在DigitalOcean块存储上创建加密文件系统教程

DigitalOcean是我们熟悉的美国云主机服务器公司. 该产品具有出色的整体性能，并使用SSD硬盘存储. 它支持小时计费模式，因此在国内网站管理员中非常受欢迎. DigitalOcean Volumes是可扩展的，基于SSD的块存储设备. 卷使您可以创建和扩展基础结构的存储容量，而无需调整液滴的大小. 卷在静止状态下被加密，这意味着无法在其存储集群外部读取卷上的数据. 将卷附加到Droplet时，Droplet将显示解密的块存储设备，并且所有数据都通过隔离的网络进行传输.

为了提高安全性，您还可以在Volume的LUKS加密磁盘中创建文件系统. 这意味着磁盘将需要由Droplet上的操作系统解密才能读取任何数据. 以下是有关如何在DigitalOcean块存储上创建加密文件系统的简要介绍，仅供参考.

首先，创建一个加密磁盘

cryptsetup是用于管理其他加密格式之外的LUKS卷的实用程序. 首先，cryptsetup使用它来初始化卷上的加密磁盘.

sudo cryptsetup -y -v luksFormat / dev / disk / by-id / scsi-0DO_Volume_volume-lon1-01

确保将volume-lon1-01替换为Volume的名称. -y当提示您创建密码时，此标志将要求您输入密码两次. -v标志添加了其他人类可读的输出以验证命令是否成功.

输出将要求您确认覆盖卷上的数据. 在所有大写字母中键入YES，然后按Enter键继续.

输出

警告！

========

这将不可撤销地覆盖/ dev / disk / by-id / scsi-0DO_Volume_volume-lon1-01上的数据.

确定吗？ （输入大写字母是）: 是

接下来，输出将提示您为加密磁盘创建密码. 输入一个唯一的强密码短语，然后再次输入以进行验证. 该密码无法恢复，因此请妥善保存.

输出

...

输入密码:

验证密码:

命令成功.

如有必要，您可以在以后使用cryptsetup luksChangeKey命令更改此密码. 您还可以为每个设备使用多达8个其他密码短语cryptsetup luksAddKey.

此时，您的磁盘已创建并加密. 接下来，将其解密并映射到标签以方便参考. 在这里，我们将其标记为安全卷，但是您可以根据需要将其标记.

sudo cryptsetup luks打开/ dev / disk / by-id / scsi-0DO_Volume_volume-lon1-01安全卷

将提示您输入密码. 输入后，该卷现在将映射到/ dev / mapper / secure-volume.

为确保一切正常，请验证加密磁盘的详细信息.

cryptsetup状态安全卷

您将看到此输出，指示“卷”标签和类型.

输出

/ dev / mapper / secure-volume已激活.

类型: LUKS1

密码: aes-xts-plain64

密钥大小: 256位

设备: / dev / sda

偏移: 4096个扇区

大小: 209711104个扇区

模式: 读/写

这时，您已经有了一个受密码保护的加密磁盘. 下一步是在磁盘上创建文件系统，以便操作系统可以使用它来存储文件.

第二输入密码以解密存储设备，创建并挂载文件系统

首先让我们看一下Droplet上当前可用的磁盘空间.

df -h

根据Droplet的配置，您将看到类似的输出:

输出

已使用的文件系统大小可用百分比已安装在

udev 2.0G 0 2.0G 0％/ dev

tmpfs 396M 5.6M 390M 2％/运行

/ dev / vda1 78G 877M 77G 2％/

tmpfs 2.0G 0 2.0G 0％/ dev / shm

tmpfs 5.0M 0 5.0M 0％/运行/锁定

tmpfs 2.0G 0 2.0G 0％/ sys / fs / cgroup

/ dev / vda15 105M 3.4M 101M 4％/ boot / efi

tmpfs 396M 0 396M 0％/运行/用户/ 1000

当前，该卷未显示在此列表中，因为Droplet尚无法访问该卷. 为了使其可访问，我们需要创建并挂载文件系统. / dev / mapper / secure-volume

使用mkfs.xfs实用程序（中等大小的ILE小系统）在卷上创建XFS文件系统.

sudo mkfs.xfs / dev / mapper / secure-volume

创建文件系统后，可以挂载它，这意味着可以在Droplet上将其提供给操作系统.

创建一个安装点并将文件系统附加到该安装点. 关于挂载点的一个很好的建议是此目录中有一个空的/ mnt目录，因此我们将使用它. / mnt / secure

sudo mkdir / mnt / secure

然后挂载文件系统.

sudo挂载/ dev / mapper / secure-volume / mnt / secure

为确保其正常工作，请再次检查Droplet上的可用磁盘空间.

df -h

现在输入密码以解密存储设备，您将看到列出的内容. / dev / mapper / secure-volume

输出

已使用的文件系统大小可用百分比已安装在

udev 2.0G 0 2.0G 0％/ dev

tmpfs 396M 5.6M 390M 2％/运行

/ dev / vda1 78G 877M 77G 2％/

tmpfs 2.0G 0 2.0G 0％/ dev / shm

tmpfs 5.0M 0 5.0M 0％/运行/锁定

tmpfs 2.0G 0 2.0G 0％/ sys / fs / cgroup

/ dev / vda15 105M 3.4M 101M 4％/ boot / efi

tmpfs 396M 0 396M 0％/运行/用户/ 1000

/ dev / mapper /安全卷100G 33M 100G 1％/ mnt /安全

这意味着您的加密文件系统已连接并可以使用.

当不再需要访问卷上的数据时，可以卸载文件系统并锁定加密的磁盘.

sudo umount / mnt / secure

sudo cryptsetup luks关闭安全卷

您可以验证df -h文件系统不再可用. 为了使卷上的数据再次可访问，您将执行以下步骤打开磁盘（cryptsetup luksOpen ...），创建安装点并安装文件系统.

为避免每次要使用Volume时都必须执行此手动过程，可以将文件系统配置为在启动Droplet时自动挂载.

三，在启动时自动挂载文件系统

加密的磁盘最多可以包含8个密码短语. 在最后一步中，我们将创建一个密钥并将其添加为密码短语，然后使用该密钥来配置要在启动Droplet时解密和加载的卷.

创建密钥文件/root/.secure_key. 此命令将创建一个包含随机内容的4 KB文件:

sudo dd if = / dev / urandom of = / root / .secure-key bs = 1024 count = 4

调整此密钥文件的权限，以便只有root用户才能读取它.

sudo chmod 0400 /root/.secure-key

然后将密钥添加为加密磁盘的密码.

cryptsetup luksAddKey / dev / disk / by-id / scsi-0DO_Volume_volume-lon1-01 /root/.secure-key

将提示您输入密码. 您可以输入首次创建加密磁盘时设置的磁盘.

/ etc / crypttab是一个配置文件，用于定义要在系统启动时设置的加密磁盘. 使用nano或您喜欢的文本编辑器打开此文件.

sudo nano / etc / crypttab

在文件底部添加以下行以在启动时映射该卷.

/ etc / crypttab

...

安全卷/ dev / disk / by-id / scsi-0DO_Volume_volume-lon1-01 /root/.secure-key luks

/ etc / crypttab中的行格式

是device_name device_path key_path选项. 在这里，设备名称是安全卷（或您选择的名称），路径是，密钥文件是我们刚创建的，并且该选项指定加密. /dev/disk/by-id/…/root/.secure_keyluks

保存并关闭文件.

/ etc / fstab是用于自动安装的配置文件. 打开此文件进行编辑.

sudo nano / etc / fstab

在文件底部添加以下行以在启动时自动安装磁盘.

/ etc / fstab

...

/ dev / mapper / secure-volume / mnt / secure xfs默认值，nofail 0 0

中的前三个参数/ etc / fstab

行始终是device_path mount_point file_system_type. 在这里，我们具有与步骤2相同的设备路径和安装点，并指定XFS文件系统. 您可以在fstab的手册页（man fstab）中了解其他字段.

保存并关闭文件. 现在，将加密的文件系统设置为在引导启动Droplet时自动安装. 您可以通过重新启动Droplet进行测试，但请谨慎使用任何正在运行的服务.

默认情况下，当DigitalOcean卷未连接到Droplet时，它们将被加密. 在本教程中，您通过将文件系统放置在Volume的加密磁盘上添加了附加的安全层. 您可以创建一个加密的磁盘，向其添加密码，然后手动或自动将其安装以在Droplet中使用.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/shouji/article-264841-1.html