cluster-knaster/docs/ANMELDUNG.md

Anmeldung am Proxmox-Cluster „knaster“ (Vertretung)

Stand 13.10.2026. Zugangsdaten liegen in Password Depot, nicht in dieser Datei und nicht im Repo.

1. Einträge in Password Depot (seit 13.10.2026 vorhanden)

Eintrag „Proxmox knaster – r.rapp@pve“:

• Benutzer: r.rapp
• Passwort (Kopie auch in it/proxmox/.env, Zeile PVE_ADMIN_R_RAPP_PASS)
• Einmalpasswort (TOTP) im Feld „Einmalpasswort / 2FA“: Password Depot zeigt den 6-stelligen Code an.
• Notizen: Recovery-Keys (je einmal gültig). Die Datei tfa-r.rapp.txt ist gelöscht, Password Depot ist die einzige Quelle.

Zweiter Eintrag „Proxmox knaster – root (Notfall)“: Passwörter PVE44_PASS … PVE61_PASS aus .env.

2. Anmelden (Weboberfläche)

1. Nur vom Admin-Laptop (WLAN, 192.168.100.151) oder über den Steuerrechner ops. Von anderen Rechnern sperrt die Firewall die Weboberfläche. Soll ein anderer PC dauerhaft Zugriff bekommen: seine IP in cluster-knaster/sites/knaster/proxmox.yaml unter firewall.management eintragen und auf ops ansible-playbook playbooks/cluster.yml laufen lassen.
2. Browser: https://192.168.100.210:8006 (pve44). Jeder Knoten geht, die Oberfläche zeigt den ganzen Cluster. Zertifikatswarnung verschwindet nach Import der CA (certutil -user -addstore Root C:\Users\r.rapp\it\proxmox\pve-root-ca.pem).
3. Benutzername r.rapp, Passwort aus Password Depot, Realm „Proxmox VE authentication server“ (nicht „Linux PAM“).
4. Zweiter Schritt: 6-stelligen Code aus Password Depot (oder der Authenticator-App) eingeben.

3. Wenn der Code nicht geht

• TOTP-Dialog eingefroren, rotes Symbol: Eine Passwortmanager-Erweiterung (Bitwarden, Chrome-ID nngceckbapebfimnlniiiahkandclblb) legt ihre „Speichern?“-Leiste über den Dialog. Abhilfe: Inkognito-Fenster oder Edge, dauerhaft die Knoten-IPs in Bitwarden unter „Ausgeschlossene Domains“ eintragen. Die Anmeldung selbst ist in Ordnung (13.10. per API geprüft).

• Reiter „Recovery Key“ wählen und einen Recovery-Key aus Password Depot eingeben. Danach einen neuen TOTP anlegen: Oben rechts Benutzer → „TFA“, oder per Skript cluster-knaster/platform/proxmox/scripts/pve-admin-user.sh r.rapp nach Löschen der alten Einträge (siehe docs/BETRIEB.md Abschnitt 8).

• Letzter Ausweg: root, Realm „Linux PAM standard authentication“, Passwort des jeweiligen Knotens. root hat keine 2FA und ist nur für Notfälle gedacht.

4. Nur Kommandozeile

ssh pve44 (Alias aus ~/.ssh/config, Schlüssel it/proxmox/keys/id_ed25519_pve, ohne Passphrase). Funktioniert ebenfalls nur vom Admin-Laptop oder von ops.

5. Was im Vertretungsfall reicht

• Zustand prüfen: cluster-knaster/platform/proxmox/scripts/healthcheck.sh (Git-Bash auf dem Laptop). Meldet OK/FEHLER je Punkt.
• Updates und Neustarts: docs/BETRIEB.md Abschnitt 6, immer nur ein Knoten nach dem anderen.
• Benachrichtigungen des Clusters kommen per Mail an ki@mygodel.de.