systemd: decriptografa o dispositivo luks no acesso

Question

Eu tenho uma unidade externa com uma partição criptografada pelo LUKS. Como o dispositivo é um dispositivo USB externo e nem sempre preciso dele, só desejo descriptografar e montá-lo automaticamente quando necessário. Eu posso facilmente montar automaticamente o sistema de arquivos na partição descriptografada com x-systemd.automount in /etc/fstab . No entanto, não consigo descriptografar a partição sob demanda. Eu tentei duas abordagens diferentes:

1. eu adicionei a linha

   mnt-usb-crypt UUID=<UUID> /path/to/keyfile luks
   

   para /etc/crypttab . No entanto, agora a partição é sempre descriptografada, mesmo que eu não especifique um ponto de montagem em /etc/fstab .

2. Alterei /etc/crypttab e adicionei a opção noauto :

   mnt-usb-crypt UUID=<UUID> /path/to/keyfile luks,noauto
   

   Agora, não há nenhum dispositivo systemd, o esperado dev-mapper-mnt-usb.device não existe.

De acordo com a página de manual de crypttab , não há opção como x-systemd.automount para dispositivos crypt.

Existe a possibilidade de configurar o systemd para descriptografar o dispositivo apenas se ele for acessado?

    

Answer 1

A opção 2 na pergunta realmente funciona, mas você precisa usar os mesmos nomes para o dispositivo criptográfico em /etc/crypttab e /etc/fstab .

/etc/crypttab tem a seguinte aparência:

# <name>        <device>            <password>      <options>
mnt-usb-crypt   UUID=<device-uuid>  /path/to/key    luks,noauto

/etc/fstab tem a seguinte aparência:

# <file system>             <dir>       <type>  <options>                             <dump>    <pass>
/dev/mapper/mnt-usb-crypt   /mnt/usb    btrfs   defaults,noauto,x-systemd.automount   0         2

Observe que, se você usar o UUID do sistema de arquivos descriptografado em vez do caminho /dev/mapper/mnt-usb-crypt , o systemd não poderá determinar o dispositivo que deve ser descriptografado. Mas se você usar o nome do dispositivo como acima, o dispositivo será automaticamente descriptografado e montado conforme o esperado.

Uma solução diferente seria especificar explicitamente um requisito para o dispositivo systemd crypt.