在 SLES 上設定 LUKS 加密資料卷

對於 SUSE Linux Enterprise Server 上的新資料卷，如果您希望 SUSE 在一個工作流程中建立加密分割區及其掛載配置，請使用 YaST Expert Partitioner。cryptsetup如果您需要可重複的命令列設置，並且還可以管理/etc/crypttab、/etc/fstab和啟動測試，則可以使用此方法。這兩種方法都無法在不承擔風險的情況下對現有磁碟區進行就地加密：在分割區上建立 LUKS 會覆寫其內容。

本文檔遵循 SLES 15 SP7 的說明；舊版本的服務包可能有所不同。適用範圍：新資料分割區（非根分割區）/boot或沒有變更計畫的生產資料庫磁碟。開始之前，請備份資料並確認目標分割區和密碼復原設定。

選擇方法和 LUKS 格式

選擇	最佳匹配	主要權衡
YaST 專家分區器	SLES 主機上的一個新資料卷	手動設定編輯較少；可用選項和標籤取決於已安裝的 SLES 服務包。
`cryptsetup`	自動化或希望進行明確控制的管理員	您必須自行配置解鎖和掛載行為，並在重新啟動到生產環境之前進行測試。
LUKS1	與舊工具或系統的兼容性	與 LUKS2 相比，LUKS2 的頭部格式較舊，金鑰槽位也較少。
LUKS2	新的部署，其中整個軟體堆疊都支援它	YaST 需要明確啟用其 LUKS2 支援；PBKDF 選擇會影響相容性和記憶體使用。

YaST 從 SLES 15 SP4 開始支援 LUKS2，但 SUSE 將其選擇器標記為實驗性功能，需要明確啟用。請勿為了啟用 LUKS2 而變更生產環境的啟動參數。如果執行系統的分割工具不支援 LUKS2，請使用經過驗證的 CLI 路徑或 YaST 提供的預設選項。 LUKS2 具有更新的分區頭，最多支援 32 個按鍵和標籤，並且可以使用 Argon2，但 Argon2 會消耗更多記憶體。為了相容於舊版工具，請選擇 LUKS1；只有在測試過服務包、恢復工具和備份後，才可選擇 LUKS2。有關具體選項，請參閱 SUSE 的YaST Expert Partitioner 參考文件。

Linux 終端機顯示 lsblk 和 findmnt 指令，用於查看儲存裝置和掛載點 — 首先進行唯讀儲存清單，以便區分目標資料分割區和系統磁碟。終端視圖僅供參考，並不代表已測試的伺服器。

YaST：單一磁碟區的低維護方案

確定目標。運行lsblk -fp命令findmnt。根據穩定的裝置識別碼、大小、目前檔案系統和掛載點來匹配磁碟或分割區。確認它是專用的、備份的目標。如果它包含所需數據，則停止；YaST 的加密工作流程會格式化所選分割區。
開啟分區工具。在 YaST 控制中心，選擇「系統」>「分割工具」。在「專家分割區工具」中，選擇目標磁碟，如果需要，建立專用分割區，或選擇現有空分割區並選擇「編輯」。在應用任何變更之前，請再次讀取裝置和大小。
啟用加密並定義用途。選擇「加密裝置」，選擇檔案系統（例如 XFS 或其他工作負載支援的檔案系統），然後設定掛載點。選擇磁碟區是/etc/fstab在啟動時自動掛載，還是保持可手動掛載狀態。 SUSE 指出，可能需要在提示時安裝所需的加密軟體。
選擇 LUKS 並設定密碼。輸入並確認強密碼，然後完成 YaST 的變更。若要在 YaST 中選擇 LUKS2，請先在 YaST 配置中啟用其已記錄的實驗性支援；否則，加密方法選擇器可能不會顯示。將密碼儲存到組織已核准的金鑰管理流程。遺失密碼可能會導致資料無法存取。

YaST Expert Partitioner 可用儲存視圖，其中已選擇分區行 — 在開啟分割區設定之前，請先查看 YaST 的可用儲存空間清單中所選裝置的值；這些值故意不顯示為實際的磁碟資料。

YaST 編輯分割區對話框，已勾選「加密裝置」選項，並包含檔案系統和掛載點欄位。 — YaST 在分割區編輯器中提供了加密、檔案系統和掛載點選項。實際佈局可能因 SLES 版本和安裝模式而異。

加密密碼對話框，密碼和確認字段均為空 — 輸入兩次捲口密碼短語，並透過已批准的恢復流程儲存；此處欄位為空。

`cryptsetup`：更多控制權，更多人工操作

僅對已驗證並備份的全新未掛載分割區使用此方法。檢查是否cryptsetup已安裝cryptsetup --version；如果未安裝，請使用經批准的 SLES 軟體倉庫和您所在組織的軟體包安裝流程。將佔位符替換為已確認的穩定路徑/dev/disk/by-id/。格式化指令會破壞目標上的資料；切勿對猜測的/dev/sdX名稱執行此指令。 SUSE 的SLES 15 SP7 加密指南解釋了 YaST 工作流程及其局限性。

建立 LUKS 容器。本範例明確請求使用 LUKS2。該命令會提示輸入密碼並進行確認；請勿將密碼放在命令列或腳本中。

DEVICE=/dev/disk/by-id/REPLACE_WITH_VERIFIED_ID
sudo cryptsetup luksFormat --type luks2 "$DEVICE"

終端機顯示 cryptsetup luksFormat 指令，並警告現有資料將會被擦除。 — `luksFormat`初始化 LUKS 標頭並覆蓋目標裝置上的現有內容。確認前請先驗證設備識別碼。

解鎖映射。下方所示的映射名稱將/dev/mapper/appdata_crypt在您輸入密碼短語後建立。

sudo cryptsetup open "$DEVICE" appdata_crypt

開啟 LUKS 映射後，終端機正在等待密碼提示符。 — 打開 LUKS 容器時會要求輸入其密碼短語，並在裝置解鎖時顯示已對應的裝置。

建立檔案系統並掛載它。本範例使用 XFS 檔案系統/srv/appdata。建立檔案系統會擦除映射裝置上的數據，因此請僅在新映射的裝置上執行此操作。

sudo mkfs.xfs /dev/mapper/appdata_crypt
sudo mkdir -p /srv/appdata
sudo mount /dev/mapper/appdata_crypt /srv/appdata

終端機顯示已解鎖的映射器裝置上的 mkfs.xfs 檔案系統正在運行，並將其掛載到 srv appdata 目錄。 — 格式化並掛載未鎖定的映射器設備，切勿格式化並掛載底層加密分割區。

配置啟動行為並進行驗證。若要在啟動時顯示互動式密碼提示，請將 LUKS UUID 新增至設定中/etc/crypttab，並將對應器掛載點新增至設定/etc/fstab。使用以下命令檢索 LUKS UUID sudo cryptsetup luksUUID "$DEVICE"，然後替換配置中的範例佔位符：

# /etc/crypttab
appdata_crypt UUID=PASTE_LUKS_UUID_HERE none luks

# /etc/fstab
/dev/mapper/appdata_crypt /srv/appdata xfs defaults 0 2

重啟前請測試映射和掛載。確認cryptsetup status appdata_crypt報告的對應符合預期，findmnt /srv/appdataXFS 檔案系統位於目標路徑，且lsblk -f加密容器和已對應的檔案系統都已顯示。如果伺服器是無頭伺服器，啟動時可能會出現密碼提示，阻止無人值守掛載；請勿將明文金鑰儲存在同一台主機上。對於集中管理的伺服器金鑰，SUSE 的cryptctl 文件描述了一種獨立的金鑰伺服器設計，該設計有其自身的可用性、備份和信任要求。