4.10.7. Kickstart를 사용하여 자동화된 등록 구성
Clevis는 완전 자동화된 등록 프로세스를 제공하기 위해 Kickstart와 통합할 수 있습니다.
- Kickstart에 임시 암호로
/boot이외의 모든 마운트 지점에 대해 LUKS 암호화가 활성화되도록 디스크를 파티션하도록 지시합니다. 암호는 이 등록 프로세스 단계에서 임시적입니다.part /boot --fstype="xfs" --ondisk=vda --size=256 part / --fstype="xfs" --ondisk=vda --grow --encrypted --passphrase=temppass
예를 들어 OSPP-complaint 시스템에는 더 복잡한 구성이 필요합니다.part /boot --fstype="xfs" --ondisk=vda --size=256 part / --fstype="xfs" --ondisk=vda --size=2048 --encrypted --passphrase=temppass part /var --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass part /tmp --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass part /home --fstype="xfs" --ondisk=vda --size=2048 --grow --encrypted --passphrase=temppass part /var/log --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass part /var/log/audit --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
%packages섹션에 나열하여 관련 Clevis 패키지를 설치합니다.%packages clevis-dracut %end
%post섹션에서 바인딩을 수행하기 위해 clevis luks bind 를 호출합니다. 임시 암호를 삭제합니다.%post clevis luks bind -f -k- -d /dev/vda2 \ tang '{"url":"http://tang.srv","thp":"_OsIk0T-E2l6qjfdDiwVmidoZjA"}' \ <<< "temppass" cryptsetup luksRemoveKey /dev/vda2 <<< "temppass" %end위의 예에서 Tang 서버에서 신뢰하는 지문을 바인딩 구성의 일부로 지정하여 완전히 비대화식으로 지정합니다.Tang 서버 대신 TPM 2.0 정책을 사용할 때 유사한 절차를 사용할 수 있습니다.
Kickstart 설치에 대한 자세한 내용은 Red Hat Enterprise Linux 7 설치 가이드를 참조하십시오. Linux Unified Key Setup-on-disk-format(LUKS)에 대한 자세한 내용은 4.9.1절. “LUKS 디스크 암호화 사용” 에서 참조하십시오.
