Diese Anleitung gilt für Mac-Computer
Über FileVault und Wiederherstellungsschlüssel
FileVault ist eine integrierte Funktion von macOS, die das Startlaufwerk verschlüsselt. Während der Einrichtung generiert FileVault einen Recovery Key (Wiederherstellungsschlüssel), der eine zusätzliche Zugriffsmethode auf das Laufwerk bietet, falls die Passwörter aller FileVault-fähigen Benutzer vergessen werden.- Erfahren Sie mehr darüber, wie FileVault Ihre Mac-Computer schützt und das Anmeldeverhalten ändert
- Erfahren Sie, wie Sie mit dem FileVault Recovery Key das Passwort eines Benutzers zurücksetzen
- Erfahren Sie mehr über die Benutzererfahrung mit FileVault
Über das FileVault Library Item
Das FileVault 2 Library Item erzwingt die FileVault-Festplattenverschlüsselung auf registrierten Mac-Computern. Mac-Computer werden nach einem Neustart aufgefordert, die FileVault-Einrichtung abzuschließen. Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, folgen Sie den Schritten im Artikel Library-Übersicht.FileVault-Konfigurationsoptionen
Konfigurieren Sie FileVault mit den folgenden Schritten. Durchsetzung und Benutzererfahrung sind Teil desselben Ablaufs wie die Einstellungen des Library Items.1
FileVault-Durchsetzung
Wählen Sie im Drop-down-Menü FileVault enforcement:
- Enforce immediately upon next login (empfohlen): FileVault wird bei der nächsten Anmeldung erforderlich. Wenn diese Option ausgewählt ist, erscheint die Option Enforce during Setup Assistant for Automated Device Enrollment.
- Allow user deferral before enforcing (nicht empfohlen): Die Option Prompt for restart if FileVault is not enabled wird ausgeblendet; stattdessen erscheint ein Drop-down-Menü User Deferral, in dem Sie festlegen können, wie viele Anmeldeversuche zulässig sind, bevor FileVault aktiviert wird.
2
Während des Setup Assistant für Automated Device Enrollment erzwingen (macOS 14+)
Empfohlen: Aktivieren Sie diese Option, um zu versuchen, FileVault während des Setup Assistant für Geräte zu erzwingen, die sich über Automated Device Enrollment registrieren.Diese Auswahl ignoriert eine Einstellung zum Überspringen des FileVault-Bildschirms im Automated Device Enrollment Library Item. Unter Durchsetzung und Benutzererfahrung während des Setup Assistant finden Sie den vollständigen Ablauf für Endbenutzer und Screenshots.
3
Zum Neustart auffordern, wenn FileVault nicht aktiviert ist
Aktivieren Sie diese Option, um einen erzwungenen Neustart des Mac zu konfigurieren oder den Endbenutzer an einen Neustart zu erinnern, um die FileVault-Verschlüsselung durchzusetzen. Legen Sie bei Aktivierung nach Bedarf Prompt type (z. B. Force a restart after oder Remind to restart every…) und Force after (z. B. 30 Minuten) fest.
4
Dem Benutzer den FileVault-Wiederherstellungsschlüssel bei der Generierung anzeigen
Standardmäßig wird der FileVault-Wiederherstellungsschlüssel dem Endbenutzer angezeigt, wenn er erstellt oder neu generiert wird. Eine gängige Sicherheitspraxis ist es, den Wiederherstellungsschlüssel dem Endbenutzer nicht anzuzeigen und Teammitgliedern zu ermöglichen, den hinterlegten Schlüssel in Iru Endpoint einzusehen.
5
Wiederherstellungsschlüssel in Iru Endpoint hinterlegen
Diese Option sendet den Wiederherstellungsschlüssel an Iru Endpoint, wo Teammitglieder ihn einsehen können. Wenn FileVault bereits aktiviert ist, fordert der Iru Endpoint Agent den Benutzer aufgrund dieser Option zur Authentifizierung auf, bevor der Wiederherstellungsschlüssel neu generiert wird.
6
Schlüssel automatisch rotieren
Aktivieren Sie diese Option, um den Wiederherstellungsschlüssel automatisch nach einem regelmäßigen Zeitplan zu rotieren. Legen Sie bei Aktivierung unter Rotate keys after (days) den gewünschten Zeitraum fest (zum Beispiel 90 Tage). Dieser Zeitplan läuft eigenständig weiter, wenn auch Automatically rotate keys after viewing aktiviert ist. Iru Endpoint verwendet den MDM-Befehl RotateFileVaultKey, um den Schlüssel zu rotieren.
7
Schlüssel nach dem Anzeigen automatisch rotieren
Aktivieren Sie Automatically rotate keys after viewing, um einen Wiederherstellungsschlüssel zu rotieren, nachdem er angezeigt wurde. Legen Sie unter Rotate keys after viewing (hours) fest, wie schnell diese Rotation erfolgt. Das Anzeigen des Schlüssels im Gerätedatensatz oder das Abrufen über die Enterprise API startet diesen Timer. Iru Endpoint rotiert den Schlüssel mit dem MDM-Befehl RotateFileVaultKey.
Durchsetzung und Benutzererfahrung während des Setup Assistant
Wenn Sie Enforce during Setup Assistant for Automated Device Enrollment (macOS 14+) aktivieren, versucht Iru Endpoint, FileVault während des Setup Assistant für Geräte zu erzwingen, die sich über Automated Device Enrollment registrieren. Diese Auswahl ignoriert eine Einstellung zum Überspringen des FileVault-Bildschirms im Automated Device Enrollment Library Item. Der Endbenutzer sieht zunächst einen Dialog zur FileVault-Festplattenverschlüsselung: Die Organisation hat FileVault für den Mac aktiviert, und der Benutzer kann die FileVault-Festplattenverschlüsselung einschalten und Fortfahren auswählen, um die Festplatte zu verschlüsseln (kein Neustart erforderlich). Je nach Konfiguration kann eine Option Skip angezeigt werden.
FileVault-Wiederherstellungsschlüssel anzeigen
Der Dialog FileVault Recovery Key verbirgt den Schlüssel, bis Sie ihn anzeigen, und Iru protokolliert, wer den Schlüssel wann angesehen hat. Was nach dem Anzeigen passiert, hängt von Automatically rotate keys after viewing in den FileVault-Konfigurationsoptionen ab:- Ein: Das Anzeigen des Schlüssels startet Rotate keys after viewing (hours). Nach Ablauf dieser Zeit rotiert Iru Endpoint den Schlüssel auf dem Mac mit dem MDM-Befehl RotateFileVaultKey.
- Aus: Der Schlüssel wird nach dem Anzeigen nicht rotiert. Wenn Automatically rotate keys aktiviert ist, wird der Schlüssel weiterhin nach diesem Zeitplan rotiert.
GET /api/v1/devices/{device_id}/secrets/filevaultkey) zählt als Anzeigen und folgt derselben Einstellung.
Den Dialog FileVault Recovery Key öffnen
1
Zum Gerätedatensatz navigieren
Navigieren Sie zum Gerätedatensatz.
2
Geräteaktionsmenü öffnen
Wählen Sie das Geräteaktionsmenü.
3
Wiederherstellungsschlüssel anzeigen
Wählen Sie View FileVault2 recovery key.
Wenn die Rotation nach dem Anzeigen aktiviert ist
1
Wiederherstellungsschlüssel anzeigen
Der Schlüssel ist verborgen. Der Dialog weist darauf hin, dass der Schlüssel nach dem Anzeigen nach der unter Rotate keys after viewing (hours) festgelegten Stundenzahl auf dem Mac rotiert wird. Wählen Sie das Augensymbol, um den Schlüssel anzuzeigen und den Timer zu starten.
2
Schlüssel kopieren oder verbergen
Wählen Sie das Kopiersymbol, um den Schlüssel zu kopieren, oder das durchgestrichene Augensymbol, um ihn zu verbergen. Wählen Sie Fertig, wenn Sie fertig sind.
Wenn die Rotation nach dem Anzeigen deaktiviert ist
1
Rotationshinweis bestätigen
Iru weist darauf hin, dass das FileVault Library Item nicht für die Rotation des Schlüssels nach dem Anzeigen konfiguriert ist und dass das Anzeigen des Schlüssels dennoch protokolliert wird. Wählen Sie Okay, um fortzufahren.
2
Wiederherstellungsschlüssel anzeigen
Der Schlüssel ist verborgen. Wählen Sie das Augensymbol, um ihn anzuzeigen.
3
Schlüssel kopieren oder verbergen
Wählen Sie das Kopiersymbol, um den Schlüssel zu kopieren, oder das durchgestrichene Augensymbol, um ihn zu verbergen. Wählen Sie Fertig, wenn Sie fertig sind.
Einen neuen FileVault-Wiederherstellungsschlüssel generieren
Sie können einen Mac zwingen, einen neuen FileVault-Wiederherstellungsschlüssel zu generieren, indem Sie den folgenden Befehl im Terminal ausführen. Iru Endpoint erfasst dann den neuen Schlüssel, wenn die Hinterlegungsoption aktiviert ist.Terminal
Parameter: Benutzerkonten mit in iCloud hinterlegten FileVault Recovery Keys melden
macOS ermöglicht es Benutzern, Wiederherstellungsschlüssel über iCloud in ihrem Apple Account zu speichern. Dies wird für unternehmenseigene Mac-Computer nicht empfohlen, da eine unbekannte Partei die Schlüssel möglicherweise abrufen kann. Verwenden Sie diesen Parameter, um eine Warnung zu erhalten, wenn ein Wiederherstellungsschlüssel in iCloud gespeichert wird. Die Warnung erinnert Sie daran, gemeinsam mit dem Benutzer den Wiederherstellungsschlüssel aus seinem Konto zu entfernen.
Verschlüsselungsstatus
Bei APFS-Volumes werden im Abschnitt Volumes der Gerätedetails nur die Data-Volumes als Encrypted: Yes angezeigt. Dies ist das erwartete Verhalten.