Systemd-creds - 版の履歴

Kgx: /* 認証情報の暗号化 */ 翻訳

2023-06-23T17:11:41Z

認証情報の暗号化: 翻訳

← 古い版		2023年6月24日 (土) 02:11時点における版
31行目:		31行目:
	# systemd-run -P --wait -p LoadCredentialEncrypted=foobar:$(pwd)/ciphertext.cred systemd-creds cat foobar		# systemd-run -P --wait -p LoadCredentialEncrypted=foobar:$(pwd)/ciphertext.cred systemd-creds cat foobar

			上記の {{ic\|--name}} を使用しない場合、正しいコマンドは次のようになります。
	Without using {{ic\|--name}} above, the correct command would be

	# systemd-run -P --wait -p LoadCredentialEncrypted=ciphertext.cred:$(pwd)/ciphertext.cred systemd-creds cat ciphertext.cred		# systemd-run -P --wait -p LoadCredentialEncrypted=ciphertext.cred:$(pwd)/ciphertext.cred systemd-creds cat ciphertext.cred

Kgx: 翻訳

2023-06-23T17:11:05Z

翻訳

← 古い版		2023年6月24日 (土) 02:11時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:~~Security~~]]		[[Category:セキュリティ]]
	[[en:systemd-creds]]		[[en:systemd-creds]]
			'''systemd-creds''' は、[[systemd]] によって提供されるユーティリティおよびサービスであり、[[systemd]] ユニットによって使用される認証情報を安全に保存および取得するように設計されています。これは、さまざまなサービスやアプリケーションに必要な、ユーザー名、パスワード、API キー、その他の認証データなどの機密情報の管理を簡素化することを目的としています。
	'''systemd-creds''' is a utility and service provided by [[systemd]], designed to securely store and retrieve credentials used by [[systemd]] units. It aims to simplify the management of sensitive information, such as usernames, passwords, API keys, and other authentication data, required by various services and applications.

	~~See~~ [https://systemd.io/CREDENTIALS/] ~~and~~ {{man\|1\|systemd-creds}} ~~for more information~~		詳細については、[https://systemd.io/CREDENTIALS/] および {{man\|1\|systemd-creds}} を参照してください。

			== 認証情報の暗号化 ==
	== Credential encryption ==

			認証情報は、ローカル TPM2 チップから派生したキー、{{ic\|/var/}} に保存されているキー、または使用可能な場合は両方 (デフォルト) を使用して、オプションで暗号化および認証できます。システムが TPM2 暗号化を使用しているか、または {{ic\|/var/}} に保存されているキーのみを使用しているかを確認するには、次のコマンドを実行します。
	Credentials may optionally be encrypted and authenticated, either with a key derived from a local TPM2 chip, or one stored in {{ic\|/var/}}, or both (the default) if available. To check if your system uses TPM2 encryption or only the key stored in {{ic\|/var/}}, run

	{{hc\|$ systemd-creds has-tpm2\|		{{hc\|$ systemd-creds has-tpm2\|
18行目:		18行目:
	}}		}}

			{{ic\|plaintext.txt}} に保存されているシークレットを暗号化するには、次のコマンドを実行します。
	To encrypt a secret stored in {{ic\|plaintext.txt}}, run

	# systemd-creds --name=foobar encrypt plaintext.txt ciphertext.cred		# systemd-creds --name=foobar encrypt plaintext.txt ciphertext.cred

			{{Note\|機密性の高い認証情報の場合は、{{ic\|plaintext.txt}} に tmpfs を使用することを検討してください。}}
	{{Note\|In case of sensitive credentials, consider using a tmpfs for {{ic\|plaintext.txt}}}}

			暗号化された認証情報には意図した名前が含まれるため、悪用されることはありません。{{ic\|--name}} を省略すると、ファイル名が認証情報名として使用されます。
	Encrypted credentials carry the intended name in them, so they cannot be mispurposed. If you omit {{ic\|--name}}, then the filename will be used as credential name.

			暗号化が成功したことを確認するには、
	You can check that encryption was successful with

	# shred -u plaintext.txt		# shred -u plaintext.txt
35行目:		35行目:
	# systemd-run -P --wait -p LoadCredentialEncrypted=ciphertext.cred:$(pwd)/ciphertext.cred systemd-creds cat ciphertext.cred		# systemd-run -P --wait -p LoadCredentialEncrypted=ciphertext.cred:$(pwd)/ciphertext.cred systemd-creds cat ciphertext.cred

			あるいは、{{ic\|systemd-ask-password}} を使用して、最初にディスクに書き込まずにシークレットを提供することもできます。 {{ic\|-p}} スイッチを使用すると、サービスファイルにすぐに含められる形式で認証情報を出力できます。
	Alternatively, you can use {{ic\|systemd-ask-password}} to provide the secret without first writing it to disk. The {{ic\|-p}} switch allows outputting a credential in a format ready to be included in a service file:

	# systemd-ask-password -n \| systemd-creds encrypt --name=mysql-password -p - -		# systemd-ask-password -n \| systemd-creds encrypt --name=mysql-password -p - -
50行目:		50行目:
	Wg==		Wg==

			関連する認証情報を含めるサービスファイルを [[編集]] します。
	[[Edit]] the service file to include the relevant credential

			== ヒントとテクニック ==
	== Tips and tricks ==

	~~For an example, see~~ [[Borgmatic#~~Using~~ systemd-creds to ~~provide~~ ~~a password~~ ~~for~~ borgmatic.service]]		例については、[[Borgmatic#systemd-creds を使用して borgmatic.service のパスワードを提供する\|systemd-creds を使用して borgmatic.service のパスワードを提供する]] を参照してください。

Kgx: 英語版から転載

2023-06-23T17:03:29Z

英語版から転載

新規ページ

{{Lowercase title}}
[[Category:Security]]
[[en:systemd-creds]]
'''systemd-creds''' is a utility and service provided by [[systemd]], designed to securely store and retrieve credentials used by [[systemd]] units. It aims to simplify the management of sensitive information, such as usernames, passwords, API keys, and other authentication data, required by various services and applications.

See [https://systemd.io/CREDENTIALS/] and {{man|1|systemd-creds}} for more information

== Credential encryption ==

Credentials may optionally be encrypted and authenticated, either with a key derived from a local TPM2 chip, or one stored in {{ic|/var/}}, or both (the default) if available. To check if your system uses TPM2 encryption or only the key stored in {{ic|/var/}}, run

{{hc|$ systemd-creds has-tpm2|
yes
+firmware
+driver
+system
+subsystem
}}

To encrypt a secret stored in {{ic|plaintext.txt}}, run

# systemd-creds --name=foobar encrypt plaintext.txt ciphertext.cred

{{Note|In case of sensitive credentials, consider using a tmpfs for {{ic|plaintext.txt}}}}

Encrypted credentials carry the intended name in them, so they cannot be mispurposed. If you omit {{ic|--name}}, then the filename will be used as credential name.

You can check that encryption was successful with

# shred -u plaintext.txt
# systemd-run -P --wait -p LoadCredentialEncrypted=foobar:$(pwd)/ciphertext.cred systemd-creds cat foobar

Without using {{ic|--name}} above, the correct command would be

# systemd-run -P --wait -p LoadCredentialEncrypted=ciphertext.cred:$(pwd)/ciphertext.cred systemd-creds cat ciphertext.cred

Alternatively, you can use {{ic|systemd-ask-password}} to provide the secret without first writing it to disk. The {{ic|-p}} switch allows outputting a credential in a format ready to be included in a service file:

# systemd-ask-password -n | systemd-creds encrypt --name=mysql-password -p - -
🔐 Password: ***************
SetCredentialEncrypted=mysql-password: \
k6iUCUh0RJCQyvL8k8q1UyAAAAABAAAADAAAABAAAAD42X4T5h86ynMHG5MAAAAAgAAAA \
AAAAAALACMA8AAAACAAAAAAngAgws4cwpkrOvpxVf4/GSyOYCoQ4dmPs3Vcfg3D0eH/Ov \
cAEC/U9JTyeHgktYBDl8U5jOq/NqFX3IPc24EX7aeTevsL6OKwlTDcF04W1M6eodqngRo \
1JfRqHWnSfVHHYVXgMjIkWT4AcC0OoqAzQobK5e5G1zjTPygiG/ewGttY9sueKCL/INUu \
n1e6/QB6D9T0x9Sl18CeBtoASepCAE4ACAALAAAAEgAgY9RHOefBR+mMgV/Frr+UzQX1S \
IsLFItIbfB6Ep76It0AEAAgKH2Tduip205Dw0GVkME+yvOUNYVhnSHYqWHQoxelKrdj1E \
c558FH6YyBX8Wuv5TNBfVIiwsUi0ht8HoSnvoi3QAAAAA3WzuXTYG2OFX9wFo740b3YjE \
ZtiCWakoAOxzX+D/vIFyB3INROxpfXUCV7LY4eRITI9PJZiE6lGn4kjZBnbUf47yo1WDG \
Wg==

[[Edit]] the service file to include the relevant credential

== Tips and tricks ==

For an example, see [[Borgmatic#Using systemd-creds to provide a password for borgmatic.service]]