【链接】
可以优先参考Ubuntu 全盘加密。boot启动项, 解密原理一致。
Ubuntu全盘加密
一、【安装】
此步骤,直接在安装时,选择数据加密即可,设置密码。
二、【磁盘解密配置】
lsblk
#nvme0n1p2 boot启动项
#nvme0n1p3 为加密磁盘
2.1#加密方式:将密码写入boot引导文件keyfile
dd if=/dev/urandom of=/boot/keyfile bs=1024 count=4
chmod 600 /boot/keyfile
#加密的磁盘:/dev/nvme0n1p3
cryptsetup luksAddKey /dev/nvme0n1p3 /boot/keyfile
#根据提示,输入硬盘加密密码
#测试keyflie 解密是否ok
cryptsetup luksOpen -v --key-file /boot/keyfile --test-passphrase /dev/nvme0n1p3
#查看磁盘的各分区的磁盘类型
blkid
#修改 启动内核 grub ,用boot分区引导解密
vim /etc/default/grub
增加
rd.luks.key=keyfile:UUID=##你的UUID
##修改内核参数
echo 'add_drivers+="vfat nls_cp437 nls_iso8859-1 ext4"' >> /etc/dracut.conf
echo 'omit_dracutmodules+="systemd"' >> /etc/dracut.conf
##重新引导grub
grub2-mkconfig -o /boot/efi/EFI/centos/grub.cfg
#刷新内核
dracut --force -v
#重启
reboot
三、【去除磁盘解密】
vim /etc/default/grub
去除以下配置
rd.luks.key=keyfile:UUID=##你的UUID
##重新引导grub
grub2-mkconfig -o /boot/efi/EFI/centos/grub.cfg
#刷新内核
dracut --force -v
#重启
reboot