第9章 Policy-Based Decryption を使用した暗号化ボリュームの自動ロック解除の設定

RHEL では、NBDE は次のコンポーネントとテクノロジーによって実装されます。

図9.1 LUKS1 で暗号化したボリュームを使用する場合の NBDE スキーム。LUKSmeta は LUKS2 ボリュームには使用されません。

NBDE のプロビジョニングを開始すると、Tang サーバーの Clevis ピンは、Tang サーバーの、アドバタイズされている非対称鍵のリストを取得します。もしくは、鍵が非対称であるため、Tang の公開鍵のリストを帯域外に配布して、クライアントが Tang サーバーにアクセスしなくても動作できるようにします。このモードは オフラインプロビジョニング と呼ばれます。

Tang 用の Clevis ピンは、公開鍵の 1 つを使用して、暗号的に強力な一意の暗号鍵を生成します。この鍵を使用してデータを暗号化すると、この鍵は破棄されます。Clevis クライアントは、使いやすい場所に、このプロビジョニング操作で生成した状態を保存する必要があります。データを暗号化するこのプロセスは プロビジョニング手順 と呼ばれています。

そのデータにアクセスする準備ができたら、クライアントはプロビジョニング手順で生成されたメタデータを読み込み、暗号鍵を回復するために応答します。このプロセスは 復旧手順 と呼ばれます。

NBDE では、LUKS ボリュームを自動的にロック解除できるように、Clevis がピンを使用してボリュームをバインドします。バインドプロセスが正常に終了すると、提供されている Dracut アンロックを使用してディスクをアンロックできます。

詳細は、システム上の tang(8)、clevis(1)、jose(1)、および clevis-luks-unlockers(7) man ページを参照してください。