cryptoptsとcrypttabの違い

暗号化されたルートファイルシステムを設定しています。以前はこれを行いましたが、今回はプロセスに慣れるために対称パスワードを含むPGP暗号化キーファイルを使用しています。

暗号化ルート設定が発生しているように見える2つの場所があります。以下のカーネル初期化オプションとcryptoptsinitramfsに何かを書き込む/etc/crypttabために使用されるようです。mkinitramfs

両方の場所を更新するのは少し面倒です。結局、1つの場所で十分であれば、2つの場所に置くことはどういう意味ですか？/etc/crypttabLUKSボリュームがある場合は、異なるフックとスクリプトを使用してinitramfsを異なる方法で作成できるため、物を入れる価値を見てください。

この問題に対して以前に修正された例では、次のパスワードタブがあります。

picrypt /dev/mmcblk0p2 /boot/diskkey.gpg luks,keyscript=/lib/cryptsetup/scripts/decrypt_gnupg

おそらくこれはinitramfsに/dev/mmcblk0p2nameを使用するために復号化する必要があることを知らせ、ファイルを使用することを指定し、picryptそれをスクリプトに渡してボリュームのパスワードを生成するようにします。luks/boot/diskkey.gpg/lib/cryptsetup/scripts/decrypt_gnupg

次に、カーネル初期化ラインの暗号化オプションは次のとおりです。

cryptopts=target=picrypt,source=/dev/mmcblk0p2,lvm=pi

/dev/mmcblk0p2もう一度createを再指定してください。この場合、カーネルパラメータで指定されたルートファイルシステムをマウントする前に待たなければならないpicryptcallというLVMボリュームが内部的に存在することを知らせます。piroot=/dev/mapper/pi-root

奇妙なことに、この設定はcrypttabのキーファイルとキースクリプトの引数を無視し、GPG対称キーパスワードの入力を求めずにキーを直接入力するため、機能しません。含めるようにスクリプトを変更しますkeyscriptが、keyfilecryptoptsなぜ必ずこのことをしなければなりませんか？

/etc/crypttabカーネル初期化ラインのすべてを複製せずに、カーネル初期化ラインにこれ​​らすべて（または少なくともほとんど）を含めることができる方法はありますか？すべてを2回変更する必要があるのは少し面白いです。これらのさまざまなソースは、フックの形のcrypttab、cryptsetupの実際の引数の形のcryptoptsなどのさまざまな機能を提供しますか？