16.13. LUKS를 사용하여 블록 장치 암호화

절차

1. 암호화하려는 장치에서 모든 파일 시스템을 마운트 해제합니다. 예를 들면 다음과 같습니다.

   # umount /dev/sdb1

2. LUKS 헤더 저장에 사용 가능한 공간을 만듭니다. 시나리오에 맞는 다음 옵션 중 하나를 선택합니다.

   • 논리 볼륨을 암호화하는 경우 파일 시스템의 크기를 조정하지 않고 논리 볼륨을 확장할 수 있습니다. 예를 들면 다음과 같습니다.

     # lvextend -L+32M vg00/lv00

   • parted 와 같은 파티션 관리 도구를 사용하여 파티션을 확장합니다.
   • 장치의 파일 시스템을 축소합니다. ext 2, ext3 또는 ext4 파일 시스템에 resize2fs 유틸리티를 사용할 수 있습니다. XFS 파일 시스템을 축소할 수 없습니다.

3. 암호화를 초기화합니다. 예를 들면 다음과 같습니다.

   # cryptsetup reencrypt \
                --encrypt \
                --init-only \
                --reduce-device-size 32M \
                /dev/sdb1 sdb1_encrypted

   명령은 암호를 요청하고 암호화 프로세스를 시작합니다.

4. 장치를 마운트합니다.

   # mount /dev/mapper/sdb1_encrypted /mnt/sdb1_encrypted

5. /etc/crypttab에 영구 매핑 항목을 추가

   1. luksUUID 를 찾습니다.

      # cryptsetup luksUUID /dev/mapper/sdb1_encrypted

      선택한 장치의 luksUUID 가 표시됩니다.

   2. 선택한 텍스트 편집기에서 /etc/crypttab 파일을 열고 이 파일에 장치를 추가합니다.

      $ vi /etc/crypttab

      /dev/mapper/sdb1_encrypted luks_uuid none

   3. dracut 을 사용하여 initramfs 새로 고침 :

      $ dracut -f --regenerate-all

6. 영구 마운트 항목을 /etc/fstab 파일에 추가합니다.

   1. 활성 LUKS 블록 장치의 FS UUID 찾기

      $ blkid  -p /dev/mapper/sdb1_encrypted

   2. 선택한 텍스트 편집기에서 /etc/fstab 파일을 열고 이 파일에 장치를 추가합니다. 예를 들면 다음과 같습니다.

      $ vi  /etc/fstab
      fs__uuid /home auto rw,user,auto 0 0

7. 온라인 암호화를 시작합니다.

   # cryptsetup reencrypt --resume-only /dev/sdb1

절차

1. 장치에서 모든 파일 시스템을 마운트 해제합니다. 예를 들면 다음과 같습니다.

   # umount /dev/sdb1

2. 암호화를 초기화합니다.

   # cryptsetup reencrypt \
                --encrypt \
                --init-only \
                --header /path/to/header \
                /dev/sdb1 sdb1_encrypted

   /path/to/header 를 분리된 LUKS 헤더로 파일 경로로 바꿉니다. 암호화된 장치를 나중에 잠금 해제할 수 있도록 분리된 LUKS 헤더에 액세스할 수 있어야 합니다.

   명령은 암호를 요청하고 암호화 프로세스를 시작합니다.

3. 장치를 마운트합니다.

   # mount /dev/mapper/sdb1_encrypted /mnt/sdb1_encrypted

4. 온라인 암호화를 시작합니다.

   # cryptsetup reencrypt --resume-only --header /path/to/header /dev/sdb1

절차

1. 파티션을 암호화된 LUKS 파티션으로 설정:

   # cryptsetup luksFormat /dev/sdb1

2. 암호화된 LUKS 파티션을 엽니다:

   # cryptsetup open /dev/sdb1 sdb1_encrypted

   그러면 파티션의 잠금을 해제하고 장치 매퍼를 사용하여 새 장치에 매핑합니다. 이 경우 장치가 암호화된 장치 임을 커널로 경고하고 암호화된 데이터를 덮어쓰지 않도록 /dev/mapper/device_mapped_name 을 사용하여 LUKS를 통해 처리해야 합니다.

3. 암호화된 데이터를 파티션에 작성하려면 장치 매핑 이름을 통해 액세스해야 합니다. 이렇게 하려면 파일 시스템을 만들어야 합니다. 예를 들면 다음과 같습니다.

   # mkfs -t ext4 /dev/mapper/sdb1_encrypted

4. 장치를 마운트합니다.

   # mount /dev/mapper/sdb1_encrypted mount-point

절차

1. 다음 내용으로 새 playbook.yml 파일을 생성합니다.

   - hosts: all
     vars:
       storage_volumes:
         - name: barefs
           type: disk
           disks:
            - sdb
           fs_type: xfs
           fs_label: label-name
           mount_point: /mnt/data
           encryption: true
           encryption_password: your-password
     roles:
      - rhel-system-roles.storage

2. 선택 사항: 플레이북 구문을 확인합니다.

   # ansible-playbook --syntax-check playbook.yml

3. 인벤토리 파일에서 플레이북을 실행합니다.

   # ansible-playbook -i inventory.file /path/to/file/playbook.yml