SLES上にLUKS暗号化データボリュームを設定する

SUSE Linux Enterprise Server で新しいデータボリュームを作成する場合、暗号化されたパーティションとそのマウント構成を 1 つのワークフローで SUSE に作成させたい場合は、YaST Expert Partitioner を使用してください。cryptsetup再現可能なコマンドライン設定が必要で、、、およびブートテストも管理できる場合は、/etc/crypttabを使用してください/etc/fstab。どちらの方法も、既存のボリュームをリスクなしでその場で暗号化することはできません。パーティション上に LUKS を作成すると、その内容が上書きされます。

これは SLES 15 SP7 のドキュメントに準拠しています。古いサービスパックでは異なる場合があります。対象: ルート以外の新しいデータパーティション、/bootまたは変更計画のない本番データベースディスク。開始する前に、データをバックアップし、ターゲットとパスフレーズのリカバリを確認してください。

方法とLUKS形式を選択してください

選択	最適なフィット	主なトレードオフ
YaST Expert Partitioner	SLESホスト上に新しいデータボリュームが1つ追加されました。	手動での設定編集が少なくなります。利用可能なオプションとラベルは、インストールされているSLESサービスパックによって異なります。
`cryptsetup`	自動化、または明示的な制御を望む管理者	ロック解除とマウントの動作は、ご自身で設定し、本番環境に再起動する前にテストする必要があります。
LUKS1	古いツールやシステムとの互換性	LUKS2よりも古いヘッダー形式であり、キーのスロット数も少ない。
LUKS2	ソフトウェアスタック全体がそれをサポートする新しいデプロイメント	YaSTではLUKS2サポートを明示的に有効にする必要があります。PBKDFの選択は互換性とメモリ使用量に影響します。

YaST は SLES 15 SP4 以降で LUKS2 をサポートしていますが、SUSE ではセレクタを実験的なものとしており、明示的に有効化する必要があります。有効にするためだけに本番環境のブートパラメータを変更しないでください。実行中のシステムパーティショナーが LUKS2 を提供していない場合は、検証済みの CLI ルートまたは YaST のデフォルト設定を使用してください。LUKS2 は新しいヘッダーを持ち、最大 32 個のキーとラベルをサポートし、より多くのメモリを消費する Argon2 を使用できます。古いツールとの互換性のために LUKS1 を選択し、サービスパック、リカバリツール、およびバックアップをテストした後にのみ LUKS2 を選択してください。正確なオプションについては、 SUSE のYaST Expert Partitioner リファレンスを参照してください。

ストレージデバイスとマウントポイントを確認するためのlsblkコマンドとfindmntコマンドを表示したLinuxターミナル — まず、読み取り専用ストレージのインベントリを作成し、目的のデータパーティションとシステムディスクを区別できるようにします。ターミナル画面はあくまで例示であり、テスト対象のサーバーの状態を示すものではありません。

YaST：1ボリューム向けのメンテナンスの手間が少ない方法

対象を特定します。lsblk -fpとを実行しますfindmnt。安定したデバイス識別子、サイズ、現在のファイルシステム、マウントポイントに基づいて、ディスクまたはパーティションを照合します。専用のバックアップ対象であることを確認します。必要なデータが含まれている場合は、処理を停止します。YaST の暗号化ワークフローにより、選択したパーティションがフォーマットされます。
パーティショナーを開きます。YaSTコントロールセンターで、「システム」>「パーティショナー」を選択します。「エキスパートパーティショナー」で、目的のディスクを選択し、必要に応じて専用パーティションを作成するか、既存の空のパーティションを選択して「編集」を選択します。変更を適用する前に、デバイスとサイズを再度確認してください。
暗号化を有効にして、使用方法を定義します。[デバイスの暗号化]を選択し、XFS などのファイルシステム、またはワークロードでサポートされている別のファイルシステムを選択して、マウントポイントを設定します。ボリュームを/etc/fstab起動時にマウントするか、手動でマウントできるようにしておくかを選択します。SUSE は、必要な暗号化ソフトウェアのインストールが必要になる場合があることを注意しています。
LUKSを選択し、パスフレーズを設定してください。強力なパスフレーズを入力して確認し、YaSTの変更を完了してください。YaSTでLUKS2を選択するには、まずYaSTの設定でLUKS2の実験的サポートを有効にしてください。そうしないと、暗号化方式セレクターが表示されない場合があります。パスフレーズは、組織が承認した機密情報管理プロセスで保存してください。パスフレーズを紛失すると、データにアクセスできなくなる可能性があります。

YaST Expert Partitionerの利用可能なストレージビューで、パーティション行が選択されています。 — YaSTの「利用可能なストレージ」リストで選択したデバイスを確認してから、パーティション設定を開いてください。表示されている値は、実際のディスクデータとは意図的に異なるものです。

YaSTのパーティション編集ダイアログで、「デバイスを暗号化」にチェックが入り、ファイルシステムとマウントポイントのフィールドが表示されます。 — YaSTでは、パーティションエディタで暗号化、ファイルシステム、マウントポイントの選択肢が表示されます。実際のレイアウトは、SLESのリリースバージョンとインストーラーモードによって異なる場合があります。

パスワードと確認フィールドが空の暗号化パスワードダイアログ — ボリュームパスフレーズを2回入力し、承認された復旧プロセスを通じて保存してください。ここでは、該当するフィールドは空欄です。

`cryptsetup`: より多くの制御、より多くの手作業

この代替手段は、検証およびバックアップ済みの新規のマウントされていないパーティションにのみ使用してください。cryptsetupがでインストールされていることを確認してください。インストールcryptsetup --versionされていない場合は、承認済みの SLES リポジトリと組織のパッケージプロセスを使用してください。の下にある確認済みの安定したパスでプレースホルダーを置き換えてください/dev/disk/by-id/。フォーマットコマンドは、そのターゲット上のデータを破壊するため、推測された名前に対して実行しないでください/dev/sdX。SUSE のSLES 15 SP7 暗号化ガイドでは、 YaST ワークフローとその制限について説明しています。

LUKSコンテナを作成します。この例では、LUKS2を明示的に指定します。コマンドを実行すると、パスフレーズと確認を求められます。パスフレーズをコマンドラインやスクリプト内に記述しないでください。

DEVICE=/dev/disk/by-id/REPLACE_WITH_VERIFIED_ID
sudo cryptsetup luksFormat --type luks2 "$DEVICE"

cryptsetup luksFormat コマンドと、既存のデータが消去されるという警告が表示されたターミナル画面 — `luksFormat`LUKSヘッダーを初期化し、ターゲットの既存のコンテンツを上書きします。確定する前に、デバイス識別子を確認してください。

マッピングのロックを解除してください。/dev/mapper/appdata_cryptパスフレーズを入力すると、以下のマッピング名が作成されます。

sudo cryptsetup open "$DEVICE" appdata_crypt

LUKSマッピングを開いた後、パスフレーズの入力を待つ端末 — LUKSコンテナを開くとパスフレーズの入力を求められ、ロック解除された状態でマッピングされたデバイスが公開されます。

ファイルシステムを作成してマウントします。この例では XFS とを使用します/srv/appdata。ファイルシステムを作成すると、マッピングされたデバイス上のデータが消去されるため、新しいマッピングでのみ実行してください。

sudo mkfs.xfs /dev/mapper/appdata_crypt
sudo mkdir -p /srv/appdata
sudo mount /dev/mapper/appdata_crypt /srv/appdata

ロック解除されたマッパーデバイス上でmkfs.xfsを実行し、それをsrv appdataにマウントするターミナル — 暗号化されたパーティションではなく、ロック解除されたマッパーデバイスをフォーマットしてマウントしてください。

起動時の動作を設定して検証します。起動時に対話型のパスフレーズプロンプトを表示するには、LUKS UUID をに/etc/crypttab、マッパーマウントをに追加します/etc/fstab。で LUKS UUID を取得しsudo cryptsetup luksUUID "$DEVICE"、設定ファイル内の例のプレースホルダーを置き換えます。

# /etc/crypttab
appdata_crypt UUID=PASTE_LUKS_UUID_HERE none luks

# /etc/fstab
/dev/mapper/appdata_crypt /srv/appdata xfs defaults 0 2

再起動する前に、マッピングとマウントをテストしてください。cryptsetup status appdata_crypt期待どおりのマッピングが報告され、findmnt /srv/appdata意図したパスに XFS が報告され、lsblk -f暗号化されたコンテナとマッピングされたファイルシステムが表示されることを確認してください。サーバーがヘッドレスの場合、起動時にパスフレーズの入力を求められるため、無人でのマウントが妨げられる可能性があります。同じホストに平文のキーを保存しないでください。集中管理型のサーバーキーについては、SUSE のcryptctl ドキュメントに、可用性、バックアップ、および信頼性の要件が異なる別のキーサーバー設計について記載されています。

cryptsetup マッピングの状態とマウントされた appdata ファイルシステムを確認するためのターミナルコマンド — 両方のレイヤーを確認してください。LUKSマッピングが開いていること、そしてファイルシステムがサービスが想定するパスにマウントされていることを確認してください。

暗号化が保護するものと保護しないもの

LUKSは、電源オフ状態のサーバーから取り外されたディスクなど、ロックされたデバイス上のデータを保護します。マウント後は、ホストの権限によってアクセスが制御されます。バックアップは別途暗号化し、保護されたリカバリデータとともにLUKSヘッダー付きバックアップを保存してください。LUKSは、ロックされていないボリュームや、侵害された実行中のシステムを保護しません。

SLESデータボリュームが1つだけの場合、利用可能なフォーマットが要件を満たしていれば、YaSTの使用を推奨します。cryptsetup自動化によって追加の設定管理が正当化される場合に使用してください。サービス再開前に、ロック解除、マウント、アプリケーションアクセス、および復旧を確認してください。