# LUKS暗号化されたレンタルサーバーをリモートでロック解除するには？

> コンソールなしのレンタルサーバーでのLUKSリモートロック解除：データドライブをSSH経由、ClevisとTang、またはdropbear-initramfsで。DebianとUbuntu、KYC不要、暗号資産で支払い。

- URL: https://basalthold.com/ja/luks-remote-unlock/
- 最終更新: 2026-11-02
- 発行者: Basalthold (https://basalthold.com)

コンソールで誰も入力できない再起動後に、暗号化ドライブを復旧させる3つの方法。SSH経由でデータドライブをロック解除する、ClevisにTangサーバーへ問い合わせさせる、またはinitramfs内のdropbearにログインする。

**回答 — LUKS暗号化されたレンタルサーバーをリモートでロック解除するには？**

LUKS暗号化されたレンタルサーバーをリモートでロック解除するには、データドライブを暗号化し、起動後にSSH経由で開くか、Clevisに自前のTangサーバーから鍵を取得させます。暗号化されたrootの場合は、dropbear-initramfsを追加し、cryptroot-unlockを実行します（DebianおよびUbuntuのパッケージ、2 November 2026に確認済み）。**Basalthold**サーバーにはコンソールがありません。保有は$110.99から、暗号資産で支払いのみ、KYC不要。

## 保有中に何を扱いますか？

| 属性 | 値 |
| --- | --- |
| コンソール | お客様向けのIPMIまたはKVM-over-IPアクセスはありません。ダッシュボードでリクエストした再起動や再インストールはチームが実行します |
| 暗号化 | すべてのデータドライブをLUKSまたはZFSネイティブ暗号化で暗号化できます。鍵はお客様の手元にあり、チームの誰もそれを求めることはありません |
| ドライブ | オペレーティングシステムは専用のSSD上にあります（大型の筐体では2台のミラーリングされたSSD）。データドライブは空でパーティション未作成の状態で届くため、ZFS、mdadmアレイ、または独立したディスクのセットを構築できます。納品前にチームにRAID 6またはRAID 10アレイを準備してほしい場合は、サーバー引き渡し前にサポートへお伝えください |
| 再インストール | 再起動、再インストール、キャンセルはダッシュボードでリクエストし、チームが処理します。再インストールはデータドライブを含むすべてのドライブを消去します |
| ログイン | You log in as root over SSH: paste a public key at checkout and password logins stay off, or leave it empty and receive a temporary root password with the server, to replace at your first login |
| システム | Debian 13、Debian 12、Ubuntu 24.04 LTS、AlmaLinux 10、Rocky Linux 10、Proxmox VE 9、Proxmox Backup Server 4 |

## コンソールのないサーバーにはどのロック解除方法が合いますか？

| 方法 | 暗号化される範囲 | 再起動後 | コンソールなしのリスク |
| --- | --- | --- | --- |
| データドライブ、SSHでロック解除 | データドライブ。システムSSDは平文のまま | ログインしてドライブを開く | 低：システムは常に起動する |
| データドライブ、ClevisとTang | データドライブ | Tangサーバーが応答したときにロック解除 | 低：パスフレーズは手動でも引き続き使える |
| 暗号化されたroot、dropbear-initramfs | システムを含むすべて | initramfsにログインしてパスフレーズを入力 | 高：ネットワークの設定ミスでサーバーがオフラインのままになる |

## レンタルサーバーでリモートロック解除が重要なのはなぜですか？

暗号化されたドライブは起動のたびに鍵を待ち、画面の前に誰もいないからです。お客様向けのIPMIまたはKVM-over-IPアクセスはありません。ダッシュボードでリクエストした再起動や再インストールはチームが実行します。

そのため、暗号化する前にロック解除の方法を計画してください。保有中は、オペレーティングシステムが専用のSSD上にあり、データドライブは空の状態で提供されます。この分離により最初の方法が簡単になります。システムは平文のまま、データを保持するドライブを暗号化します。

**データを保持するドライブを暗号化し、起動経路はSSH経由で修正できる程度にシンプルに保ちましょう。**

## データドライブを暗号化し、再起動後にロック解除するには？

各データドライブをLUKS2でフォーマットし、開いて、開いたデバイス上にアレイを構築します。パスフレーズがサーバーのディスクに触れることはありません。再起動後、システムが起動し、SSH経由でログインし、ドライブを再び開きます。その上でのアレイの選択は[ZFSまたはハードウェアRAID](https://basalthold.com/ja/zfs-vs-hardware-raid/ "ZFS or hardware RAID on a rented storage server")で行います。

プールを使用するサービスは、あなたが開くまで待機します。外部の稼働監視、またはプールが存在しないときにアラートを出すスクリプトが、再起動が起きたことを知らせます。

*データドライブを暗号化し、その上にプールを構築する*

```bash
apt install cryptsetup
# ZFS tools: zfsutils-linux and zfs-dkms from Debian contrib; built into Proxmox

# once per data drive: this erases it and asks for a passphrase
cryptsetup luksFormat --type luks2 /dev/disk/by-id/ata-MODEL_SERIAL01
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for data02, data03, data04

zpool create -o ashift=12 tank raidz2 \
  /dev/mapper/data01 /dev/mapper/data02 /dev/mapper/data03 /dev/mapper/data04

# after every reboot: log in, open each drive, import the pool
cryptsetup open /dev/disk/by-id/ata-MODEL_SERIAL01 data01
# ...repeat for each drive
zpool import tank
```

## ZFSのネイティブ暗号化はLUKSの代わりになりますか？

はい、データセット単位で可能です。データセットを`encryption=on`とパスフレーズで作成し、再起動のたびに`zfs load-key`と`zfs mount`を実行します。initramfsの作業は不要です。

ただし、隠せる範囲は狭くなります。OpenZFSのマニュアルによると、ZFSはプール構造のメタデータを暗号化しません。データセット名とスナップショット名、プロパティ、ファイルサイズは読み取り可能なままです。LUKSはメタデータを含むドライブ全体を暗号化します。どちらも同じ約束でカバーされます：すべてのデータドライブをLUKSまたはZFSネイティブ暗号化で暗号化できます。鍵はお客様の手元にあり、チームの誰もそれを求めることはありません。

## ClevisとTangでドライブを自動的にロック解除するには？

別の場所で管理するマシン上でTangサーバーを実行し、各ドライブをそれにバインドします。ClevisはLUKSに新しい鍵スロットを追加し、暗号化された鍵をLUKSヘッダーに保存します。起動時にTangに鍵の復元を支援するよう問い合わせ、パスフレーズはこれまで通り機能します。

Clevisのマニュアルによると、早期起動時のロック解除はrootボリュームのみを対象とします。データドライブは後期起動時のロック解除機能を使用し、これは`/etc/crypttab`を読み取ります。Debianでは、clevis-systemdパッケージがそこで`_netdev`とマークされたデバイスをロック解除します。

ドライブは、ストレージサーバーがTangサーバーに到達できる間だけ開きます。TangのファイアウォールではストレージサーバーのIPアドレスのみを許可してください。そのネットワークから外れたドライブはロックされたままです。

*自前のマシン上のTang、ストレージサーバー上のClevis*

```bash
# on your Tang machine, not on the storage server
apt install tang
systemctl enable tangd.socket --now

# on the storage server
apt install clevis clevis-luks clevis-systemd
clevis luks bind -d /dev/disk/by-id/ata-MODEL_SERIAL01 tang '{"url": "http://TANG_ADDRESS"}'
# ...repeat for each data drive

# /etc/crypttab, one line per drive:
# data01  /dev/disk/by-id/ata-MODEL_SERIAL01  none  luks,_netdev

systemctl enable clevis-luks-askpass.path

# check the binding, or unlock by hand
clevis luks list -d /dev/disk/by-id/ata-MODEL_SERIAL01
clevis luks unlock -d /dev/disk/by-id/ata-MODEL_SERIAL01
```

## dropbear-initramfsで暗号化されたrootをロック解除するには？

initramfs に小さな SSH サーバーである dropbear を入れます。これはルートファイルシステムより前に起動し、自分の鍵でログインすると `cryptroot-unlock` がパスフレーズを要求します。Debian の cryptsetup ガイドでは、ヘッドレスシステム向けにこの方法が説明されています。

Debian の README がルールを定めています。鍵は `/etc/dropbear/initramfs/authorized_keys` に置き、パスワードログインは無効にします。オプションは `/etc/dropbear/initramfs/dropbear.conf` に記述します。ネットワークドライバーは `/etc/initramfs-tools/modules` に含める必要があり、静的アドレスはカーネルの `ip=` パラメータで設定します。同じパスが Debian 12、Debian 13、Ubuntu 24.04 に当てはまります。

initramfs は独自のホスト鍵を使うため、SSH クライアントは鍵が変わったと警告します。README が示すように、これ専用の known_hosts ファイルを別に用意してください。

*Debian または Ubuntu での dropbear-initramfs*

```bash
apt install dropbear-initramfs

# your public key, limited to the unlock command
echo 'no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="/bin/cryptroot-unlock" ssh-ed25519 AAAA... you@laptop' \
  > /etc/dropbear/initramfs/authorized_keys

# listen on another port than the main SSH server
echo 'DROPBEAR_OPTIONS="-p 2222"' >> /etc/dropbear/initramfs/dropbear.conf

# static address in the initramfs: client::gateway:netmask::interface:off
# add to GRUB_CMDLINE_LINUX in /etc/default/grub, for example:
# ip=203.0.113.10::203.0.113.1:255.255.255.0::eno1:off
update-grub
update-initramfs -u -k all

# from your computer, at each boot
ssh -p 2222 -o UserKnownHostsFile=~/.ssh/known_hosts.initramfs root@203.0.113.10
```

> **設定をひとつ間違えるだけでサーバーはオフラインのままになります** initramfs がネットワークを取得できなければ、誰もパスフレーズを入力できず、コンソールも役に立ちません。再起動、再インストール、キャンセルはダッシュボードでリクエストし、チームが処理します。再インストールはデータドライブを含むすべてのドライブを消去します。再起動する前に、インターフェース名、ドライバー、ip= の行を二度確認してください。

## 暗号化は何を保護し、何を保護しないのか？

It protects drives that are locked: powered off, pulled for replacement, or left behind after a cancellation. That is when the host or anyone else holds the hardware without your key. What happens to drives after you leave is on [data after cancellation](https://basalthold.com/ja/data-after-server-cancellation/ "What happens to your data when you cancel a rented storage server").

While the server runs unlocked, the key sits in memory. Someone who logs in can still delete data; that risk is covered on [immutable backups](https://basalthold.com/ja/immutable-backups/ "How to make backups immutable against ransomware on your own server"). For data that the server never needs to read, encrypt on your own machine before upload; see [client-side encrypted backups](https://basalthold.com/ja/client-side-encrypted-backups/ "Client-side encryption for backups on a rented server").

Of 23 storage-server sellers Basalthold checked on 2 November 2026, 2 required ID before delivery and 12 could ask for it on triggers. Encryption protects the drives; KYC不要：身分証明書、自撮り、書類、カード、電話番号は一切不要です.

## リモート解除について、ほかにどんな質問がよくありますか？

### BasaltholdのサーバーにはKVMまたはIPMIコンソールがありますか？

いいえ、お客様向けのIPMIまたはKVM-over-IPアクセスはありません。ダッシュボードでリクエストした再起動や再インストールはチームが実行します。だからこそ、このページではデータドライブの暗号化と、システムを起動可能な状態に保つことを推奨しています。

### 自分でロックアウトしてしまったらどうなりますか？

ダッシュボードで再インストールをリクエストしてください。再起動、再インストール、キャンセルはダッシュボードでリクエストし、チームが処理します。再インストールはデータドライブを含むすべてのドライブを消去します。ブートパスを変更する前に、2つ目のコピーからデータを復旧できる状態にしておいてください。

### Basaltholdのチームは私のLUKSパスフレーズを必要としますか？

いいえ。すべてのデータドライブをLUKSまたはZFSネイティブ暗号化で暗号化できます。鍵はお客様の手元にあり、チームの誰もそれを求めることはありません。

### Tangの代わりにTPMでClevisを使えますか？

ClevisにはTPMピンがありますが、その場合キーはレンタルしたマシン内に残ることになります。自身で管理するTangサーバーを使えば、秘密情報の一部をハードウェアの外に置けます。

### 暗号資産で支払い、KYC不要で暗号化ストレージサーバーをレンタルできますか？

はい。Basaltholdでは$1からの残高チャージでBTC, USDT, USDC, ETH, SOL, LTC, XMRをご利用いただけます。保留条件と規約は[料金表](https://basalthold.com/ja/pricing/ "Basalthold storage server prices")に記載されています。

**空のドライブ、お客様のキー** Hold 40：AMD Ryzen 5 3600（6コア / 12スレッド）、64 GB DDR4、4 × 10 TBハードドライブ（40 TB raw）とシステム用512 GB NVMe、1 Gbit/sポートで30日あたり60 TBのトラフィック、1 IPv4とIPv6 /64、$201.09/30日で。暗号資産で支払い、KYC不要。 [キシナウでHold 40をレンタル](https://basalthold.com/app/checkout/?plan=hold-40&location=md-kiv&lang=ja) · [アムステルダムで Hold 100 をレンタル](https://basalthold.com/app/checkout/?plan=hold-100&location=nl-ams&lang=ja)

## 出典

1. [dropbear-initramfs README.initramfs (2025.89-1~deb13u1)](https://sources.debian.org/data/main/d/dropbear/2025.89-1~deb13u1/debian/README.initramfs) — Debian (read 2026-11-02)
2. [cryptsetup README.Debian、セクション8: 暗号化されたrootfsをリモートでアンロックする](https://sources.debian.org/data/main/c/cryptsetup/2:2.7.5-2/debian/README.Debian) — Debian (read 2026-11-02)
3. [dropbear-initramfs ファイル一覧、Ubuntu noble](https://packages.ubuntu.com/noble/all/dropbear-initramfs/filelist) — Ubuntu (read 2026-11-02)
4. [Clevis README: LUKSボリュームのバインド](https://github.com/latchset/clevis) — latchset (read 2026-11-02)
5. [clevis-luks-unlockers(7)](https://github.com/latchset/clevis/blob/master/src/luks/clevis-luks-unlockers.7.adoc) — latchset (read 2026-11-02)
6. [Tang README](https://github.com/latchset/tang) — latchset (read 2026-11-02)
7. [Debian trixie のパッケージ clevis-systemd](https://packages.debian.org/trixie/clevis-systemd) — Debian (read 2026-11-02)
8. [zfs-load-key(8): 暗号化](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-load-key.8.html) — OpenZFS (read 2026-11-02)
9. [nfsroot: カーネルパラメータ ip=](https://docs.kernel.org/admin-guide/nfs/nfsroot.html) — Linux kernel documentation (read 2026-11-02)

---

Basalthold: Basaltholdはアムステルダム、ブカレスト、キシナウでストレージ専用サーバーをレンタルしています。暗号資産で支払い、KYC不要：身分証明書も自撮りも書類も不要です。各サーバーは1顧客専用の物理マシン一式で、24 TBから160 TBのハードディスクを搭載し、データドライブは空の状態でrootアクセス付きで提供されます。バックアップ、アーカイブ、ファイル同期、セルフホスト型オブジェクトストレージにご利用いただけます。2026年11月2日時点の価格は、24 TBで30日あたり$110.99、160 TBで$561.39（raw TBあたり$3.50）でした。運営はパナマ登記のDomaineGoat LLCで、ログを保存せず、お客様の暗号化キーを求めることもありません。