Vérification de l'état de chiffrement du disque

Le site IBM Cloud Hyper Protect Virtual Servers pour VPC est obsolète. À partir du 28 février 2026, vous ne pourrez plus créer de nouvelles instances. Les instances existantes seront prises en charge jusqu’au 20 février 2027. Toutes les instances qui existeront encore à cette date seront supprimées. Vous pouvez redéployer vos charges de travail à l’aide d’ IBM Confidential Computing Container Runtime(anciennement Hyper Protect Virtual Servers) ou d’ IBM Confidential Computing Container Runtime for Red Hat Virtualization Solutions(anciennement Hyper Protect Container Runtime pour les solutions de virtualisation Red Hat). Pour plus d'informations sur la migration des données, voir le guide Migration. Pour plus d'informations, voir l'annonce de dépréciation du service.

Le disque racine et les disques de données de l'instance Hyper Protect Virtual Servers for VPC sont chiffrés avec le chiffrement Linux Unified Key Setup (LUKS). Vous pouvez vérifier le statut du chiffrement en consultant les messages du journal.

  • Le disque racine est recréé et chiffré à chaque amorçage avec le contenu d'origine. Une phrase passe pour le disque racine n'est pas stockée.

  • Le chiffrement du disque de données est configuré à l'aide des "points de départ" fournis dans les sections workload et env du contrat et, si vous activez l'intégration, une troisième valeur de départ de Hyper Protect Crypto Services. Lors du lancement de l'instance, les disques sont connectés et chiffrés à l'aide des valeurs de départ pour créer une phrase passe LUKS. Si les informations de départ ou le disque de données ne sont pas configurées, le lancement de l'instance échoue. Pour plus d'informations, voir La sous-section workload- volumes du contrat.

Le démon de vérification de l'état du chiffrement du disque vérifie toutes les heures les en-têtes cryptographiques du disque racine et des disques de données connectés à l'instance. Ensuite, il écrit les messages d'information sur l'état du chiffrement du disque dans le journal.

L'exemple suivant illustre les messages liés à la vérification du chiffrement de disque dans le journal.

​...
Sep 22 07:18:04 hpvs211vsi verify-disk-encryption: HPL13000I: Verify LUKS Encryption
...
Sep 22 07:18:04 hpvs211vsi verify-disk-encryption: <6>HPL13003I: Checked for mount point /mnt/data, LUKS encryption with 1 key slot found
...
Sep 22 07:18:04 hpvs211vsi verify-disk-encryption: <6>HPL13003I: Checked for mount point /, LUKS encryption with N/A key slot found
Sep 22 07:18:04 hpvs211vsi verify-disk-encryption: <6>HPL13001I: Boot volume and all the mounted data volumes are encrypted
...

Remarque :

  1. Vous ne pouvez pas configurer l'intervalle des vérifications du statut de chiffrement de disque.

  2. Pour traiter les attaques par refus de service, les demandes sont régulées à trois par cinq minutes.

  3. Pour vérifier que le volume de données monté est chiffré, vous pouvez déclencher explicitement echo 'HPL13000I' | systemd-cat sur l'instance de serveur virtuel et les résultats sont capturés dans les journaux.