Я тоже не уверен насчёт этой темы. В VMware вы бы не запускали VCSA на кластере, которым управляет этот же VCSA, потому что кластер иногда нуждается в ресурсах от VCSA для запуска виртуальных машин (например, если вы используете vDS-среду). В Proxmox, похоже, управление кластером сейчас не зависит от PDM, поскольку PDM (пока что) выступает скорее как вспомогательный элемент для улучшения ситуационной осведомлённости и централизованного управления в мультикластерных средах. Пока corosync на хостах работает нормально, кластер Proxmox должен восстанавливаться без запущенного PDM в самом начале. Судя по описаниям, план восстановления при ситуации, когда все хосты кластера выключены (виртуалки на общем хранилище), может выглядеть так:

- Включить достаточно хостов кластера, чтобы обеспечить выполнение требований кворума.
- Подключиться к кластеру через один из хостов, проверить состояние кластера и запустить PDM.

Или HA автоматически поднимет ВМ, если она работала до инцидента?

Если PDM запущен на физическом сервере, он недоступен при сбое этого сервера. Если он работает на хосте Proxmox, и этот хост упал, ВМ может сразу перезапуститься на другом хосте (при условии, что ВМ доступна через вашу сеть хранения/кластер). В обоих случаях есть риск отказа, но в сценарии кластера с общим хранилищем время восстановления, кажется, значительно короче.

Это так, или я что-то упускаю?

На самом деле — нет. Никогда не стоит ставить самые важные системы управления (NMS, обнаружение ошибок и предупреждения/уведомления, системы управления) на один физический сервер. Потому что вероятность его отказа такая же, как у любого из серверов виртуализации, но время восстановления или ремонта будет намного дольше, чем просто перезапуск виртуальных машин на другом хосте. (Если только у ваших систем управления нет функций высокой доступности и они не работают параллельно на нескольких физических серверах.) Обычно для основных серверов виртуализации используют разные источники питания, резервные коммутаторы — это не что-то особенное для систем управления, ведь главная задача — обеспечить максимальную доступность производственных серверов. Чтобы снизить риск отказа одного аппаратного сервера NMS, можно разместить важные системы NMS и мониторинга в специальном небольшом виртуализационном кластере. Для PDM это означало бы, что она будет работать в виртуализации, а не напрямую на железе. И если этот кластер NMS/управления можно восстановить без запуска PDM, то можно ли тогда разместить PDM на этом кластере?