Início / unix / Perguntas / 762392
Accepted
telometto
Asked: 2023-11-26 06:25:32 +0800 CST

Como posso criptografar um pool ZFS?

  • 772

Prefácio: Eu costumava executar TrueNAS (SCALE), onde criei originalmente o tankpool.

No Ubuntu Server, estou tentando atribuir/alterar a chave de um pool recém-criado, mas estou recebendo o erro Key change error: Dataset not encrypted.:

user@homeserver:~$ sudo zfs change-key -o keylocation=file:///path/to/zpool.key -o keyformat=raw flash
Key change error: Dataset not encrypted.

user@homeserver:~$ zfs get encryption tank 
NAME  PROPERTY    VALUE        SOURCE
tank  encryption  aes-256-gcm  -

user@homeserver:~$ zfs get encryption flash
NAME   PROPERTY    VALUE        SOURCE
flash  encryption  off          default

Este é o comando que usei quando criei o pool:

sudo zpool create -o failmode=continue -o autoexpand=on -o autotrim=on -o feature@async_destroy=enabled -o feature@empty_bpobj=enabled -o feature@lz4_compress=enabled -o feature@multi_vdev_crash_dump=enabled -o feature@spacemap_histogram=enabled -o feature@enabled_txg=enabled -o feature@hole_birth=enabled -o feature@extensible_dataset=enabled -o feature@embedded_data=enabled -o feature@bookmarks=enabled -o feature@filesystem_limits=enabled -o feature@large_blocks=enabled -o feature@large_dnode=enabled -o feature@sha512=enabled -o feature@skein=enabled -o feature@edonr=enabled -o feature@userobj_accounting=enabled -o feature@encryption=enabled -o feature@project_quota=enabled -o feature@device_removal=enabled -o feature@obsolete_counts=enabled -o feature@zpool_checkpoint=enabled -o feature@spacemap_v2=enabled -o feature@allocation_classes=enabled -o feature@resilver_defer=enabled -o feature@bookmark_v2=enabled -o feature@redaction_bookmarks=enabled -o feature@redacted_datasets=enabled -o feature@bookmark_written=enabled -o feature@log_spacemap=enabled -o feature@livelist=enabled -o feature@device_rebuild=enabled -o feature@zstd_compress=enabled -o feature@draid=enabled flash mirror /dev/disk/by-partuuid/XXX /dev/disk/by-partuuid/XXX

O que estou fazendo de errado e como posso criptografar flashda mesma forma tankque é criptografado?

ubuntu

1 respostas

  1. Best Answer

    A criptografia nativa do ZFS não criptografa pools, apenas criptografa sistemas de arquivos. Além disso, a criptografia por sistema de arquivos deve ser configurada no momento em que o sistema de arquivos é criado. No caso do sistema de arquivos raiz do pool, isso significa que a criptografia do sistema de arquivos raiz deve ser definida no momento em que o pool é criado.

    Portanto, para criar um novo pool com um sistema de arquivos raiz criptografado de maneira semelhante ao seu pool existente, comece destruindo o novo pool:

    # zpool destroy flash

    Em seguida, recrie o pool, mesclando seu zpool createcomando acima com essas opções adicionais. Observe o uso de capital -O:

    # zpool create \
    (your options from above) \
    -O encryption=on \
    -O keyformat=(whatever) \
    -O keylocation=(whatever) \
    flash \
    mirror /dev/gpt/diskA-serial-num /dev/gpt/diskB-serial-num

    Por fim, verifique:

    # zfs get encryption,keyformat,keylocation flash
NAME   PROPERTY     VALUE        SOURCE
flash  encryption   aes-256-gcm  -
flash  keyformat    (whatever)   -
flash  keylocation  (whatever)   local
    • 1

relate perguntas