9.15. NBDE ネットワークで仮想マシンをデプロイする

仮想マシンに Network-bound Disc Encryption (NBDE) を設定する場合、実稼働環境ではセキュアな方法のみを使用してください。

clevis luks bind コマンドは、LUKS マスター鍵を変更しません。これは、仮想マシンまたはクラウド環境で使用する、LUKS で暗号化したイメージを作成する場合に、このイメージを実行するすべてのインスタンスがマスター鍵を共有することを意味します。これにはセキュリティーの観点で大きな問題があるため、常に回避する必要があります。

これは、Clevis の制限ではなく、LUKS の設計原理です。クラウド内に暗号化されたルートボリュームが必要な場合は、クラウド内の Red Hat Enterprise Linux の各インスタンスに対してもインストールプロセスを実行してください。このイメージは、LUKS マスター鍵を共有しなければ共有できません。

仮想化環境で自動ロック解除をデプロイするには、Lorax や virt-install などのツールをキックスタートファイルまたは別の自動プロビジョニングツールと併用して、暗号化された各仮想マシンが一意のマスター鍵を持つようにします。