Esta guía se aplica a computadoras Mac
Acerca de FileVault y las claves de recuperación
FileVault es una función integrada de macOS que cifra el disco de arranque. Durante la configuración, FileVault genera una clave de recuperación (Recovery Key), que ofrece un método adicional de acceso al disco en caso de que se olviden las contraseñas de todos los usuarios con FileVault habilitado.- Obtén más información sobre cómo FileVault protege tus computadoras Mac y cambia el comportamiento del inicio de sesión
- Aprende a usar la FileVault Recovery Key para restablecer la contraseña de un usuario
- Obtén información sobre la experiencia del usuario con FileVault
Acerca del Library Item de FileVault
El Library Item de FileVault 2 aplica el cifrado de disco FileVault en las computadoras Mac inscritas. Se solicita a las computadoras Mac que completen la configuración de FileVault después de reiniciarse. Para agregar este Library Item a tu Library de Iru Endpoint, sigue los pasos descritos en el artículo Descripción general de la Library.Opciones de configuración de FileVault
Configura FileVault siguiendo los pasos a continuación. La aplicación y la experiencia del usuario forman parte del mismo flujo que la configuración del Library Item.1
Aplicación de FileVault
Usa el menú desplegable FileVault enforcement para elegir:
- Enforce immediately upon next login (recomendado): FileVault es obligatorio en el siguiente inicio de sesión. Cuando se selecciona, aparece la opción Enforce during Setup Assistant for Automated Device Enrollment.
- Allow user deferral before enforcing (no recomendado): la opción Prompt for restart if FileVault is not enabled se oculta; en su lugar aparece un menú desplegable User Deferral para que selecciones cuántos intentos de inicio de sesión se permiten antes de que se habilite FileVault.
2
Aplicar durante el Asistente de configuración para Automated Device Enrollment (macOS 14+)
Recomendado: marca esta opción para intentar aplicar FileVault durante el Asistente de configuración en los dispositivos que se inscriben mediante Automated Device Enrollment.Esta selección ignora la configuración de omitir la pantalla de FileVault en el Library item de Automated Device Enrollment. Consulta Aplicación y experiencia del usuario durante el Asistente de configuración para ver el flujo completo del usuario final y capturas de pantalla.
3
Solicitar reinicio si FileVault no está habilitado
Marca esta opción para configurar el reinicio forzado de la Mac o recordar al usuario final que reinicie para aplicar el cifrado de FileVault. Cuando esté habilitada, configura Prompt type (por ejemplo, Force a restart after o Remind to restart every…) y Force after (por ejemplo, 30 minutos) según sea necesario.
4
Mostrar al usuario la clave de recuperación de FileVault cuando se genere
De forma predeterminada, la clave de recuperación de FileVault se muestra al usuario final cuando se crea o se vuelve a generar. Una práctica de seguridad común es no mostrar la clave de recuperación al usuario final y permitir que los miembros del equipo vean la clave custodiada en Iru Endpoint.
5
Custodiar las claves de recuperación en Iru Endpoint
Esta opción envía la clave de recuperación a Iru Endpoint, donde los miembros del equipo pueden verla. Si FileVault ya está habilitado, esta opción hará que el agente de Iru Endpoint solicite al usuario que se autentique antes de volver a generar la clave de recuperación.
6
Rotar claves automáticamente
Marca esta opción para rotar automáticamente la clave de recuperación de forma periódica. Cuando esté habilitada, configura Rotate keys after (days) con el período que desees (por ejemplo, 90 días). Esta programación continúa por sí sola cuando también está habilitada la opción Automatically rotate keys after viewing. Iru Endpoint usa el comando MDM RotateFileVaultKey para rotar la clave.
7
Rotar claves automáticamente después de verlas
Marca Automatically rotate keys after viewing para rotar una clave de recuperación después de que se muestre. Configura Rotate keys after viewing (hours) para indicar qué tan pronto ocurre esa rotación. Mostrar la clave en el registro del dispositivo, o recuperarla con la Enterprise API, inicia este temporizador. Iru Endpoint rota la clave con el comando MDM RotateFileVaultKey.
Aplicación y experiencia del usuario durante el Asistente de configuración
Cuando habilitas Enforce during Setup Assistant for Automated Device Enrollment (macOS 14+), Iru Endpoint intenta aplicar FileVault durante el Asistente de configuración en los dispositivos que se inscriben mediante Automated Device Enrollment. Esta selección ignora la configuración de omitir la pantalla de FileVault en el Library item de Automated Device Enrollment. El usuario final ve primero un cuadro de diálogo de cifrado de disco FileVault: la organización ha habilitado FileVault para la Mac, y el usuario puede activar el cifrado de disco FileVault y seleccionar Continuar para cifrar el disco (no requiere reinicio). Es posible que aparezca la opción Skip según la configuración.
Ver las claves de recuperación de FileVault
El cuadro de diálogo FileVault Recovery Key oculta la clave hasta que la muestras, e Iru registra quién vio la clave y cuándo. Lo que sucede después de verla depende de la opción Automatically rotate keys after viewing en Opciones de configuración de FileVault:- Activada: mostrar la clave inicia Rotate keys after viewing (hours). Cuando transcurre ese tiempo, Iru Endpoint rota la clave en la Mac con el comando MDM RotateFileVaultKey.
- Desactivada: la clave no se rota después de verla. Si Automatically rotate keys está activada, la clave se sigue rotando según esa programación.
GET /api/v1/devices/{device_id}/secrets/filevaultkey) cuenta como una visualización y sigue la misma configuración.
Abrir el cuadro de diálogo FileVault Recovery Key
1
Ir al registro del dispositivo
Ve al registro del dispositivo (Device Record).
2
Acceder al menú de acciones del dispositivo
Selecciona el Menú de acciones del dispositivo.
3
Ver la clave de recuperación
Selecciona View FileVault2 recovery key.
Cuando la rotación después de verla está activada
1
Mostrar la clave de recuperación
La clave está oculta. El cuadro de diálogo indica que, después de mostrar la clave, esta se rota en la Mac tras las horas que configuraste en Rotate keys after viewing (hours). Selecciona el icono del ojo para mostrar la clave e iniciar ese temporizador.
2
Copiar u ocultar la clave
Selecciona el icono de copiar para copiar la clave, o selecciona el icono del ojo tachado para ocultarla. Selecciona Listo cuando termines.
Cuando la rotación después de verla está desactivada
1
Continuar tras el aviso de rotación
Iru indica que el Library Item de FileVault no está configurado para rotar la clave después de verla, y que la visualización de la clave se sigue registrando. Selecciona Okay para continuar.
2
Mostrar la clave de recuperación
La clave está oculta. Selecciona el icono del ojo para mostrarla.
3
Copiar u ocultar la clave
Selecciona el icono de copiar para copiar la clave, o selecciona el icono del ojo tachado para ocultarla. Selecciona Listo cuando termines.
Generar una nueva clave de recuperación de FileVault
Puedes forzar a una Mac a generar una nueva clave de recuperación de FileVault ejecutando el siguiente comando en Terminal. Iru Endpoint captura la nueva clave si la opción de custodia está habilitada.Terminal
Parameter: informar las cuentas de usuario con claves de recuperación de FileVault custodiadas en iCloud
macOS permite a los usuarios almacenar las claves de recuperación con su Apple Account a través de iCloud. Esto no se recomienda para computadoras Mac propiedad de la empresa, ya que un tercero desconocido podría recuperar las claves. Usa este parámetro para recibir una alerta cuando se almacene una clave de recuperación en iCloud. La alerta te recuerda que debes colaborar con el usuario para eliminar la clave de recuperación de su cuenta.
Estado del cifrado
Con los volúmenes APFS, solo los volúmenes de datos (Data) se mostrarán como Encrypted: Yes en la sección Volumes de Device Details. Este es el comportamiento esperado.