在启动时加载加密的 Linux 卷

Question

我的 Acer 笔记本电脑（带 UEFI）上运行着 Windows 11。我缩小了分区以释放 50GB 的空间，准备了带有 Linux 发行版的 USB 设备并启动了安装程序。现在，在分区步骤中，我执行以下操作：

1. 在整个 50GB 的可用空间上创建了加密卷。
2. 在加密卷中设置 LVM - 1 个物理卷、1 个卷组、1 个逻辑卷，其中包含 4 个分区（swap、root、home 和 tmp）
3. 将更改写入磁盘，安装系统。重新启动。

笔记本电脑现在可直接启动至 Windows。当我中断启动顺序并强制启动linux或*（取决于启动顺序出现的时间）时，会导致出现错误消息并返回到 grub 恢复 shell。

以下是启动错误和分区方案的屏幕截图（通过从操作系统安装程序进入 grub 控制台获得）。

我已经阅读了一些有关此事的资料，首先想到的是我缺少一些未加密的启动分区，或者我通过 GUI 安装程序搞乱了加密（也许我应该更改加密参数，这样 BIOS 就可以识别/解密分区）。

在这种情况下最好的办法是什么？我可以再次重新创建分区步骤，没问题，只要我仍然可以访问 Windows。

Answer 1

使此设置正常工作的最简单方法是移至/bootLVM 之外的单独未加密分区。

使用您当前的设置，GRUB 必须先解锁加密分区（要求您输入密码），然后访问/LVM 卷，因为您的内核和 initramfs 就在那里。这是可能的，但设置起来比较棘手，而且有点不方便（Linux 会在启动时再次要求您输入密码）。在我看来，安全优势并不值得，因为虽然您的内核和 initramfs 现在受到加密保护，但 GRUB 及其配置仍然没有（而且这需要构建一个独立的 GRUB 包并使用自定义密钥对其进行签名）。

没有 LVM 和 LUKS 的单独分区使这种方法更容易：GRUB 从那里加载内核和 initramfs 而不需要特殊配置，然后 Linux 处理复杂性。