暗号化されたデバイスのTangキーの作成
ネットワーク・バインド・ディスク暗号化(NBDE)環境をサポートするホスト・システムの場合、Cockpit管理者は「ストレージ」ページを使用して、Tangサーバーのキー・アドレスとパスフレーズを構成できます。
前提条件
- Cockpit Webコンソールがインストールされていて、アクセスできる必要があります。
詳細は、トピック「Cockpitのインストールおよび有効化」と「Cockpit Webコンソールへのログイン」を参照してください。
cockpit-storagedパッケージがインストールされている必要があります。- Tangサーバー・キーを追加するための構成要件は次のとおりです:
- ホスト・システムのLUKS暗号化パーティションまたはボリューム。
- ホスト・ネットワークのTangサーバー構成。
- 復号化クライアント・ソフトウェア(Clevis)がインストールされているホスト。
ノート:
LUKSは、データ復号化のために複数のキーを異なるスロットに格納する機能を提供します。システム管理者は、ディスクまたはボリュームをNBDE Tangサーバー・キーと一緒にロックするプライマリ・パスフレーズを維持管理できます。LUKS暗号化を使用するホスト・システムでは、暗号化されたディスク・パーティションに格納されているデータにアクセスするために、ユーザーはパスフレーズの入力を求められます。LUKSを使用するNBDE環境のホスト・システムでは、暗号化されたパーティションまたはボリュームに格納されているデータにアクセスするために、ユーザーの入力は求められません。LUKSのパスフレーズ・プロンプトは、Tangキーが復号化されて、ユーザーにデータへのアクセス権が付与されると自動的に閉じられます。ネットワーク・バインド・ディスク暗号化の設定方法の詳細は、『Oracle Linux: ネットワーク・バインド・ディスク暗号化の有効化』を参照してください。 Cockpit Webコンソールを使用したLUKS暗号化の構成の詳細は、「LUKSによるブロック・デバイスの暗号化」を参照してください。
- アンマウントされたLUKS1フォーマット済のファイル・システム。
重要:
LUKS2フォーマットを使用すると、暗号化されたデバイスの使用中にデバイスを再暗号化(暗号化キーまたはアルゴリズムの変更)できます。LUKS1フォーマットでは、オンライン再暗号化はできません。この場合、LUKS1フォーマットで暗号化されたデバイスは、暗号化プロパティの変更を適用するためにファイル・システムのアンマウントが必要になることがあります。 - 管理者権限。
ステップ
Cockpit Webコンソールを使用して、既存の暗号化されたパーティションまたはボリューム構成にTangキーのプロパティを追加するには、次のステップを実行します。