Namespace und pvestatd Fehler

[bfal]

Ich teste gerade die Namespace Funktion vom neuen Backup Server und bin auf ein Problem gestoßen.

Ich habe ein Datastore mit mehreren Namespaces angelegt und dann über Konfiguration => Berechtigungen => Rechte einen Test User für einen Namespace angelegt mit dem Recht DatastoreBackup. Anschließend den Backup Server als Storage auf einem PVE Server hinzugefügt was ohne Probleme funktioniert.
Auch das sichern klappt und die Backups werden im korrekte Namespace angezeigt.

Allerdings kommt auf dem PVE Host jetzt alle paar Sekunden folgender Fehler:

pvestatd[2183]: proxmox-backup-client failed: Error: permission check failed

Auf dem Backup Server sehe ich das pvestatd scheinbar wohl keine Berechtigung hat.

proxmox-backup-proxy[1094]: GET /api2/json/admin/datastore/PBS-DataStore/status: 403 Forbidden: [client [192.168.1.1]:43546] permission check failed

Auf dem PVE Host wird auch nicht die Größe des Backup Storage angezeigt. Der Fehler scheint aber nur die Speicherplatz abfrage zu betreffen da Backup und Restore im Namespace problemlos funktionieren.

Reicht es nicht Berechtigungen für den Namespace zu vergeben? Muss man auf dem eigentlichen Datastore auch noch Berechtigungen vergeben?
Weiss das jemand? Oder ist das ein Fehler?

 

[sterzy]

Hi,

die Berechtigung DatastoreBackup erlaubt es nur Backups anzulegen und die selbst angelegten wieder herzustellen. Damit auch Statistiken etc. abgefragt werden können wird die DatastoreAudit Berechtigung gebraucht. Mehr zu dem Thema gibt's im Manual [1]

[1]: https://pbs.proxmox.com/docs/user-management.html?highlight=datastorebackup#access-roles

 

[bfal]

Interessant. Ich nutze das Recht DatastoreBackup nur aber bisher nur auf dem Datastore direkt und da klappt es ohne Probleme. Aber ich teste es gleich noch einmal auf dem Namespace mit DatastoreAudit

 

[bfal]

Der Fehler bleibt aber auch wenn ich das Recht DatastoreAudit zum Namespace hinzufüge.

proxmox-backup-proxy[1094]: GET /api2/json/admin/datastore/PBS-DataStore/status: 403 Forbidden: [client [192.168.1.1]:47284] permission check failed

Gilt denn ein Recht welches ich für einen Namespace setze auch für diese "/api2/json/admin/datastore/PBS-DataStore/status" URL? Hier ist ja kein Namespace enthalten. Ich habe keine Berechtigungen auf dem Datastore sondern nur auf dem Namespace.

 

[bfal]

Noch eine Anmerkung. Gebe ich direkt auf den Datastore dem User DatastoreAudit Rechte geht es. Allerdings bin ich mir noch nicht sicher ob damit die Trennung zwischen verschiedenen Usern gewahrt bleibt. Muss ich wohl testen.