LUKS是Linux的磁盘加密。首次使用LUKS加密分区时(或在OS安装过程中选择加密磁盘选项时)，您必须指定在打开LUKS分区时将使用的密码。但是，此后，您可以根据需要安装和卸载分区多次，而无需输入密码，直到重新引导系统。想象以下两种情况：出于安全合规的目的，您需要经常更改LUKS加密密码。在这种情况下，您必须旋转LUKS键而不破坏已安装的分区。
您忘记了LUKS密码。或者，您从某人继承了具有LUKS加密的已挂载分区的系统。您没有LUKS密码。重新启动系统时，您将遇到麻烦，因为您没有LUKS键。
在本教程中，我们将讨论您需要了解的有关LUKS密钥管理的所有信息。
1.八个LUKS钥匙槽
在LUKS中，对于单个加密分区，可以有八个不同的密钥。您可以选择一个分区上只有一个键，也可以分配所有八个不同的键。
八个不同密钥中的任何一个均可用于打开加密分区。
这些密钥存储在分区的LUKS密钥槽中。因此，一个分区将有8个键槽。
要查看所有密钥槽，请使用cryptsetup luksDump，如下所示。在此示例中，它仅使用两个插槽。
在上面：
/ dev / sdb1是LUKS加密的分区。
密钥插槽号从0开始。由于我们有8个插槽，因此密钥插槽号从0到7开始。
ENABLED表示已为此特定插槽分配了密钥。
在这里，我们有两个带有LUKS键的插槽。因此，/ dev / sdb1 LUKS加密分区分配了两个密钥。
2.添加新的LUKS密钥
要将新的LUKS密码(LUKS密钥)添加到/ dev / sdb1 LUKS加密分区，请使用cryptsetup luksAddKey命令，如下所示。
在上面：
输入现有密码后，即可分配新的LUKS密钥。
当显示“输入任何密码：”时，您应该输入/ dev / sdb1的任何现有密码。正如我们在上面看到的，它已经有两个来自插槽0和插槽1的密码。您应该首先输入这些密码中的任何一个。
每当您添加新的LUKS密钥时，它将被添加到下一个可用插槽中。由于我们已经有两个现有密钥，因此将新密钥添加到插槽2中，这是下一个可用插槽。
因此，插槽0到2会显示“已启用”。我们在/ dev / sdba1上有三个LUKS键。
3.将新的LUKS密钥添加到特定的插槽
您也可以将新密钥添加到特定的插槽中，而不是LUKS将新密钥添加到下一个可用插槽中。
在此示例中，我们将新的LUKS密钥添加到插槽5。我将新密码分配为：PasswordforSlot5。为此，请使用cryptsetup luksAddKey中的-S选项，如下所示。
4.删除现有的LUKS密钥
要从LUKS分区中删除现有密钥，请使用cryptsetup luksRemoveKey，如下所示。
从插槽中删除/擦除/删除LUKS密钥。您无需指定插槽号。而是指定要删除的密钥!。
在此示例中，您只需输入要删除的密码(密钥)。
在此示例中，当提示“输入要删除的LUKS密码：”时，我输入了在上一个示例中创建的密钥：PasswordforSlot5
5.使用luksKillSlot删除LUKS密钥
如果您没有特定插槽的密钥，而只想删除它，则可以使用cryptsetup luksKillSlot命令来完成，如下所示。
在此示例中，我们将从LUKS插槽2中删除密钥。
为此，您必须为任何一个插槽输入LUKS键。这仅是在从插槽2中删除密钥之前进行的验证。
6.从文件添加新的LUKS密钥
您还可以根据已经具有的密钥文件添加新的LUKS密钥，如下所示。
7.重置忘记的LUKS密钥-获取现有密钥
如果您由于忘记了LUKS密码而重新启动了服务器，但又无法挂载加密的LUKS分区，那么您就不走运了，可以重置它。
但是，如果已打开加密的LUKS分区，并且尚未重启系统，并且忘记了已安装分区的LUKS密码(至少LUKS自上次重启以来已打开一次)，则可以分配一个新的LUKS密钥。
在这种“忘记我的LUKS密码”方案中，您可以执行以下两个步骤：
从LUKS分区中提取当前的加密密钥
使用上面提取的加密密钥创建一个新的LUKS密钥
在此示例中，我安装了/ home1分区，这是LUKS加密的分区，但是我没有密码。
