Configurer un volume de données chiffré LUKS sur SLES

Pour créer un nouveau volume de données sur SUSE Linux Enterprise Server, utilisez YaST Expert Partitioner si vous souhaitez que SUSE crée la partition chiffrée et sa configuration de montage en une seule opération. Cette méthode est particulièrement utile cryptsetupsi vous avez besoin d'une configuration en ligne de commande reproductible et si vous pouvez également gérer les tests de démarrage /etc/crypttab, /etc/fstabde chiffrement et de configuration de montage. Attention : aucune de ces méthodes ne permet de chiffrer un volume existant sans risque. La création d'un chiffrement LUKS sur une partition écrase son contenu.

Cette procédure est conforme à la documentation SLES 15 SP7 ; les versions antérieures peuvent différer. Périmètre : une nouvelle partition de données (hors racine) /bootou un disque de base de données de production sans plan de modification. Sauvegardez vos données et vérifiez la cible et la phrase de passe de récupération avant de commencer.

Choisissez la méthode et le format LUKS

YaST prend en charge LUKS2 à partir de SLES 15 SP4, mais SUSE indique que son sélecteur est expérimental et nécessite une activation explicite. Ne modifiez pas les paramètres de démarrage du système en production uniquement pour l'activer. Si le partitionneur du système en cours d'exécution ne propose pas LUKS2, utilisez la méthode CLI vérifiée ou la configuration par défaut de YaST. LUKS2 possède un en-tête plus récent, prend en charge jusqu'à 32 clés et étiquettes, et peut utiliser Argon2, qui consomme davantage de mémoire. Choisissez LUKS1 pour assurer la compatibilité avec les anciens outils ; choisissez LUKS2 uniquement après avoir testé le Service Pack, les outils de récupération et les sauvegardes. Consultez la documentation de YaST Expert Partitioner de SUSE pour connaître les options exactes.

YaST : la solution nécessitant moins de maintenance pour un seul volume

1. Identifiez la cible. Exécutez lsblk -fpla commande findmnt. Faites correspondre le disque ou la partition selon son identifiant de périphérique stable, sa taille, son système de fichiers actuel et son point de montage. Vérifiez qu'il s'agit d'une cible dédiée et sauvegardée. Si elle contient des données importantes, arrêtez l'opération ; le processus de chiffrement de YaST formate la partition sélectionnée.
2. Ouvrez le partitionneur. Dans le Centre de contrôle YaST, choisissez Système > Partitionneur . Dans Partitionneur expert, sélectionnez le disque souhaité, créez une partition dédiée si nécessaire, ou sélectionnez la partition vide existante et choisissez Modifier . Vérifiez à nouveau le périphérique et sa taille avant d'appliquer les modifications.
3. Activez le chiffrement et définissez son utilisation. Sélectionnez « Chiffrer le périphérique » , choisissez un système de fichiers tel que XFS ou un autre système de fichiers compatible avec votre application, puis définissez le point de montage. Indiquez si le volume doit être monté au /etc/fstabdémarrage ou rester accessible pour un montage manuel. SUSE précise que le logiciel de chiffrement requis peut devoir être installé lorsque vous y êtes invité.
4. Choisissez LUKS et définissez une phrase secrète. Saisissez et confirmez une phrase secrète robuste, puis terminez les modifications apportées à YaST. Pour choisir LUKS2 dans YaST, activez d'abord sa prise en charge expérimentale documentée dans la configuration de YaST ; sinon, le sélecteur de méthode de chiffrement risque de ne pas apparaître. Enregistrez la phrase secrète conformément à la procédure de gestion des secrets approuvée par l'organisation. Sa perte peut rendre les données inaccessibles.

cryptsetup: plus de contrôle, plus de travail manuel

N'utilisez cette alternative que pour une partition neuve et non montée, que vous avez vérifiée et sauvegardée. Assurez-vous que cryptsetupYaST est installécryptsetup --version ; s'il est absent, utilisez le dépôt SLES officiel et la procédure de gestion des paquets de votre organisation. Remplacez l'espace réservé par le chemin stable confirmé sous `/etc/yast` /dev/disk/by-id/. La commande de formatage efface les données sur la cible ; ne l'exécutez jamais sur un /dev/sdXnom deviné. Le guide de chiffrement SLES 15 SP7 de SUSE explique le fonctionnement de YaST et ses limitations.

5. Créez le conteneur LUKS. Cet exemple requiert explicitement LUKS2. La commande vous invite à saisir une phrase secrète et à la confirmer ; ne saisissez pas la phrase secrète dans la ligne de commande ni dans un script.

DEVICE=/dev/disk/by-id/REPLACE_WITH_VERIFIED_ID
sudo cryptsetup luksFormat --type luks2 "$DEVICE"

6. Déverrouillez le mappage. Le nom du mappage ci-dessous sera créé /dev/mapper/appdata_cryptaprès la saisie de la phrase secrète.

sudo cryptsetup open "$DEVICE" appdata_crypt

7. Créez un système de fichiers et montez-le. Cet exemple utilise XFS /srv/appdata. La création d'un système de fichiers efface les données du périphérique mappé ; par conséquent, exécutez cette commande uniquement sur le nouveau mappage.

sudo mkfs.xfs /dev/mapper/appdata_crypt
sudo mkdir -p /srv/appdata
sudo mount /dev/mapper/appdata_crypt /srv/appdata

8. Configurez le comportement au démarrage et vérifiez-le. Pour une invite de phrase secrète interactive au démarrage, ajoutez l'UUID LUKS /etc/crypttabet le point de montage du mappeur /etc/fstab. Récupérez l'UUID LUKS avec `luks` sudo cryptsetup luksUUID "$DEVICE", puis remplacez l'exemple par défaut dans la configuration :

# /etc/crypttab
appdata_crypt UUID=PASTE_LUKS_UUID_HERE none luks

# /etc/fstab
/dev/mapper/appdata_crypt /srv/appdata xfs defaults 0 2

Avant de redémarrer, testez le mappage et le montage. Vérifiez que cryptsetup status appdata_cryptle mappage affiché est correct, findmnt /srv/appdataque XFS est bien présent au chemin prévu et que lsblk -fle conteneur chiffré et le système de fichiers mappé apparaissent. Si le serveur fonctionne sans interface graphique, une invite de phrase de passe au démarrage peut empêcher le montage automatique ; ne stockez pas de clé en clair sur le même hôte. Pour les clés de serveur gérées de manière centralisée, la documentation cryptctl de SUSE décrit une architecture de serveur de clés distincte, avec ses propres exigences en matière de disponibilité, de sauvegarde et de confiance.

Ce que le chiffrement protège (et ne protège pas)

LUKS protège les données sur un périphérique verrouillé, comme un disque retiré d'un serveur hors tension. Une fois monté, l'accès est régi par les permissions de l'hôte. Il est recommandé de chiffrer les sauvegardes séparément et de stocker une sauvegarde d'en-tête LUKS avec les données de récupération protégées. LUKS ne protège pas un volume déverrouillé ni un système en cours d'exécution compromis.

Pour un volume de données SLES, privilégiez YaST si son format répond à vos besoins. Utilisez-le cryptsetuplorsque l'automatisation justifie la gestion de la configuration supplémentaire. Avant la reprise du service, vérifiez le déverrouillage, le montage, l'accès aux applications et la récupération.