Dm-crypt/システム設定 - 版の履歴

2024年12月20日 (金) 08:15にNによる

2024-12-20T08:15:19Z

← 古い版		2024年12月20日 (金) 17:15時点における版
287行目:		287行目:
	デタッチされた LUKS ヘッダを使用する場合、暗号化されたデータが含まれるブロックデバイスを指定してください。ヘッダファイルの場所は {{ic\|rd.luks.options}} で指定する必要があります。		デタッチされた LUKS ヘッダを使用する場合、暗号化されたデータが含まれるブロックデバイスを指定してください。ヘッダファイルの場所は {{ic\|rd.luks.options}} で指定する必要があります。

	詳細や方法は [[dm-crypt/特記事項#~~Encrypted system using a detached~~ LUKS ~~header~~]]~~{{Broken section link}}~~ を参照してください。		詳細や方法は [[dm-crypt/特記事項#リモート LUKS ヘッダーを使ってシステムを暗号化]] を参照してください。

	== 後期ユーザ空間でロックを解除する ==		== 後期ユーザ空間でロックを解除する ==

Kusanaginoturugi: カテゴリの修正

2024-06-08T04:47:40Z

カテゴリの修正

← 古い版		2024年6月8日 (土) 13:47時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:デ~~ィスク~~暗号化]]		[[Category:保存データ暗号化]]
	[[en:dm-crypt/System configuration]]		[[en:dm-crypt/System configuration]]
	[[es:Dm-crypt (Español)/System configuration]]		[[es:Dm-crypt (Español)/System configuration]]

AshMyzk: /* systemd-cryptsetup-generator を使う */ 翻訳

2023-09-07T07:33:32Z

systemd-cryptsetup-generator を使う: 翻訳

差分を表示

AshMyzk: /* 後期ユーザ空間でロックを解除する */ 翻訳

2023-09-04T02:58:01Z

後期ユーザ空間でロックを解除する: 翻訳

← 古い版		2023年9月4日 (月) 11:58時点における版
360行目:		360行目:
	===== キーファイルでロックを解除する =====		===== キーファイルでロックを解除する =====

			セカンダリファイルシステムの[[dm-crypt/デバイスの暗号化#キーファイル\|キーファイル]]が、暗号化されたルートファイルシステム内に保存されている場合、キーファイルはシステムの電源が落ちている間は安全であり、[[#crypttab\|crypttab]] を使ってブート中にキーファイルを自動的に読み込んでロックを解除することができます。例えば、[[UUID]] によって指定された crypt をアンロックするには:
	If the [[dm-crypt/Device encryption#Keyfiles\|keyfile]] for a secondary file system is itself stored inside an encrypted root, it is safe while the system is powered off and can be sourced to automatically unlock the mount during with boot via [[#crypttab\|crypttab]]. For example, unlock a crypt specified by [[UUID]]:

	{{hc\|/etc/crypttab\|2=		{{hc\|/etc/crypttab\|2=
367行目:		367行目:

	{{Tip\|		{{Tip\|
	* ~~If a keyfile is not specified,~~ {{man\|8\|systemd-cryptsetup}} ~~will automatically try to load it from~~ {{ic\|/etc/cryptsetup-keys.d/''name''.key}} ~~and~~ {{ic\|/run/cryptsetup-keys.d/''name''.key}}.[https://github.com/systemd/systemd/pull/15637]		* キーファイルが指定されなかった場合、{{man\|8\|systemd-cryptsetup}} は自動的に {{ic\|/etc/cryptsetup-keys.d/''name''.key}} と {{ic\|/run/cryptsetup-keys.d/''name''.key}} から読み込もうと試みます。[https://github.com/systemd/systemd/pull/15637]
			* {{ic\|--plain}} モードのブロックデバイスを使用したい場合、そのデバイスのロック解除に必要な暗号化オプションは {{ic\|/etc/crypttab}} 内に指定します。この場合、[[#crypttab\|crypttab]] で説明した systemd の回避策を適用する必要があることに注意してください。
	* If you prefer to use a {{ic\|--plain}} mode blockdevice, the encryption options necessary to unlock it are specified in {{ic\|/etc/crypttab}}. Take care to apply the systemd workaround mentioned in [[#crypttab\|crypttab]] in this case.
	}}		}}

	~~Then use the device mapper's name~~ (~~defined in~~ {{ic\|/etc/crypttab}}) ~~to make an entry in~~ {{ic\|/etc/fstab}}:		そして、({{ic\|/etc/crypttab}} で定義した) デバイスマッパーの名前を使用して {{ic\|/etc/fstab}} 内にエントリを作成してください:

	{{hc\|/etc/fstab\|		{{hc\|/etc/fstab\|
377行目:		377行目:
	}}		}}

			{{ic\|/dev/mapper/externaldrive}} はユニークなパーティションマッピングによるものなので、UUID を使って指定する必要はありません。いかなる場合でも、ファイルシステムに対応するマッパーは、そのファイルシステムが存在しているパーティションとは異なる UUID を持っています。
	Since {{ic\|/dev/mapper/externaldrive}} already is the result of a unique partition mapping, there is no need to specify a UUID for it. In any case, the mapper with the filesystem will have a different UUID than the partition it is encrypted in.

	===== スタックされたブロックデバイスをマウントする =====		===== スタックされたブロックデバイスをマウントする =====
402行目:		402行目:
	==== 必要に応じてマウントする ====		==== 必要に応じてマウントする ====

			以下のコマンドを使用する代わりとして
	Instead of using

	# cryptsetup open UUID=... externaldrive		# cryptsetup open UUID=... externaldrive

	~~you~~ ~~can [[start]]~~ {{ic\|systemd-cryptsetup@externaldrive.service}} ~~when you have an entry as follows in your {{ic\|/etc/crypttab}}~~:		以下のように {{ic\|/etc/crypttab}} 内にエントリが存在する場合は、{{ic\|systemd-cryptsetup@externaldrive.service}} を[[開始]]することができます:

	{{hc\|/etc/crypttab\|output=		{{hc\|/etc/crypttab\|output=
412行目:		412行目:
	}}		}}

			この方法では、正確な crypttab オプションを覚えておく必要はありません。必要であれば、パスフレーズのプロンプトが表示されます。
	That way you do not need to remember the exact crypttab options. It will prompt you for the passphrase if needed.

			対応するユニットファイルは {{man\|8\|systemd-cryptsetup-generator}} によって自動的に生成されます。生成されたユニットファイルは全て以下のコマンドで一覧表示できます:
	The corresponding unit file is generated automatically by {{man\|8\|systemd-cryptsetup-generator}}. You can list all generated unit files using:

	$ systemctl list-unit-files \| grep systemd-cryptsetup		$ systemctl list-unit-files \| grep systemd-cryptsetup

AshMyzk: TranslationStatus

2023-09-04T02:38:04Z

TranslationStatus

← 古い版		2023年9月4日 (月) 11:38時点における版
1行目:		1行目:
	{{Translateme\|英語版の構成からかなり離れています。}}
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:ディスク暗号化]]		[[Category:ディスク暗号化]]
430行目:		429行目:

	一般に、initramfs の生成時に PC に接続されていないキーボードに関しては、{{ic\|autodetect}} フックより前に {{ic\|keyboard}} を配置する必要があります。さもないと、現在接続されているハードウェアに必要なモジュールしか initramfs に追加されません。[[mkinitcpio#通常のフック]] を参照してください。		一般に、initramfs の生成時に PC に接続されていないキーボードに関しては、{{ic\|autodetect}} フックより前に {{ic\|keyboard}} を配置する必要があります。さもないと、現在接続されているハードウェアに必要なモジュールしか initramfs に追加されません。[[mkinitcpio#通常のフック]] を参照してください。

			{{TranslationStatus\|dm-crypt/System configuration\|2023-09-04\|784929}}

AshMyzk: /* crypttab */ 同期、一部翻訳

2023-09-04T02:37:14Z

crypttab: 同期、一部翻訳

差分を表示

AshMyzk: /* mkinitcpio */ 削除 (移動済み)。

2023-09-04T01:13:28Z

mkinitcpio: 削除 (移動済み)。

← 古い版		2023年9月4日 (月) 10:13時点における版
290行目:		290行目:

	See [[dm-crypt/Specialties#Encrypted system using a detached LUKS header]] for details and instructions.		See [[dm-crypt/Specialties#Encrypted system using a detached LUKS header]] for details and instructions.

	== mkinitcpio ==
	システムの暗号化をする場合、[[mkinitcpio]] を正しく設定した後に initial ramdisk を再生成する必要があります。特にシナリオによっては、以下のフックを有効しなくてはなりません:

	* {{ic\|encrypt}}: root パーティションや、root よりも''前''にマウントする必要があるパーティションを暗号化する場合に必ず必要。他の場合は必要ありません。{{ic\|/etc/crypttab}} などのシステム初期化スクリプトが暗号化されたパーティションの鍵を解除してくれます。{{ic\|encrypt}} フックを使用する場合、{{ic\|udev}} フックよりも後に記述する必要があります。
	* {{ic\|sd-encrypt}}: systemd 版の {{ic\|encrypt}} フックで {{ic\|encrypt}} フックの代わりに使うことができます。必ず {{ic\|systemd}} フックと一緒に使用する必要があります。
	* {{ic\|keymap}}: 英語以外のキーマップで暗号化パスワードを入力できるようになります。{{ic\|encrypt}} フックより前に記述してください。キーマップの設定は {{ic\|/etc/vconsole.conf}} で行います。詳しくは[[キーマップ#永続的な設定]]を参照。
	* {{ic\|keyboard}}: 初期ユーザー空間で USB キーボードを使えるようにするために必須です。

	[[mkinitcpio#通常のフック\|他のフック]]についてはここでは触れません。

	=== サンプル ===

	{{ic\|encrypt}} フックを使用する {{ic\|/etc/mkinitcpio.conf}} の設定例:

	{{hc\|/etc/mkinitcpio.conf\|2=
	...
	HOOKS="base udev autodetect keyboard keymap consolefont modconf block encrypt lvm2 filesystems fsck"
	...
	}}

	{{ic\|sd-encrypt}} フックを使用する systemd ベースの initramfs の設定:

	{{hc\|/etc/mkinitcpio.conf\|2=
	...
	HOOKS="base systemd autodetect keyboard sd-vconsole modconf block sd-encrypt sd-lvm2 filesystems fsck"
	...
	}}

	== crypttab ==		== crypttab ==

AshMyzk: /* ブートローダー */ 移動。

2023-09-04T01:12:35Z

ブートローダー: 移動。

@@ 318行目: / 318行目: @@
 ...
 }}
 == crypttab ==

AshMyzk: "初期ユーザ空間でロックを解除する" を追加 (一部翻訳)。

2023-09-04T01:12:22Z

"初期ユーザ空間でロックを解除する" を追加 (一部翻訳)。

差分を表示

AshMyzk: /* トラブルシューティング */ 同期

2023-09-03T09:21:23Z

トラブルシューティング: 同期

← 古い版		2023年9月3日 (日) 18:21時点における版
227行目:		227行目:
	正しい対応する crypttab (例えば {{ic\|crypto_LUKS}} デバイスの UUID) と fstab ({{ic\|/dev/mapper/vgraid-lvraid}}) エントリを指定すれば、{{ic\|/etc/crypttab}} 処理は非ルートマウントにのみ適用するので、 mkinitcpio フック/設定を追加する必要がありません。例外として、{{ic\|mdadm_udev}} フックが''すでに ''使われている場合（例:ルートデバイス用）です。この場合、正しい root raid が最初に選ばれるように {{ic\|/etc/madm.conf}} と initramfs を更新する必要があります。		正しい対応する crypttab (例えば {{ic\|crypto_LUKS}} デバイスの UUID) と fstab ({{ic\|/dev/mapper/vgraid-lvraid}}) エントリを指定すれば、{{ic\|/etc/crypttab}} 処理は非ルートマウントにのみ適用するので、 mkinitcpio フック/設定を追加する必要がありません。例外として、{{ic\|mdadm_udev}} フックが''すでに ''使われている場合（例:ルートデバイス用）です。この場合、正しい root raid が最初に選ばれるように {{ic\|/etc/madm.conf}} と initramfs を更新する必要があります。

	==トラブルシューティング==		== トラブルシューティング ==

	===~~起動時に~~システムがフリー~~ズしたり~~パスワードのプロンプトが表示されない===		=== システムがブート時に固まる/パスワードプロンプトが表示されない ===

	[[Plymouth]] を使用する場合、適切なモジュールを使用するか、Plymouth を無効化してください。正しく設定しないと Plymouth によってパスワードプロンプトが隠れてしまい、システムを起動できなくなります~~。詳しくは [[Plymouth#plymouth フック]]を参照~~。		[[Plymouth]] を使用する場合、適切なモジュール ([[Plymouth#mkinitcpio]] を参照) を使用するか、Plymouth を無効化してください。正しく設定しないと Plymouth によってパスワードプロンプトが隠れてしまい、システムを起動できなくなります。

			=== キーボードやファイルシステム上のキーファイルをロック解除に利用できない ===

			キーボードや、initramfs の生成時に存在しないファイルシステム上のキーファイルを使って LUKS デバイスのロックを解除する場合、対応するモジュールを mkinitcpio の {{ic\|MODULES}} 配列に追加する必要があるかもしれません。この作業は、キーボードが USB ハブ経由で接続されている場合にも必要かもしれません。この問題に関する詳細は [[mkinitcpio#MODULES]] を参照してください。追加するべきキーボードやファイルシステムのモジュール名を探し当てる方法については [[mkinitcpio/Initramfs の最小化#モジュールの選別]] を参照してください

			一般に、initramfs の生成時に PC に接続されていないキーボードに関しては、{{ic\|autodetect}} フックより前に {{ic\|keyboard}} を配置する必要があります。さもないと、現在接続されているハードウェアに必要なモジュールしか initramfs に追加されません。[[mkinitcpio#通常のフック]] を参照してください。