Vertrauen entsteht durch Architektur, nicht durch Behauptungen
AtlasPVE ist eine Sicherheits- und Betriebsschicht, die neben Proxmox Servern installiert wird. Diese Seite erklärt offen, wie das Produkt arbeitet, wo die Daten liegen und was passiert, wenn es eines Tages entfernt wird; ein Werkzeug, das Root verlangt, schuldet zuerst Rechenschaft.
Eine nicht-invasive Architektur
AtlasPVE patcht keine Proxmox Kerndateien. Jede Operation läuft über die offiziellen Proxmox Werkzeuge und APIs; der Hypervisor wird nie geforkt und seine Pakete werden nie ersetzt.
Berechtigungen werden nicht neu erfunden: Wer was darf, wird aus dem eigenen Rechtesystem von Proxmox gelesen und bei jeder Anfrage auf dem Server durchgesetzt. Einen Knopf im Panel zu verstecken zählt nicht als Berechtigung; die Entscheidung fällt immer auf dem Server.
Die Komponente, die als Root läuft, wird bewusst klein gehalten: Nur Ausführung und Schutzarbeit laufen als Root; die Oberfläche und die Entscheidungsschichten nie.
Die Daten bleiben beim Kunden
Das Produkt läuft vollständig auf dem eigenen Server des Kunden und erfüllt seine Aufgabe ohne Internetzugang. Konkret:
Serverinventar, VM-Listen und Konfiguration verlassen den Host nie.
Metriken und Diagramme werden lokal gesammelt und bleiben lokal.
Logs und die Prüfspur leben auf dem Host; nichts wird an einen externen Dienst geschickt.
Keine Telemetrie, keine Nutzungsanalyse.
Updates werden auf Wunsch als signierte Pakete geladen; ein Paket, das die Prüfung nicht besteht, wird nie installiert.
Fällt das Internet aus, arbeitet das Panel weiter; das Produkt hängt nicht von Cloud-Diensten ab.
Sechs Säulen des Vertrauens
Jede Aussage auf dieser Seite hat eine konkrete Entsprechung im Produkt.
Saubere Deinstallation
Die Entfernung ist ein einziger Befehl und lässt keine Dienste zurück. Kein Lock-in zu schaffen ist eine bewusste Designentscheidung.
Proxmox bleibt unberührt
Wird AtlasPVE eines Tages entfernt, läuft Proxmox exakt weiter wie zuvor, denn keine Kernkomponente wurde je verändert. Virtuelle Maschinen, Backups und Snapshots bleiben genau dort, wo sie sind.
Signierte Updates
Jedes Updatepaket ist signiert und wird vor der Installation geprüft. Schlägt die Prüfung fehl, stoppt die Installation.
Kleines Root, getrennte Schichten
Die Root-Komponente ist ein schmaler Ausführungskern. Oberfläche und Produktlogik leben in getrennten Prozessen ohne Root; die Angriffsfläche wird bewusst klein gehalten.
Verantwortungsvolle Offenlegung
Sicherheitsfunde werden unter [email protected] entgegengenommen, mit Priorität behandelt, und Korrekturen werden in den Versionshinweisen klar markiert. Forschende in gutem Glauben haben nie rechtliche Schritte zu befürchten.
Keine Geheimnisse in den Logs
Passwörter und Tokens werden nie in die Prüfspur geschrieben. Einträge tragen die Aktion, nicht die Zugangsdaten dahinter.
Häufige Fragen
- Was passiert mit Proxmox, wenn Atlas entfernt wird?
- Nichts. Da der Kern nie verändert wird, laufen VMs, Backups und Netzwerk weiter wie zuvor; die Entfernung ist ein einziger Befehl und lässt keine Dienste zurück.
- Wohin gehen die Daten?
- Nirgendwohin. Das Produkt arbeitet ohne Internet; Inventar, Metriken und Logs bleiben auf dem Server, Telemetrie wird nicht gesammelt.
- Warum braucht es Root?
- Updates, Storage und Systemoperationen verlangen Root. Genau deshalb wird die Root-Komponente schmal gehalten; Oberfläche und Entscheidungsschichten laufen nie als Root.
- Wie werden Updates geprüft?
- Jedes Paket ist signiert; die Signatur wird vor der Installation geprüft, und ein ungeprüftes Paket wird nie installiert.
- Wie wird eine Sicherheitslücke gemeldet?
- An [email protected]. Meldungen werden mit Priorität behandelt; bestätigt sich der Fund, wird bis zur Veröffentlichung der Korrektur um Vertraulichkeit gebeten.
- Wie werden Sicherheitskorrekturen angekündigt?
- Korrekturen werden in den Versionshinweisen klar markiert; der Update-Bildschirm zeigt, welche Version Sicherheitsinhalte trägt.
- Ist Atlas für Produktivumgebungen geeignet?
- Atlas wurde nicht entworfen, um Proxmox zu ersetzen, und wird es nicht tun. Das ist kein Mangel, sondern das Fundament, auf dem das Produkt steht: die Weboberfläche, die Shell und die Terminals bleiben genau so, wie sie sind, Daten verlassen den Host nicht, und beim Entfernen von Atlas bleibt nicht eine einzige Abhängigkeit zurück. Genau das ist das Maß für Produktionstauglichkeit, denn eine Schicht, die die Infrastruktur bei ihrem Eigentümer belässt, ist von Bauart her umkehrbar. Die Komponente, die auf dem Server als root läuft, ist unter AGPL offen; was sie tut, lässt sich lesen und prüfen, denn Vertrauen entsteht durch Nachprüfbarkeit und nicht durch Versprechen. Ab dem ersten Bildschirm macht Atlas die Gesamtverteilung, die Abhängigkeitskette und die Richtung des Systems lesbar; die Betriebsseite wartet in derselben Oberfläche, und Update-, Speicher- und Netzarbeiten werden mit vorher sichtbarer Wirkung ausgeführt.
Verwandte Einträge
- Das Panel nach außen öffnen: was sich ändert und der Weg, der am wenigsten ändert Sobald das Panel im Internet steht, ist die Anmeldeseite für alle sichtbar und automatische Versuche finden sie binnen Stunden. Es gibt drei Wege, und der schützendste macht das Panel gar nicht erst sichtbar.
- Die Identitätsquelle beim Anlegen eines Benutzers: auf dem Server vorhanden oder nur im Panel Proxmox kennt zwei Arten von Benutzern: Systemkonten, die es auf dem Server wirklich gibt, und Konten, die nur in Proxmox existieren. Die falsche Wahl verhindert entweder die Anmeldung oder öffnet mehr Türen als nötig.
- Die Konsole ist ein Vorrecht: warum sie ihre eigene Berechtigung verlangt Eine Konsole sieht aus wie ein Bildschirm, ist aber eine Shell. Und "darf Einstellungen ändern" und "darf eine Shell öffnen" sind zwei verschiedene Mächte; das eine für das andere zu halten heißt, Root zu verteilen.
- Ein eigener Schlüssel für Automatisierung statt eines geteilten Passworts: Token und ihre Grenzen Einem Skript ein Passwort zu geben schreibt alles, was diese Person besitzt, in eine Datei. Ein Token ist ein eigener Schlüssel: einzeln widerrufbar, mit Ablaufdatum, und mit weniger Befugnis als das Konto.