dracut + systemd + LUKS + usbflash = ປົດລັອກອັດຕະໂນມັດ

ເລື່ອງເລີ່ມຕົ້ນດົນນານມາແລ້ວ, ກັບໄປເມື່ອ Centos 7 (RHEL 7) ຖືກປ່ອຍອອກມາ. ຖ້າທ່ານໃຊ້ການເຂົ້າລະຫັດໃນໄດຣຟ໌ດ້ວຍ Centos 6, ຈະບໍ່ມີບັນຫາກັບການປົດລັອກໄດຣຟ໌ອັດຕະໂນມັດເມື່ອທ່ານເຊື່ອມຕໍ່ USB flash drive ດ້ວຍກະແຈທີ່ຈໍາເປັນ. ຢ່າງໃດກໍຕາມ, ເມື່ອ 7 ໄດ້ຖືກປ່ອຍອອກມາ, ທັນທີທັນໃດທຸກສິ່ງທຸກຢ່າງບໍ່ໄດ້ເຮັດວຽກຕາມທີ່ທ່ານເຄີຍໃຊ້. ຫຼັງຈາກນັ້ນ, ມັນເປັນໄປໄດ້ທີ່ຈະຊອກຫາວິທີແກ້ໄຂໃນການກັບຄືນ dracut ກັບ sysvinit ໂດຍໃຊ້ເສັ້ນງ່າຍໆໃນ config: echo 'omit_dracutmodules+=" systemd "' > /etc/dracut.conf.d/luks-workaround.conf
ເຊິ່ງທັນທີເຮັດໃຫ້ພວກເຮົາຂາດຄວາມງາມທັງຫມົດຂອງລະບົບ - ການເປີດຕົວໄວແລະຂະຫນານຂອງການບໍລິການລະບົບ, ເຊິ່ງເຮັດໃຫ້ເວລາເລີ່ມຕົ້ນລະບົບຫຼຸດລົງຢ່າງຫຼວງຫຼາຍ.
ສິ່ງທີ່ຍັງມີຢູ່: 905683
ໂດຍບໍ່ມີການລໍຖ້າການແກ້ໄຂ, ຂ້າພະເຈົ້າໄດ້ສ້າງມັນສໍາລັບຕົນເອງ, ແລະໃນປັດຈຸບັນຂ້າພະເຈົ້າແບ່ງປັນມັນກັບປະຊາຊົນ, ຜູ້ທີ່ສົນໃຈ, ອ່ານຕໍ່.

ການນໍາສະເຫນີ

Systemd, ເມື່ອຂ້ອຍເລີ່ມຕົ້ນເຮັດວຽກກັບ Centos 7 ຄັ້ງທໍາອິດ, ບໍ່ໄດ້ເຮັດໃຫ້ເກີດຄວາມຮູ້ສຶກໃດໆ, ເພາະວ່ານອກເຫນືອຈາກການປ່ຽນແປງເລັກນ້ອຍໃນ syntax ການຄຸ້ມຄອງການບໍລິການ, ຂ້ອຍບໍ່ມີຄວາມຮູ້ສຶກແຕກຕ່າງກັນຫຼາຍໃນຕອນທໍາອິດ. ຕໍ່ມາ, ຂ້ອຍມັກ systemd, ແຕ່ຄວາມປະທັບໃຈຄັ້ງທໍາອິດແມ່ນຂີ້ເຫຍື້ອເລັກນ້ອຍ, ເພາະວ່ານັກພັດທະນາ dracut ບໍ່ໄດ້ໃຊ້ເວລາຫຼາຍໃນການສະຫນັບສະຫນູນຂະບວນການ boot ໂດຍໃຊ້ systemd ສົມທົບກັບການເຂົ້າລະຫັດແຜ່ນ. ໂດຍທົ່ວໄປ, ມັນເຮັດວຽກ, ແຕ່ການໃສ່ລະຫັດຜ່ານຂອງແຜ່ນທຸກຄັ້ງທີ່ເຄື່ອງແມ່ຂ່າຍເລີ່ມຕົ້ນບໍ່ແມ່ນສິ່ງທີ່ຫນ້າສົນໃຈທີ່ສຸດ.
ໂດຍໄດ້ພະຍາຍາມຫຼາຍຄໍາແນະນໍາແລະໄດ້ສຶກສາຄູ່ມື, ຂ້າພະເຈົ້າຮູ້ວ່າໃນການຕັ້ງຄ່າໂຫມດລະບົບກັບ USB ແມ່ນເປັນໄປໄດ້, ແຕ່ວ່າພຽງແຕ່ມີການເຊື່ອມໂຍງຄູ່ມືຂອງແຕ່ລະແຜ່ນທີ່ມີກຸນແຈໃນແຜ່ນ USB, ແລະແຜ່ນ USB ຕົວຂອງມັນເອງສາມາດເຊື່ອມໂຍງກັບມັນເທົ່ານັ້ນ. UUID, LABEL ບໍ່ເຮັດວຽກ. ມັນບໍ່ສະດວກຫຼາຍທີ່ຈະຮັກສາສິ່ງນີ້ຢູ່ເຮືອນ, ສະນັ້ນໃນທີ່ສຸດຂ້ອຍໄດ້ເຂົ້າໄປໃນການລໍຖ້າແລະ, ຫຼັງຈາກລໍຖ້າເກືອບ 7 ປີ, ຂ້ອຍຮູ້ວ່າບໍ່ມີໃຜຈະແກ້ໄຂບັນຫາ.

ບັນຫາ

ແນ່ນອນ, ເກືອບທຸກຄົນສາມາດຂຽນ plugin ຂອງຕົນເອງສໍາລັບ dracut, ແຕ່ການເຮັດໃຫ້ມັນເຮັດວຽກແມ່ນບໍ່ງ່າຍຫຼາຍ. ມັນໄດ້ຫັນອອກວ່າເນື່ອງຈາກລັກສະນະຂະຫນານຂອງການເລີ່ມຕົ້ນລະບົບ, ມັນບໍ່ແມ່ນເລື່ອງງ່າຍທີ່ຈະລວມເອົາລະຫັດຂອງທ່ານແລະປ່ຽນຄວາມຄືບຫນ້າການໂຫຼດ. ເອກະສານສໍາລັບ dracut ບໍ່ໄດ້ອະທິບາຍທຸກຢ່າງ. ຢ່າງໃດກໍຕາມ, ຫຼັງຈາກການທົດລອງຍາວ, ຂ້າພະເຈົ້າສາມາດແກ້ໄຂບັນຫາໄດ້.

ມັນ​ເຮັດ​ວຽກ​ແນວ​ໃດ

ມັນແມ່ນອີງໃສ່ສາມຫນ່ວຍ:

1. luks-auto-key.service - ຊອກຫາໄດຣຟ໌ທີ່ມີກະແຈສຳລັບ LUKS
2. luks-auto.target - ເຮັດຫນ້າທີ່ເປັນຕົວເພິ່ງພາອາໄສສໍາລັບຫນ່ວຍງານ systemd-cryptsetup ທີ່ມີໃນຕົວ
3. luks-auto-clean.service - ລ້າງໄຟລ໌ຊົ່ວຄາວທີ່ສ້າງຂຶ້ນໂດຍ luks-auto-key.service

ແລະ luks-auto-generator.sh ແມ່ນສະຄຣິບທີ່ຖືກເປີດຕົວໂດຍ systemd ແລະສ້າງຫນ່ວຍງານໂດຍອີງໃສ່ຕົວກໍານົດການ kernel. ເຄື່ອງປັ່ນໄຟທີ່ຄ້າຍຄືກັນຖືກສ້າງຂື້ນໂດຍຫນ່ວຍ fstab, ແລະອື່ນໆ.

luks-auto-generator.sh

ການນໍາໃຊ້ drop-in.conf, ພຶດຕິກໍາຂອງມາດຕະຖານ systemd-cryptsetup ໄດ້ຖືກປ່ຽນແປງໂດຍການເພີ່ມ luks-auto.target ກັບການຂຶ້ນກັບຂອງພວກເຂົາ.

luks-auto-key.service ແລະ luks-auto-key.sh

ໜ່ວຍນີ້ແລ່ນສະຄຣິບ luks-auto-key.sh, ເຊິ່ງອີງໃສ່ປຸ່ມ rd.luks.*, ຊອກຫາສື່ທີ່ມີກະແຈ ແລະສຳເນົາພວກມັນໄວ້ໃນບັນຊີຊົ່ວຄາວເພື່ອນຳໃຊ້ຕໍ່ໄປ. ຫຼັງ​ຈາກ​ຂະ​ບວນ​ການ​ແມ່ນ​ສໍາ​ເລັດ​, ກະ​ແຈ​ໄດ້​ຖືກ​ລຶບ​ອອກ​ຈາກ​ລະ​ບົບ​ຊົ່ວ​ຄາວ​ໂດຍ luks-auto-clean.service .

ແຫຼ່ງຂໍ້ມູນ:

/usr/lib/dracut/modules.d/99luks-auto/module-setup.sh

#!/bin/bash

check () {
        if ! dracut_module_included "systemd"; then
                "luks-auto needs systemd in the initramfs"
                return 1
        fi
        return 255
}

depends () {
        echo "systemd"
        return 0
}

install () {
        inst "$systemdutildir/systemd-cryptsetup"
		inst_script "$moddir/luks-auto-generator.sh" "$systemdutildir/system-generators/luks-auto-generator.sh"
		inst_script "$moddir/luks-auto-key.sh" "/etc/systemd/system/luks-auto-key.sh"
		inst_script "$moddir/luks-auto.sh" "/etc/systemd/system/luks-auto.sh"
		inst "$moddir/luks-auto.target" "${systemdsystemunitdir}/luks-auto.target"
		inst "$moddir/luks-auto-key.service" "${systemdsystemunitdir}/luks-auto-key.service"
		inst "$moddir/luks-auto-clean.service" "${systemdsystemunitdir}/luks-auto-clean.service"
		ln_r "${systemdsystemunitdir}/luks-auto.target" "${systemdsystemunitdir}/initrd.target.wants/luks-auto.target"
		ln_r "${systemdsystemunitdir}/luks-auto-key.service" "${systemdsystemunitdir}/initrd.target.wants/luks-auto-key.service"
		ln_r "${systemdsystemunitdir}/luks-auto-clean.service" "${systemdsystemunitdir}/initrd.target.wants/luks-auto-clean.service"
}

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-generator.sh

#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh

. /lib/dracut-lib.sh

SYSTEMD_RUN='/run/systemd/system'
CRYPTSETUP='/usr/lib/systemd/systemd-cryptsetup'
TOUT=$(getargs rd.luks.key.tout)
if [ ! -z "$TOUT" ]; then
	mkdir -p "${SYSTEMD_RUN}/luks-auto-key.service.d"
	cat > "${SYSTEMD_RUN}/luks-auto-key.service.d/drop-in.conf"  <<EOF
[Service]
Type=oneshot
ExecStartPre=/usr/bin/sleep $TOUT

EOF
fi
mkdir -p "$SYSTEMD_RUN/luks-auto.target.wants"
for argv in $(getargs rd.luks.uuid -d rd_LUKS_UUID); do
	_UUID=${argv#luks-}
	_UUID_ESC=$(systemd-escape -p $_UUID)
	mkdir -p "${SYSTEMD_RUN}/systemd-cryptsetup@luksx2d${_UUID_ESC}.service.d"
	cat > "${SYSTEMD_RUN}/systemd-cryptsetup@luksx2d${_UUID_ESC}.service.d/drop-in.conf"  <<EOF
[Unit]
After=luks-auto.target
ConditionPathExists=!/dev/mapper/luks-${_UUID}

EOF
	cat > "${SYSTEMD_RUN}/luks-auto@${_UUID_ESC}.service"  <<EOF
[Unit]
Description=luks-auto Cryptography Setup for %I
DefaultDependencies=no
Conflicts=umount.target
IgnoreOnIsolate=true
Before=luks-auto.target
BindsTo=dev-disk-byx2duuid-${_UUID_ESC}.device
After=dev-disk-byx2duuid-${_UUID_ESC}.device luks-auto-key.service
Before=umount.target

[Service]
Type=oneshot
RemainAfterExit=yes
TimeoutSec=0
ExecStart=/etc/systemd/system/luks-auto.sh ${_UUID}
ExecStop=$CRYPTSETUP detach 'luks-${_UUID}'
Environment=DRACUT_SYSTEMD=1
StandardInput=null
StandardOutput=syslog
StandardError=syslog+console

EOF
ln -fs ${SYSTEMD_RUN}/luks-auto@${_UUID_ESC}.service $SYSTEMD_RUN/luks-auto.target.wants/luks-auto@${_UUID_ESC}.service
done

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-key.service

[Unit]
Description=LUKS AUTO key searcher
After=cryptsetup-pre.target
Before=luks-auto.target
DefaultDependencies=no

[Service]
Environment=DRACUT_SYSTEMD=1
Type=oneshot
ExecStartPre=/usr/bin/sleep 1
ExecStart=/etc/systemd/system/luks-auto-key.sh
RemainAfterExit=true
StandardInput=null
StandardOutput=syslog
StandardError=syslog+console

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-key.sh

#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
export DRACUT_SYSTEMD=1

. /lib/dracut-lib.sh
MNT_B="/tmp/luks-auto"
ARG=$(getargs rd.luks.key)
IFS=$':' _t=(${ARG})
KEY=${_t[0]}
F_FIELD=''
F_VALUE=''
if [ ! -z $KEY ] && [ ! -z ${_t[1]} ];then
	IFS=$'=' _t=(${_t[1]})
	F_FIELD=${_t[0]}
	F_VALUE=${_t[1]}
	F_VALUE="${F_VALUE%"}"
	F_VALUE="${F_VALUE#"}"
fi
mkdir -p $MNT_B

finding_luks_keys(){
	local _DEVNAME=''
	local _UUID=''
	local _TYPE=''
	local _LABEL=''
	local _MNT=''
	local _KEY="$1"
	local _F_FIELD="$2"
	local _F_VALUE="$3"
	local _RET=0	
	blkid -s TYPE -s UUID -s LABEL -u filesystem | grep -v -E -e "TYPE=".*_member"" -e "TYPE="crypto_.*"" -e "TYPE="swap"" | while IFS=$'' read -r _line; do
		IFS=$':' _t=($_line);
		_DEVNAME=${_t[0]}
		_UUID=''
		_TYPE=''
		_LABEL=''
		_MNT=''
		IFS=$' ' _t=(${_t[1]});
		for _a in "${_t[@]}"; do
			IFS=$'=' _v=(${_a});
			temp="${_v[1]%"}"
			temp="${temp#"}"
			case ${_v[0]} in
				'UUID')
					_UUID=$temp
				;;
				'TYPE')
					_TYPE=$temp
				;;
				'LABEL')
					_LABEL=$temp
				;;
			esac
		done
		if [ ! -z "$_F_FIELD" ];then
			case $_F_FIELD in
				'UUID')
					[ ! -z "$_F_VALUE" ] && [ "$_UUID" != "$_F_VALUE" ] && continue
				;;
				'LABEL')
					[ ! -z "$_F_VALUE" ] && [ "$_LABEL" != "$_F_VALUE" ] && continue
				;;
				*)
					[ "$_DEVNAME" != "$_F_FIELD" ] && continue
				;;
			esac
		fi
		_MNT=$(findmnt -n -o TARGET $_DEVNAME)
		if [ -z "$_MNT" ]; then
			_MNT=${MNT_B}/KEY-${_UUID}
			mkdir -p "$_MNT" && mount -o ro "$_DEVNAME" "$_MNT"
			_RET=$?
		else
			_RET=0
		fi
		if [ "${_RET}" -eq 0 ] && [ -f "${_MNT}/${_KEY}" ]; then
			cp "${_MNT}/${_KEY}" "$MNT_B/${_UUID}.key"
			info "Found ${_MNT}/${_KEY} on ${_UUID}"
		fi
		if [[ "${_MNT}" =~ "${MNT_B}" ]]; then
			umount "$_MNT" && rm -rfd --one-file-system "$_MNT"						
		fi
	done
	return 0
}
finding_luks_keys $KEY $F_FIELD $F_VALUE

/usr/lib/dracut/modules.d/99luks-auto/luks-auto.target

[Unit]
Description=LUKS AUTO target
After=systemd-readahead-collect.service systemd-readahead-replay.service
After=cryptsetup-pre.target luks-auto-key.service
Before=cryptsetup.target

/usr/lib/dracut/modules.d/99luks-auto/luks-auto.sh

#!/bin/sh
# -*- mode: shell-script; indent-tabs-mode: nil; sh-basic-offset: 4; -*-
# ex: ts=8 sw=4 sts=4 et filetype=sh
export DRACUT_SYSTEMD=1
. /lib/dracut-lib.sh

MNT_B="/tmp/luks-auto"
CRYPTSETUP='/usr/lib/systemd/systemd-cryptsetup'

for i in $(ls -p $MNT_B | grep -v /);do
	info "Trying $i on $1..."
	$CRYPTSETUP attach "luks-$1" "/dev/disk/by-uuid/$1" $MNT_B/$i 'tries=1'
	if [ "$?" -eq "0" ]; then
		info "Found $i for $1"
		exit 0
	fi
done
warn "No key found for $1.  Fallback to passphrase mode."

/usr/lib/dracut/modules.d/99luks-auto/luks-auto-clean.service

[Unit]
Description=LUKS AUTO key cleaner
After=cryptsetup.target
DefaultDependencies=no

[Service]
Type=oneshot
ExecStart=/usr/bin/rm -rfd --one-file-system /tmp/luks-auto

/etc/dracut.conf.d/luks-auto.conf

add_dracutmodules+=" luks-auto "

ການຕັ້ງຄ່າ

mkdir -p /usr/lib/dracut/modules.d/99luks-auto/
# размещаем тут почти все файлы
chmod +x /usr/lib/dracut/modules.d/99luks-auto/*.sh
# создаем файл /etc/dracut.conf.d/luks-auto.conf
# И генерируем новый initramfs
dracut -f

ສະຫລຸບ

ເພື່ອຄວາມສະດວກ, ຂ້ອຍໄດ້ຮັກສາຄວາມເຂົ້າກັນໄດ້ກັບຕົວເລືອກເສັ້ນຄໍາສັ່ງຂອງແກ່ນສໍາລັບໂຫມດ sysvinit, ເຊິ່ງເຮັດໃຫ້ມັນງ່າຍຕໍ່ການໃຊ້ໃນການຕິດຕັ້ງເກົ່າ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com