditor角色分配给用户或组来向用户授予只读访问权限 。

示例 1：允许用户joe@pve查看所有内容

示例 2：允许用户joe@pve查看所有虚拟机

如果您想将用户管理委托给用户joe@pve，您可以这样做：

用户joe@pve现在可以添加和删除用户，以及更改其他用户属性，例如密码。这是一个非常强大的角色，您很可能希望将其限制在选定的领域和组中。以下示例允许joe@pve修改领域pve内的用户（如果他们是组customers的成员）：

API 令牌的权限始终是其相应用户的权限的子集，这意味着 API 令牌不能用于执行支持用户无权执行的任务。本节将演示如何使用具有单独权限的 API 令牌来进一步限制令牌所有者的权限。

在所有虚拟机上为用户joe@pve授予PVEVMAdmin 角色：

添加具有单独权限的新 API 令牌，仅允许查看 VM 信息（例如，用于监控目的）：

验证用户和token的权限：

企业通常由多个较小的部门组成，您通常希望向每个部门分配资源和委派管理任务。假设您要为软件开发部门建立一个池。首先，创建一个组：

现在我们创建一个新用户，它是该组的成员：

然后我们创建一个资源池供我们开发部门使用：

最后，我们可以为该池分配权限：

我们的软件开发人员现在可以管理分配给该池的资源。