关于Linux密钥保留子系统中密钥环命名规则的疑问

一、%:前缀的含义 #

%:是keyctl命令中用来指定内核级特殊密钥环的专属前缀。以你用到的keyctl show %:.fs-verity为例：

• %代表要访问内核密钥空间，而非用户自定义的用户空间密钥/密钥环
• :是分隔符，用来区分前缀与后续的密钥环名称
• .fs-verity是内核预定义的专用密钥环，专门存储fs-verity功能所需的验证密钥

如果直接输入.fs-verity，keyctl会默认在用户空间查找对应名称的密钥或密钥环，自然无法定位到内核里的.fs-verity密钥环，因此报错。

二、设计这个前缀的原因 #

• 区分密钥空间：Linux密钥系统分为用户空间和内核空间两个独立区域，普通名称默认指向用户空间，%:前缀强制指定内核空间，避免不同空间下的命名冲突。
• 访问内核专属资源：.fs-verity这类密钥环是内核为特定安全功能维护的专属资源，仅存在于内核密钥空间中，必须通过%:前缀才能被keyctl识别定位。
• 消除操作歧义：仅输入名称时，keyctl无法判断目标是密钥还是密钥环，%:前缀能明确告知命令：要操作的是内核中的密钥环对象。

三、相关参考说明 #

内核官方文档的密钥保留系统章节明确了keyctl的密钥描述符规则：

使用%:前缀可访问内核维护的特殊密钥环，这类密钥环由内核自身管理，服务于fs-verity、内核模块签名验证等特定安全功能。

内容的提问来源于stack exchange，提问作者Morix Dev