Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

4.10.7. Kickstart를 사용하여 자동화된 등록 구성

Clevis는 완전 자동화된 등록 프로세스를 제공하기 위해 Kickstart와 통합할 수 있습니다.
  1. Kickstart에 임시 암호로 /boot 이외의 모든 마운트 지점에 대해 LUKS 암호화가 활성화되도록 디스크를 파티션하도록 지시합니다. 암호는 이 등록 프로세스 단계에서 임시적입니다. 
    part /boot --fstype="xfs" --ondisk=vda --size=256
part / --fstype="xfs" --ondisk=vda --grow --encrypted --passphrase=temppass
    예를 들어 OSPP-complaint 시스템에는 더 복잡한 구성이 필요합니다. 
    part /boot --fstype="xfs" --ondisk=vda --size=256
part / --fstype="xfs" --ondisk=vda --size=2048 --encrypted --passphrase=temppass
part /var --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
part /tmp --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
part /home --fstype="xfs" --ondisk=vda --size=2048 --grow --encrypted --passphrase=temppass
part /var/log --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
part /var/log/audit --fstype="xfs" --ondisk=vda --size=1024 --encrypted --passphrase=temppass
  2. %packages 섹션에 나열하여 관련 Clevis 패키지를 설치합니다. 
    %packages
clevis-dracut
%end
  3. %post 섹션에서 바인딩을 수행하기 위해 clevis luks bind 를 호출합니다. 임시 암호를 삭제합니다. 
    %post
clevis luks bind -f -k- -d /dev/vda2 \
tang '{"url":"http://tang.srv","thp":"_OsIk0T-E2l6qjfdDiwVmidoZjA"}' \ <<< "temppass"
cryptsetup luksRemoveKey /dev/vda2 <<< "temppass"
%end
    위의 예에서 Tang 서버에서 신뢰하는 지문을 바인딩 구성의 일부로 지정하여 완전히 비대화식으로 지정합니다.
    Tang 서버 대신 TPM 2.0 정책을 사용할 때 유사한 절차를 사용할 수 있습니다.
Kickstart 설치에 대한 자세한 내용은 Red Hat Enterprise Linux 7 설치 가이드를 참조하십시오. Linux Unified Key Setup-on-disk-format(LUKS)에 대한 자세한 내용은 4.9.1절. “LUKS 디스크 암호화 사용” 에서 참조하십시오.