11.12. 部署高可用性 NBDE 系统

Tang 提供两种构建高可用性部署的方法：

使用 Shamir 的 Secret 共享的高可用性 NBDE

Shamir 的 Secret 共享(SSS)是一种加密方案，可将Secret 分成多个独特的部分。要重建 secret，需要几个部分。数字称为阈值，SSS 也被称为阈值方案。

Clevis 提供 SSS 的实施。它创建一个密钥，并将其分为若干个片。每片都使用另一个 pin 进行加密，甚至包括递归 SSS。另外，您可以定义阈值 t。如果 NBDE 部署至少解密了 t 片，那么它将恢复加密密钥，并且解密过程会成功。当 Clevis 检测到比阈值中指定的部分少时，它会打印错误消息。

示例 1：带有两个 Tang 服务器的冗余

当两个 Tang 服务器中至少有一个可用时，以下命令会解密 LUKS 加密设备：

# clevis luks bind -d /dev/sda1 sss '{"t":1,"pins":{"tang":[{"url":"http://tang1.srv"},{"url":"http://tang2.srv"}]}}'

上一命令使用以下配置方案：

{
    "t":1,
    "pins":{
        "tang":[
            {
                "url":"http://tang1.srv"
            },
            {
                "url":"http://tang2.srv"
            }
        ]
    }
}

在此配置中，SSS 阈值 t 设置为 1，如果列出的两个 tang 服务器中至少有一台可用，则 clevis luks bind 命令可以成功重建 secret。

示例 2：Tang 服务器和 TPM 设备上共享的 secret

当 tang 服务器和 tpm2 设备都可用时，以下命令可成功解密 LUKS 加密设备：

# clevis luks bind -d /dev/sda1 sss '{"t":2,"pins":{"tang":[{"url":"http://tang1.srv"}], "tpm2": {"pcr_ids":"0,7"}}}'

现在 SSS 阀值 't' 设置为 '2' 的配置方案是：

{
    "t":2,
    "pins":{
        "tang":[
            {
                "url":"http://tang1.srv"
            }
        ],
        "tpm2":{
            "pcr_ids":"0,7"
        }
    }
}