15.15.5. Configuração do desbloqueio automático usando uma chave Tang no console web

Procedimento

1. Abra o console web RHEL digitando o seguinte endereço em um navegador web:

   https://localhost:9090

   Copy to Clipboard Toggle word wrap

   Substitua a parte localhost pelo nome do host ou endereço IP do servidor remoto quando você se conectar a um sistema remoto.

2. Forneça suas credenciais e clique em Armazenamento. Selecione um dispositivo criptografado e clique em Criptografia na parte Content:

3. Clique em na seção Keys para adicionar uma chave Tang:

   

   View larger image

   

4. Forneça o endereço de seu servidor Tang e uma senha que desbloqueia o dispositivo criptografado LUKS. Clique em Adicionar para confirmar:

   

   View larger image

   

5. The following dialog window provides a command to verify that the key hash matches. RHEL 8.2 introduced the tang-show-keys script, and you can obtain the key hash using the following command on the Tang server running on the port 7500:

   # tang-show-keys 7500
   3ZWS6-cDrCG61UPJS2BMmPU4I54

   Copy to Clipboard Toggle word wrap

   No RHEL 8.1 e anteriores, obtenha o hash chave usando o seguinte comando:

   # curl -s localhost:7500/adv | jose fmt -j- -g payload -y -o- | jose jwk use -i- -r -u verify -o- | jose jwk thp -i-
   3ZWS6-cDrCG61UPJS2BMmPU4I54

   Copy to Clipboard Toggle word wrap

6. Clique em Trust key quando os hashes da chave no console web e na saída dos comandos listados anteriormente são os mesmos:

   

   View larger image

   

7. Para ativar o sistema de inicialização antecipada para processar a encadernação do disco, clique em Terminal na parte inferior da barra de navegação esquerda e digite os seguintes comandos:

   # yum install clevis-dracut
   # dracut -fv --regenerate-all

   Copy to Clipboard Toggle word wrap

Etapas de verificação

1. Verifique se a chave Tang recentemente adicionada está agora listada na seção Keys com o tipo Keyserver:

   

   View larger image

   

2. Verificar se as amarrações estão disponíveis para a inicialização antecipada, por exemplo:

   # lsinitrd | grep clevis
   clevis
   clevis-pin-sss
   clevis-pin-tang
   clevis-pin-tpm2
   -rwxr-xr-x   1 root     root         1600 Feb 11 16:30 usr/bin/clevis
   -rwxr-xr-x   1 root     root         1654 Feb 11 16:30 usr/bin/clevis-decrypt
   ...
   -rwxr-xr-x   2 root     root           45 Feb 11 16:30 usr/lib/dracut/hooks/initqueue/settled/60-clevis-hook.sh
   -rwxr-xr-x   1 root     root         2257 Feb 11 16:30 usr/libexec/clevis-luks-askpass

   Copy to Clipboard Toggle word wrap