Belajar Proxmox VE - User Management, Permissions & Two-Factor Authentication (2FA)

#Pendahuluan

Cluster yang tidak diawasi aksesnya adalah cluster yang berbahaya. Satu akun root yang bocor bisa menghancurkan seluruh infrastruktur dalam hitungan menit. Episode 14 mengajarkan kalian menata siapa boleh mengakses apa — fondasi keamanan yang profesional.

Kita akan mengenal authentication realms, membedah Role-Based Access Control (RBAC) dengan peran bawaan dan kustom, memahami permission paths, lalu mengaktifkan two-factor authentication untuk akun-akun penting. Di akhir episode, kalian tidak akan lagi membagi password root ke seluruh tim.

#Authentication Realms

#Jenis-Jenis Realm

Realm adalah sumber autentikasi — tempat identitas user diverifikasi. Proxmox mendukung beberapa realm:

PAM: memakai user Linux di node — mencakup root dan user sistem.
PVE: user internal Proxmox yang disimpan di database-nya sendiri.
LDAP/AD: integrasi dengan Active Directory atau OpenLDAP untuk organisasi besar.
OpenID Connect: single sign-on modern, kompatibel dengan Keycloak, Google, atau provider lainnya.

Format user dengan realm

user@realm  ->  contoh: admin@pve, root@pam

Format penulisan user selalu menyertakan realm. Ini penting saat mengelola permission.

#Kapan Memakai Realm Mana

Untuk single node dan homelab, realm PVE sudah cukup. Saat tim bertumbuh atau sudah memiliki Active Directory, integrasikan LDAP agar user terpusat. Jika organisasi memakai SSO modern, pilih OpenID Connect. Semakin besar organisasi, semakin penting autentikasi terpusat.

#Role-Based Access Control (RBAC)

#Peran Bawaan Proxmox

RBAC memisahkan identitas (siapa) dari hak akses (boleh apa). Proxmox menyediakan peran bawaan:

PVEAdmin: kontrol penuh atas seluruh resource.
PVEAudit: hanya bisa melihat, tanpa mengubah.
PVEVMUser: bisa mengelola VM tertentu sesuai permission path-nya.

Buat user dan beri peran

pveum user add dev@pvem --password
pveum aclmod /vms/100 -user dev@pvem -role PVEVMUser

Perintah pveum user add membuat user internal, dan pveum aclmod memberi user tersebut peran PVEVMUser pada path /vms/100 — artinya dia hanya bisa mengelola VM 100.

#Custom Roles

Jika peran bawaan kurang presisi, buat custom role dengan kombinasi privilege yang diinginkan. Misalnya, role BackupOperator yang hanya memiliki privilege backup dan restore. Kustomisasi ini memastikan prinsip least privilege: berikan hak seminimal mungkin untuk pekerjaan tertentu.

#Permission Paths

#Hierarki Permission

Permission di Proxmox diberikan pada path yang membentuk hierarki, dan hak yang diberikan pada path atas menurun ke path bawah:

/ : seluruh datacenter.
/nodes/<node> : satu node.
/vms/<id> : satu VM atau container.
/pool/<pool> : sekelompok VM.

Hierarki permission

/ (datacenter) -> /nodes/pve -> /vms/100

Dengan struktur ini, kalian bisa memberikan akses luas ke satu tim, dan akses sempit ke orang lain — semua dari konsol yang sama.

#Menerapkan RBAC di Praktik

Contoh penerapan nyata: tim dengan tiga peran berbeda.

Tim infra: role PVEAdmin pada path / — akses penuh.
Developer: role PVEVMUser pada path /vms/100 dan /vms/101 — hanya bisa mengelola VM tertentu.
Auditor: role PVEAudit pada path / — hanya bisa melihat.

Terapkan RBAC secara berlapis

pveum aclmod / -user infra@pve -role PVEAdmin
pveum aclmod /vms/100 -user dev@pve -role PVEVMUser
pveum aclmod / -user auditor@pve -role PVEAudit

Perintah pveum aclmod menerapkan permission sesuai path. Pola ini memastikan setiap orang hanya melihat dan mengubah apa yang menjadi tanggung jawabnya.

#Two-Factor Authentication (2FA)

#TOTP dan WebAuthn

Password saja tidak cukup di era serangan phishing. Proxmox mendukung dua metode 2FA:

TOTP: kode berubah setiap 30 detik dari aplikasi seperti Google Authenticator atau Authy.
WebAuthn (FIDO2): menggunakan hardware key seperti YubiKey, atau platform authenticator.

#Mengaktifkan 2FA di Web UI

Aktifkan 2FA di Datacenter -> Permissions -> Two-Factor Authentication. Pilih metode TOTP atau WebAuthn, lalu ikuti wizard: scan QR code untuk TOTP, atau colokkan hardware key untuk WebAuthn.

Alur aktivasi 2FA

Pilih metode -> scan QR / colokkan key -> masukkan kode verifikasi -> selesai

Setelah diaktifkan, login berikutnya meminta kode TOTP atau interaksi key. Wajibkan 2FA untuk semua akun dengan akses administratif.

Warning

Simpan recovery keys dan jangan kehilangan perangkat 2FA. Jika akun root terkunci, kalian harus masuk lewat console fisik node dengan akses PAM untuk memulihkan akses.

#Penutup

Episode 14 menata akses ke cluster kalian: memahami authentication realms, memakai RBAC dengan peran bawaan dan kustom, menyusun permission paths dari datacenter hingga per VM, serta mengaktifkan 2FA TOTP dan WebAuthn.

Inti yang harus dibawa pulang:

Realm menentukan sumber autentikasi: PAM, PVE, LDAP, atau OpenID Connect.
Format user selalu menyertakan realm, misalnya admin@pve.
RBAC memisahkan user, peran, dan permission path.
Terapkan least privilege dengan custom roles.
Permission menurun dari path atas ke bawah.
Aktifkan 2FA untuk semua akun administratif.

Di episode 15 selanjutnya kita akan membahas security hardening node Proxmox — mematikan SSH password login, mengganti port SSH, memakai sertifikat TLS yang valid, membatasi akses web UI ke management VLAN, dan mengotomasi security updates. Akses kalian sudah terstruktur; sekarang saatnya memperkuat node itu sendiri!