11.13. NBDE 网络中虚拟机的部署

clevis luks bind 命令不会改变 LUKS 主密钥。这意味着，如果您创建了一个在虚拟机或云环境中使用的 LUKS 加密镜像，则所有运行此镜像的实例都会共享一个主密钥。这极其不安全，应始终避免。

这不是 Clevis 的一个限制，而是 LUKS 的设计原则。如果您的场景需要在云中有加密的根卷，请也对云中 Red Hat Enterprise Linux 的每个实例执行安装过程（通常使用 Kickstart）。如果没有共享 LUKS 主密钥，就无法共享镜像。

要在虚拟环境中部署自动解锁，请将诸如 lorax 或 virt-install 的系统与 Kickstart 文件一起使用（请参阅 使用 Kickstart 配置 LUKS 加密卷的自动注册）或其它自动配置工具来确保每个加密的虚拟机都有一个唯一的主密钥。