10.10. LUKS で暗号化したボリュームからの Clevis ピンの手動削除

手順

1. /dev/sda2 などのボリュームがどの LUKS バージョンであるかを確認し、Clevis にバインドされているスロットおよびトークンを特定します。

   # cryptsetup luksDump /dev/sda2
   LUKS header information
   Version:        2
   ...
   Keyslots:
     0: luks2
   ...
   1: luks2
         Key:        512 bits
         Priority:   normal
         Cipher:     aes-xts-plain64
   ...
         Tokens:
           0: clevis
                 Keyslot:  1
   ...

   Copy to Clipboard Toggle word wrap

   上記の例では、Clevis トークンは 0 で識別され、関連付けられたキースロットは 1 です。

2. LUKS2 暗号化の場合は、トークンを削除します。

   # cryptsetup token remove --token-id 0 /dev/sda2

   Copy to Clipboard Toggle word wrap

3. デバイスを LUKS1 で暗号化し、cryptsetup luksDump コマンドの出力に Version: 1 文字列が示されている場合は、luksmeta wipe コマンドでこの追加手順を行います。

   # luksmeta wipe -d /dev/sda2 -s 1

   Copy to Clipboard Toggle word wrap

4. Clevis パスフレーズを含む鍵スロットを削除します。

   # cryptsetup luksKillSlot /dev/sda2 1

   Copy to Clipboard Toggle word wrap