Retour : Proxmox VE · Étape précédente : Installation

Dépôts de mises à jour

Sans abonnement, le dépôt enterprise configuré à l'installation renvoie une erreur 401 Unauthorized lors des mises à jour. Il faut le désactiver et ajouter le dépôt no-subscription.

Via interface graphique
  1. Nœud → Updates → Repositories.
  2. Sélectionner chaque dépôt enterprise (Proxmox VE et Ceph) → Disable.
  3. Add → choisir No-Subscription → Add.
  4. Vérifier qu'aucun avertissement ne reste affiché en haut de la page.
En ligne de commande (Proxmox VE 9)

Proxmox VE 9 (Debian 13 « Trixie ») utilise des fichiers .sources :

# Désactiver les dépôts enterprise
echo "Enabled: no" >> /etc/apt/sources.list.d/pve-enterprise.sources
echo "Enabled: no" >> /etc/apt/sources.list.d/ceph.sources

# Ajouter le dépôt no-subscription
cat > /etc/apt/sources.list.d/proxmox.sources <<'EOF'
Types: deb
URIs: http://download.proxmox.com/debian/pve
Suites: trixie
Components: pve-no-subscription
Signed-By: /usr/share/keyrings/proxmox-archive-keyring.gpg
EOF

💡 Proxmox VE 8 (Debian 12 « Bookworm ») utilise encore des fichiers .list d'une ligne : la méthode par l'interface graphique fonctionne quelle que soit la version.

⚠️ Le dépôt no-subscription reçoit les mises à jour un peu avant le dépôt enterprise : sur un hôte de production, attendre quelques jours après une publication et lire les notes de version.

Mises à jour

Via interface graphique

Nœud → Updates → Refresh, puis Upgrade (ouvre une console qui exécute la mise à jour).

En ligne de commande 
apt update
apt full-upgrade

⚠️ Toujours apt full-upgrade (ou apt dist-upgrade) sur Proxmox, jamais apt upgrade seul : il peut retenir des paquets et laisser Proxmox dans un état incohérent.

Redémarrer si un nouveau noyau a été installé :

# Noyau en cours d'exécution / noyaux installés
uname -r
proxmox-boot-tool kernel list

Nom d'hôte et résolution

L'interface web et le cluster exigent que le nom de l'hôte se résolve vers son adresse d'administration (et non 127.0.1.1) :

hostname --ip-address   # doit renvoyer l'IP d'administration
cat /etc/hosts

127.0.0.1       localhost
192.168.4.10    pve1.lab.local pve1

⚠️ Ne pas renommer un hôte après sa mise en service (et jamais dans un cluster) : de nombreux chemins de configuration dépendent de son nom.

Comptes et double authentification

Créer un compte d'administration nominatif

Éviter d'utiliser root au quotidien.

Via interface graphique
  1. Datacenter → Permissions → Users → Add : utilisateur admin, realm Proxmox VE authentication server (pve).
  2. Datacenter → Permissions → Add → User Permission : chemin /, utilisateur admin@pve, rôle Administrator.
En ligne de commande 
pveum user add admin@pve --comment "Administrateur"
pveum passwd admin@pve
pveum acl modify / --users admin@pve --roles Administrator

# Vérifier
pveum user list
pveum acl list
Realm Comptes
pam Comptes système Linux de l'hôte (dont root)
pve Comptes propres à Proxmox, stockés dans sa configuration
ldap / ad / openid Annuaire LDAP, Active Directory, fournisseur OIDC (ex. Authentik)

Activer la double authentification

Datacenter → Permissions → Two Factor → Add → TOTP (ou clé de sécurité / WebAuthn), à faire pour root@pam et pour chaque compte d'administration. Conserver les codes de récupération (Recovery Keys) en lieu sûr.

Heure (NTP)

Proxmox utilise chrony. L'heure doit être exacte : certificats, double authentification TOTP et cluster en dépendent.

chronyc tracking
chronyc sources
timedatectl

Pour utiliser un serveur NTP interne, remplacer la ligne pool dans /etc/chrony/chrony.conf :

server 192.168.4.1 iburst

systemctl restart chronyd

Notifications

Datacenter → Notifications :

  1. Notification Targets → Add : un serveur SMTP (serveur, port, compte, adresse d'expédition), ou Gotify / webhook.
  2. Notification Matchers : choisir quels événements envoyer à quelle cible (échecs de sauvegarde, réplication, alertes disques, mises à jour disponibles).
  3. Test pour vérifier la réception.

Certificat HTTPS (ACME / Let's Encrypt)

Pour supprimer l'avertissement de certificat du navigateur :

  1. Datacenter → ACME → Accounts → Add : compte Let's Encrypt (adresse e-mail).
  2. Datacenter → ACME → Challenge Plugins : ajouter le plugin DNS de l'hébergeur du domaine si le serveur n'est pas joignable depuis Internet sur le port 80.
  3. Nœud → System → Certificates → ACME → Add : nom de domaine de l'hôte, méthode HTTP ou DNS.
  4. Order Certificates Now.

💡 Si l'interface Proxmox est publiée derrière un reverse proxy qui porte déjà le certificat, cette étape est facultative.

Pare-feu

Le pare-feu Proxmox se gère à trois niveaux : Datacenter (règles communes), Nœud, VM / conteneur.

  1. Avant de l'activer, ajouter des règles d'accès pour l'administration : Datacenter → Firewall → Add :

    Direction Action Source Protocole Port Usage
    in ACCEPT réseau d'administration (192.168.4.0/24) tcp 8006 Interface web
    in ACCEPT réseau d'administration tcp 22 SSH

  2. Datacenter → Firewall → Options → Firewall : Yes.

  3. Tester l'accès depuis le réseau d'administration avant de fermer la session en cours.

⚠️ Une erreur de règle peut couper l'accès à l'interface web : garder un accès console (écran / clavier, IPMI) pendant la mise en place.

SSH

⚠️ Dans un cluster, les nœuds communiquent en SSH avec leurs propres clés : ne pas désactiver la connexion de root par clé.

Images ISO et modèles

# Liste et téléchargement des modèles LXC en ligne de commande
pveam update
pveam available --section system
pveam download local debian-13-standard_13.1-2_amd64.tar.zst

💡 Le nom exact du modèle change à chaque version : le reprendre dans la sortie de pveam available.

Checklist

Étape suivante