9.12. キックスタートを使用して LUKS 暗号化ボリュームの自動登録を設定する

手順

1. /boot を除くすべてのマウントポイントで、一時パスワードを使用した LUKS 暗号化が有効になるように、ディスクのパーティションを設定するようキックスタートに指示します。パスワードは、登録プロセスの手順に使用するための一時的なものです。

   part /boot --fstype="xfs" --ondisk=vda --size=256
   part / --fstype="xfs" --ondisk=vda --grow --encrypted --passphrase=temppass

   OSPP 準拠のシステムには、より複雑な設定が必要であることに注意してください。次に例を示します。

   part /boot --fstype="xfs" --ondisk=vda --size=256
   part / --fstype="xfs" --ondisk=vda --size=2048 --encrypted --passphrase=temppass
   part /var --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
   part /tmp --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
   part /home --fstype="xfs" --ondisk=vda --size=2048 --grow --encrypted --passphrase=temppass
   part /var/log --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
   part /var/log/audit --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass

2. 関連する Clevis パッケージを %packages セクションに追加して、インストールします。

   %packages
   clevis-dracut
   clevis-luks
   clevis-systemd
   %end

3. オプション: 必要に応じて暗号化されたボリュームを手動でロック解除できるようにするには、一時パスフレーズを削除する前に、ボリュームに強力なパスフレーズを追加します。

4. clevis luks bind を呼び出して、%post セクションのバインディングを実行します。その後、一時パスワードを削除します。

   %post
   clevis luks bind -y -k - -d /dev/vda2 \
   tang '{"url":"http://tang.srv"}' <<< "temppass"
   cryptsetup luksRemoveKey /dev/vda2 <<< "temppass"
   dracut -fv --regenerate-all
   %end

   ブートの初期段階にネットワークを必要とする Tang ピンに依存している設定である場合や、静的 IP 設定の NBDE クライアントを使用している場合は、静的 IP 設定の NBDE クライアントの設定 の説明に従って dracut コマンドを変更する必要があります。

   警告

   cryptsetup luksRemoveKey コマンドを実行すると、それ以降 LUKS2 デバイスを管理できなくなります。LUKS1 デバイスの場合にのみ、dmsetup コマンドを使用して削除されたマスターキーを回復できます。詳細は、システム上の dmsetup(8) man ページを参照してください。