[SOLVED] Kein passender Key im PVE vorhanden, auch wenn der Key mit einem anderen PBS vorliegt

[Bob.Dig]

PBS-Noob hier.

Ich synce von zwei PBSn auf einen dritten. Auf beiden PBSn sind die Backups schon mit einem eigenen Key verschlüsselt. Problem: Wollte ich nun ein Backup von dem dritten PBS auf einem PVE "wiederherstellen", von dem das Backup aber nicht stammt, dann fehlt mir der Schlüssel dazu. Auch der fremde PBS ist aber als Storage-Ziel im PVE vorhanden, mit passendem Key. Dennoch geht es nicht, d.h. es wird nicht opportunistisch(?) geprüft, ob der Schlüssel irgendwo vorhanden ist.

1. Kann man daran was ändern oder ist halt so.
2. Oder spielen Namespaces da mit rein, welche ich nicht nutze oder nutzen werde.

 

[mariol]

Die Verschlüsselung passiert immer vom Client aus. Also von Proxmox VE selbst. Dort wird mit dem Erstellen der PBS Verbindung unter "Datacenter -> Storage" der Schlüssel generiert, oder es wird ein bereits verwendeter Schlüssel hochgeladen [0]. Sprich dem PBS selbst ist kein Key bekannt.
Im Umkehrschluss bedeutet es, sofern verschiedene Schlüssel verwendet wurden, müssen dann pro Verschlüsselung ein PBS Store erneut in PVE hinzugefügt werden.

Eine Änderung des Key ist möglich. Beachte das die bestehenden Backups nur mit dem bestehenden Key entschlüsselbar sind. Mit den Namespaces hat das nur etwas zu tun, wenn für verschiedene Namespaces, verschiedene Keys verwendet werden.

[0] https://pve.proxmox.com/pve-docs/pve-admin-guide.html#storage_pbs_encryption

 

[Johannes S]

Man kann auch im PBS ver- und entschlüsseln und dafür keys hinterlegen, aber das geht nur für push- ( verschlüsseln ) und pull-syncs ( entschlüsseln ) gedacht, nicht für restores, die passieren beo verschlüsselten Backups immer vom client

 

[Bu66as]

Der Key hängt in PVE am Storage-Eintrag, nicht am PBS selbst (liegt lokal als /etc/pve/priv/storage/<storeid>.enc). PVE nimmt dafür den Key, der am Storage angehängt ist.

Für deinen Fall: leg den dritten PBS als eigenen zusätzlichen Storage in PVE an und lad da den Key hoch, mit dem das Backup ursprünglich verschlüsselt wurde. Der Key ist ja nur ne kleine JSON-Datei, die kannst du kopieren und an mehreren Storage-Einträgen verwenden. Dann geht auch der Restore vom dritten PBS. Alternativ am selben PBS-Storage einfach den Key tauschen je nachdem was du grad brauchst, aber ein zweiter Eintrag ist sauberer.

Namespaces spielen da nur rein wenn du pro Namespace unterschiedliche Keys fahren würdest, was du ja nicht machst.