10.9. 手动从 LUKS 加密卷中删除 Clevis pin

步骤

1. 检查卷（如 /dev/sda2） 是由哪个 LUKS 版本加密的，并识别绑定到 Clevis 的槽和令牌：

   # cryptsetup luksDump /dev/sda2
   LUKS header information
   Version:        2
   ...
   Keyslots:
     0: luks2
   ...
   1: luks2
         Key:        512 bits
         Priority:   normal
         Cipher:     aes-xts-plain64
   ...
         Tokens:
           0: clevis
                 Keyslot:  1
   ...

   在上例中，Clevis 令牌标识为 0 ，关联的密钥槽是 1。

2. 如果是 LUKS2 加密，请删除令牌：

   # cryptsetup token remove --token-id 0 /dev/sda2

3. 如果您的设备由 LUKS1 加密，由 Version 表示：1 string 在 cryptsetup luksDump 命令的输出中，使用 luksmeta flush 命令执行这个额外步骤：

   # luksmeta wipe -d /dev/sda2 -s 1

4. 擦除包含 Clevis 密码短语的密钥插槽：

   # cryptsetup luksKillSlot /dev/sda2 1