Konfigurowanie woluminu danych zaszyfrowanego za pomocą LUKS na SLES

W przypadku nowego woluminu danych w systemie SUSE Linux Enterprise Server należy użyć narzędzia YaST Expert Partitioner, aby system SUSE utworzył zaszyfrowaną partycję i jej konfigurację montowania w jednym procesie. Narzędzie to sprawdza się, cryptsetupgdy potrzebna jest powtarzalna konfiguracja z poziomu wiersza poleceń, a ponadto umożliwia zarządzanie partycjami /etc/crypttab, /etc/fstabi testowaniem rozruchu. Żadna z metod nie szyfruje istniejącego woluminu bez ryzyka: utworzenie partycji LUKS na partycji powoduje nadpisanie jej zawartości.

Jest to zgodne z dokumentacją SLES 15 SP7; starsze pakiety Service Pack mogą się różnić. Zakres: nowa partycja danych, inna niż partycja główna /boot, lub dysk produkcyjnej bazy danych bez planu zmian. Przed rozpoczęciem należy wykonać kopię zapasową danych i potwierdzić cel oraz odzyskiwanie hasła.

Wybierz metodę i format LUKS

YaST obsługuje LUKS2 od wersji SLES 15 SP4, ale SUSE określa ten selektor jako eksperymentalny i wymaga jawnego włączenia. Nie należy zmieniać parametrów rozruchu produkcyjnego tylko po to, aby go udostępnić. Jeśli partycjoner systemu operacyjnego nie oferuje LUKS2, należy użyć zweryfikowanej ścieżki CLI lub domyślnej ścieżki YaST. LUKS2 ma nowszy nagłówek, obsługuje do 32 kluczy i etykiet oraz może używać Argon2, który zużywa więcej pamięci. Wybierz LUKS1, aby zapewnić zgodność ze starszymi narzędziami; wybierz LUKS2 dopiero po przetestowaniu dodatku Service Pack, narzędzi do odzyskiwania i kopii zapasowych. Dokładne opcje można znaleźć w dokumentacji SUSE YaST Expert Partitioner .

YaST: ścieżka o mniejszych wymaganiach konserwacyjnych dla jednego woluminu

1. Zidentyfikuj cel. Uruchom lsblk -fpi findmnt. Dopasuj dysk lub partycję według identyfikatora stabilnego urządzenia, rozmiaru, bieżącego systemu plików i punktu montowania. Potwierdź, że jest to dedykowany, zapasowy cel. Jeśli zawiera potrzebne dane, zatrzymaj; przepływ pracy szyfrowania YaST sformatuje wybraną partycję.
2. Otwórz partycjoner. W Centrum sterowania YaST wybierz System > Partycjoner . W Eksperckim partycjonerze wybierz odpowiedni dysk, utwórz dedykowaną partycję, jeśli to konieczne, lub zaznacz istniejącą pustą partycję i wybierz Edytuj . Przed wprowadzeniem jakichkolwiek zmian ponownie odczytaj urządzenie i rozmiar.
3. Włącz szyfrowanie i zdefiniuj użycie. Wybierz opcję Szyfruj urządzenie , wybierz system plików, taki jak XFS lub inny system plików obsługiwany przez Twoje obciążenie, i ustaw punkt montowania. Wybierz, czy wolumin ma być montowany podczas /etc/fstaburuchamiania, czy ma pozostać dostępny do ręcznego montażu. SUSE informuje, że wymagane oprogramowanie szyfrujące może wymagać instalacji po wyświetleniu monitu.
4. Wybierz LUKS i ustaw hasło. Wprowadź i potwierdź silne hasło, a następnie wprowadź zmiany w YaST. Aby wybrać LUKS2 w YaST, najpierw włącz jego udokumentowaną obsługę eksperymentalną w konfiguracji YaST; w przeciwnym razie selektor metody szyfrowania może się nie pojawić. Zapisz hasło w zatwierdzonym procesie zarządzania sekretami organizacji. Jego utrata może uniemożliwić dostęp do danych.

cryptsetup:więcej kontroli, więcej pracy ręcznej

Użyj tej alternatywy tylko w przypadku nowej, odmontowanej partycji, którą zweryfikowałeś i utworzyłeś kopię zapasową. Sprawdź, czy cryptsetupjest zainstalowana z cryptsetup --version; jeśli jej brakuje, użyj zatwierdzonego repozytorium SLES i procesu pakietowania w swojej organizacji. Zastąp symbol zastępczy potwierdzoną, stabilną ścieżką w /dev/disk/by-id/. Polecenie formatowania niszczy dane na tym celu; nigdy nie uruchamiaj go dla zgadniętej nazwy. Przewodnik po szyfrowaniu/dev/sdX SUSE SLES 15 SP7 wyjaśnia przepływ pracy w YaST i jego ograniczenia.

5. Utwórz kontener LUKS. W tym przykładzie żądamy jawnie LUKS2. Polecenie prosi o podanie hasła i potwierdzenie; nie należy umieszczać hasła w wierszu poleceń ani skrypcie.

DEVICE=/dev/disk/by-id/REPLACE_WITH_VERIFIED_ID
sudo cryptsetup luksFormat --type luks2 "$DEVICE"

6. Odblokuj mapowanie./dev/mapper/appdata_crypt Po wpisaniu hasła zostanie utworzona poniższa nazwa mapowania .

sudo cryptsetup open "$DEVICE" appdata_crypt

7. Utwórz system plików i zamontuj go. W tym przykładzie użyto XFS i /srv/appdata. Utworzenie systemu plików powoduje usunięcie danych z mapowanego urządzenia, dlatego należy go uruchomić tylko na nowym mapowaniu.

sudo mkfs.xfs /dev/mapper/appdata_crypt
sudo mkdir -p /srv/appdata
sudo mount /dev/mapper/appdata_crypt /srv/appdata

8. Skonfiguruj zachowanie podczas uruchamiania i zweryfikuj. Aby wyświetlić interaktywny monit o podanie hasła podczas rozruchu, dodaj identyfikator UUID LUKS do , /etc/crypttaba następnie miejsce montowania mappera do /etc/fstab. Pobierz identyfikator UUID LUKS za pomocą sudo cryptsetup luksUUID "$DEVICE", a następnie zastąp przykładowy symbol zastępczy w konfiguracji:

# /etc/crypttab
appdata_crypt UUID=PASTE_LUKS_UUID_HERE none luks

# /etc/fstab
/dev/mapper/appdata_crypt /srv/appdata xfs defaults 0 2

Przetestuj mapowanie i montowanie przed ponownym uruchomieniem. Upewnij się, że cryptsetup status appdata_cryptraportuje oczekiwane mapowanie, findmnt /srv/appdataraportuje XFS w zamierzonej ścieżce oraz lsblk -fpokazuje zaszyfrowany kontener i zmapowany system plików. Jeśli serwer nie ma interfejsu graficznego, monit o podanie hasła podczas rozruchu może uniemożliwić nienadzorowane montowanie; nie przechowuj klucza w postaci zwykłego tekstu na tym samym hoście. W przypadku centralnie zarządzanych kluczy serwera, dokumentacja cryptctl firmy SUSE opisuje odrębną konstrukcję serwera kluczy z własnymi wymaganiami dotyczącymi dostępności, tworzenia kopii zapasowych i zaufania.

Czego szyfrowanie chroni, a czego nie

LUKS chroni dane na zablokowanym urządzeniu, takim jak dysk wyjęty z wyłączonego serwera. Po zamontowaniu dostęp do niego regulują uprawnienia hosta. Szyfruj kopie zapasowe osobno i przechowuj kopię zapasową nagłówka LUKS z zabezpieczonym materiałem do odzyskiwania. LUKS nie chroni odblokowanego woluminu ani zainfekowanego działającego systemu.

W przypadku jednego woluminu danych SLES, wybierz YaST, jeśli dostępny format spełnia Twoje wymagania. Użyj go, cryptsetupgdy automatyzacja uzasadnia zarządzanie dodatkową konfiguracją. Przed wznowieniem usługi sprawdź odblokowanie, zamontowanie, dostęp do aplikacji i odzyskiwanie.