「Booster」の版間の差分

提供: ArchWiki
ナビゲーションに移動 検索に移動
(→‎ブートローダーの設定: rEFIndの項目を翻訳して追加)
(序文を更新)
 
(2人の利用者による、間の16版が非表示)
8行目: 8行目:
 
{{Related|Mkinitcpio}}
 
{{Related|Mkinitcpio}}
 
{{Related|dracut}}
 
{{Related|dracut}}
  +
{{Related|Clevis}}
 
{{Related articles end}}
 
{{Related articles end}}
   
13行目: 14行目:
 
Booster は [https://michael.stapelberg.ch/posts/2020-01-21-initramfs-from-scratch-golang/ distri プロジェクト] に着想を得ており、小型で高速な init イメージを生成することを目指しています。
 
Booster は [https://michael.stapelberg.ch/posts/2020-01-21-initramfs-from-scratch-golang/ distri プロジェクト] に着想を得ており、小型で高速な init イメージを生成することを目指しています。
   
  +
Booster は、initramfs イメージの生成を担当する {{ic|/usr/bin/booster}} ユーザー空間ツールを提供します。生成されたイメージは、デフォルトでは {{ic|/boot/}} にあります。
Booster は以下の2つのコンポーネントから構成されています:
 
 
* Initramfs ジェネレータ {{ic|/usr/bin/booster}} ユーザー空間ツール。initramfs イメージの生成を行います。
 
* 生成されたイメージは通常 {{ic|/boot/}} に配置され、システムブートローダーによって Linux OS を起動するのに使われます。
 
   
 
== インストール ==
 
== インストール ==
 
{{Warning|Booster はまだ開発途上であり、完全に安定してる状態とはいえません。バックアップ用に他の initramfs ジェネレータ (例: [[mkinitcpio]]) を保持しておくことを推奨します。}}
 
   
 
{{AUR|booster-git}} パッケージを[[インストール]]してください。パッケージのインストールフックによって initramfs イメージが生成されます (インストールされているカーネル (例: {{Pkg|linux}}, {{Pkg|linux-lts}}) ごとにひとつずつ)。イメージは {{ic|/boot}} ディレクトリに配置されます:
 
{{AUR|booster-git}} パッケージを[[インストール]]してください。パッケージのインストールフックによって initramfs イメージが生成されます (インストールされているカーネル (例: {{Pkg|linux}}, {{Pkg|linux-lts}}) ごとにひとつずつ)。イメージは {{ic|/boot}} ディレクトリに配置されます:
34行目: 30行目:
 
== 設定 ==
 
== 設定 ==
   
Booster ジェネレータの設定は {{ic|/etc/booster.yaml}} に存在します。設定ファイルが存在しない場合、デフォルトの設定 (ホスト個別イメージ、ネットワークなし) が使れます。
+
Booster ジェネレータの設定は {{ic|/etc/booster.yaml}} にあります。設定ファイルがない場合、デフォルトの設定(ホスト固有の画像、ネットワークなし)が使用されます。
   
設定ファイルを使ことでデフォルトの動を変更できます。設定例:
+
設定ファイルを使用することでデフォルトの動上書きすることができます。詳しくは {{man|1|booster|CONFIG FILE}} を参照してください。
  +
  +
=== モジュールの早期ロード ===
  +
  +
いくつかのカーネルモジュールは、initramfs の段階で早期にロードされる必要がある場合があります。
  +
  +
例えば、{{ic|nvidia}} モジュールをロードする必要がある場合、以下の設定を使用します:
   
 
{{hc|/etc/booster.yaml|
 
{{hc|/etc/booster.yaml|
  +
modules_force_load: nvidia
network:
 
dhcp: on
 
# 'dhcp' cannot be used together with 'ip'
 
ip: 10.0.2.15/24
 
gateway: 10.0.2.255
 
universal: false
 
modules: nvidia,kernel/sound/usb/
 
 
}}
 
}}
   
  +
そして、[[Booster#booster イメージの再生成|booster イメージの再生成]] を実行します。
{{ic|network}} はネットワークの設定です。この設定がない場合、起動時にネットワークは初期化されません。ネットワークは固定 ip ({{ic|ip}} と {{ic|gateway}} ノード) あるいは dhcp4 ({{ic|dhcp}} ノード) で設定できます。
 
  +
  +
=== 暗号化 ===
   
  +
Booster は、[[Clevis]] のような [[LUKS]] ベースのフルディスク暗号化をすぐに使用できるようにサポートしています。ジェネレーターには追加の設定は必要ありません。ただし、initramfs の場合は、ルートが存在する LUKS パーティションに関する情報を追加する必要があります。これは、{{ic|1=rd.luks.uuid=''LUKSUUID''}} または {{ic|1=rd.luks.name=''LUKSUUID''=''LUKSNAME''}} [[カーネルパラメータ]] のいずれかを使用して行われます。{{ic|''LUKSUUID''}} は、Booster によってロックを解除する必要があり、暗号化された LUKS パーティションの [[UUID]] を指定します。{{man|1|booster|UUID パラメータ}} マニュアルでは、UUID に引用符を含めないことを推奨しています。{{ic|''LUKSNAME''}} は、ロック解除されたパーティションの名前を指定します ({{ic|/dev/mapper/''LUKSNAME''}} のように) 関連オプションについては、{{man|1|booster|BOOT TIME KERNEL PARAMETERS}} を参照してください。
{{ic|universal}} オプションはユニバーサルイメージを有効にします。ユニバーサルイメージには様々なカーネルドライバ・ツールが含まれます。デフォルトでは、ホスト個別イメージが生成され、現在のホストで使われているモジュールのみが含まれます。
 
   
  +
イメージの再構築は必要ありません。ブートローダーの設定が完了したら、コンピューターを再起動します。その後、起動時に暗号化されたルートパーティションのパスワードを求める {{ic|Enter passphrase for ''YOURROOT'':}} プロンプトが表示されます。
{{ic|modules}} は生成されるイメージにモジュールを追加します。モジュールの名前、ファイルのパス、モジュールが含まれるディレクトリのパスで指定することができます (ディレクトリの名前は常に最後に {{ic|/}} 記号を付けてください)。Booster ジェネレータはモジュールの依存関係を解決して、イメージに追加します。
 
  +
  +
==== systemd スタイルのバインディング ====
  +
  +
Booster はパーティションもサポートします [https://0pointer.net/blog/unlocking-luks2-volumes-with-tpm2-fido2-pkcs11-security-hardware-on-systemd-248.html bound with systemd] {{ic|systemd-fido2}} や {{ic|systemd-tpm2}} など。
  +
  +
'systemd-fido2' を使用する場合は、{{Pkg|libfido2}} パッケージをインストールし、次の設定を使用してイメージに fido2-assert を追加してください。
  +
  +
{{hc|/etc/booster.yaml|
  +
extra_files: fido2-assert
  +
}}
  +
  +
[[#booster イメージの再生成|booster イメージの再生成します]] Booster は起動中にこの設定を検出し、現在の YubiKey を使用してドライブのロックを解除します。
  +
  +
{{Note|コミット 1b65577 より前に、Booster が FIDO2 キーを使用して暗号化されたパーティションのロックを解除するのに十分な早さで必要なカーネルモジュールの一部をロードできない可能性があることが報告されています。この場合、強制的にロードされる以下のモジュールを追加します。}}
  +
  +
{{hc|/etc/booster.yaml|
  +
modules_force_load: '''usbhid''','''hid_sensor_hub'''
  +
extra_files: fido2-assert
  +
}}
  +
  +
=== booster イメージの再生成 ===
  +
  +
Booster の設定が完了したら、{{ic|/boot}} にある Booster images を更新する必要があります。イメージは、{{ic|booster build booster-foo.img}} を使用して手動で生成するか、インストールされているすべてのカーネルを反復処理してカーネルごとに Booster イメージを生成する便利なスクリプト {{ic|/usr/lib/booster/regenerate_images}} もあります。
   
 
== ブートローダーの設定 ==
 
== ブートローダーの設定 ==
77行目: 98行目:
 
上記でルートファイルシステムは {{ic|1=UUID=08f83949-bcbb-47bb-bc17-089aaa59e17e}} と指定しています。{{ic|blkid /dev/''ROOTDEVICE''}} を実行して、あなたのデバイスの UUID を確認してください。
 
上記でルートファイルシステムは {{ic|1=UUID=08f83949-bcbb-47bb-bc17-089aaa59e17e}} と指定しています。{{ic|blkid /dev/''ROOTDEVICE''}} を実行して、あなたのデバイスの UUID を確認してください。
   
  +
== トラブルシューティング ==
== 暗号化の有効化 ==
 
   
  +
=== デバッグ ===
Booster は LUKS ベースの完全ディスク暗号化をサポートしています。ジェネレータは特別な設定を必要としません。initramfs には、ルートが存在する LUKS パーティションの情報を追加する必要があります。{{ic|1=rd.luks.uuid=''LUKSUUID''}} あるいは {{ic|1=rd.luks.name=''LUKSUUID''=''LUKSNAME''}} [[カーネルパラメータ]]をブートローダーの設定ファイルで指定してください。{{ic|''LUKSUUID''}} は Booster で解錠する暗号化した LUKS パーティションの [[UUID]] を示します。UUID にはクォートを含まないので注意してください。{{ic|''LUKSNAME''}} は解錠されたパーティションの名前を示します ({{ic|/dev/mapper/''NAME''}})。
 
   
  +
Booster が上手く動かない場合、デバッグ出力を有効にすることで何が起こっているか情報を得ることができます:
イメージの再生成は必要ありません。ブートローダーの設定ができたら、コンピュータを再起動してください。その後 {{ic|Enter passphrase for ''YOURROOT'':}} プロンプトが起動時に表示されるので、暗号化したルートパーティションのパスワードを入力してください。
 
   
  +
* ジェネレータのデバッグは {{ic|-debug}} コマンドラインフラグを使ってください: {{ic|booster -debug}}
=== Clevis 暗号化 ===
 
  +
* init のデバッグは {{ic|1=booster.debug=1}} [[カーネルパラメータ]] が存在します。
   
  +
Booster 自体に問題があると思われる場合は、[https://github.com/anatol/booster/issues GitHub でチケットを作成してください]
{{Note|Booster 固有ではない Clevis 情報用の別のページを作成する}}
 
 
暗号化された LUKS パーティションの解錠に、ユーザーによるパスワードの入力を使うというのは伝統的で広く使われる方法ですが、デメリットも存在します:
 
 
* 手動で入力する必要があるため、自動的に起動したい場合には使えません (例: 巨大なサーバーファーム)。
 
* 普通の人間が覚えられるパスワードの長さには限界があり (エントロピーにして ~20-30 ビット)、近代的なブロック暗号に使う鍵としては弱すぎます (128/256 ビット)。
 
 
解決策としては強固な鍵を別のどこかに保持しておくという方法があります。例えば [[TPM]] チップや [[Yubikey]]、あるいは他のネットワークサービスなどが考えられます。[https://github.com/latchset/clevis/ Clevis] はこのアイデアを実現するフレームワークです。抜き差し可能な ''pin'' を使ってデータを暗号化します (clevis の用語では ''bind'')。現在 clevis には3つの pin が存在します:
 
 
* TPM2 データバインディング
 
* ネットワークサービス (別名 [https://github.com/latchset/tang Tang]) データバインディング
 
* [[Wikipedia:Shamir's Secret Sharing|シャミア秘密分散]]で他の pin を組み合わせる
 
 
Booster は上記3つの pin 全てに対応しています。
 
 
clevis を使うには {{pkg|clevis}} パッケージをインストールしてください。以下は TPM2 によるデータバインディングの例です (あなたのコンピュータに [[TPM]] チップが搭載されている場合にのみ動作します):
 
 
{{hc|$ clevis encrypt tpm2 '{}' <<< 'hello, world'|
 
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..1P2Emag_4k-GlhyY.MuQQYPa8QHrysZ74uA.0ddDxfZA3R-cCmaKu5yUZA
 
}}
 
 
base64 でエンコードされた長いメッセージが内部の TPM キーで暗号化されたテキストです。このテキストは現在使っているコンピュータでしか復号化できません。他のコンピュータで復号化しようとするとエラーが返ってきます。
 
 
{{hc|$ clevis decrypt tpm2 '{}' <<< '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..1P2Emag_4k-GlhyY.MuQQYPa8QHrysZ74uA.0ddDxfZA3R-cCmaKu5yUZA'|
 
hello, world
 
}}
 
 
Clevis を使って LUKS パーティションをバインドすることができます、例:
 
 
# clevis luks bind -d /dev/nvme0n1p2 tpm2 '{}'
 
 
TPM チップで暗号化されたパスワードを使って LUKS スロットが作成されます。以下を実行することで確認できます:
 
 
{{hc|# cryptsetup luksDump /dev/nvme0n1p2|
 
...
 
Tokens:
 
0: clevis
 
Keyslot: 1
 
...
 
}}
 
 
ひとつの ''clevis'' トークンが表示されています。LUKS はトークンを使って「どこか (例: TPM チップ) に存在する」パスワードのメタデータを保存します。詳しくは clevis のドキュメントを見てください。
 
 
Booster は LUKS トークンを読み込んで、clevis の情報をデコードして、パスワードを再構築してパーティションを自動的に解錠します。
 
 
''tpm2'' や ''sss'' ピンにバインドされたパーティションは特に booster 側の設定を必要としません。''Tang'' (ネットワークバインド) ピンはネットワークを必要とします。詳しくは [[#設定]] セクションを見てください。
 
 
== デバッグ ==
 
 
Booster が上手く動かない場合、デバッグ出力を有効にすることで何が起こっているか情報を得ることができます:
 
   
  +
=== Booster ジェネレータが "too many open files" エラーで失敗する ===
* ジェネレータのデバッグは {{ic|-debug}} コマンドラインフラグを使ってください: {{ic|booster -debug}}。
 
* init のデバッグは {{ic|1=booster.debug=1}} [[カーネルパラメータ]]が存在します。
 
   
  +
もし {{ic|strip}} と {{ic|universal}} を有効にしていて {{ic|/usr/lib/modules/glue_helper.ko: pipe2: too many open files}} というエラーが出た場合は、プロセスごとのオープンファイルの上限を上げる必要があります。[[limits.conf#nofile]] を参照してください。
Booster に問題があると思われる場合は https://github.com/anatol/booster/issues でチケットを作成してください。
 
   
 
== 参照 ==
 
== 参照 ==

2024年3月6日 (水) 18:31時点における最新版

関連記事

Booster は高速な initramfs ジェネレータで、mkinitcpiodracut と似ています。 Booster は distri プロジェクト に着想を得ており、小型で高速な init イメージを生成することを目指しています。

Booster は、initramfs イメージの生成を担当する /usr/bin/booster ユーザー空間ツールを提供します。生成されたイメージは、デフォルトでは /boot/ にあります。

インストール

booster-gitAUR パッケージをインストールしてください。パッケージのインストールフックによって initramfs イメージが生成されます (インストールされているカーネル (例: linux, linux-lts) ごとにひとつずつ)。イメージは /boot ディレクトリに配置されます:

$ ls -lh /boot/booster*
-rwxr-xr-x 1 root root 4.0M Dec 16 16:20 /boot/booster-linux.img

また、イメージは手動で生成することもできます:

$ booster -output mybooster.img

設定

Booster ジェネレータの設定は /etc/booster.yaml にあります。設定ファイルがない場合は、デフォルトの設定(ホスト固有の画像、ネットワークなし)が使用されます。

設定ファイルを使用することで、デフォルトの動作を上書きすることができます。詳しくは booster(1) § CONFIG FILE を参照してください。

モジュールの早期ロード

いくつかのカーネルモジュールは、initramfs の段階で早期にロードされる必要がある場合があります。

例えば、nvidia モジュールをロードする必要がある場合、以下の設定を使用します:

/etc/booster.yaml
modules_force_load: nvidia

そして、booster イメージの再生成 を実行します。

暗号化

Booster は、Clevis のような LUKS ベースのフルディスク暗号化をすぐに使用できるようにサポートしています。ジェネレーターには追加の設定は必要ありません。ただし、initramfs の場合は、ルートが存在する LUKS パーティションに関する情報を追加する必要があります。これは、rd.luks.uuid=LUKSUUID または rd.luks.name=LUKSUUID=LUKSNAME カーネルパラメータ のいずれかを使用して行われます。LUKSUUID は、Booster によってロックを解除する必要があり、暗号化された LUKS パーティションの UUID を指定します。booster(1) § UUID パラメータ マニュアルでは、UUID に引用符を含めないことを推奨しています。LUKSNAME は、ロック解除されたパーティションの名前を指定します (/dev/mapper/LUKSNAME のように) 関連オプションについては、booster(1) § BOOT TIME KERNEL PARAMETERS を参照してください。

イメージの再構築は必要ありません。ブートローダーの設定が完了したら、コンピューターを再起動します。その後、起動時に暗号化されたルートパーティションのパスワードを求める Enter passphrase for YOURROOT: プロンプトが表示されます。

systemd スタイルのバインディング

Booster はパーティションもサポートします bound with systemd systemd-fido2systemd-tpm2 など。

'systemd-fido2' を使用する場合は、libfido2 パッケージをインストールし、次の設定を使用してイメージに fido2-assert を追加してください。

/etc/booster.yaml
extra_files: fido2-assert

booster イメージの再生成します Booster は起動中にこの設定を検出し、現在の YubiKey を使用してドライブのロックを解除します。

ノート: コミット 1b65577 より前に、Booster が FIDO2 キーを使用して暗号化されたパーティションのロックを解除するのに十分な早さで必要なカーネルモジュールの一部をロードできない可能性があることが報告されています。この場合、強制的にロードされる以下のモジュールを追加します。
/etc/booster.yaml
modules_force_load: usbhid,hid_sensor_hub
extra_files: fido2-assert

booster イメージの再生成

Booster の設定が完了したら、/boot にある Booster images を更新する必要があります。イメージは、booster build booster-foo.img を使用して手動で生成するか、インストールされているすべてのカーネルを反復処理してカーネルごとに Booster イメージを生成する便利なスクリプト /usr/lib/booster/regenerate_images もあります。

ブートローダーの設定

イメージを生成したら、次にブートローダーを設定します。

rEFInd

すでに 自動検出 に依存した設定になっている場合、追加の設定変更は必要ありません。rEFIndinitrd files named booster* をサポートしています。

initramfs のパスを refind.confmanual boot stanzas で手動で指定する場合、正しいファイル名を使っているか確認してください。例えば booster-linux.img の代わりに initramfs-linux.img とします。

systemd-boot

新しい initramfs イメージを systemd-boot で使うには以下のようにブートローダーエントリを作成します:

/boot/loader/entries/booster.conf
title Arch Linux with booster
linux /vmlinuz-linux
initrd /booster-linux.img
options root=UUID=08f83949-bcbb-47bb-bc17-089aaa59e17e rw

上記でルートファイルシステムは UUID=08f83949-bcbb-47bb-bc17-089aaa59e17e と指定しています。blkid /dev/ROOTDEVICE を実行して、あなたのデバイスの UUID を確認してください。

トラブルシューティング

デバッグ

Booster が上手く動かない場合、デバッグ出力を有効にすることで何が起こっているか情報を得ることができます:

  • ジェネレータのデバッグは -debug コマンドラインフラグを使ってください: booster -debug
  • init のデバッグは booster.debug=1 カーネルパラメータ が存在します。

Booster 自体に問題があると思われる場合は、GitHub でチケットを作成してください

Booster ジェネレータが "too many open files" エラーで失敗する

もし stripuniversal を有効にしていて /usr/lib/modules/glue_helper.ko: pipe2: too many open files というエラーが出た場合は、プロセスごとのオープンファイルの上限を上げる必要があります。limits.conf#nofile を参照してください。

参照