Proxmox Backup Server : sauvegarder ses machines virtuelles pas à pas (installation, rétention, chiffrement, restauration)

La réponse courte : Proxmox Backup Server (PBS) se met en place en six étapes. Un serveur physique dédié, un datastore sur des disques rapides, la liaison avec Proxmox VE par un compte limité à la sauvegarde, un planning de sauvegarde avec sa rétention, des tâches de nettoyage et de vérification, puis une copie hors site. La septième étape, souvent oubliée, est la restauration de test. Ce guide suit cet ordre et s’appuie uniquement sur la documentation officielle de Proxmox (PBS 4.2 et Proxmox VE).

Chez ALLSAFE SOLUTIONS, nous sommes partenaire Proxmox à Casablanca. Nous installons et supervisons des plateformes Proxmox VE et Proxmox Backup Server pour des entreprises au Maroc, et fournissons les serveurs et abonnements, avec ou sans installation. Pour le choix de l’abonnement et du niveau de support, voir notre guide Proxmox au Maroc : intégrateur, abonnements et installation.

Ce que fait Proxmox Backup Server

PBS est une solution de sauvegarde client-serveur, libre (licence AGPL v3), écrite en Rust et optimisée pour Proxmox VE. Elle sauvegarde des machines virtuelles, des conteneurs et des hôtes physiques. Ses fonctions principales, d’après la documentation :

Fonction	Ce que cela apporte
Sauvegarde incrémentale	Seules les données modifiées sont lues et transmises
Déduplication	Les blocs identiques ne sont stockés qu’une fois, entre toutes les sauvegardes
Compression Zstandard	Réduit l’espace consommé, avec un faible coût processeur
Chiffrement côté client AES-256-GCM	Les données quittent l’hyperviseur déjà chiffrées ; transport en TLS
Contrôle d’intégrité SHA-256 et tâches de vérification	Détecte une sauvegarde corrompue avant d’en avoir besoin
Synchronisation vers un autre PBS	Copie hors site qui ne transfère que les nouvelles données
Bande (LTO) et magasins d’objets S3	Archivage long terme ; S3 est officiellement supporté depuis PBS 4.2
Droits fins et namespaces	Séparer les équipes, les sites ou les clients sur un même serveur

Étape 1 : un serveur dédié, correctement dimensionné

La documentation est claire : installer le serveur de sauvegarde directement sur l’hyperviseur n’est pas recommandé. Si l’hôte tombe, les sauvegardes tombent avec lui. Prévoyez une machine physique séparée, idéalement dans une autre baie ou un autre local.

Recommandations officielles pour la production :

• Processeur : 64 bits récent, au moins 4 cœurs.
• Mémoire : au moins 4 Gio pour le système et les services, plus au moins 1 Gio par To de stockage de sauvegarde.
• Système : au moins 32 Gio, sur RAID matériel avec cache protégé par batterie, ou sur ZFS redondant (pas les deux à la fois).
• Stockage des sauvegardes : local, rapide, avec beaucoup d’IOPS en accès aléatoire ; des SSD d’entreprise donnent les meilleurs résultats. Avec des disques durs, un cache de métadonnées (par exemple un miroir ZFS « special device ») est fortement recommandé.
• Réseau : cartes redondantes, en multi-gigabit.

L’installation se fait de préférence depuis l’ISO officielle sur clé USB ; une installation sur un Debian existant est aussi possible. Le choix du matériel est détaillé dans notre guide serveur pour PME au Maroc : Dell ou HPE.

Étape 2 : créer le datastore et les comptes

Un datastore est l’espace où PBS range les sauvegardes. Créez-le sur le volume rapide prévu (ZFS en miroir ou RAIDZ, par exemple), puis préparez les accès :

• Un utilisateur dédié à Proxmox VE, jamais le compte root.
• Le rôle DatastoreBackup sur le datastore : il permet de sauvegarder et de restaurer ses propres sauvegardes, sans pouvoir purger. Le rôle DatastorePowerUser ajoute la purge ; réservez-le aux besoins réels.
• Des jetons d’API pour les usages automatisés : un jeton n’a aucun droit à sa création et ne peut jamais faire plus que son utilisateur.
• La double authentification sur l’interface web des administrateurs.

Ce découpage compte face aux rançongiciels : si un hyperviseur est compromis, le compte qu’il utilise ne doit pas pouvoir effacer l’historique des sauvegardes.

Étape 3 : relier Proxmox VE à PBS

Dans Proxmox VE, ajoutez un stockage de type « Proxmox Backup Server » (Datacenter, puis Stockage). Les paramètres demandés : adresse du serveur (port 8007 par défaut), utilisateur avec son royaume, mot de passe ou jeton, nom du datastore et empreinte du certificat, visible sur le tableau de bord de PBS.

C’est aussi là que se règle le chiffrement côté client. Il est recommandé dès que les sauvegardes quittent un réseau de confiance, par exemple vers un site distant ou un stockage S3. Deux précautions :

• Sauvegardez la clé hors du serveur : sans elle, les sauvegardes chiffrées sont perdues. La commande proxmox-backup-client key paperkey produit une copie papier ; ajoutez une copie dans un gestionnaire de mots de passe et sur un support hors ligne.
• Utilisez une clé maître RSA : une copie chiffrée de la clé est jointe à chaque sauvegarde, ce qui permet de la retrouver même si l’hyperviseur d’origine a disparu.

Les sauvegardes chiffrées avec des clés différentes ne se dédupliquent pas entre elles : mieux vaut un datastore par clé.

Étape 4 : planifier les sauvegardes et la rétention

Les tâches se créent dans Datacenter, puis Sauvegarde. Pour les machines virtuelles, le mode snapshot sauvegarde sans interruption ; activez l’agent invité QEMU pour que les systèmes de fichiers soient figés proprement pendant la copie. Le mode stop est le plus cohérent mais arrête la machine. L’option « Repeat missed » rattrape une sauvegarde manquée, par exemple après une coupure de courant. Sur des machines très sollicitées, l’option de fleecing limite l’impact de la sauvegarde sur les performances, à condition de disposer d’un stockage local rapide en provisionnement fin.

La rétention se règle avec les options keep-last, keep-hourly, keep-daily, keep-weekly, keep-monthly et keep-yearly, appliquées dans cet ordre. Une politique courante combine des sauvegardes quotidiennes récentes, quelques hebdomadaires et des mensuelles. Les sauvegardes marquées protégées échappent à la purge : utile avant une migration ou une mise à jour majeure.

Étape 5 : nettoyage et vérification

Sur PBS, trois tâches planifiées complètent les sauvegardes :

1. Prune : supprime les instantanés qui sortent de la politique de rétention. Seules les métadonnées disparaissent à ce stade.
2. Garbage collection : libère réellement l’espace des blocs plus utilisés. Par sécurité, un bloc n’est supprimé qu’après une période de grâce d’environ 24 heures et 5 minutes.
3. Vérification : relit les sauvegardes et contrôle leur intégrité. La documentation recommande de revérifier l’ensemble au moins une fois par mois, contre la dégradation des disques.

Activez les notifications pour être averti d’un échec de sauvegarde, de vérification ou de synchronisation. Un échec silencieux est le scénario le plus coûteux.

Étape 6 : la copie hors site

Un seul serveur de sauvegarde, dans le même local que les hyperviseurs, ne protège ni d’un incendie ni d’un rançongiciel qui l’atteindrait. Trois options officielles :

• Synchronisation vers un second PBS distant, en mode « pull » (le serveur distant vient chercher les données) ou « push ». Depuis PBS 4.2, une synchronisation en mode push peut chiffrer les instantanés avant leur envoi vers le serveur distant.
• Datastore S3 vers un stockage objet compatible, officiellement supporté depuis PBS 4.2.
• Bande LTO pour l’archivage long terme et une copie physiquement déconnectée.

C’est l’application directe de la règle 3-2-1 et de la sauvegarde immuable. Pour l’hébergement du second site, voir notre guide de la sauvegarde externalisée au Maroc.

Étape 7 : restaurer, pour de vrai

PBS offre trois façons de restaurer depuis Proxmox VE :

• Restauration complète d’une machine virtuelle ou d’un conteneur.
• Live-restore : la machine démarre pendant que les données sont copiées en arrière-plan. Pratique pour réduire l’interruption, avec deux limites signalées par Proxmox : les lectures disque sont plus lentes pendant l’opération, et en cas d’échec, les données écrites entre-temps sont très probablement perdues.
• Restauration de fichiers : le bouton File Restore ouvre un explorateur sur la sauvegarde, pour récupérer un fichier ou un dossier sans toucher à la machine.

Planifiez un test de restauration régulier sur un réseau isolé, en suivant notre méthode pour tester la restauration d’une sauvegarde.

Les erreurs que nous corrigeons

1. PBS installé dans une VM sur le cluster qu’il sauvegarde, sans autre copie.
2. Le compte root de PBS utilisé par Proxmox VE, capable d’effacer toutes les sauvegardes.
3. Garbage collection jamais planifié : le datastore se remplit alors que la rétention semble correcte.
4. Aucune tâche de vérification : la corruption est découverte le jour de la restauration.
5. Clé de chiffrement stockée uniquement sur l’hyperviseur sauvegardé.
6. Pas d’agent invité QEMU sur les serveurs de bases de données.
7. Aucune notification configurée, donc des échecs qui passent inaperçus pendant des semaines.

PBS ou Veeam ?

Pour un parc entièrement sous Proxmox VE, PBS est la solution la plus intégrée. Quand l’entreprise protège aussi des serveurs physiques, Hyper-V ou Microsoft 365, Veeam offre une console unique ; il prend lui aussi en charge Proxmox VE, voir nos bonnes pratiques Veeam. Si vous sortez de VMware, la sauvegarde fait partie du plan de migration de VMware vers Proxmox.

Comment nous procédons

Nous auditons vos machines, vos volumes et vos exigences de reprise, dimensionnons le serveur PBS et le stockage, puis configurons datastores, comptes à droits limités, chiffrement avec clé maître, plannings, rétention, nettoyage, vérification et copie hors site. Nous réalisons un premier test de restauration avant de valider la mise en production. Ensuite, sauvegardes et vérifications sont supervisées 24/7, et un incident critique est pris en charge en moins de 15 minutes.

Découvrez notre offre de sauvegarde et continuité d’activité au Maroc et notre offre de virtualisation Proxmox au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : documentation officielle de Proxmox Backup Server (introduction, installation, maintenance, gestion des utilisateurs), documentation Proxmox VE (stockage PBS, sauvegarde et restauration) et communiqué Proxmox Backup Server 4.2 du 29 avril 2026.