7.7.8. TPM と PCR の保護によるディスク暗号化の有効化

前提条件

• OpenShift CLI (oc) がインストールされている。
• cluster-admin 権限を持つユーザーとしてログインしている。
• 「TPM と PCR の保護によるディスク暗号化について」セクションを確認した。

手順

• SiteConfig CR の spec.clusters.diskEncryption フィールドを設定します。

  PCR の保護によるディスク暗号化を有効にする際に推奨される SiteConfig CR の設定

  apiVersion: ran.openshift.io/v1
  kind: SiteConfig
  metadata:
    name: "encryption-tpm2"
    namespace: "encryption-tpm2"
  spec:
    clusters:
    - clusterName: "encryption-tpm2"
      clusterImageSetNameRef: "openshift-v4.13.0"
      diskEncryption:
        type: "tpm2" 

  1

  
        tpm2:
          pcrList: "1,7" 

  2

  
      nodes:
        - hostName: "node1"
          role: master

  1

  ディスク暗号化タイプを tpm2 に設定します。

  2

  ディスク暗号化に使用する PCR のリストを設定します。PCR レジスター 1 と 7 を使用する必要があります。

検証

• 次のコマンドを実行して、TPM と PCR の保護によるディスク暗号化が有効になっていることを確認します。

  $ clevis luks list -d <disk_path> 

  1

  1

  <disk_path> は、ディスクへのパスに置き換えます。たとえば、/dev/sda4 です。

  出力例

  1: tpm2 '{"hash":"sha256","key":"ecc","pcr_bank":"sha256","pcr_ids":"1,7"}'