Menu Close

Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

第20章 volume_key 機能

volume_key には、libvolume_key と volume_key の 2 つのツールがあります。libvolume_key は、ストレージボリュームの暗号鍵を操作し、ボリュームとは別に保存するライブラリーです。volume_key は、暗号化ハードドライブへのアクセスを復元するために鍵やパスフレーズを抽出するために使用される関連コマンドラインツールです。
第一ユーザーがキーやパスワードを忘れてしまった、ユーザーが突然退職してしまった、ハードウェアまたはソフトウェアの障害で暗号化していたボリュームのヘッダーが破損したためデータを抽出する必要がある、などといった場合にこの機能は便利です。企業などの場合、エンドユーザーにコンピュータを手渡す前に IT ヘルプデスクによって volume_key を使用した暗号キーのバックアップをとっておくことが可能です。
現在、volume_key で対応しているのは LUKS ボリュームの暗号形式のみです。
注記
volume_key は、Red Hat Enterprise Linux 7 サーバーの標準インストールには同梱されていません。インストール方法については、http://fedoraproject.org/wiki/Disk_encryption_key_escrow_use_cases を参照してください。

20.1. volume_key コマンド

volume_key の形式は次のようになります。 
volume_key [OPTION]... OPERAND
volume_key のオペランドおよび動作モードは、以下のオプションのいずれかを指定して決定します。
--save
このコマンドは、オペランドのボリューム [パケット] を想定しています。packet を指定すると、volume_key は、そこからキーおよびパスフレーズを抽出します。packet が指定しないと、volume_key は volume からキーおよびパスフレーズを抽出し、必要に応じてユーザーに要求します。この鍵およびパスフレーズは、1 つ以上の出力パケットに格納されます。
--restore
このコマンドは、オペランドのボリュームパケットを想定します。次に volume を開き、packet のキーとパスフレーズを使用して volume を再度アクセス可能にし、必要に応じてユーザー (たとえば、ユーザーが新しいパスフレーズの入力を許可するなど) を求めるプロンプトを出します。
--setup-volume
このコマンドは、オペランドのボリュームパケット名 を想定しています。次に volume を開き、packet のキーとパスフレーズを使用して、復号されたデータを name として使用するための volume を設定します。
Name は、dm-crypt ボリュームの名前です。この操作は、復号されたボリュームを /dev/mapper/name として利用可能にします。
この動作は、たとえば、新しいパスフレーズを追加しても、ボリューム を永続的に変更することはありません。ユーザーは復号された volume にアクセスし、変更できます。
--reencrypt、--secrets、および --dump
この 3 つのコマンドは、出力方法が異なりますが、同様の機能を実行します。それらは、それぞれがオペランド パケット を必要とし、それぞれが パケット を開き、必要に応じて復号化します。その後、--reencrypt は、情報を 1 つ以上の新しい出力パケットに格納します。--secrets は、パケット に含まれる鍵とパスフレーズを出力します。--dump は、鍵やパスフレーズはデフォルトでは出力されませんが、パケットの内容を出力します。これは、--with-secrets をコマンドに追加することで変更できます。また、--unencrypted コマンドを使用すると、暗号化されていない部分 (存在する場合) のみをダンプすることができます。パスフレーズや秘密鍵のアクセスは必要ありません。
各オプションは、以下のように追加できます。
-o, --output packet
このコマンドは、デフォルトの鍵またはパスフレーズをパケットに書き込みます。デフォルトの鍵またはパスフレーズは、ボリューム形式によって異なります。有効期限が切れないものではなく、--restore によるボリュームへのアクセスを復元できるようにしてください。
--output-format format
このコマンドは、すべての出力パケットに指定された format 形式を使用します。現在、format は以下のいずれかになります。
  • asymmetric: CMS を使用してパケット全体を暗号化し、証明書を必要とします。
  • asymmetric_wrap_secret_only: シークレット、またはキーとパスフレーズのみをラップし、証明書が必要です
  • passphrase: GPG を使用してパケット全体を暗号化し、パスフレーズを必要とします。
--create-random-passphrase packet
このコマンドは、ランダムな英数字のパスフレーズを生成し、それを ボリューム に追加して (他のパスフレーズに影響を与えることなく)、このランダムなパスフレーズを パケット に格納します。