17.2. 使用 nbde_client RHEL 系统角色设置带有 DHCP 的 Clevis 客户端

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure clients for unlocking of encrypted volumes by Tang servers
     hosts: managed-node-01.example.com
     tasks:
       - name: Create NBDE client bindings
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.nbde_client
         vars:
           nbde_client_bindings:
             - device: /dev/rhel/root
               encryption_key_src: /etc/luks/keyfile
               nbde_client_early_boot: true
               state: present
               servers:
                 - http://server1.example.com
                 - http://server2.example.com
             - device: /dev/rhel/swap
               encryption_key_src: /etc/luks/keyfile
               servers:
                 - http://server1.example.com
                 - http://server2.example.com

   Copy to Clipboard Toggle word wrap

   这个示例 playbook 配置 Clevis 客户端，以便在两个 Tang 服务器中至少有一个可用时自动解锁两个 LUKS 加密的卷。

   示例 playbook 中指定的设置包括如下：

   state: present

   state 的值表示运行 playbook 后的配置。使用 present 值来创建新绑定或更新现有绑定。与 clevis luks bind 命令不同，您可以使用 state: present 来覆盖其设备插槽中的现有绑定。absent 的值会删除指定的绑定。

   nbde_client_early_boot: true

   nbde_client 角色确保 Tang pin 的网络默认在早期引导过程中可用。如果您需要禁用此功能，请在 playbook 中添加 nbde_client_early_boot: false 变量。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.nbde_client/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

验证

1. 在 NBDE 客户端上，检查应被您的 Tang 服务器自动解锁的加密卷是否在其 LUKS pin 中包含相应的信息：

   # ansible managed-node-01.example.com -m command -a 'clevis luks list -d /dev/rhel/root'
   1: tang '{"url":"<http://server1.example.com/>"}'
   2: tang '{"url":"<http://server2.example.com/>"}'

   Copy to Clipboard Toggle word wrap

2. 如果不使用 nbde_client_early_boot: false 变量，请验证绑定是否可用于早期引导，例如：

   # ansible managed-node-01.example.com -m command -a 'lsinitrd | grep clevis-luks'
   lrwxrwxrwx   1 root     root           48 Jan  4 02:56 etc/systemd/system/cryptsetup.target.wants/clevis-luks-askpass.path -> /usr/lib/systemd/system/clevis-luks-askpass.path
   …

   Copy to Clipboard Toggle word wrap