Proxmox VE 與 Proxmox Backup Server 架構優化與安全備份方案實踐

在使用 Proxmox VE (PVE) 結合 Proxmox Backup Server (PBS) 進行虛擬機備份時，常會遇到安全性、身份驗證及權限管理等問題。以下記錄了一次完整的 PBS 架構安全優化過程，包含中間的繞路與最終穩定解法，供參考。

🎯 架構設計初衷

PBS 須對外開放端口以便遠程備份與集中管理，但同時需要限制超級用戶（root）暴露在公網。目標是讓 root 僅用於管理，所有備份操作均交由低權限帳號執行，以降低風險。

最初，PVE 直接使用 PBS 的 root 帳號執行備份，操作簡單且無報錯。然而，這種方式的問題在於：

接著，測試透過 PBS 提供的 API Token 功能，計劃在 root 帳號下創建專用 token，只賦予最少的 Datastore 備份權限。理論上這樣可以讓主帳號啟用兩步驗證，同時 token 維持精簡權限。

然而，在部分舊版 PBS 或 PVE 環境中，存在以下錯誤：

backup owner check failed (root@pam!token-name != root@pam)

這表示 PBS 嚴格區分 token 身份與主帳號，無法自動視為相同 owner，導致驗證失敗。這是早期版本已知限制，尚未完善 token 與 owner 驗證邏輯。

為了解決上述問題，最終方案改為在 PBS 中額外創建一個獨立備份專用帳號（如「backup-user」），只授予必要的備份、驗證、校驗等權限，且不啟用兩步驗證，避免因 TFA 導致 PVE 認證失敗。

此時，PVE 配置中使用該專用帳號連接 PBS。但此時仍遇到報錯：

backup owner check failed (backup-user != root@pam)

原因是，所有虛擬機在默認情況下，owner 設置為 root 帳號，與備份帳號身份不一致。

為完全解決驗證失敗問題，決定將所有虛擬機的 owner 改為專用備份帳號，從而實現身份一致性。操作示例：

for vmid in <id1> <id2> <id3> ...; do
  qm set $vmid --owner backup-user
done

修改後可使用以下命令驗證：

for vmid in <id1> <id2> <id3> ...; do
  echo -n "VM $vmid: "
  qm config $vmid | grep owner
done

完成後，PBS 即可正常執行備份，錯誤完全消失。