全盘加密功能可在UOS安装阶段启用，基于LUKS标准对系统磁盘底层加密，关机时数据全为密文；安装时勾选全盘加密并设强密码，重启后需输密登录；亦支持cryptsetup手动加密非系统盘或TPM自动解锁。

如果您在安装统信UOS系统时希望从源头保障数据安全，则可在全盘安装阶段直接启用全盘加密功能。该功能基于LUKS标准实现，对整个系统磁盘进行底层块设备级加密，确保关机状态下所有数据均以密文形式存储。以下是具体操作步骤：

一、安装过程中启用全盘加密

此方法在首次安装UOS系统时执行，通过图形化安装向导完成配置，无需额外命令行操作，加密策略由系统自动部署至根分区。

1、完成启动U盘制作并从U盘启动进入安装界面。

2、在语言选择后进入安装类型页面，选择全盘安装模式。

3、单击目标硬盘（如/dev/sda），确保其为系统将要写入的主磁盘。

4、勾选全盘加密复选框（默认未勾选）。

5、点击“下一步”，进入全盘加密设置界面。

6、输入不少于8位的加密密码，需包含大小写字母、数字及特殊符号。

7、确认密码后点击“继续”，系统开始执行加密初始化与系统镜像写入流程。

8、安装完成后重启，拔出U盘，首次启动时将显示密码输入框。

二、使用cryptsetup手动配置LUKS全盘加密

此方法适用于已安装系统但尚未加密的场景，或需对非系统盘（如第二块物理磁盘）实施独立全盘加密。操作涉及底层设备管理，要求用户具备基础Linux命令能力，并提前完成重要数据备份。

1、打开终端，执行sudo lsblk识别待加密磁盘（如/dev/sdb），确认其无挂载且无关键数据。

2、执行sudo apt install cryptsetup安装LUKS管理工具。

3、执行sudo cryptsetup luksFormat /dev/sdb，输入大写YES确认，随后设置强密码。

4、执行sudo cryptsetup luksOpen /dev/sdb uos_full_disk，输入密码以创建映射设备/dev/mapper/uos_full_disk。

5、执行sudo mkfs.ext4 /dev/mapper/uos_full_disk格式化加密卷。

6、创建挂载点：sudo mkdir -p /mnt/encrypted-disk。

7、挂载使用：sudo mount /dev/mapper/uos_full_disk /mnt/encrypted-disk。

8、使用完毕后执行sudo umount /mnt/encrypted-disk && sudo cryptsetup luksClose uos_full_disk锁定设备。

三、启用TPM辅助的自动解锁机制

此方法在LUKS加密基础上引入可信平台模块（TPM）支持，使系统在满足硬件条件时于开机引导阶段自动解密磁盘，避免每次手动输入密码，同时维持高安全性。需主板固件启用TPM 2.0并完成初始化。

1、确认TPM状态：执行sudo tpm2_getcap properties.fixed，检查输出中是否含TPM2_PT_FIXED_PROP_1_16字段。

2、安装TPM工具包：sudo apt install tpm2-tools tpm2-abrmd。

3、启动TPM服务：sudo systemctl enable --now tpm2-abrmd。

4、将当前LUKS卷与TPM绑定：sudo clevis luks bind -d /dev/sdb tang --tpm2。

5、验证绑定结果：sudo cryptsetup luksDump /dev/sdb | grep -A5 "Keyslots"，确认出现tpm2类型密钥槽。

6、重启系统，观察GRUB引导日志是否出现TPM解锁成功提示。