20.3. 大規模な組織での volume_key の使用

手順20.3 準備

1. X509 証明書/プライベートペアを作成します。
2. 信頼できるユーザーを指定します。このユーザーは、秘密鍵を危険にさらさないという点で信頼されています。このようなユーザーは、escrow パケットを復号化できます。
3. escrow パケットの復号に使用するシステムを選択します。このようなシステムでは、秘密鍵を含む NSS データベースを設定します。
   秘密鍵が NSS データベースで作成されていない場合は、以下の手順を行います。
   • 証明書と秘密鍵を PKCS#12 ファイルに保存します。
   • 以下を実行します。

     certutil -d /the/nss/directory -N

     この時点で、NSS データベースのパスワードを選択できます。各 NSS データベースには異なるパスワードを設定できるため、各ユーザーが個別の NSS データベースを使用する場合に、指定したユーザーは単一のパスワードを共有する必要はありません。
   • 以下を実行します。

     pk12util -d /the/nss/directory -i the-pkcs12-file

4. システムをインストールしている人、または既存システムに鍵を保存している人に証明書を配布します。
5. 保存した秘密鍵については、マシンおよびボリュームから検索できるように、ストレージを準備します。たとえば、マシンごとに 1 つのサブディレクトリーを持つ単純なディレクトリーや、その他のシステム管理タスクに使用されるデータベースなどです。

手順20.4 暗号化キーの保存

1. 以下を実行します。

   volume_key --save /path/to/volume -c /path/to/cert escrow-packet

2. 準備したストレージに、生成された escrow-packet ファイルを保存し、システムおよびボリュームと関連付けます。

手順20.5 ボリュームへのアクセスの復元

1. パケットストレージからボリュームの escrow パケットを取得し、指定したユーザーのいずれかに送信して復号化します。
2. 指定されたユーザーは、以下を実行します。

   volume_key --reencrypt -d /the/nss/directory escrow-packet-in -o escrow-packet-out

   NSS データベースのパスワードを提供した後、指定されたユーザーは escrow-packet-out を暗号化するパスフレーズを選択します。このパスフレーズは毎回異なるものにでき、指定されたユーザーからターゲットシステムに暗号化キーが移動されている間のみ暗号化キーを保護します。
3. 指定されたユーザーから escrow-packet-out ファイルとパスフレーズを取得します。
4. レスキューモードなどで volume_key を実行し、escrow-packet-out ファイルを使用できる環境でターゲットシステムを起動します。
5. 以下を実行します。

   volume_key --restore /path/to/volume escrow-packet-out

   指定ユーザーが選択したパケットパスフレーズとボリュームの新しいパスフレーズを求めるプロンプトが表示されます。
6. 選択したボリュームパスフレーズを使用してボリュームをマウントします。