Ubuntu全盘加密&开机自动解密配置

【背景】
对于托管的服务器，或者交付至客户手上的服务器，由于信息安全的重要性，需要对全硬盘进行加密配置。但是目前呢，基本上全网文档都是基于创建新的分区或者接入新的硬盘才做的luks加密。没有做到全覆盖。而且，做了ubuntu的安装界面加密，需要每次开启启动时手动输入密码也是极其不方便，且是不可能远程实现的。所以这边基于调研，做了个基于Ubuntu 20.04 安装时，选择全盘加密，并做了基于boot项的自动解密。分享给大家。
一、【安装】
1.1 U盘刻录Ubuntu 20.04 系统，在安装过程中，选择清除整个磁盘并安装Ubuntu,ADvance fetures-在Ubuntu新安装中使用LVM，勾选加密Ubuntu新安装以提高安全性。如图1所示。
1.2 设置磁盘加密密码，并选择覆盖空磁盘。
之后的步骤安装完成即可。
1.3 安装完成之后，启动机器，每次开机需要先输入硬盘密码。

1.4【验证加密的磁盘是否可以被其他系统挂载使用】

将其卸下，挂载在其他机器上，提示未知的文件系统类型“crypto_Luks”.
说明，整块磁盘加密成功。
二、【磁盘解密配置】
2.1 #查看磁盘类型

sudo lsblk

nvme0n1 259:0 0 1.8T 0 disk
├─nvme0n1p1 259:1 0 512M 0 part /boot/efi
├─nvme0n1p2 259:2 0 1.4G 0 part /boot
└─nvme0n1p3 259:3 0 1.8T 0 part
└─nvme0n1p3_crypt 253:0 0 1.8T 0 crypt
├─vgubuntu-root 253:1 0 1.8T 0 lvm /
└─vgubuntu-swap_1 253:2 0 976M 0 lvm [SWAP]
##nvme0n1 为整块磁盘
#nvme0n1p1 259:1 0 512M 0 part /boot/efi
#nvme0n1p2 259:2 0 1.4G 0 part /boot #boot启动项，可以将加密解密的keyfile 放在此 做系统引导解密
#nvme0n1p3 259:3 0 1.8T 0 part
#vgubuntu-root 253:1 0 1.8T 0 lvm / ## 为根目录，即加密路径
2.2 #加密方式，keyfile

sudo dd if=/dev/urandom of=/boot/keyfile bs=1024 count=4

sudo chmod 600 /boot/keyfile

#加密的磁盘：/dev/nvme0n1p3，按照提示输入之前配置的磁盘加密密码
##/boot 分区的磁盘：/dev/nvme0n1p2

sudo cryptsetup luksAddKey /dev/nvme0n1p3 /boot/keyfile

配置启动引导

sudo vim  /etc/crypttab

nvme0n1p3_crypt UUID=##uuid不要改，修改后面配置项 /dev/nvme0n1p2:/keyfile luks,keyscript=/lib/cryptsetup/scripts/passdev

##加载内核生效

sudo update-initramfs -u

##重启测试

sudo reboot

三、【去除开机自动解密】

sudo vim  /etc/crypttab

nvme0n1p3_crypt UUID=${uuid不变] none luks,discard

##加载内核生效

sudo update-initramfs -u

##重启测试

sudo reboot