ガイド · 2026-11-10に確認

VPSのディスクをLUKSで暗号化できますか？

LUKSは保存時のデータを保護します。実行中のVPSを、それが動いているマシンから隠すことはなく、このページではその境界がどこにあるかを説明しています。

最終更新: 2026年11月10日

概要

VPSのディスクをLUKSで暗号化できますか？

はい。VPSのディスクはLUKSで暗号化できます。Gloamportは、独自のカーネルを持つフルKVM仮想化を提供しているためです。cryptsetup luksFormatでボリュームを作成し、開いて、フォーマットしてマウントします。Gloamのプラン（2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic）は、12か月契約で月額$8.25です。

LUKSはVPSの何を保護し、何を保護しませんか？

状況	LUKSで保護されるか？	理由
ディスクイメージやスナップショットのコピー	はい	パスフレーズがなければ、ディスク上のデータは暗号文です
電源が切られているVPS	はい	鍵はメモリにありません
ボリュームを開いたまま実行しているVPS	いいえ	鍵と平文はRAMにあり、ホストのマシンが読み取れます
VPS内でrootを持つ人	いいえ	マウントされたボリュームが見えます
パスフレーズを失った、またはヘッダーが壊れた場合	いいえ	ヘッダーのバックアップを取っていなければ、データは失われます

RAMの制限は仮想化の性質であり、Gloamport独自のものではありません。どのホストも、動かしているゲストのメモリを読めます。

VPSのディスクをLUKSで暗号化すると、実際に何が得られますか？

LUKSは保存時の暗号化をもたらします。パスフレーズなしでディスクをコピーした人は、意味のないデータしか得られません。ただし、VPSが動いている間のホストからの保護はしません。アンロックされた鍵は、ハイパーバイザーが読めるメモリにあるからです。

だからこそ、正直な説明が重要です。Gloamportは完全なKVM仮想化です。カーネル、ファイアウォールのルール、設定した場合のディスク暗号化はすべてご自身で管理できますと述べており、それがLUKSを可能にしています。また、どのプランにもバックアップは含まれません。失うと困るものは、必ずご自身でコピーを保管してくださいとも述べています。暗号化は自分のバックアップと組み合わせてください。プライベートVPSが何であり、何でないかというより広い問いについては、プライバシー重視のVPSとは何か？をご覧ください。

暗号化ボリュームには、どのGloamportプランが適していますか？

Gloamは、ちょうど良い大きさです。vCPUは2、RAMは4 GB、ストレージはNVMe 80 GBで、Gloamportは「Matrixサーバー、Vaultwarden、SearXNGを一緒に」向けに掲載しています。暗号化にはCPUが使われるため、2つ目のコアが役立ちます。

Gloamportの2026年11月10日の調査によると、29社のホスト社の比較可能な2 vCPU、4 GB VPSの中央値は、月額$31.29でした。Gloamは12か月契約で月額$8.25、月払いでは$16.50です。

LUKSでVPS上のボリュームを暗号化するには、手順を追うとどうすればよいですか？

ファイルとして保持するデータボリュームについて7つの手順です。同じコマンドはブロックデバイスでも使えます。

cryptsetupをインストールする
rootとしてapt install cryptsetupを実行します。
コンテナファイルを作成する
必要なサイズのファイルを割り当てます。cryptsetupは、通常のファイルをループデバイスに自動で対応付けます。
LUKS2としてフォーマットする
ファイルに対してcryptsetup --type luks2 luksFormatを実行し、長いパスフレーズを選んでください。これにより、ファイル内の内容はすべて消去されます。
ヘッダーをバックアップする
luksHeaderBackupを実行し、そのファイルをVPSから離れた場所に保存してください。ヘッダーが壊れると、それ以外のすべてが失われます。
ボリュームを開く
マッピング名を付けてcryptsetup openを実行します。/dev/mapper/の下にデバイスが現れます。
ファイルシステムを作成してマウントする
マップされたデバイスに対してmkfs.ext4を実行し、フォルダーを作成してマウントします。
使い終わったら閉じる
アンマウントしてからcryptsetup closeを実行します。これによりマッピングが削除され、カーネルメモリから鍵が消去されます。

正確なLUKSのコマンドは何ですか？

以下のコマンドは、cryptsetupのマニュアルに従っています。luksFormatはボリュームを初期化し、最初のパスフレーズを設定します。openはマッピングを作成し、luksDumpはヘッダーを表示し、luksHeaderBackupはヘッダーと鍵スロット領域のバイナリバックアップを保存します。マニュアルによると、LUKSボリュームのヘッダーが壊れた場合、ヘッダーのバックアップがなければ、全データは永久に失われます。

コンテナを作成してフォーマットする

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

開いて、フォーマットして、マウントする

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

閉じる

umount /mnt/vault
cryptsetup close vault

dropbear-initramfsで暗号化されたルートディスクをリモートでアンロックできますか？

はい。システムが暗号化されたルートから起動する場合、initramfs内の小さなSSHサーバーが、ルートファイルシステムのマウント前にパスフレーズを受け付けられます。これには、暗号化されたルートで設定したインストールが必要です。上のデータボリュームより大きな作業になるため、高度な手順として扱い、イメージと起動プロセスがそれを許しているか確認してください。

Debianパッケージdropbear-initramfsは、初期RAMファイルシステム内でSSHアクセスを提供します。たとえば、暗号化されたディスクをアンロックするためです。そのドキュメントでは、公開鍵を/etc/dropbear/initramfs/authorized_keysに、オプションを/etc/dropbear/initramfs/dropbear.confに置き、変更後にupdate-initramfs -u -k allを実行するよう述べています。また、メインのSSHホスト鍵を再利用しないよう助言しています。/bootは通常暗号化されていないためです。

initramfsのSSHサーバーをインストールして適用する

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

任意: 別のポートで待ち受ける（dropbear.conf）

DROPBEAR_OPTIONS="-p 2222"

暗号化したVPSを長く使い続けるには？

ヘッダーをバックアップし、パスフレーズはオフラインで書き留め、プランにはバックアップがないため、データの自分のコピーを保管してください。cryptsetupのマニュアルによると、価値のあるデータであれば、暗号化されたデータにもバックアップは必須です。

玄関の鍵もかけてください。新しいVPSでSSHを強化するには？がそれを扱い、VPSのSSH鍵を生成するには？が鍵を扱います。プランと期間は価格ページにあります。

まとめ

LUKS2は、フルKVM仮想化のVPS上で保存時のデータを暗号化します。
実行中のVPSを、RAMを読めるホストから隠すことはできません。
cryptsetup --type luks2 luksFormatはボリュームを作成し、openとcloseがそれを管理します。
luksHeaderBackupでヘッダーをバックアップしてください。ヘッダーが壊れると、全データが失われます。
dropbear-initramfsにより、暗号化されたルートをリモートでアンロックできます。
Gloam（2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic）は、12か月契約で月額$8.25です。

VPSでのLUKS: よくある質問

VPSのホストは、私のLUKSで暗号化されたデータを読めますか？

ディスクからは読めませんが、ボリュームを開いている間は読めます。鍵とデータがホストの読めるメモリにあるからです。LUKSは保存時のデータを保護します。

パーティションの代わりにファイルを使えますか？

はい。cryptsetupのマニュアルによると、デバイス引数がファイルの場合、cryptsetupはループバックデバイスを割り当て、そのファイルに対応付けようとします。

パスフレーズを忘れたらどうなりますか？

データは読めません。パスフレーズを安全に保管し、ヘッダーのバックアップを取ってください。ヘッダーが壊れた場合も、すべてが失われるからです。

dropbear-initramfsは何をしますか？

初期RAMファイルシステムの中で小さなSSHサーバーを起動し、別のマシンから、起動時に暗号化されたルートディスクをアンロックできるようにします。

Gloamportにはバックアップが含まれますか？

どのプランにもバックアップは含まれないため、失うと困るものは自分でコピーを保管してください。

出典 (4)

cryptsetup(8)のマニュアルページ — Debian (checked 2026-11-10)
cryptsetup-luksFormat(8)のマニュアルページ — Debian (checked 2026-11-10)
dropbear-initramfsのREADME — Debian (checked 2026-11-10)
dropbear-initramfsパッケージ（trixie） — Debian (checked 2026-11-10)