root で下記を実行します:

# cryptctl init-server

それぞれ表示された質問に対して回答を入力し、 Enter を押していきます。このとき、既定値は質問の末尾に角括弧で括られて表示されます。

1. まずは強力なパスワードを生成し、そのパスワードが漏洩することの無いよう十分な保護を設定してください。このパスワードはサーバ内に登録されている全てのパーティションの解読を行うためのパスワードになります。

2. 次に PEM エンコードされた TLS 証明書、もしくは TLS 証明書のチェインのパスを指定します。自己署名型の証明書を使用する場合は、何も指定しないでください。また、パスを指定する場合は、絶対パスで指定してください。

3. 既定で表示されるホスト名以外の名前を使用したい場合は、ここでホスト名を指定してください。 cryptctl では、指定したホスト名を含む証明書を生成します。

4. クライアント側からの解読要求を受け付けるネットワークインターフェイスの IP アドレスを指定し、続けてポート番号を指定します (既定のポートは 3737 です) 。

   IP アドレスの既定値である 0.0.0.0 を使用すると、 cryptctl は IPv4 を利用する全てのネットワークインターフェイスを介して、クライアントからの要求を受け付けるようになります。

5. クライアントに対する暗号鍵を保存するための、サーバ内のディレクトリを指定します。

6. 次にクライアントとの通信を行う際、クライアントに対して認証を要求するかどうかを指定します。ここで No (いいえ) を選択すると、クライアント側からはディスクの UUID のみを認証として使用します (なお、いずれを選択した場合でも、サーバの証明書を利用して通信が暗号化されます) 。

   Yes (はい) を選択した場合は、クライアントの証明書に署名する証明機関を PEM 形式で指定してください。

7. 次に KMIP 1.3 互換のサーバ (1 つまたは複数) を使用するかどうかを選択します。 KMIP 1.3 互換のサーバを使用すると、クライアントの暗号鍵をそこに保存することができるようになります。こちらを選択した場合は、 1 つまたは複数の KMIP 互換サーバのホスト名およびポートを指定してください。

   このほか、 KMIP サーバに対して使用するユーザ名やパスワード、証明機関の証明書などを設定します。また、 cryptctl のサーバで使用するクライアントの識別証明書を設定することもできます。

   

   重要: KMIP の再設定の難しさについて

   KMIP サーバを使用する場合、後からの再設定は簡単ではありません。この設定を変更するには、 cryptctl サーバだけでなく、クライアントについても設定を修正する必要があるためです。

8. 最後に電子メールによる暗号化／解読要求の通知を行うため、 SMTP サーバを設定します。電子メールによる通知機能は、設定しなくてもかまいません。

   

   注記: パスワードで保護されたサーバについて

   cryptctl では、パスワードによる認証が必要な SMTP サーバを指定して、電子メールを送信することはできません。認証が必要な場合は、ローカルの SMTP プロキシを設定してください。

9. cryptctl サーバの起動を行うかどうかを尋ねられた場合は、 y (はい) と入力してください。

設定が終わったら、 cryptctl-server サービスの状態を確認します:

# systemctl status cryptctl-server

root で下記を実行します:

# cryptctl encrypt

それぞれ表示された質問に対して回答を入力し、 Enter を押していきます。このとき、既定値は質問の末尾に角括弧で括られて表示されます。

1. 接続先となる cryptctl サーバのホスト名とポートを指定します。

2. サーバ側で TLS 証明書を利用してクライアントの認証を行うように設定している場合は、対応する証明書とその鍵を指定します。証明書はサーバ側で選択した証明機関による署名が必要となります。

3. 次にサーバの証明書 (*.crt ファイル) の絶対パスを指定します。

4. サーバを設定する際に指定した暗号化パスワードを入力します。

5. 暗号化の対象となるディレクトリを指定し、その後にそのディレクトリを暗号化したあとのデータを保存するための空きパーティションのパスを指定します。

6. パーティションを同時に解読することのできるマシンの台数を指定します。

   続いてクライアントからの通信が途絶えた際、追加でパーティションの解読を許可するようにするまでの時間を、秒単位で指定します。

   マシンが何らかの理由で停止して再起動した場合には、パーティションを再度解読できるようにする必要があります。そのため一般には、クライアント側の再起動にかかる時間よりも少し短めの値を、タイムアウトとして設定する必要があります。

   

   重要: タイムアウトの設定値について

   タイムアウトとして設定する時間が長すぎると、初回の試行では暗号化されたパーティションの解読が失敗するようになります。 cryptctl では定期的に暗号鍵の取得を試すようになっていますが、次の試行までには時間が空きますので、遅延を発生させることになってしまいます。

   逆にタイムアウトが短すぎると、暗号化されたパーティションをそのままコピーするだけで、不正なマシンが暗号を解読できることになってしまいます。

暗号化を開始するには、 yes (はい) と入力します。

すると、 cryptctl は指定したディレクトリの暗号化を行い、結果を空きパーティション内に保存するようになります。保存が完了すると、暗号化されたパーティションのマウントが行われます。ファイルシステムの種類は、暗号化前のファイルシステムと同じ種類になります。

暗号化されたパーティションを作成する前に、 cryptctl は暗号化前のディレクトリ内にある内容を、 cryptctl-moved- という接頭辞の付いたディレクトリ内に移動します。

ディレクトリが正しく暗号化されたことを確認するには、下記のように入力して実行します:

> lsblk -o NAME,MOUNTPOINT,UUID
NAME                        MOUNTPOINT          UUID
[...]
sdc
└─sdc1                                          パーティションの_UUID
  └─cryptctl-unlocked-sdc1  /secret-partition   解読後の_UUID

cryptctl では、暗号化されたパーティションを UUID で識別します。上記の例では、 sdc1 の UUID がそれにあたります。

サーバ側でディレクトリが解読されているかどうかを確認するには、 cryptctl コマンドを使用します:

# cryptctl list-keys

正しく解読されていれば、下記のような出力が現れるはずです:

2019/06/06 15:50:00 ReloadDB: successfully loaded database of 1 records
Total: 1 records (date and time are in zone EDT)
Used By     When                 UUID  Max.Users  Num.Users  Mount Point
IP_ADDRESS  2019-06-06 15:00:50  UUID  1          1          /secret-partition

解読できていないパーティションの場合は、下記のような出力になります:

2019/06/06 15:50:00 ReloadDB: successfully loaded database of 1 records
Total: 1 records (date and time are in zone EDT)
Used By      When                 UUID  Max.Users  Num.Users  Mount Point
             2019-06-06 15:00:50  UUID  1          1          /secret-partition

Used by 列の違いに着目してください。

表示された UUID が暗号化されたパーティションのものであることを確認してください。

パーティションの暗号化が正しく動作していることを確認したら、あとはクライアント側にある元のディレクトリ (暗号化されていないディレクトリ) を削除してください。たとえば rm などを使用して削除します。より安全に削除したい場合は、削除を行う前にファイルに対して shred -u などを使用して、ファイルの内容を上書きしてもかまいません。

重要: shred コマンドはデータが完全に消すことを保証するわけではない問題について

ストレージメディアの種類によっては、 shred コマンドを使用してもデータが完全には消えない場合があります。特に SSD などではウエアレベリングの仕組みが存在することから、 shred を実行しても同じ場所には書き込んでくれないことがあります。

Node1 (ノード#1) に root でログインします。

13.1項 「cryptctl サーバの設定」 に書かれた手順で cryptctl-server を構築します。このとき、下記に注意してください:

1. 証明書を作成する場合は、 cryptctl サーバでの CrypServerHostName に対応する証明書を用意してください。ホスト名に対応する証明書 ではありません 。

2. cryptctl サーバに用意した個別の IP アドレス CrypServerIP を使用してください。既定の IP アドレス設定をそのまま使用しては なりません 。

3. KMIP サーバを構築してはなりません。

4. cryptctl サーバの起動を行うかどうかを尋ねられた場合は、 n (いいえ) と入力してください。

2 ノードの HA クラスタを構築します:

1. 

   重要

   ここでは、 cryptctl サーバを構築したマシンが Node1 というホスト名であるものとします。

   cryptctl サーバを設定したマシンで、最初のノードを起動します:

   # crm cluster init -i ネットワークデバイス名 -A AdminIP -n クラスタ名

2. あとは Node2 (ノード#2) にログインして、クラスタへの参加を実施します:

   # ssh Node2
   # crm cluster join -y Node1

3. さらに詳しい情報については、 Installation and Setup Quick Start をご覧ください。

cryptctl サーバに対するリソースグループを設定します:

1. cryptcl の crm-shell-script を利用することで、全てのノードで必要な全てのリソースエージェントを設定し、必要なファイルをコピーすることができます。まずは適切に構築できているかどうかを確認しておくことを強くお勧めします:

   # crm script verify cryptctl  \
   cert-path=/etc/cryptctl/servertls/CertificateFileName \
   cert-key-path=/etc/cryptctl/servertls/CertificateKeyFileName \
   virtual-ip:ip=CrypServerIP \
   filesystem:device=DevicePath
   filesystem:fstype=FileSystemType

2. チェックが成功したら、下記のようにスクリプトを実行してクラスタグループの構築を行います:

   # crm script verify cryptctl  \
   cert-path=/etc/cryptctl/servertls/CertificateFileName \
   cert-key-path=/etc/cryptctl/servertls/CertificateKeyFileName \
   virtual-ip:ip=CrypServerIP \
   filesystem:device=DevicePath
   filesystem:fstype=FileSystemType