LUKS暗号化されたレンタルサーバーをリモートでロック解除するには？

レンタルサーバーでリモートロック解除が重要なのはなぜですか？

暗号化されたドライブは起動のたびに鍵を待ち、画面の前に誰もいないからです。お客様向けのIPMIまたはKVM-over-IPアクセスはありません。ダッシュボードでリクエストした再起動や再インストールはチームが実行します。

そのため、暗号化する前にロック解除の方法を計画してください。保有中は、オペレーティングシステムが専用のSSD上にあり、データドライブは空の状態で提供されます。この分離により最初の方法が簡単になります。システムは平文のまま、データを保持するドライブを暗号化します。

データを保持するドライブを暗号化し、起動経路はSSH経由で修正できる程度にシンプルに保ちましょう。

データドライブを暗号化し、再起動後にロック解除するには？

各データドライブをLUKS2でフォーマットし、開いて、開いたデバイス上にアレイを構築します。パスフレーズがサーバーのディスクに触れることはありません。再起動後、システムが起動し、SSH経由でログインし、ドライブを再び開きます。その上でのアレイの選択はZFSまたはハードウェアRAIDで行います。

プールを使用するサービスは、あなたが開くまで待機します。外部の稼働監視、またはプールが存在しないときにアラートを出すスクリプトが、再起動が起きたことを知らせます。

apt install cryptsetup
# ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox

# once per data drive: this erases it and asks for a passphrase
cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for data02, data03, data04

zpool create -o ashift=12 tank raidz2 \
  /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04

# after every reboot: log in, open each drive, import the pool
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for each drive
zpool import tank

ZFSのネイティブ暗号化はLUKSの代わりになりますか？

はい、データセット単位で可能です。データセットをencryption=onとパスフレーズで作成し、再起動のたびにzfs load-keyとzfs mountを実行します。initramfsの作業は不要です。

ただし、隠せる範囲は狭くなります。OpenZFSのマニュアルによると、ZFSはプール構造のメタデータを暗号化しません。データセット名とスナップショット名、プロパティ、ファイルサイズは読み取り可能なままです。LUKSはメタデータを含むドライブ全体を暗号化します。どちらも同じ約束でカバーされます：すべてのデータドライブをLUKSまたはZFSネイティブ暗号化で暗号化できます。鍵はお客様の手元にあり、チームの誰もそれを求めることはありません。

ClevisとTangでドライブを自動的にロック解除するには？

別の場所で管理するマシン上でTangサーバーを実行し、各ドライブをそれにバインドします。ClevisはLUKSに新しい鍵スロットを追加し、暗号化された鍵をLUKSヘッダーに保存します。起動時にTangに鍵の復元を支援するよう問い合わせ、パスフレーズはこれまで通り機能します。

Clevisのマニュアルによると、早期起動時のロック解除はrootボリュームのみを対象とします。データドライブは後期起動時のロック解除機能を使用し、これは/etc/crypttabを読み取ります。Debianでは、clevis-systemdパッケージがそこで_netdevとマークされたデバイスをロック解除します。

ドライブは、ストレージサーバーがTangサーバーに到達できる間だけ開きます。TangのファイアウォールではストレージサーバーのIPアドレスのみを許可してください。そのネットワークから外れたドライブはロックされたままです。

# on your Tang machine, not on the storage server
apt install tang
systemctl enable tangd.socket --now

# on the storage server
apt install clevis clevis-luks clevis-systemd
clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}'
# ...repeat for each data drive

# /etc/crypttab, one line per drive:
# data01  /dev/disk/by-id/ata-MODEL_SERIAL01  none  luks,_netdev

systemctl enable clevis-luks-askpass.path

# check the binding, or unlock by hand
clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01
clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01

dropbear-initramfsで暗号化されたrootをロック解除するには？

initramfs に小さな SSH サーバーである dropbear を入れます。これはルートファイルシステムより前に起動し、自分の鍵でログインすると cryptroot-unlock がパスフレーズを要求します。Debian の cryptsetup ガイドでは、ヘッドレスシステム向けにこの方法が説明されています。

Debian の README がルールを定めています。鍵は /etc/dropbear/initramfs/authorized_keys に置き、パスワードログインは無効にします。オプションは /etc/dropbear/initramfs/dropbear.conf に記述します。ネットワークドライバーは /etc/initramfs-tools/modules に含める必要があり、静的アドレスはカーネルの ip= パラメータで設定します。同じパスが Debian 12、Debian 13、Ubuntu 24.04 に当てはまります。

initramfs は独自のホスト鍵を使うため、SSH クライアントは鍵が変わったと警告します。README が示すように、これ専用の known_hosts ファイルを別に用意してください。

apt install dropbear-initramfs

# your public key, limited to the unlock command
echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \
  > /etc/dropbear/initramfs/authorized_keys

# listen on another port than the main SSH server
echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf

# static address in the initramfs: client::gateway:netmask::interface:off
# add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example:
# ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off
update-grub
update-initramfs -u -k all

# from your computer, at each boot
ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs [email protected]

暗号化は何を保護し、何を保護しないのか？

It protects drives that are locked: powered off, pulled for replacement, or left behind after a cancellation. That is when the host or anyone else holds the hardware without your key. What happens to drives after you leave is on data after cancellation.

While the server runs unlocked, the key sits in memory. Someone who logs in can still delete data; that risk is covered on immutable backups. For data that the server never needs to read, encrypt on your own machine before upload; see client-side encrypted backups.

Of 23 storage-server sellers Basalthold checked on 2 November 2026, 2 required ID before delivery and 12 could ask for it on triggers. Encryption protects the drives; KYC不要：身分証明書、自撮り、書類、カード、電話番号は一切不要です.