稼働中のUbuntu 16.04から、インストール後のルートパーティションの暗号化に成功しました。ルートパーティションには/ boot以外のすべてが含まれています。別のリムーバブルusbに/ bootを置きます。特に、Ubuntu 18にアップグレードする前にこれを行いましたが、アップグレードは暗号化されたディスクバージョンで正常に機能しました。
暗号化は「インプレース」で行われませんでしたが、とにかく新しいセットアップが機能するまで動作バージョンを上書きしたくないので、私にとっては問題ありませんでした。
正しい手順を実行することは非常に簡単で高速です。（正しい手順を見つけることは、私がいくつかの誤ったリードに従ったため、非常に時間がかかりました。）
概要
- ライブLinux USBディスクを作成します-永続性を有効にすると便利です。そのライブUSBディスクで起動します。
- 空のパーティションにluks暗号化ボリュームグループを作成します。（私の場合、元のLinuxと同じディスクにありましたが、別のディスクにすることもできます。）/（ルート）を作成し、その暗号化されたパーティションに論理ボリュームをスワップします。コピーされたlinuxに関する限り、これらは仮想パーティションとして機能します。
- 古いルートから新しいルートにファイルをコピーします。
- リムーバブルブートディスクとして機能する別のUSBをセットアップしてパーティションを作成します。
- 新しいルートにいくつかのファイルを設定し、魔法をかけ、新しいルートにchrootしてから、chrootされた新しいルート環境からブートディスクにgrubをインストールします。
詳細
1-ライブLinux USBディスクで起動します-永続性を有効にすると便利です。
unetbootinを使用して、UsbにUbuntu 16をインストールしました。GUIでは「永続性」を指定できますが、永続性を機能させるには別の手順も必要です。次のように変更/boot/grub/grub.cfgして追加--- persistentします。
menuentry "Try Ubuntu without installing" {
set gfxpayload=keep
linux /casper/vmlinuz file=/cdrom/preseed/ubuntu.seed boot=casper quiet splash --- persistent
initrd /casper/initrd
}
ライブUSBで起動します
2-空のパーティションにluks暗号化ボリュームグループを作成します。/（ルート）を作成し、その暗号化されたパーティションに論理ボリュームをスワップします。
暗号化される未使用のパーティションがであると仮定します/dev/nvme0n1p4。
オプションで、暗号化とフォーマットの前に非表示にするパーティションに古いデータがある場合、パーティションをランダムにワイプできます。ここでの議論を参照してください。
dd if=/dev/urandom of=/dev/nvme0n1p4 bs=4096 status=progress
暗号化を設定します。
cryptsetup -y -v luksFormat /dev/nvme0n1p4
パスワードを設定するように求められます。
cryptsetup luksOpen /dev/nvme0n1p4 crypt1
パスワードを入力するように求められます。これcrypt1は任意のユーザーが決定した名前です。次に、ボリュームとフォーマットを作成します。
pvcreate /dev/mapper/crypt1
vgcreate crypt1-vg /dev/mapper/crypt1
lvcreate -L 8G crypt1-vg -n swap
mkswap /dev/crypt1-vg/swap
lvcreate -l 100%FREE crypt1-vg -n root
mkfs.ext4 /dev/crypt1-vg/root
これらのユーティリティを使用して、ボリュームを表示し、階層を理解します。
pvscan
vgscan
lvscan
ls -l /dev/mapper
ls -l /dev/crypt1
3-古いルートから新しいルートにファイルをコピーする
mkdir /tmp/old-root
mount /dev/ubuntu-vg/root /tmp/old-root/
mkdir /tmp/new-root
mount /dev/crypt1-vg/root /tmp/new-root/
cp -a /tmp/old-root/. /tmp/new-root/
umount /tmp/old-root
umount /tmp/new-root
cp -a ... アーカイブモードでコピーし、すべてのファイルモードとフラグを保持します。
4-リムーバブルブートディスクとして機能する別のUSBをセットアップしてパーティションを作成します。
これにはgpartedを使用しました。2つのパーティションをセットアップします。最初のパーティションはvfat、2番目ext2です。いずれも512 MBでしたが、これよりも少なくなる可能性があります。deviceと仮定します/dev/sdf。
# The first partition: (will be /dev/sdf1)
Free space preceding (leave default value)
New size 512 MiB
Free space following (leave default value)
Create as: Primary Partition
Partition Name: (leave)
File System: fat32
Label: (leave)
# The second partition: (will be /dev/sdf2)
Free space preceding (leave default value)
New size 512 MiB
Free space following (leave default value)
Create as: Primary Partition
Partition Name: (leave)
File System: ext4
Label: (leave)
5-新しいルートにいくつかのファイルを設定し、魔法をかけ、新しいルートにchrootしてから、chrootされた新しいルート環境からブートディスクにgrubをインストールします。
後で使用するためにいくつかのUUIDを見つけます。次のコマンドからの出力に注意してください。
blkid /dev/sdf1
blkid /dev/sdf2
blkid /dev/nvme0n1p4
ルートパーティションとブートパーティションをマウントする
sudo mount /dev/mapper/crypt1--vg-root /mnt
sudo mount /dev/sdf2 /mnt/boot
sudo mount /dev/sdf1 /mnt/boot/efi
ファイルをセットアップする /mnt/etc/fstab
/dev/mapper/crypt1--vg-root / ext4 errors=remount-ro 0 1
/dev/mapper/crypt1--vg-swap none swap sw 0 0
UUID=[uuid of /dev/sdf2] /boot ext2 defaults 0 2
UUID=[uuid of /dev/sdf1] /boot/efi vfat umask=0077 0 1
ここで、「[uuid of ...]」は単なる文字と数字とハイフンの組み合わせです。
ファイルを作成する /mnt/etc/cryptab
# <target name> <source device> <key file> <options>
crypt1 UUID=[uuid of /dev/nvme0n1p4] none luks,discard,lvm=crypt1--vg-root
ルートディレクトリ環境に入るにはいくつかの魔法が必要です。
sudo mount --bind /dev /mnt/dev
sudo mount --bind /proc /mnt/proc
sudo mount --bind /sys /mnt/sys
chroot /mnt
次に、ブートUSBディスクをセットアップしますgrub。
apt install --reinstall grub-efi-amd64
grub-install --efi-directory=/boot/efi --boot-directory=/boot --removable
update-initramfs -k all -c
update-grub
これで、新しく作成されたUSBブートディスクを使用して再起動および起動できるようになります。
トラブルシューティング
（a）apt install --reinstall grub-efi-amd64コマンド用にネットワークが接続されている必要があります。ネットワークは接続されているがDNSに障害がある場合は、試してください
echo "nameserver 8.8.8.8" | sudo tee /etc/resolv.conf > /dev/null
（b）を呼び出す前に、元のLinuxで使用されてinitramfsいる現在のvmlinuz...ファイルが新しいルートディレクトリに存在する必要があります。そうでない場合は、見つけてそこに置きます。
（c）このgrub-installコマンドは、デフォルトでは、mountedでなくても検出できる他のすべてのLinuxディスクを検索し、新しい起動USBの起動メニューに追加します。通常、これは望ましくないため、次の行を/boot/default/grub.cfg次の行に追加することで回避できます。
GRUB_DISABLE_OS_PROBER=true
注：
暗号化キーを含むテキストファイルをリムーバブルブートUSBに追加できます。