J’ai donné le droit mais il ne s’applique pas : la question du chemin dans les droits Proxmox

L’utilisateur a été créé, un rôle lui a été donné, c’est enregistré. Puis l’utilisateur se connecte et ne voit rien à l’écran. C’est la confusion de droits la plus fréquente dans Proxmox, et elle vient presque toujours du même endroit.

Un droit se compose de trois parties

Dans Proxmox, un droit ne veut pas dire « cet utilisateur a reçu ce rôle ». Il a trois parties : qui, quel rôle, et à quel chemin. Le chemin est la carte du système sous forme d’arbre : la racine, une machine virtuelle précise, un espace de stockage, un nœud, un pool. Vous donnez le rôle sur une branche de l’arbre, et le rôle ne vaut que là.

Derrière la phrase « j’ai donné le droit mais il ne voit rien » il y a donc en général ceci : le rôle est bon, l’utilisateur est bon, le chemin est mauvais.

Le deuxième piège : est-ce que ça descend dans les branches

Que le droit couvre ou non les branches en dessous est un choix distinct fait au moment de le donner. S’il ne les couvre pas, le droit vaut exactement à cet endroit et nulle part en dessous. Un droit qui ne descend pas depuis son point est donné sur le papier et ne touche rien en pratique.

Le troisième piège : ce que contient le rôle

Les noms de rôles rassurent, leur contenu n’est pas toujours celui qu’on imagine. Voir une machine virtuelle est un privilège, la démarrer en est un autre, se brancher sur sa console encore un autre. Si l’utilisateur voit la machine mais ne peut pas la démarrer, c’est le rôle qui est court, pas le chemin. Séparer ces deux cas, c’est la moitié du diagnostic.

Le quatrième piège : on oublie le stockage

Le droit de créer une machine virtuelle est donné, celui sur le stockage ne l’est pas. L’utilisateur essaie et l’erreur qu’il reçoit a l’air de porter sur la machine, alors que la vraie question est de savoir où le disque va s’écrire. Si un travail touche plusieurs branches, il faut aussi des droits sur plusieurs branches.

Le cinquième piège : même nom, utilisateur différent

Le domaine à la fin d’un nom d’utilisateur est la source d’authentification. Le même nom dans deux sources différentes, ce sont deux utilisateurs différents. Si le droit va à l’un et la connexion se fait avec l’autre, rien ne marche et rien n’a l’air anormal à l’écran non plus.

Comment poser le diagnostic

Plutôt que de relire les entrées créées et d’en déduire, demandez directement au système : quels droits cet utilisateur a-t-il réellement. La réponse dit ce que le système applique, pas ce que vous avez donné, et l’écart apparaît exactement là. Les droits venus d’un groupe s’additionnent également ; un droit donné à un endroit ne se retire pas en ajoutant une autre entrée.

Ce que fait Atlas

Atlas ne construit pas son propre système de rôles. Il demande à Proxmox ce que le compte qui se connecte a le droit de faire et façonne l’écran à partir de cette réponse, si bien que l’autorité affichée dans le panneau et celle du serveur ne divergent pas. Au moment d’accorder un droit, le chemin arrive comme un choix prêt et non comme un champ tapé de mémoire, et le fait qu’il atteigne les branches du dessous est une case visible, pas un réglage caché. Les entrées existantes tiennent dans une seule liste, si bien que la question « qui a reçu quoi » se répond en lisant.