9.10. Configuración de la inscripción automatizada de volúmenes cifrados con LUKS mediante Kickstart

Procedimiento

1. Indique a Kickstart que particione el disco de forma que se habilite el cifrado LUKS para todos los puntos de montaje, excepto /boot, con una contraseña temporal. La contraseña es temporal para este paso del proceso de inscripción.

   part /boot --fstype="xfs" --ondisk=vda --size=256
   part / --fstype="xfs" --ondisk=vda --grow --encrypted --passphrase=temppass

   Tenga en cuenta que los sistemas de reclamación OSPP requieren una configuración más compleja, por ejemplo:

   part /boot --fstype="xfs" --ondisk=vda --size=256
   part / --fstype="xfs" --ondisk=vda --size=2048 --encrypted --passphrase=temppass
   part /var --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
   part /tmp --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
   part /home --fstype="xfs" --ondisk=vda --size=2048 --grow --encrypted --passphrase=temppass
   part /var/log --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
   part /var/log/audit --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass

2. Instale los paquetes de la horquilla relacionados con ella, enumerándolos en la sección %packages:

   %packages
   clevis-dracut
   %end

3. Llame a clevis luks bind para realizar la vinculación en la sección %post. Después, elimine la contraseña temporal:

   %post
   curl -sfg http://tang.srv/adv -o adv.jws
   clevis luks bind -f -k- -d /dev/vda2 \
   tang '{"url":"http://tang.srv","adv":"adv.jws"}' \ <<< "temppass"
   cryptsetup luksRemoveKey /dev/vda2 <<< "temppass"
   %end

   En el ejemplo anterior, observe que descargamos el anuncio del servidor Tang como parte de nuestra configuración de vinculación, lo que permite que la vinculación sea completamente no interactiva.

   Aviso

   El comando cryptsetup luksRemoveKey impide cualquier administración posterior de un dispositivo LUKS2 en el que se aplique. Puede recuperar una llave maestra eliminada utilizando el comando dmsetup sólo para dispositivos LUKS1.