# VPSのディスクをLUKSで暗号化できますか？

> はい。LUKS2はVPS上のボリュームを暗号化できますが、ホストはRAMを見ることができます。2 vCPUと4 GBのGloamは、12か月契約で月額$8.25です。

- URL: https://gloamport.com/ja/guides/how-to-encrypt-a-vps-disk-with-luks/
- 最終更新: 2026-11-10
- 発行者: Gloamport (https://gloamport.com)

LUKSは保存時のデータを保護します。実行中のVPSを、それが動いているマシンから隠すことはなく、このページではその境界がどこにあるかを説明しています。

**概要 — VPSのディスクをLUKSで暗号化できますか？**

はい。VPSのディスクはLUKSで暗号化できます。Gloamportは、独自のカーネルを持つフルKVM仮想化を提供しているためです。cryptsetup luksFormatでボリュームを作成し、開いて、フォーマットしてマウントします。Gloamのプラン（2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic）は、12か月契約で月額$8.25です。

## LUKSはVPSの何を保護し、何を保護しませんか？

| 状況 | LUKSで保護されるか？ | 理由 |
| --- | --- | --- |
| ディスクイメージやスナップショットのコピー | はい | パスフレーズがなければ、ディスク上のデータは暗号文です |
| 電源が切られているVPS | はい | 鍵はメモリにありません |
| ボリュームを開いたまま実行しているVPS | いいえ | 鍵と平文はRAMにあり、ホストのマシンが読み取れます |
| VPS内でrootを持つ人 | いいえ | マウントされたボリュームが見えます |
| パスフレーズを失った、またはヘッダーが壊れた場合 | いいえ | ヘッダーのバックアップを取っていなければ、データは失われます |

RAMの制限は仮想化の性質であり、Gloamport独自のものではありません。どのホストも、動かしているゲストのメモリを読めます。

## VPSのディスクをLUKSで暗号化すると、実際に何が得られますか？

LUKSは保存時の暗号化をもたらします。パスフレーズなしでディスクをコピーした人は、意味のないデータしか得られません。ただし、VPSが動いている間のホストからの保護はしません。アンロックされた鍵は、ハイパーバイザーが読めるメモリにあるからです。

だからこそ、正直な説明が重要です。Gloamportは完全なKVM仮想化です。カーネル、ファイアウォールのルール、設定した場合のディスク暗号化はすべてご自身で管理できますと述べており、それがLUKSを可能にしています。また、どのプランにもバックアップは含まれません。失うと困るものは、必ずご自身でコピーを保管してくださいとも述べています。暗号化は自分のバックアップと組み合わせてください。プライベートVPSが何であり、何でないかというより広い問いについては、[プライバシー重視のVPSとは何か？](https://gloamport.com/ja/privacy-focused-vps/ "プライバシー重視のVPSとは何ですか？")をご覧ください。

## 暗号化ボリュームには、どのGloamportプランが適していますか？

Gloamは、ちょうど良い大きさです。vCPUは2、RAMは4 GB、ストレージはNVMe 80 GBで、Gloamportは「Matrixサーバー、Vaultwarden、SearXNGを一緒に」向けに掲載しています。暗号化にはCPUが使われるため、2つ目のコアが役立ちます。

Gloamportの2026年11月10日の調査によると、29社のホスト社の比較可能な2 vCPU、4 GB VPSの中央値は、月額$31.29でした。Gloamは12か月契約で月額$8.25、月払いでは$16.50です。

## LUKSでVPS上のボリュームを暗号化するには、手順を追うとどうすればよいですか？

ファイルとして保持するデータボリュームについて7つの手順です。同じコマンドはブロックデバイスでも使えます。

1. **cryptsetupをインストールする** — rootとしてapt install cryptsetupを実行します。
2. **コンテナファイルを作成する** — 必要なサイズのファイルを割り当てます。cryptsetupは、通常のファイルをループデバイスに自動で対応付けます。
3. **LUKS2としてフォーマットする** — ファイルに対してcryptsetup --type luks2 luksFormatを実行し、長いパスフレーズを選んでください。これにより、ファイル内の内容はすべて消去されます。
4. **ヘッダーをバックアップする** — luksHeaderBackupを実行し、そのファイルをVPSから離れた場所に保存してください。ヘッダーが壊れると、それ以外のすべてが失われます。
5. **ボリュームを開く** — マッピング名を付けてcryptsetup openを実行します。/dev/mapper/の下にデバイスが現れます。
6. **ファイルシステムを作成してマウントする** — マップされたデバイスに対してmkfs.ext4を実行し、フォルダーを作成してマウントします。
7. **使い終わったら閉じる** — アンマウントしてからcryptsetup closeを実行します。これによりマッピングが削除され、カーネルメモリから鍵が消去されます。

## 正確なLUKSのコマンドは何ですか？

以下のコマンドは、cryptsetupのマニュアルに従っています。`luksFormat`はボリュームを初期化し、最初のパスフレーズを設定します。`open`はマッピングを作成し、`luksDump`はヘッダーを表示し、`luksHeaderBackup`はヘッダーと鍵スロット領域のバイナリバックアップを保存します。マニュアルによると、LUKSボリュームのヘッダーが壊れた場合、ヘッダーのバックアップがなければ、全データは永久に失われます。

*コンテナを作成してフォーマットする*

```bash
apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header
```

*開いて、フォーマットして、マウントする*

```bash
cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault
```

*閉じる*

```bash
umount /mnt/vault
cryptsetup close vault
```

## dropbear-initramfsで暗号化されたルートディスクをリモートでアンロックできますか？

はい。システムが暗号化されたルートから起動する場合、initramfs内の小さなSSHサーバーが、ルートファイルシステムのマウント前にパスフレーズを受け付けられます。これには、暗号化されたルートで設定したインストールが必要です。上のデータボリュームより大きな作業になるため、高度な手順として扱い、イメージと起動プロセスがそれを許しているか確認してください。

Debianパッケージ`dropbear-initramfs`は、初期RAMファイルシステム内でSSHアクセスを提供します。たとえば、暗号化されたディスクをアンロックするためです。そのドキュメントでは、公開鍵を`/etc/dropbear/initramfs/authorized_keys`に、オプションを`/etc/dropbear/initramfs/dropbear.conf`に置き、変更後に`update-initramfs -u -k all`を実行するよう述べています。また、メインのSSHホスト鍵を再利用しないよう助言しています。`/boot`は通常暗号化されていないためです。

*initramfsのSSHサーバーをインストールして適用する*

```bash
apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all
```

*任意: 別のポートで待ち受ける（dropbear.conf）*

```text
DROPBEAR_OPTIONS="-p 2222"
```

> **頼る前にテストする** 2つ目の入り口を確保し、まず予備のVPSでアンロックをテストしてください。initramfsが誤っていたり、パスフレーズを失ったりすると、マシンが起動時に待機したままになることがあります。アンロック手順には、別のSSHポートまたは既知ホストファイルを使ってください。ホスト鍵がメインのサーバーのものと異なるためです。

## 暗号化したVPSを長く使い続けるには？

ヘッダーをバックアップし、パスフレーズはオフラインで書き留め、プランにはバックアップがないため、データの自分のコピーを保管してください。cryptsetupのマニュアルによると、価値のあるデータであれば、暗号化されたデータにもバックアップは必須です。

玄関の鍵もかけてください。[新しいVPSでSSHを強化するには？](https://gloamport.com/ja/guides/how-to-harden-ssh-on-a-vps/ "新しいVPSでSSHを強化するには？")がそれを扱い、[VPSのSSH鍵を生成するには？](https://gloamport.com/ja/guides/how-to-generate-an-ssh-key/ "VPS用のSSH鍵はどう生成しますか？")が鍵を扱います。プランと期間は[価格ページ](https://gloamport.com/ja/pricing/ "Gloamport VPSはいくらですか？")にあります。

**まとめ**

- LUKS2は、フルKVM仮想化のVPS上で保存時のデータを暗号化します。
- 実行中のVPSを、RAMを読めるホストから隠すことはできません。
- `cryptsetup --type luks2 luksFormat`はボリュームを作成し、`open`と`close`がそれを管理します。
- `luksHeaderBackup`でヘッダーをバックアップしてください。ヘッダーが壊れると、全データが失われます。
- `dropbear-initramfs`により、暗号化されたルートをリモートでアンロックできます。
- Gloam（2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic）は、12か月契約で月額$8.25です。

## VPSでのLUKS: よくある質問

### VPSのホストは、私のLUKSで暗号化されたデータを読めますか？

ディスクからは読めませんが、ボリュームを開いている間は読めます。鍵とデータがホストの読めるメモリにあるからです。LUKSは保存時のデータを保護します。

### パーティションの代わりにファイルを使えますか？

はい。cryptsetupのマニュアルによると、デバイス引数がファイルの場合、cryptsetupはループバックデバイスを割り当て、そのファイルに対応付けようとします。

### パスフレーズを忘れたらどうなりますか？

データは読めません。パスフレーズを安全に保管し、ヘッダーのバックアップを取ってください。ヘッダーが壊れた場合も、すべてが失われるからです。

### dropbear-initramfsは何をしますか？

初期RAMファイルシステムの中で小さなSSHサーバーを起動し、別のマシンから、起動時に暗号化されたルートディスクをアンロックできるようにします。

### Gloamportにはバックアップが含まれますか？

どのプランにもバックアップは含まれないため、失うと困るものは自分でコピーを保管してください。

## 出典

1. [cryptsetup(8)のマニュアルページ](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10)
2. [cryptsetup-luksFormat(8)のマニュアルページ](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10)
3. [dropbear-initramfsのREADME](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10)
4. [dropbear-initramfsパッケージ（trixie）](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10)

---

Gloamport: Gloamportは、KYCなしのLinux KVMサーバーを販売するVPSプロバイダーです。アカウント番号で注文し、暗号資産で支払います（Moneroを優先）。運営元は、パナマで登録された法人DomaineGoat LLCです。注文では、プラン、コイン、そして希望する場合のみメールアドレスを求めます。氏名、住所、電話番号、身分証明書は求めません。12か月契約では、各プランの価格は、2026年11月10日に読み取ったKYCなしの暗号資産VPSホスト38社の調査から選んだ、名前の付いた比較対象プランより少なくとも25%安くなっています。