로그인할 때 사용자별로 LUKS 암호화 장치의 암호를 해독하는 방법은 무엇입니까?

[email protected]다음 서비스를 만들었습니다 systemd.

[Unit]
Description=Cryptography Setup for '%I'
After=cryptsetup-pre.target
After=dev-mapper-%i.device
Before=cryptsetup.target
Before=umount.target
BindsTo=dev-mapper-%i.device
BindsTo=dev-mapper-%i.luks.device
Conflicts=umount.target
DefaultDependencies=no
IgnoreOnIsolate=true
RequiresMountsFor=/home

[Service]
ExecStart=/usr/lib/systemd/systemd-cryptsetup attach '%I.luks' '/dev/mapper/%I' '%h/%I/secret.key' 'luks,header=%h/%I/header'
ExecStop=/usr/lib/systemd/systemd-cryptsetup detach '%I.luks'
KillMode=none
RemainAfterExit=yes
TimeoutSec=0
Type=oneshot

[Install]
WantedBy=default.target

아이디어는 서비스를 활성화한 특정 사용자에 대해서만 특정 LUKS 암호화 xxx장치를 해독하는 것입니다. 예를 들면 다음과 같습니다.xxx.luks

systemctl --user enable luks@xxx

불행히도 테스트조차

systemctl --user start luks@xxx

1실제 이유를 명시하지 않고 항상 종료 코드를 반환하기 때문에 실패합니다 . 권한에 문제가 있을 수 있다는 것이 분명합니다. 수동으로 트리거하려면 cryptsetup luksOpen ...예를 들어 를 사용하려면 케이스를 올려야 한다고 확신합니다 sudo. 실제로 내가 발행하면

sudo systemctl start luks@xxx

그것은 매력처럼 작동합니다.

sudo systemctl enable luks@xxx

시작 단계에 적용 가능합니다.

노트:
이러한 시스템 전체 설치의 경우, 물론 %h서비스는 주어진 사용자의 실제 홈 디렉토리로 대체하여 수정되어야 합니다. 이는 추악하고 어쨌든 궁극적인 목적을 무너뜨리는 것입니다.

pam_mount이제 어느 것이 사용자별로 유사한 설치를 수행할 수 있는지 알았으므로 (분리된 LUKS 헤더를 지원하지 않고 실제로 원하지 않는 장치를 마운트하기 때문에 사용할 수 없습니다) ), 실제로 pam_systemdboot systemctl --user이므로 각 사용자가 부팅 중에 장치 암호 해독을 수행할 수 있는 권한을 얻을 수 있는 방법이 분명히 있어야 합니다.

그런데 고장 증상은

systemctl --user enable luks@xxx

테스트 결과보다 더 나빴습니다.

systemctl --user start luks@xxx

(종료 코드만 반환됩니다 1.) 즉, 특정 사용자가 불평을 하기 때문에 로그인조차 할 수 없습니다.

Failed to create bus connection: No such file or directory

왜냐하면 XDG_RUNTIME_DIR및 는 DBUS_SESSION_BUS_ADDRESS더 이상 설정되지 않지만 서비스에 의해 설정되어야 하기 때문입니다 systemd-logind.service. 분명히 luks@xxx전체 초기화 프로세스가 어떻게든 손상된 것 같지만 로그에 정보가 부족하여 정확한 이유를 알 수 없습니다. 따라서 현재 권한 부족에 대한 의심이 남아 있습니다.

교육적인 조언을 기대합니다. 감사해요.