9.16. NBDE を使用してクラウド環境用の自動登録可能な仮想マシンイメージをビルドする

自動登録可能な暗号化イメージをクラウド環境にデプロイすると、特有の課題が発生する可能性があります。他の仮想化環境と同様に、LUKS マスター鍵の共有を避けるために、1 つのイメージから起動するインスタンスの数を減らしてください。

ベストプラクティスは、いかなるパブリックリポジトリーでも共有せず、限られた数のインスタンスをデプロイするための基盤となるようなカスタムのイメージを作成することです。作成するインスタンスの数は、デプロイメントのセキュリティーポリシーで定義する必要があります。また、LUKS マスター鍵の攻撃ベクトルに関連するリスク許容度に基づいて決定する必要があります。

LUKS に対応する自動デプロイメントを構築するには、Lorax、virt-install などのシステムとキックスタートファイルを一緒に使用し、イメージ構築プロセス中にマスター鍵の一意性を確保する必要があります。

クラウド環境では、以下に示す 2 つの Tang サーバーのデプロイ方法を使用できます。