6.6. TPM と PCR の保護によるディスク暗号化について
SiteConfig カスタムリソース (CR) の diskEncryption フィールドを使用して、Trusted Platform Module (TPM) と Platform Configuration Register (PCR) 保護によるディスク暗号化を設定できます。
TPM は、暗号鍵を保存し、システムのセキュリティー状態を評価するハードウェアコンポーネントです。TPM 内の PCR には、システムの現在のハードウェアおよびソフトウェア設定を表すハッシュ値が保存されます。次の PCR レジスターを使用して、ディスク暗号化の暗号鍵を保護できます。
- PCR 1
- Unified Extensible Firmware Interface (UEFI) の状態を表します。
- PCR 7
- セキュアブートの状態を表します。
TPM は、PCR 1 および PCR 7 に記録されているシステムの現在の状態に暗号鍵をリンクすることで、暗号鍵を保護します。dmcrypt ユーティリティーが、このキーを使用してディスクを暗号化します。暗号鍵と想定される PCR レジスター間のバインディングは、必要に応じてアップグレード後に自動的に更新されます。
システムの起動プロセス中に、dmcrypt ユーティリティーが TPM の PCR 値を使用してディスクのロックを解除します。現在の PCR 値が以前にリンクされた値と一致した場合、ロックの解除が成功します。PCR 値が一致しない場合、暗号鍵を解除することができず、ディスクが暗号化されたままアクセスできなくなります。
SiteConfig CR の diskEncryption フィールドを使用したディスク暗号化を設定は、テクノロジープレビュー機能です。テクノロジープレビュー機能は、Red Hat 製品のサービスレベルアグリーメント (SLA) の対象外であり、機能的に完全ではないことがあります。Red Hat は、実稼働環境でこれらを使用することを推奨していません。テクノロジープレビュー機能は、最新の製品機能をいち早く提供して、開発段階で機能のテストを行い、フィードバックを提供していただくことを目的としています。
Red Hat のテクノロジープレビュー機能のサポート範囲に関する詳細は、テクノロジープレビュー機能のサポート範囲 を参照してください。
関連情報
- TPM 暗号化
- ディスク暗号化を有効にする方法は、TPM と PCR の保護によるディスク暗号化の有効化 を参照してください。
