syslog Spam wenn pbs storage aktiviert

[loomes]

Ich habe einen PVE7 Server laufen auf dem gleichzeitig PBS installiert ist.
Sobald ich unter Storage den PBS Speicher aktiviere wird das syslog zugespammt:

Sep 29 15:26:55 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:26:55 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:26:56 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:26:56 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:26:59 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:26:59 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:04 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:04 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:05 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:05 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:06 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:07 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:09 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:09 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:15 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:15 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:34 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:34 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:36 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:36 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:37 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'
Sep 29 15:27:37 proxmox proxmox-backup-api[2413841]: successful auth for user 'root@pam'

Das geht immer so weiter.
Ich meine das es nach den letzten Updates begonnen hat.
Irgendjemand eine Idee wie ich das unterbinden kann?
Funktionieren tut alles einwandfrei.

 

[comfreak]

Würde ich auch gerne wissen...

 

[t.lamprecht]

Irgendjemand eine Idee wie ich das unterbinden kann?

API Tokens benutzen, die gehen nicht über den Login API-Endpunkt und sollten daher nicht so im Journal aufschlagen, in der access.log Datei aber natürlich weiterhin.

Und, die haben auch noch andere Vorteile, für mehr Details siehe:
https://pbs.proxmox.com/docs/user-management.html#api-tokens

 

[loomes]

Naja es hat ja bis zum letzten Update auch funktioniert ohne das die Logs zugespammt wurden? Also muss sich das doch wohl auch wieder deaktivieren lassen?

 

[t.lamprecht]

Wie gesagt, API Tokens verwenden ist sicherer und hat einige Vorteile, es lohnt sich auch unabhängig von dem übermäßigen Loggen in deinem System die zu Verwenden.

Grundsätzlich will man ja das Log-in geloggt werden, für "headless" Anwendungen, welche sich öfter und automatisch verbinden, sind die Tokens eben da um das schön abzubilden. root@pam + Password Zugriff des PBS sollte man ja nicht unbedingt auf allen Server verteilen, dann kann man ja auch nicht mehr mit Zwei-Faktor die kritische Infrastruktur, welche ein Backupserver nun mal ist, absichern.

Welche Version läuft bzw. wurde durch das Upgrade, welches obiges Verhalten ausgelöst hat, hereingezogen? Etwa 2.0.10-1?
Gab zwar einige Umstrukturierungen und auch Verbesserungen im Loggen, aber die sehen wir eher nicht wirklich als Problem, sondern eben als Feature, man will ja grundsätzlich schon sehen, dass ein Log-in mit Username und Passwort passiert (macht ja bspw. ssh und das TTY auch so).

 

[Dunuin]

Hab jetzt auch mal auf Tokens gewechselt. Recht easy und geht alles über die WebUI:
1.) neuen User nur für Backups am PBS anlegen (im PBS unter Configuration -> Access Control -> User Management -> Add)
2.) neuen Token für den neuen Backup-User erstellen (im PBS unter Configuration -> Access Control -> API Token -> Add)
3.) neuem Token die Rechte geben den Datastore nutzen zu dürfen (im PBS unter Configuration -> Access Control -> Permissions -> Add -> API Token Permission und dort dann den Token auswählen, dann z.B. "/" als Path und eine Rolle wie z.B. "DatastorePowerUser" wenn man mit dem Token auch Prunen dürfen soll)
4.) alten PBS aus PVE entfernen (im PVE unter Datacenter -> Storage)
5.) neuen PBS mit Token hinzufügen (im PVE unter Datacenter -> Storage. Da nutzt man dann die TokenID als Username und das Secret als Passwort)

Was sollte ich da als Path wählen wenn der Token nur Backups erstellen, restoren und prunen können dürfen soll? Ich hatte da jetzt "/" aber vermutlich reicht auch einfach nur "/datastore"?

Edit:
6.) Man muss noch nachträglich den Eigentümer aller vorhandenen Backups ändern. Also bei mir z.B. bei Allem was root@pam gehörte den Token als neuen Besitzer einstellen. Das geht im PBS unter Datastore -> DeinDatastore -> Content. Dort dann für jede Backup-Gruppe einzeln auf das Person-Icon klicken und den neuen Besitzer auswählen. Hier wäre Stapelverarbeitung in der GUI ganz nett gewesen.

 

[loomes]

@Dunuin
Danke für die ausführliche Anleitung.
Habe es bei mir ebenfalls gerade umgestellt.
Hat ohne Probleme funktioniert.