Dm-crypt/ログイン時にマウント - 版の履歴

Kusanaginoturugi: カテゴリの修正

2024-06-08T04:48:32Z

カテゴリの修正

← 古い版		2024年6月8日 (土) 13:48時点における版
1行目:		1行目:
	[[Category:デ~~ィスク~~暗号化]]		[[Category:保存データ暗号化]]
	[[en:Dm-crypt/Mounting at login]]		[[en:Dm-crypt/Mounting at login]]
	[[es:Dm-crypt (Español)/Mounting at login]]		[[es:Dm-crypt (Español)/Mounting at login]]

AshMyzk: /* アンマウント後のロック */ 訳を修正

2023-11-05T02:25:40Z

アンマウント後のロック: 訳を修正

← 古い版		2023年11月5日 (日) 11:25時点における版
63行目:		63行目:
	}}		}}

	== アンマウント後のロック ==		== アンマウント後にロックする ==

	アンマウント後も、デバイスはアンロックされたままで、パスワードを再入力~~することなく~~マウントできます。デバイスがアンロックされたときに起動し ({{ic\|1=BindsTo=dev-mapper-home\x2d''username''.device}})、デバイスがアンマウントされた後に終了し ({{ic\|1=Requires,Before=home-''username''.mount~~}})、その過程でデバイスをロックする ({{ic\|1=ExecStop=cryptsetup close~~}}) サービスを作成して [[有効化]] できます:		アンマウント後もデバイスはアンロックされたままであり、パスワードを再入力せずにマウントすることができてしまいます。デバイスがアンロックされたときに起動し ({{ic\|1=BindsTo=dev-mapper-home\x2d''username''.device}})、その途中でデバイスをロックし ({{ic\|1=ExecStop=cryptsetup close}})、デバイスがアンマウントされた後に終了する ({{ic\|1=Requires,Before=home-''username''.mount}}) ようなサービスを作成して[[有効化]]することができます:

	{{hc\|/etc/systemd/system/cryptsetup-''username''.service\|2=		{{hc\|/etc/systemd/system/cryptsetup-''username''.service\|2=
88行目:		88行目:
	}}		}}

	{{Note\|{{ic\|dev-''PARTITION''}} は、{{ic\|systemd-escape -p /dev/''PARTITION''}} の結果です。}}		{{Note\|{{ic\|dev-''PARTITION''}} は、{{ic\|systemd-escape -p /dev/''PARTITION''}} の出力結果です。}}

Kgx: /* アンマウント後のロック */ 翻訳を修正

2023-11-03T06:59:18Z

アンマウント後のロック: 翻訳を修正

← 古い版		2023年11月3日 (金) 15:59時点における版
65行目:		65行目:
	== アンマウント後のロック ==		== アンマウント後のロック ==

	アンマウント後もデバイスのロック~~は解除~~されたままで、パスワードを再入力~~せずに~~マウント~~することが~~できます。デバイスのロック~~が解除~~されたときに~~開始され~~ ({{ic\|1=BindsTo=dev-mapper-home\x2d''username''.device}})、デバイスが~~ロック解除~~された後に~~停止するサービスを作成~~し~~て [[有効化]] できます。アンマウント~~ ({{ic\|1=Requires,Before=home-''username''.mount}})、~~プロセス内~~でデバイスをロック中 ({{ic\|1=ExecStop=cryptsetup close}}):		アンマウント後も、デバイスはアンロックされたままで、パスワードを再入力することなくマウントできます。デバイスがアンロックされたときに起動し ({{ic\|1=BindsTo=dev-mapper-home\x2d''username''.device}})、デバイスがアンマウントされた後に終了し ({{ic\|1=Requires,Before=home-''username''.mount}})、その過程でデバイスをロックする ({{ic\|1=ExecStop=cryptsetup close}}) サービスを作成して [[有効化]] できます:

	{{hc\|/etc/systemd/system/cryptsetup-''username''.service\|2=		{{hc\|/etc/systemd/system/cryptsetup-''username''.service\|2=

Kgx: 他言語へのリンクを追加

2023-11-01T16:23:43Z

他言語へのリンクを追加

← 古い版		2023年11月2日 (木) 01:23時点における版
1行目:		1行目:
	[[Category:ディスク暗号化]]		[[Category:ディスク暗号化]]
	[[en:Dm-crypt/Mounting at login]]		[[en:Dm-crypt/Mounting at login]]
			[[es:Dm-crypt (Español)/Mounting at login]]
	{{Related articles start}}		{{Related articles start}}
	{{Related\|pam_mount}}		{{Related\|pam_mount}}

Kgx: 情報を更新

2023-11-01T16:17:40Z

情報を更新

差分を表示

Kusanaginoturugi: カテゴリを修正

2023-05-25T04:38:32Z

カテゴリを修正

← 古い版		2023年5月25日 (木) 13:38時点における版
1行目:		1行目:
	[[Category:~~セキュリテ~~ィ]]		[[Category:ディスク暗号化]]
	[[en:Dm-crypt/Mounting at login]]		[[en:Dm-crypt/Mounting at login]]
	{{Related articles start}}		{{Related articles start}}

Hiromi-mi: 文言の微調整, 不要なDISPLAYTITLEの削除

2020-04-29T03:10:06Z

文言の微調整, 不要なDISPLAYTITLEの削除

← 古い版		2020年4月29日 (水) 12:10時点における版
1行目:		1行目:
	{{DISPLAYTITLE:pam_exec}}
	[[Category:セキュリティ]]		[[Category:セキュリティ]]
	[[en:Dm-crypt/Mounting at login]]		[[en:Dm-crypt/Mounting at login]]
5行目:		4行目:
	{{Related\|pam_mount}}		{{Related\|pam_mount}}
	{{Related articles end}}		{{Related articles end}}

⚫	[[dm-crypt/root 以外のファイルシステムの暗号化]]に戻る。

	[[PAM]] と [[systemd]] を設定することで、ユーザーがログインしたときに [[dm-crypt]] で暗号化されたホームパーティションを自動的にマウントして、ログアウトしたときにアンマウントさせることができます。		[[PAM]] と [[systemd]] を設定することで、ユーザーがログインしたときに [[dm-crypt]] で暗号化されたホームパーティションを自動的にマウントして、ログアウトしたときにアンマウントさせることができます。

		⚫	以下では [[dm-crypt/root 以外のファイルシステムの暗号化]] を前提にして説明します。

	== 概要 ==		== 概要 ==

Kusakata: ページの作成:「{{DISPLAYTITLE:pam_exec}} Category:セキュリティ en:Dm-crypt/Mounting at login {{Related articles start}} {{Related|pam_mount}} {{Related articles end}} d...」

2016-08-13T16:42:59Z

ページの作成:「{{DISPLAYTITLE:pam_exec}} Category:セキュリティ en:Dm-crypt/Mounting at login {{Related articles start}} {{Related|pam_mount}} {{Related articles end}} d...」

新規ページ

{{DISPLAYTITLE:pam_exec}}
[[Category:セキュリティ]]
[[en:Dm-crypt/Mounting at login]]
{{Related articles start}}
{{Related|pam_mount}}
{{Related articles end}}

[[dm-crypt/root 以外のファイルシステムの暗号化]]に戻る。

[[PAM]] と [[systemd]] を設定することで、ユーザーがログインしたときに [[dm-crypt]] で暗号化されたホームパーティションを自動的にマウントして、ログアウトしたときにアンマウントさせることができます。

== 概要 ==
PAM の認証フェイズにユーザーのパスワードを保存して、カーネルのキーリングに配置します。次に、systemd サービスでキーリングを使って、systemd の {{ic|user@.service}} が実行される前に、自動的にパーティションの鍵を解除してマウントします。

ユーザーがログアウトしたとき、systemd は {{ic|user@.service}} が停止されるため、自動的にサービスも停止され、パーティションがアンマウントされて鍵がかけられます。

== ヘルパースクリプト ==
3つのヘルパースクリプトが必要です:

=== /usr/local/bin/savepass ===
PAM によって提供されたパスワードをカーネルのキーリング (root ユーザー) に保存するスクリプト:
{{hc|/usr/local/bin/savepass|<nowiki>
#!/bin/sh
exec keyctl padd user user:`id -u $PAM_USER` @u
</nowiki>}}

=== /usr/local/bin/securemount ===
カーネルのキーリングから取得したキーを使って特定のデバイスの鍵を解除して、特定の場所にマウントするスクリプト:
{{hc|/usr/local/bin/securemount|<nowiki>
#!/bin/sh
set -e
KEYNAME=$1
DEVICE=$2
TARGET=$3
DEC_DEVICE_NAME=$(/usr/bin/systemd-escape -p `/usr/bin/realpath $DEVICE`)
DEC_DEVICE=/dev/mapper/$DEC_DEVICE_NAME

/usr/bin/keyctl pipe `/usr/bin/keyctl request user $KEYNAME` | /usr/bin/cryptsetup open $DEVICE $DEC_DEVICE_NAME -d -
/usr/bin/mount $DEC_DEVICE $TARGET
</nowiki>}}

=== /usr/local/bin/secureumount ===
暗号化されたデバイスをアンマウントして閉じるスクリプト:
{{hc|/usr/local/bin/secureumount|<nowiki>
#!/bin/sh
set -e
TARGET=$1
DEC_DEVICE=$(cat /proc/mounts | grep " $TARGET " | cut -d " " -f 1)

/usr/bin/umount $TARGET
/usr/bin/cryptsetup close $DEC_DEVICE
</nowiki>}}

== PAM の設定 ==
{{ic|auth optional pam_permit.so}} の前に {{ic|auth optional pam_exec.so expose_authtok /usr/local/bin/savepass}} を追加してください:

{{hc|/etc/pam.d/system-auth|
#%PAM-1.0

auth required pam_unix.so try_first_pass nullok
'''auth optional pam_exec.so expose_authtok /usr/local/bin/savepass'''
auth optional pam_permit.so
auth required pam_env.so

account required pam_unix.so
account optional pam_permit.so
account required pam_time.so

password required pam_unix.so try_first_pass nullok sha512 shadow
password optional pam_permit.so

session required pam_limits.so
session required pam_unix.so
session optional pam_permit.so
}}

== systemd サービス ==
{{ic|/etc/systemd/system}} ディレクトリに新しいサービスファイルを作成してください。{{ic|123}} はユーザーの ID に、{{ic|/home/xyz}} はパーティションをマウントしたいパスに、{{ic|c139ae70\x2d5861\x2d4084\x2d84b1\x2d7d83f7bb7129}} と {{ic|c139ae70-5861-4084-84b1-7d83f7bb7129}} は暗号化したパーティションの UUID に置き換えてください。前者において {{ic|-}} 記号は全て {{ic|\x2d}} に置き換える必要があるので注意してください。
{{hc|/etc/systemd/system/homedir@'''123'''.service|2=
[Unit]
Description=Home Directory for %I
DefaultDependencies=no
Conflicts=umount.target
IgnoreOnIsolate=true
Before=user@%i.service
Requires=user@%i.service
BindsTo=dev-disk-by\x2duuid-'''c139ae70''\x2d''5861''\x2d''4084''\x2d''84b1''\x2d''7d83f7bb7129'''.device
After=dev-disk-by\x2duuid-'''c139ae70''\x2d''5861''\x2d''4084''\x2d''84b1''\x2d''7d83f7bb7129'''.device
Before=umount.target

[Service]
Type=oneshot
RemainAfterExit=yes
TimeoutSec=0
ExecStart=/usr/local/bin/securemount user:%i /dev/disk/by-uuid/'''c139ae70-5861-4084-84b1-7d83f7bb7129''' '''/home/xyz'''
ExecStop=/usr/local/bin/secureumount '''/home/xyz'''

[Install]
RequiredBy=user@%i.service
}}

最後に、サービスを有効化してください:
# systemctl enable homedir@123.service