Een LUKS-versleuteld gegevensvolume instellen op SLES

Voor een nieuw datavolume op SUSE Linux Enterprise Server kunt u YaST Expert Partitioner gebruiken als u wilt dat SUSE de versleutelde partitie en de bijbehorende mountconfiguratie in één workflow aanmaakt. Gebruik YaST Expert Partitioner cryptsetupwanneer u een herhaalbare configuratie via de commandoregel nodig hebt en ook boottesten kunt beheren /etc/crypttab. /etc/fstabGeen van beide methoden versleutelt een bestaand volume zonder risico: het aanmaken van LUKS op een partitie overschrijft de inhoud ervan.

Dit volgt de documentatie van SLES 15 SP7; oudere servicepacks kunnen afwijken. Bereik: een nieuwe gegevenspartitie (niet de rootpartitie) /bootof een productiedatabaseschijf zonder wijzigingsplan. Maak een back-up van de gegevens en bevestig het doel en het wachtwoord voor herstel voordat u begint.

Kies de methode en het LUKS-formaat.

YaST ondersteunt LUKS2 vanaf SLES 15 SP4, maar SUSE beschouwt de selector als experimenteel en vereist expliciete inschakeling. Wijzig de opstartparameters van uw productiesysteem niet alleen om LUKS2 beschikbaar te maken. Als de partitioneerder van het draaiende systeem geen LUKS2 biedt, gebruik dan de geverifieerde CLI-methode of de beschikbare standaardoptie van YaST. LUKS2 heeft een nieuwere header, ondersteunt tot 32 sleutels en labels en kan Argon2 gebruiken, wat meer geheugen verbruikt. Kies LUKS1 voor compatibiliteit met oudere tools; kies LUKS2 pas na het testen van het servicepack, hersteltools en back-ups. Raadpleeg de YaST Expert Partitioner-referentie van SUSE voor de exacte opties.

YaST: de onderhoudsvriendelijkere manier om één volume te vullen

1. Identificeer het doel. Voer de commando's uit lsblk -fpen findmnt. Zoek de schijf of partitie op basis van de stabiele apparaat-ID, grootte, het huidige bestandssysteem en het koppelpunt. Bevestig dat het een specifiek, geback-upt doel is. Als het gegevens bevat die u nodig hebt, stop dan; de encryptieworkflow van YaST formatteert de geselecteerde partitie.
2. Open de partitiebeheerder. Kies in YaST Control Center Systeem > Partitionering . Selecteer in Expert Partitionering de gewenste schijf, maak indien nodig een aparte partitie aan of selecteer de bestaande lege partitie en kies Bewerken . Controleer het apparaat en de grootte nogmaals voordat u wijzigingen aanbrengt.
3. Schakel versleuteling in en definieer het gebruik. Selecteer 'Apparaat versleutelen' , kies een bestandssysteem zoals XFS of een ander bestandssysteem dat door uw workload wordt ondersteund, en stel het koppelpunt in. Kies of het volume bij /etc/fstabhet opstarten moet worden gekoppeld of beschikbaar moet blijven voor handmatige koppeling. SUSE merkt op dat de vereiste versleutelingssoftware mogelijk moet worden geïnstalleerd wanneer daarom wordt gevraagd.
4. Kies LUKS en stel een wachtwoordzin in. Voer een sterke wachtwoordzin in en bevestig deze, en voltooi vervolgens de wijzigingen in YaST. Om LUKS2 in YaST te selecteren, moet u eerst de gedocumenteerde experimentele ondersteuning in de YaST-configuratie inschakelen; anders verschijnt de selector voor de versleutelingsmethode mogelijk niet. Bewaar de wachtwoordzin in het goedgekeurde geheimhoudingsproces van de organisatie. Als u de wachtwoordzin kwijtraakt, kunnen de gegevens ontoegankelijk worden.

cryptsetupMeer controle, meer handwerk.

Gebruik dit alternatief alleen voor een nieuwe, niet-gekoppelde partitie die u hebt geverifieerd en waarvan u een back-up hebt gemaakt. Controleer of YaST cryptsetupis geïnstalleerd met cryptsetup --version; als het ontbreekt, gebruik dan de goedgekeurde SLES-repository en het pakketproces van uw organisatie. Vervang de placeholder door het bevestigde stabiele pad onder /dev/disk/by-id/. De formatteringsopdracht vernietigt gegevens op die doelpartitie; voer deze nooit uit op een /dev/sdXnaam die u zelf hebt bedacht. De SUSE SLES 15 SP7-versleutelingshandleiding legt de YaST-workflow en de beperkingen ervan uit.

5. Maak de LUKS-container aan. In dit voorbeeld wordt expliciet LUKS2 aangevraagd. De opdracht vraagt ​​om een ​​wachtwoordzin en een bevestiging; plaats de wachtwoordzin niet in de opdrachtregel of een script.

DEVICE=/dev/disk/by-id/REPLACE_WITH_VERIFIED_ID
sudo cryptsetup luksFormat --type luks2 "$DEVICE"

6. Ontgrendel de mapping. De onderstaande mappingnaam wordt aangemaakt /dev/mapper/appdata_cryptnadat u de wachtzin hebt ingevoerd.

sudo cryptsetup open "$DEVICE" appdata_crypt

7. Maak een bestandssysteem aan en koppel het. Dit voorbeeld gebruikt XFS /srv/appdata. Het aanmaken van een bestandssysteem wist de gegevens op het gekoppelde apparaat, dus voer dit alleen uit op de nieuwe koppeling.

sudo mkfs.xfs /dev/mapper/appdata_crypt
sudo mkdir -p /srv/appdata
sudo mount /dev/mapper/appdata_crypt /srv/appdata

8. Configureer het opstartgedrag en controleer dit. Voor een interactieve wachtwoordprompt bij het opstarten, voeg de LUKS UUID toe aan /etc/crypttaben de mapper-mount aan /etc/fstab. Haal de LUKS UUID op met sudo cryptsetup luksUUID "$DEVICE", en vervang vervolgens de voorbeeldplaceholder in de configuratie:

# /etc/crypttab
appdata_crypt UUID=PASTE_LUKS_UUID_HERE none luks

# /etc/fstab
/dev/mapper/appdata_crypt /srv/appdata xfs defaults 0 2

Test de mapping en de mount vóór het opnieuw opstarten. Controleer of cryptsetup status appdata_cryptde verwachte mapping wordt weergegeven, findmnt /srv/appdataof XFS op het beoogde pad wordt gerapporteerd en lsblk -fof de versleutelde container en het gemapte bestandssysteem zichtbaar zijn. Als de server geen monitor heeft, kan een prompt voor een wachtwoordzin tijdens het opstarten voorkomen dat de mount automatisch wordt uitgevoerd; sla geen onversleutelde sleutel op dezelfde host op. Voor centraal beheerde serversleutels beschrijft de cryptctl-documentatie van SUSE een apart sleutelserverontwerp met eigen beschikbaarheids-, back-up- en vertrouwensvereisten.

Wat encryptie wel en niet beschermt

LUKS beschermt gegevens op een vergrendeld apparaat, zoals een schijf die is verwijderd uit een uitgeschakelde server. Zodra de schijf is gekoppeld, bepalen de hostrechten de toegang. Versleutel back-ups afzonderlijk en bewaar een LUKS-headerback-up met beveiligd herstelmateriaal. LUKS beschermt geen ontgrendeld volume of een gecompromitteerd draaiend systeem.

Voor één SLES-datavolume kunt u het beste YaST gebruiken als het beschikbare formaat aan uw eisen voldoet. Gebruik het cryptsetupwanneer automatisering het beheer van de extra configuratie rechtvaardigt. Controleer vóór het hervatten van de service of de ontgrendeling, koppeling, applicatietoegang en herstel correct zijn.