快速入门：使用 TPM 和 YaST2 进行全盘加密
原文中文，约1800字，阅读约需5分钟。
📝
内容提要
这篇文章是关于在 openSUSE MicroOS 上使用 TPM 或 FIDO2 进行全磁盘加密的指南。它介绍了如何通过 TPM2 芯片或 FIDO2 密钥实现加密保护，包括安装 openSUSE MicroOS、调整引导加载程序和软件包的步骤。硬件要求包括支持 UEFI 固件和 TPM2 芯片或 FIDO2 密钥。完成后，可以通过 TPM2 或 FIDO2 进行系统注册，并选择升级 LUKS 密钥派生函数。文章还特别提到虚拟机的注意事项。
❓
Q&A
如何在 openSUSE MicroOS 上进行全盘加密？
可以通过使用 TPM2 芯片或 FIDO2 密钥，在安装 openSUSE MicroOS 时选择启用磁盘加密来实现全盘加密。
安装 openSUSE MicroOS 时需要哪些硬件要求？
需要支持 UEFI 固件和 TPM2 芯片或 FIDO2 密钥，且内存至少为 2GB。
如何调整内核启动参数以支持全盘加密？
需要编辑 /etc/kernel/cmdline 文件，并调用 sdbootutil update-all-entries 更新引导加载程序配置。
在虚拟机中使用全盘加密时需要注意什么？
建议编辑 /etc/sysconfig/fde-tools，删除 FDE_SEAL_PCR_LIST 变量的 0，以避免启动时磁盘无法自动解密。
如何升级 LUKS 密钥派生函数以增强安全性？
可以通过执行 cryptsetup luksConvertKey 命令，对 /etc/crypttab 中列出的每个加密设备进行升级。
如果系统出现故障，如何处理 TPM2 中的存储策略？
需要为新的测量创建新的策略，以替换 TPM2 中存储的策略，并使用 sdbootutil 命令进行更新。
🏷️
