Вот конфигурация, которую я имею: - 2 жестких диска, - первый зашифрован с использованием LUKS и LVM. Я хотел бы добавить в группу томов зашифрованный второй жесткий диск. Я успешно установил и зашифровал его. Но когда я загружаюсь, мне нужно ввести 2 парольные фразы для расшифровки обоих жестких дисков.

Разве нет способа использовать только один?

Наконец я нашел способ ввести только один пароль и зашифровать все мои физические диски.

Я шифрую первый парольной фразой, второй шифрую, используя ключевой файл, который храню на первом жестком диске (/ root / mykeyfile).

И со строкой исправления в файле / etc / crypttab это делает свое дело.

Обновите / etc / crypttab

sda5_crypt UUID = fb07f1e8-a569-4db9-9fd7-fc1994e093b5 нет

UDID sdb1_crypt = 4c0687f0-d7af-4f2e-9c57-5ca8e909d492 / root / mykeyfile luks

В Ubuntu можно использовать производный ключ от корня в качестве дополнительного ключа в других файловых системах. Это позволяет сохранить ключ для других дисков вне самой файловой системы.

Прежде чем делать это, сначала убедитесь, что / tmp установлен только на оперативной памяти! Я предлагаю однопользовательский режим для этого изменения.

mount -t ramfs none /tmp

Затем вы можете экспортировать полученный ключ:

# replace vda5_crypt with the cryptsetup name of your root luks
# have a look in /dev/mapper or 'pvdisplay' to find it...
/lib/cryptsetup/scripts/decrypt_derived vda5_crypt > /tmp/key

А затем добавьте его на другое устройство (устройства):

# use your own disks here instead of sdb1 sdc1 sdd1 etc
cryptsetup luksAddKey /dev/sdb1 /tmp/key
cryptsetup luksAddKey /dev/sdc1 /tmp/key
cryptsetup luksAddKey /dev/sdd1 /tmp/key
rm /tmp/key

Это позволит сценариям инициализации ubuntu использовать производный ключ после разблокировки корня, чтобы разблокировать остальные блочные устройства и сделать их доступными аналогичным образом в / dev / mapper. Я не уверен, требуют ли они записи в / etc / crypttab - попробуйте их без первого, а если они не появятся, поместите их в crypttab без ключа, и он должен разблокировать их.

(Я не проверял ничего из этого.)

Вы можете теоретически установить временную переменную среды в пользовательском сценарии загрузки, на который затем ссылаются сценарии инициализации для процесса расшифровки. Я на самом деле сделал это несколько лет назад.

Другой вариант - добавить существующие сценарии инициализации для жесткого диска и написать собственный, который вводит ваш пароль один раз и затем выполняет два процесса расшифровки.

В качестве альтернативы вы можете расширить том LVM до второго диска. Если я правильно помню, шифрование должно быть перенесено.

Нет, нет способа сделать это из коробки.