LUKS でルートボリュームを暗号化
パスフレーズは顧客管理、LUKS2 ルート暗号化、レスキュー ISO による再起動後のアンロックに対応。
フルディスク暗号化は保存データを物理アクセスやディスク再利用から守ります。NoctisNode ではパスフレーズをお客様が管理——当社はディスクを復号できず、鍵も保存しません。
タイミングを選ぶ
稼働中 root の暗号化も不可能ではありませんが手間が大きい。クリーンな道は最初から LUKS 付きで再インストール。レスキュー ISO を起動し、小さな非暗号 /boot と残り全部の LUKS2 コンテナにパーティションし、debootstrap かイメージ復元。
主要コマンド
argon2id 派生と長いパスフレーズを使用。/etc/crypttab に追記し、boot 時に initramfs がパスフレーズを尋ねるように。
cryptsetup luksFormat --type luks2 --pbkdf argon2id /dev/sda2
cryptsetup luksOpen /dev/sda2 root
mkfs.ext4 /dev/mapper/rootリブートを乗り越える
- ▹IPMI(専用)または VNC(VPS)のコンソールで boot 時にパスフレーズ入力。
- ▹無人リブートが必要なら initramfs 内 dropbear SSH によるリモート解錠を——鍵のみ、コンソール網に限定。
- ▹依存する前に一度メンテナンス枠でリブート検証。