يعرض قائمة ببيانات الاعتماد الممررة إلى سياق التنفيذ الحالي. يعرض هذا الأمر الملفات في الدليل المشار إليه بواسطة متغير البيئة $CREDENTIALS_DIRECTORY، وهو مخصص للتنفيذ من داخل سياق الخدمة.

إلى جانب كل اسم بيانات اعتماد، يُعرض الحجم والحالة الأمنية. الأخيرة هي إحدى "آمن" (في حال كانت بيانات الاعتماد مدعومة بذاكرة غير قابلة للمبادلة، أي "ramfs")، أو "ضعيف" (في حال كانت مدعومة بأي نوع آخر من الذاكرة)، أو "غير آمن" (إذا كان لها أي وضع وصول غير 0400، أي إذا كانت قابلة للقراءة من قبل أي شخص غير المالك).

أُضيف في الإصدار 250.

يعرض محتويات بيانات الاعتماد المحددة الممررة إلى سياق التنفيذ الحالي. يأخذ اسم بيانات اعتماد واحد أو أكثر، وتُكتب محتوياتها إلى المخرج القياسي.

عند دمجه مع --json= أو --transcode= يُعاد ترميز المخرج بطرق بسيطة قبل الإخراج.

أُضيف في الإصدار 250.

يولد مفتاح تعمية مضيف لبيانات الاعتماد، إذا لم يكن قد وُلّد بالفعل. يضمن ذلك تهيئة ملف /var/lib/systemd/credential.secret بمفتاح سري عشوائي إذا لم يكن موجودًا بعد. يُستخدم هذا المفتاح السري عند تعمية/فك تعمية بيانات الاعتماد باستخدام encrypt أو decrypt، وهو قابل للوصول فقط من قبل المستخدم الجذر. لاحظ أنه لا توجد حاجة عادةً لاستدعاء هذا الأمر صراحةً لأنه يُستدعى ضمنيًا عند استدعاء encrypt، واختيار تعمية مفتاح مضيف بيانات الاعتماد.

أُضيف في الإصدار 250.

يحمل ملف بيانات الاعتماد المدخل المحدد (نص عادي غير معمى)، ويعميه ويكتب المخرج (نص معمى معمى) إلى ملف بيانات الاعتماد الهدف المحدد. يمكن الإشارة إلى الملف الناتج في إعداد LoadCredentialEncrypted= في ملفات الوحدة، أو استخدام محتوياته حرفيًا في إعدادات SetCredentialEncrypted=.

يأخذ مسارين لنظام الملفات. يُضمن جزء اسم الملف من مسار المخرج كاسم في بيانات الاعتماد المعماة، لضمان عدم إمكانية إعادة تسمية بيانات الاعتماد المعماة وإعادة استخدامها لأغراض مختلفة دون ملاحظة ذلك. يمكن تجاوز اسم بيانات الاعتماد المراد تضمينه باستخدام إعداد --name=. يمكن تحديد مسارات المدخل أو المخرج كـ "-"، وفي هذه الحالة تُقرأ بيانات الاعتماد من/تُكتب إلى المدخل القياسي والمخرج القياسي. إذا حُدد مسار المخرج كـ "-" لا يمكن اشتقاق اسم بيانات الاعتماد من مسار نظام الملفات، وبالتالي يجب تحديده صراحةً عبر مفتاح --name=.

تُعمى بيانات الاعتماد وتُوثق بشكل متماثل باستخدام أحد مفاتيح التعمية التالية:

يمكن تهيئة أي من المفاتيح الثلاثة سيُستخدم للتعمية باستخدام مفتاح --with-key=. اعتمادًا على حالة استخدام بيانات الاعتماد المعماة قد يختلف المفتاح المستخدم. على سبيل المثال، لبيانات الاعتماد التي يجب أن تكون قابلة للوصول من initrd، التعمية بمفتاح المضيف غير مناسبة، لأن الوصول إلى مفتاح المضيف غير متوفر عادةً من initrd. وبالتالي، لمثل هذه البيانات يجب استخدام مفتاح TPM2 فقط.

تُرمى بيانات الاعتماد المعماة دائمًا في Base64.

استخدم decrypt (انظر أدناه) لعكس عملية التعمية، والحصول على بيانات الاعتماد النص العادي المفكوكة التعمية من بيانات الاعتماد النص المعمى المعماة.

تُعمى بيانات الاعتماد باستخدام AES256-GCM، أي توفير السرية والتكامل معًا، بمفتاح من تجزئة SHA256 لواحد أو كلا المفتاحين السريين الموصوفين أعلاه.

أُضيف في الإصدار 250.

يعكس تأثير عملية encrypt: يحمل ملف بيانات الاعتماد المدخل المحدد (نص معمى معمى)، ويفك تعميته ويوثقه ويكتب المخرج (نص عادي مفكوك التعمية) إلى ملف بيانات الاعتماد الهدف المحدد.

يأخذ مسارًا أو مسارين لنظام الملفات. يُقارن جزء اسم الملف من مسار المدخل مع اسم بيانات الاعتماد المضمن في الملف المعمى. إذا لم يتطابق، يفشل فك التعمية. يُفعل ذلك لضمان عدم إعادة استخدام بيانات الاعتماد المعماة دون اكتشاف ذلك. يمكن أيضًا تجاوز اسم بيانات الاعتماد المراد مقارنته مع اسم بيانات الاعتماد المضمن باستخدام مفتاح --name=. إذا حُدد مسار المدخل كـ "-"، تُقرأ بيانات الاعتماد المعماة من المدخل القياسي. إذا حُدد مسار واحد فقط أو حُدد مسار المخرج كـ "-"، تُكتب بيانات الاعتماد المفكوكة التعمية إلى المخرج القياسي. في هذا الوضع، لا يمكن اشتقاق الاسم المتوقع المضمن في بيانات الاعتماد من المسار ويجب تحديده صراحةً باستخدام --name=.

فك تعمية بيانات الاعتماد يتطلب الوصول إلى شريحة TPM2 الأصلية و/أو مفتاح مضيف بيانات الاعتماد، انظر أعلاه. المعلومات حول المفاتيح المطلوبة مضمنة في بيانات الاعتماد المعماة، وبالتالي فك التعمية آلي بالكامل.

أُضيف في الإصدار 250.

لا تسأل المستخدم عن الاستيثاق للعمليات ذات الامتيازات.

اطبع نص مساعدة قصير واخرج.

اطبع سلسلة إصدار قصيرة واخرج.

عند تحديده مع الأمرين list وcat يعمل على بيانات الاعتماد الممررة إلى النظام ككل بدلاً من تلك الممررة إلى سياق التنفيذ الحالي. هذا مفيد في بيئات الحاويات حيث قد تُمرر بيانات الاعتماد من مدير الحاوية.

أُضيف في الإصدار 250.

عند تحديده مع الأمرين encrypt وdecrypt يعمي بيانات اعتماد بنطاق مستخدم (بدلاً من نطاق نظام). استخدم --uid= لاختيار المستخدم الذي تأتي منه بيانات الاعتماد. لا يمكن فك تعمية هذه البيانات إلا من سياق المستخدم المحدد، إلا إذا كان يمكن ال

داخليًا، يضمن هذا إدراج UID الرقمي واسم المستخدم المحددين، بالإضافة إلى machine-id(5) للنظام، في مفتاح التعمية.

أُضيف في الإصدار 256.

يحدد المستخدم الذي سيُعمى الاعتماد له. يقبل اسم مستخدم أو UID رقمي. إذا عُين فإنه يستلزم --user. إذا عُين إلى السلسلة الخاصة "self"، فإنه يعين المستخدم كمستخدم العملية المستدعية. إذا اُستخدم --user بدون --uid=، فإن --uid=self يُستلزم، أي يُعمى الاعتماد للمستخدم المستدعي.

أُضيف في الإصدار 256.

عند تحديده مع الأمرين cat أو decrypt، يُحوّل ترميز المخرجات قبل عرضها. يقبل إحدى القيم "base64" أو "unbase64" أو "hex" أو "unhex" كوسيط، لترميز/فك ترميز بيانات الاعتماد باستخدام Base64 أو كسلسلة من القيم السداسية عشرية. يمكن استخدام القيمة الخاصة "help" لسرد أنواع التحويل المدعومة.

لاحظ أن هذا لا يؤثر على الأمر encrypt، حيث تُرمّز الاعتمادات المُعمّاة بشكل غير مشروط في Base64.

أُضيف في الإصدار 250.

عند تحديده مع cat أو decrypt، يتحكم في إضافة حرف سطر جديد زائد إلى نهاية المخرجات إذا لم تنتهِ به بالفعل. يقبل إحدى القيم "auto" أو "yes" أو "no". الوضع المبدئي "auto" سيُلحق المخرجات بحرف سطر جديد واحد فقط عند كتابة بيانات الاعتماد إلى TTY.

أُضيف في الإصدار 250.

عند تحديده مع encrypt، يتحكم في عرض الاعتماد المُعمّى كإعداد SetCredentialEncrypted= الذي يمكن لصقه مباشرة في ملف وحدة. له تأثير فقط عند استخدامه مع --name= و "-" كملف مخرجات.

أُضيف في الإصدار 250.

عند تحديده مع الأمر encrypt، يتحكم في اسم الاعتماد المُضمّن في بيانات الاعتماد المُعمّاة. إذا لم يُحدد، يُختار الاسم آليًا من مكون اسم الملف لمسار المخرجات المحدد. إذا حُدده كسلسلة فارغة، لا يُضمّن اسم اعتماد في الاعتماد المُعمّى، ولا يُجرى التحقق من اسم الاعتماد عند فك تعمية الاعتماد.

عند تحديده مع الأمر decrypt، يتحكم في اسم الاعتماد للتحقق من اسم الاعتماد المُضمّن في الاعتماد المُعمّى. إذا لم يُحدد، يُختار الاسم آليًا من مكون اسم الملف لمسار الإدخال المحدد. إذا لم يُضمّن اسم اعتماد في ملف الاعتماد المُعمّى (أي اُستخدم --name= بسلسلة فارغة عند التعمية)، فإن الاسم المحدد لا تأثير له حيث لا يُجرى التحقق من اسم الاعتماد.

يُجرى تضمين اسم الاعتماد في الاعتماد المُعمّى للحماية من إعادة استخدام الاعتمادات لأغراض لم تكن مخصصة لها أصلاً، بافتراض اختيار اسم الاعتماد بعناية لترميز غرضه المقصود.

أُضيف في الإصدار 250.

عند تحديده مع الأمر encrypt، يتحكم في الطابع الزمني المُضمّن في الاعتماد المُعمّى. المبدئي هو الوقت الحالي. يقبل مواصفات طابع زمني بالتنسيق الموصوف في systemd.time(7).

عند تحديده مع الأمر decrypt، يتحكم في الطابع الزمني المستخدم للتحقق من الطابع الزمني "not-after" المكون باستخدام --not-after= أثناء التعمية. إذا لم يُحدد، المبدئي هو وقت النظام الحالي.

أُضيف في الإصدار 250.

عند تحديده مع الأمر encrypt، يتحكم في الوقت الذي لن يُستخدم فيه الاعتماد بعد ذلك. هذا يُضمّن الطابع الزمني المحدد في الاعتماد المُعمّى. أثناء فك التعمية، يُفحص الطابع الزمني مقابل ساعة النظام الحالية، وإذا كان الطابع الزمني في الماضي، سيفشل فك التعمية. مبدئيًا، لا يُعين أي طابع زمني من هذا القبيل. يقبل مواصفات طابع زمني بالتنسيق الموصوف في systemd.time(7).

أُضيف في الإصدار 250.

عند تحديده مع الأمر encrypt، يتحكم في مفتاح التعمية/التوقيع المستخدم. يقبل إحدى القيم "host" أو "tpm2" أو "host+tpm2" أو "null" أو "auto" أو "auto-initrd". انظر أعلاه للحصول على تفاصيل حول أنواع المفاتيح. إذا عُين إلى "auto" (وهو المبدئي)، يُستخدم مفتاح TPM2 إذا تم العثور على جهاز TPM2 وليس قيد التشغيل في حاوية. يُستخدم مفتاح المضيف إذا كان /var/lib/systemd/ على وسائط دائمة. هذا يعني أنه في الأنظمة النموذجية، يكون التعمية مبدئيًا مرتبطًا بشريحة TPM2 وتثبيت نظام التشغيل، ويجب أن يكون كلاهما متاحًا لفك تعمية الاعتماد مرة أخرى. إذا اُختير "auto" ولكن لا TPM2 متاح (أو قيد التشغيل في حاوية) ولا /var/lib/systemd/ على وسائط دائمة، سيفشل التعمية. إذا عُين إلى "null"، يُستخدم مفتاح بطول صفري ثابت (وبالتالي، في هذا الوضع لا تُوفر السرية ولا الأصالة!). هذا المنطق مفيد لتغطية الأنظمة التي تفتقر إلى شريحة TPM2 ولكن حيث يجب إنشاء الاعتمادات. لاحظ أن فك تعمية هذه الاعتمادات يُرفض على الأنظمة التي تحتوي على شريحة TPM2 وحيث يكون UEFI SecureBoot ممكّنًا (يُفعل هذا لمنع خداع نظام مقفل لتحميل اعتماد مولّد بهذه الطريقة يفتقر إلى معلومات الاستيثاق. إذا كان UEFI SecureBoot أو TPM2 غير متاحين، فإن تحميل هذه الاعتمادات مسموح به مبدئيًا). إذا عُين إلى "auto-initrd"، يُستخدم مفتاح TPM2 إذا عُثر على TPM2. إذا لم يُعثر عليه، يُستخدم مفتاح بطول صفري ثابت، مكافئ لوضع "null". هذا الخيار مفيد بشكل خاص لإنشاء ملفات اعتماد مُعمّاة/مُوثقة ضد TPM2 حيثما كان متاحًا ولكنها لا تزال تعمل على الأنظمة التي تفتقر إلى دعم هذا. يمكن استخدام القيمة الخاصة "help" لسرد أنواع المفاتيح المدعومة.

المفتاح -H هو اختصار لـ --with-key=host. وبالمثل، -T هو اختصار لـ --with-key=tpm2.

عند تعمية اعتمادات ستُستخدم في initrd (حيث /var/lib/systemd/ غير متاح عادةً)، تأكد من استخدام وضع --with-key=auto-initrd لتعطيل الربط بسر المضيف.

هذا المفتاح لا تأثير له على الأمر decrypt، حيث أن معلومات المفتاح المستخدم لفك التعمية مضمنة بالفعل في الاعتماد المُعمّى.

أُضيف في الإصدار 250.

يتحكم في جهاز TPM2 المستخدم. يتوقع مسار عقدة جهاز يشير إلى شريحة TPM2 (مثل /dev/tpmrm0). بدلاً من ذلك، يمكن تحديد القيمة الخاصة "auto" لتحديد عقدة الجهاز لجهاز TPM2 مناسب آليًا (يجب أن يكون هناك جهاز واحد بالضبط). يمكن استخدام القيمة الخاصة "list" لسرد جميع أجهزة TPM2 المناسبة المكتشفة حاليًا.

أُضيف في الإصدار 250.

يُهيئ سجلات تكوين المنصة (PCRs) الخاصة بـ TPM2 لربط مفتاح التعمية بها. يقبل قائمة مفصولة بـ "+" من فهارس PCR رقمية في النطاق 0...23. إذا حُدد سلسلة فارغة، لا يُربط مفتاح التعمية بأي PCRs على الإطلاق (وهذا أيضًا هو المبدئي إذا لم يُستخدم هذا الخيار). للحصول على تفاصيل حول PCRs المتاحة، راجع توثيق المفتاح الذي يحمل نفس الاسم لـ systemd-cryptenroll(1).

أُضيف في الإصدار 250.

يقوم بإعداد سياسة PCR موقعة بواسطة TPM2 لربط التعمية بها، لاستخدامها مع الأمر encrypt. يقبل الخيار --tpm2-public-key= مسارًا إلى مفتاح عام RSA مشفر بتنسيق PEM، لربط التشفير به. إذا لم يحُدد ذلك صراحةً، ولكن يوجد ملف tpm2-pcr-public-key.pem في أحد الدلائل /etc/systemd/، /run/systemd/، /usr/lib/systemd/ (البحث بهذا الترتيب)، فسيتم استخدامه تلقائيًا. يأخذ الخيار --tpm2-public-key-pcrs= قائمة بفهارس TPM2 PCR للربط بها (نفس صيغة --tpm2-pcrs= الموضحة أعلاه). إذا لم يُحدد، فإن القيمة المبدئية هي 11 (أي. أن هذا يربط السياسة بأي صورة نواة موحدة يمكن توفير توقيع PCR لها).

لاحظ الفرق بين B و --tpm-public-key-pcrs=: الأول يربط فك التعمية بقيم PCR الحالية والمحددة؛ بينما الثاني يربط فك التعمية بأي مجموعة من قيم PCR التي يمكن تقديم توقيع لها بواسطة المفتاح العام المحدد. وبالتالي فإن الأخير أكثر فائدة في السيناريوهات التي يجب أن تكون فيها تحديثات البرامج ممكنة دون فقدان الوصول إلى جميع الأسرار المعماة سابقًا.

أُضيف في الإصدار 252.

يستقبل مسارًا إلى ملف توقيع PCR الخاص بـ TPM2، المُنشأ بواسطة أداة systemd-measure(1)، والذي يمكن استخدامه للسماح للأمر decrypt بفك تعمية بيانات التوثيق المرتبطة بقيم PCR موقعة محددة. إذا لم يُحدد ذلك صراحةً، وحاولت فك تعمية بيانات التوثيق ذات سياسة PCR موقعة، سيُبحث عن ملف توقيع مناسب tpm2-pcr-signature.json في /etc/systemd/، /run/systemd/، /usr/lib/systemd/ (بهذا الترتيب) ويُستخدم.

أُضيف في الإصدار 252.

السماح بفك تعمية بيانات التوثيق التي تستخدم مفتاحًا فارغًا. مبدئيًا لا يُسمح بفك تعمية بيانات التوثيق المعماة/الموثقة باستخدام مفتاح فارغ إلا في حالة إيقاف تشغيل UEFI SecureBoot أو في حالة عدم توفر TPM2.

أُضيف في الإصدار 256.

رفض فك تعمية بيانات الاعتماد التي تستخدم مفتاحًا فارغًا، بغض النظر عن حالة UEFI SecureBoot أو توفر TPM2 (انظر أعلاه).

أُضيف في الإصدار 259.

كتم المخرجات الإضافية.

أُضيف في الإصدار 251.

لا تمرر المخرجات إلى برنامج عرض (pager).

لا تطبع مفتاح الرموز، أي ترويسات الأعمدة والتذييل المزود بالتلميحات.

يظهر المخرجات منسقة بصيغة JSON. يتوقع أحد الخيارات: "short" (لأقصر مخرج ممكن دون أي مسافات زائدة أو فواصل أسطر)، أو "pretty" (لنسخة جميلة من المخرج نفسه، مع إزاحة وفواصل أسطر) أو "off" (لإيقاف مخرجات JSON، وهو الخيار المبدئي).

# echo -n hunter2 | systemd-creds encrypt - password.cred

# systemd-creds decrypt password.cred
hunter2

# systemd-ask-password -n | systemd-creds encrypt --name=mysql-password -p - -
🔐 Password: ****
SetCredentialEncrypted=mysql-password: \


        k6iUCUh0RJCQyvL8k8q1UyAAAAABAAAADAAAABAAAAASfFsBoPLIm/dlDoGAAAAAAAAAA \


        NAAAAAgAAAAAH4AILIOZ3w6rTzYsBy9G7liaCAd4i+Kpvs8mAgArzwuKxd0ABDjgSeO5k \


        mKQc58zM94ZffyRmuNeX1lVHE+9e2YD87KfRFNoDLS7F3YmCb347gCiSk2an9egZ7Y0Xs \


        700Kr6heqQswQEemNEc62k9RJnEl2q7SbcEYguegnPQUATgAIAAsAAAASACA/B90W7E+6 \


        yAR9NgiIJvxr9bpElztwzB5lUJAxtMBHIgAQACCaSV9DradOZz4EvO/LSaRyRSq2Hj0ym \


        gVJk/dVzE8Uxj8H3RbsT7rIBH02CIgm/Gv1ukSXO3DMHmVQkDG0wEciyageTfrVEer8z5 \


        9cUQfM5ynSaV2UjeUWEHuz4fwDsXGLB9eELXLztzUU9nsAyLvs3ZRR+eEK/A==

# mkdir -p /etc/systemd/system/xyz.service.d
# systemd-ask-password -n | ( echo "[Service]" && systemd-creds encrypt --name=mysql-password -p - - ) >/etc/systemd/system/xyz.service.d/50-password.conf
# systemctl daemon-reload
# systemctl restart xyz.service