Die Geschichte begann schon lange, nämlich mit der Veröffentlichung von Centos 7 (RHEL 7). Wenn Sie die Festplattenverschlüsselung mit Centos 6 verwendet haben, gab es keine Probleme mit der automatischen Entsperrung der Festplatten beim Anschließen eines USB-Sticks mit den benötigten Schlüsseln. Mit der Veröffentlichung von 7 hingegen funktionierte plötzlich alles nicht mehr so, wie Sie es gewohnt waren. Damals konnte man die Lösung finden, indem man dracut mit sysvinit zurücksetzte, mit einer einfachen Zeile im Konfigurationsfile: echo 'omit_dracutmodules+=" systemd "' > /etc/dracut.conf.d/luks-workaround.conf
Das hat uns sofort den ganzen Reiz von systemd genommen — den schnellen und parallelen Start von Systemdiensten, was die Bootzeit des Systems erheblich verkürzt hat.
Die Situation ist nach wie vor dieselbe:
Ohne auf eine Lösung zu warten, habe ich sie selbst entwickelt und teile sie nun mit der Öffentlichkeit; wer interessiert ist, kann weiterlesen.
Einführung
Systemd hat bei mir, als ich anfing, mit Centos 7 zu arbeiten, keine besonderen Emotionen ausgelöst, da ich anfangs außer einer geringfügigen Änderung in der Syntax der Dienstverwaltung keine wesentlichen Unterschiede wahrgenommen habe. Später gefiel mir systemd, aber der erste Eindruck war ein wenig getrübt, da die Entwickler von dracut nicht viel Zeit mit der Unterstützung des Bootprozesses mit systemd in Verbindung mit Festplattenverschlüsselung verbrachten. Insgesamt funktionierte es, aber bei jedem Start das Passwort für die Festplatte einzugeben, Server ist nicht die spannendste Aufgabe.
Nachdem ich viele Empfehlungen ausprobiert und das Handbuch studiert hatte, erkannte ich, dass eine Konfiguration im systemd-Modus mit USB möglich ist, aber nur durch manuelle Zuordnung jeder Festplatte mit dem Schlüssel auf dem USB-Stick; der USB-Stick selbst konnte nur über seine UUID zugeordnet werden, LABEL funktionierte nicht. Solch eine Lösung zu unterstützen war nicht sehr praktisch, also habe ich letztendlich abgewartet und nach fast 7 Jahren festgestellt, dass niemand beabsichtigt, das Problem zu lösen.
Probleme
Natürlich kann fast jeder ein eigenes Plugin für dracut schreiben, aber es zu einem funktionierenden zu machen, ist nicht so einfach. Es stellte sich heraus, dass die parallele Natur des Systemd-Starts das Einschalten meines Codes und die Änderung des Bootvorgangs nicht so einfach machte. Die Dokumentation zu dracut erklärte bei weitem nicht alles. Doch nach langen Versuchen konnte ich das Problem lösen.
Wie es funktioniert
Es basieren auf drei Einheiten:
- luks-auto-key.service — sucht nach Laufwerken mit Schlüsseln für LUKS
- luks-auto.target — fungiert als Abhängigkeit für die integrierten Einheiten systemd-cryptsetup
- luks-auto-clean.service — löscht temporäre Dateien, die von luks-auto-key.service erstellt wurden
luks-auto-generator.sh ist ein Skript, das von systemd gestartet wird und Einheiten basierend auf den Kernelparametern generiert. Ähnliche Generatoren erstellen fstab-Einheiten usw.
luks-auto-generator.sh
Mit drop-in.conf wird das Verhalten der Standard-dystemd-cryptsetup geändert, indem luks-auto.target als Abhängigkeit hinzugefügt wird.
luks-auto-key.service und luks-auto-key.sh
Diese Einheit startet das Skript luks-auto-key.sh, das basierend auf den Schlüsseln rd.luks.* die Speicher mit Schlüsseln findet und sie in ein temporäres Verzeichnis kopiert, um sie weiter zu verwenden. Nach Abschluss des Prozesses werden die Schlüssel vom temporären Verzeichnis von luks-auto-clean.service gelöscht.
Quellcodes:
/usr/lib/dracut/modules.d/99luks-auto/module-setup.sh
#!/bin/bash
check () {
if ! dracut_module_included "systemd"; then
"luks-auto needs systemd in the initramfs"
return 1
fi
return 255
}
depends () {
echo "systemd"
return 0
}
install () {
inst "$systemdutildir/systemd-cryptsetup"
inst_script "$moddir/luks-auto-generator.sh" "$systemdutildir/system-generators/luks-auto-generator.sh"
inst_script "$moddir/luks-auto-key.sh" "/etc/systemd/system/luks-auto-key.sh"
inst_script "$moddir/luks-auto.sh" "/etc/systemd/system/luks-auto.sh"
inst "$moddir/luks-auto.target" "${systemdsystemunitdir}/luks-auto.target"
inst "$moddir/luks-auto-key.service" "${systemdsystemunitdir}/luks-auto-key.service"
inst "$moddir/luks-auto-clean.service" "${systemdsystemunitdir}/luks-auto-clean.service"
ln_r "${systemdsystemunitdir}/luks-auto.target" "${systemdsystemunitdir}/initrd.target.wants/luks-auto.target"
ln_r "${systemdsystemunitdir}/luks-auto-key.service" "${systemdsystemunitdir}/initrd.target.wants/luks-auto-key.service"
ln_r "${systemdsystemunitdir}/luks-auto-clean.service" "${systemdsystemunitdir}/initrd.target.wants/luks-auto-clean.service"
}
/usr/lib/dracut/modules.d/99luks-auto/luks-auto-generator.sh
#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
. /lib/dracut-lib.sh
SYSTEMD_RUN='/run/systemd/system'
CRYPTSETUP='/usr/lib/systemd/systemd-cryptsetup'
TOUT=$(getargs rd.luks.key.tout)
if [ ! -z "$TOUT" ]; then
mkdir -p "${SYSTEMD_RUN}/luks-auto-key.service.d"
cat > "${SYSTEMD_RUN}/luks-auto-key.service.d/drop-in.conf" <<EOF
[Service]
Type=oneshot
ExecStartPre=/usr/bin/sleep $TOUT
EOF
fi
mkdir -p "$SYSTEMD_RUN/luks-auto.target.wants"
for argv in $(getargs rd.luks.uuid -d rd_LUKS_UUID); do
_UUID=${argv#luks-}
_UUID_ESC=$(systemd-escape -p $_UUID)
mkdir -p "${SYSTEMD_RUN}/systemd-cryptsetup@luksx2d${_UUID_ESC}.service.d"
cat > "${SYSTEMD_RUN}/systemd-cryptsetup@luksx2d${_UUID_ESC}.service.d/drop-in.conf" <<EOF
[Unit]
After=luks-auto.target
ConditionPathExists=!/dev/mapper/luks-${_UUID}
EOF
cat > "${SYSTEMD_RUN}/luks-auto@${_UUID_ESC}.service" <<EOF
[Unit]
Description=luks-auto Cryptography Setup for %I
DefaultDependencies=no
Conflicts=umount.target
IgnoreOnIsolate=true
Before=luks-auto.target
BindsTo=dev-disk-byx2duuid-${_UUID_ESC}.device
After=dev-disk-byx2duuid-${_UUID_ESC}.device luks-auto-key.service
Before=umount.target
[Service]
Type=oneshot
RemainAfterExit=yes
TimeoutSec=0
ExecStart=/etc/systemd/system/luks-auto.sh ${_UUID}
ExecStop=$CRYPTSETUP detach 'luks-${_UUID}'
Environment=DRACUT_SYSTEMD=1
StandardInput=null
StandardOutput=syslog
StandardError=syslog+console
EOF
ln -fs ${SYSTEMD_RUN}/luks-auto@${_UUID_ESC}.service $SYSTEMD_RUN/luks-auto.target.wants/luks-auto@${_UUID_ESC}.service
done
/usr/lib/dracut/modules.d/99luks-auto/luks-auto-key.service
[Unit]
Description=LUKS AUTO Schlüssel-Suchdienst
After=cryptsetup-pre.target
Before=luks-auto.target
DefaultDependencies=no
[Service]
Environment=DRACUT_SYSTEMD=1
Type=oneshot
ExecStartPre=\/usr\/bin\/sleep 1
ExecStart=\/etc\/systemd\/system\/luks-auto-key.sh
RemainAfterExit=true
StandardInput=null
StandardOutput=syslog
StandardError=syslog+console
/usr/lib/dracut/modules.d/99luks-auto/luks-auto-key.sh
#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
export DRACUT_SYSTEMD=1
. /lib/dracut-lib.sh
MNT_B="/tmp/luks-auto"
ARG=$(getargs rd.luks.key)
IFS=$':' _t=(${ARG})
KEY=${_t[0]}
F_FIELD=''
F_VALUE=''
if [ ! -z $KEY ] && [ ! -z ${_t[1]} ];then
IFS=$'=' _t=(${_t[1]})
F_FIELD=${_t[0]}
F_VALUE=${_t[1]}
F_VALUE="${F_VALUE%"}"
F_VALUE="${F_VALUE#"}"
fi
mkdir -p $MNT_B
finding_luks_keys(){
local _DEVNAME=''
local _UUID=''
local _TYPE=''
local _LABEL=''
local _MNT=''
local _KEY="$1"
local _F_FIELD="$2"
local _F_VALUE="$3"
local _RET=0
blkid -s TYPE -s UUID -s LABEL -u filesystem | grep -v -E -e "TYPE=".*_member"" -e "TYPE="crypto_.*"" -e "TYPE="swap"" | while IFS=$'' read -r _line; do
IFS=$':' _t=($_line);
_DEVNAME=${_t[0]}
_UUID=''
_TYPE=''
_LABEL=''
_MNT=''
IFS=$' ' _t=(${_t[1]});
for _a in "${_t[@]}"; do
IFS=$'=' _v=(${_a});
temp="${_v[1]%"}"
temp="${temp#"}"
case ${_v[0]} in
'UUID')
_UUID=$temp
;;
'TYPE')
_TYPE=$temp
;;
'LABEL')
_LABEL=$temp
;;
esac
done
if [ ! -z "$_F_FIELD" ];then
case $_F_FIELD in
'UUID')
[ ! -z "$_F_VALUE" ] && [ "$_UUID" != "$_F_VALUE" ] && continue
;;
'LABEL')
[ ! -z "$_F_VALUE" ] && [ "$_LABEL" != "$_F_VALUE" ] && continue
;;
*)
[ "$_DEVNAME" != "$_F_FIELD" ] && continue
;;
esac
fi
_MNT=$(findmnt -n -o TARGET $_DEVNAME)
if [ -z "$_MNT" ]; then
_MNT=${MNT_B}/KEY-${_UUID}
mkdir -p "$_MNT" && mount -o ro "$_DEVNAME" "$_MNT"
_RET=$?
else
_RET=0
fi
if [ "${_RET}" -eq 0 ] && [ -f "${_MNT}/${_KEY}" ]; then
cp "${_MNT}/${_KEY}" "$MNT_B/${_UUID}.key"
info "Found ${_MNT}/${_KEY} on ${_UUID}"
fi
if [[ "${_MNT}" =~ "${MNT_B}" ]]; then
umount "$_MNT" && rm -rfd --one-file-system "$_MNT"
fi
done
return 0
}
finding_luks_keys $KEY $F_FIELD $F_VALUE
/usr/lib/dracut/modules.d/99luks-auto/luks-auto.target
[Unit]
Description=LUKS AUTO Ziel
After=systemd-readahead-collect.service systemd-readahead-replay.service
After=cryptsetup-pre.target luks-auto-key.service
Before=cryptsetup.target
/usr/lib/dracut/modules.d/99luks-auto/luks-auto.sh
#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
export DRACUT_SYSTEMD=1
. /lib/dracut-lib.sh
MNT_B="/tmp/luks-auto"
CRYPTSETUP='/usr/lib/systemd/systemd-cryptsetup'
for i in $(ls -p $MNT_B | grep -v /);do
info "Trying $i on $1..."
$CRYPTSETUP attach "luks-$1" "/dev/disk/by-uuid/$1" $MNT_B/$i 'tries=1'
if [ "$?" -eq "0" ]; then
info "Found $i for $1"
exit 0
fi
done
warn "No key found for $1. Fallback to passphrase mode."
/usr/lib/dracut/modules.d/99luks-auto/luks-auto-clean.service
[Unit]
Description=LUKS AUTO Schlüsselreiniger
After=cryptsetup.target
DefaultDependencies=no
[Service]
Type=oneshot
ExecStart=\/usr\/bin\/rm -rfd --one-file-system \/tmp\/luks-auto
/etc/dracut.conf.d/luks-auto.conf
add_dracutmodules+=" luks-auto "Installation
mkdir -p \/usr\/lib\/dracut\/modules.d\/99luks-auto\/\n# fast alle Dateien hier ablegen\nchmod +x \/usr\/lib\/dracut\/modules.d\/99luks-auto\/*.sh\n# Datei \/etc\/dracut.conf.d\/luks-auto.conf erstellen\n# Und neues initramfs generieren\ndracut -f
Fazit
Zu Ihrem Komfort habe ich die Kompatibilität mit den Kernel-Befehlszeilenparametern für den sysvinit-Modus beibehalten, was die Verwendung bei älteren Installationen erleichtert.
Quelle: habr.com
