16.13. LUKS を使用したブロックデバイスの暗号化

手順

1. 暗号化するデバイスにあるファイルシステムのマウントをすべて解除します。以下に例を示します。

   # umount /dev/sdb1

2. LUKS ヘッダーを保存するための空き容量を確認します。以下のいずれかのオプションを選択します。

   • 論理ボリュームを暗号化する場合は、以下のように、ファイルシステムのサイズを変更せずに、論理ボリュームを拡張できます。以下に例を示します。

     # lvextend -L+32M vg00/lv00

   • parted などのパーティション管理ツールを使用してパーティションを拡張します。
   • このデバイスのファイルシステムを縮小します。ext2、ext3、または ext4 のファイルシステムには resize2fs ユーティリティーを使用できます。XFS ファイルシステムは縮小できないことに注意してください。

3. 暗号化を初期化します。以下に例を示します。

   # cryptsetup reencrypt \
                --encrypt \
                --init-only \
                --reduce-device-size 32M \
                /dev/sdb1 sdb1_encrypted

   このコマンドを実行するとパスフレーズの入力が求められ、暗号化プロセスが開始します。

4. デバイスをマウントします。

   # mount /dev/mapper/sdb1_encrypted /mnt/sdb1_encrypted

5. 永続的なマッピングのエントリーを /etc/crypttab に追加します。

   1. luksUUID を見つけます。

      # cryptsetup luksUUID /dev/mapper/sdb1_encrypted

      これにより、選択したデバイスの luksUUID が表示されます。

   2. 任意のテキストエディターで /etc/crypttab ファイルを開き、このファイルにデバイスを追加します。

      $ vi /etc/crypttab

      /dev/mapper/sdb1_encrypted luks_uuid none

   3. dracut で initramfs を更新します。

      $ dracut -f --regenerate-all

6. /etc/fstab ファイルに永続的なマウントのエントリーを追加します。

   1. アクティブな LUKS ブロックデバイスの FS UUID を見つけます。

      $ blkid  -p /dev/mapper/sdb1_encrypted

   2. 任意のテキストエディターで /etc/fstab ファイルを開き、このファイルにデバイスを追加します。次に例を示します。

      $ vi  /etc/fstab
      fs__uuid /home auto rw,user,auto 0 0

7. オンライン暗号化を開始します。

   # cryptsetup reencrypt --resume-only /dev/sdb1

手順

1. プールにあるファイルシステムのマウントをすべて解除します。以下に例を示します。

   # umount /dev/sdb1

2. 暗号化を初期化します。

   # cryptsetup reencrypt \
                --encrypt \
                --init-only \
                --header /path/to/header \
                /dev/sdb1 sdb1_encrypted

   /path/to/header を、独立した LUKS ヘッダーのあるファイルへのパスに置き換えます。暗号化したデバイスを後でアンロックできるように、接続解除した LUKS ヘッダーにアクセスできる必要があります。

   このコマンドを実行するとパスフレーズの入力が求められ、暗号化プロセスが開始します。

3. デバイスをマウントします。

   # mount /dev/mapper/sdb1_encrypted /mnt/sdb1_encrypted

4. オンライン暗号化を開始します。

   # cryptsetup reencrypt --resume-only --header /path/to/header /dev/sdb1

手順

1. 暗号化した LUKS パーティションとしてパーティションを設定します。

   # cryptsetup luksFormat /dev/sdb1

2. 暗号化した LUKS パーティションを開きます。

   # cryptsetup open /dev/sdb1 sdb1_encrypted

   これにより、パーティションのロックが解除され、デバイスマッパーを使用して新しいデバイスにマッピングされます。これは、 デバイス が暗号化されたデバイスであり、暗号化されたデータを上書きしないように /dev/mapper/device_mapped_name を使用して LUKS を通じてアドレス指定する必要があることをカーネルに警告します。

3. パーティションに暗号化されたデータを書き込むには、デバイスをマッピングした名前でアクセスする必要があります。これを実行するには、ファイルシステムを作成する必要があります。以下に例を示します。

   # mkfs -t ext4 /dev/mapper/sdb1_encrypted

4. デバイスをマウントします。

   # mount /dev/mapper/sdb1_encrypted mount-point

手順

1. 以下の内容を含む新しい playbook.yml ファイルを作成します。

   - hosts: all
     vars:
       storage_volumes:
         - name: barefs
           type: disk
           disks:
            - sdb
           fs_type: xfs
           fs_label: label-name
           mount_point: /mnt/data
           encryption: true
           encryption_password: your-password
     roles:
      - rhel-system-roles.storage

2. オプション:Playbook の構文を確認します。

   # ansible-playbook --syntax-check playbook.yml

3. インベントリーファイルで Playbook を実行します。

   # ansible-playbook -i inventory.file /path/to/file/playbook.yml