> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# FileVault を構成する
> Iru Endpoint を使用して、管理対象の Mac コンピュータで FileVault ディスク暗号化を有効化および構成します。リカバリキーをエスクローし、登録時に暗号化を強制します。
このガイドは Mac コンピュータに適用されます
### FileVault とリカバリキーについて
[FileVault](https://support.apple.com/en-us/HT204837) は、起動ドライブを暗号化する macOS の組み込み機能です。セットアップ中に FileVault は **Recovery Key** を生成します。これにより、FileVault が有効なすべてのユーザーのパスワードを忘れた場合でも、ドライブにアクセスするための追加の手段が提供されます。
* FileVault が Mac コンピュータをどのように保護し、ログイン動作をどのように変更するかについて[詳しく見る](https://support.apple.com/en-us/HT204837)
* FileVault Recovery Key を使用してユーザーのパスワードをリセットする[方法を見る](/ja/endpoint/devices/device-actions/reset-a-macos-user-password)
* FileVault のユーザーエクスペリエンスについて[詳しく見る](/ja/endpoint/library/library-items-profiles/filevault-user-experience)
### FileVault Library Item について
FileVault 2 Library Item は、登録済みの Mac コンピュータで FileVault ディスク暗号化を強制します。Mac コンピュータは再起動後に FileVault のセットアップを完了するよう求められます。
この Library Item を Iru Endpoint Library に追加するには、[Library の概要](/ja/endpoint/library/library-items-profiles/library-overview)の記事に記載されている手順に従ってください。
### FileVault の構成オプション
以下の手順に従って FileVault を構成します。強制とユーザーエクスペリエンスは、Library Item の設定と同じフローの一部です。
**FileVault enforcement** ドロップダウンで次のいずれかを選択します。
* **Enforce immediately upon next login**(推奨):次回のログイン時に FileVault が必須になります。これを選択すると、**Enforce during Setup Assistant for Automated Device Enrollment** オプションが表示されます。
* **Allow user deferral before enforcing**(非推奨):**Prompt for restart if FileVault is not enabled** オプションは非表示になり、代わりに **User Deferral** ドロップダウンが表示されます。ここで、FileVault が有効になる前に許可するログイン試行回数を選択できます。
**推奨:** Automated Device Enrollment を使用して登録するデバイスで、設定アシスタント中に FileVault の強制を試みるには、このオプションをオンにします。
この選択は、[Automated Device Enrollment Library item](/ja/endpoint/settings/apple-integrations/configure-automated-device-enrollment#mac) の FileVault スキップ画面の設定を無視します。エンドユーザーのフロー全体とスクリーンショットについては、[設定アシスタント中の強制とユーザーエクスペリエンス](#enforcement-and-user-experience-during-setup-assistant)を参照してください。
このオプションをオンにすると、FileVault 暗号化を強制するために Mac を強制的に再起動するか、エンドユーザーに再起動を促すよう構成できます。有効にした場合は、必要に応じて **Prompt type**(例:Force a restart after、Remind to restart every...)と **Force after**(例:30 分)を設定します。
デフォルトでは、リカバリキーが作成または再生成されると、FileVault リカバリキーがエンドユーザーに表示されます。一般的なセキュリティ対策として、リカバリキーをエンドユーザーに表示せず、エスクローされたリカバリキーをチームメンバーが Iru Endpoint で確認できるようにします。
このオプションは、リカバリキーを Iru Endpoint に送信し、チームメンバーが確認できるようにします。FileVault が現在有効になっている場合、このオプションにより、Iru Endpoint エージェントはリカバリキーを再生成する前にユーザーに認証を求めます。
このオプションをオンにすると、定期的なスケジュールでリカバリキーが自動的にローテーションされます。有効にした場合は、**Rotate keys after (days)** を希望する期間(例:90 日)に設定します。**Automatically rotate keys after viewing** も有効になっている場合でも、このスケジュールは独立して継続します。Iru Endpoint は RotateFileVaultKey MDM コマンドを使用してキーをローテーションします。
リカバリキーが表示された後にローテーションするには、**Automatically rotate keys after viewing** をオンにします。**Rotate keys after viewing (hours)** で、ローテーションが行われるまでの時間を設定します。デバイスレコードでキーを表示するか、Enterprise API でキーを取得すると、このタイマーが開始されます。Iru Endpoint は RotateFileVaultKey MDM コマンドでキーをローテーションします。
### 設定アシスタント中の強制とユーザーエクスペリエンス
**Enforce during Setup Assistant for Automated Device Enrollment (macOS 14+)** を有効にすると、Iru Endpoint は Automated Device Enrollment を使用して登録するデバイスで、設定アシスタント中に FileVault の強制を試みます。この選択は、[Automated Device Enrollment Library item](/ja/endpoint/settings/apple-integrations/configure-automated-device-enrollment#mac) の FileVault スキップ画面の設定を無視します。
エンドユーザーには、まず FileVault ディスク暗号化のダイアログが表示されます。組織がこの Mac で FileVault を有効にしていることが示され、ユーザーは FileVault ディスク暗号化をオンにして **続ける** を選択するとディスクを暗号化できます(再起動は不要です)。構成によっては **Skip** オプションが表示される場合があります。
次の画面では、FileVault Recovery Key がわかりやすく目立つ形式で表示され、データへのアクセスを失わないようにキーを書き留めて安全な場所に保管するようユーザーに指示します。
### FileVault リカバリキーを表示する
**FileVault Recovery Key** ダイアログでは、表示するまでキーが非表示になっており、Iru は誰がいつキーを表示したかを記録します。表示後の動作は、[FileVault の構成オプション](#filevault-configuration-options)の **Automatically rotate keys after viewing** によって異なります。
* **オン:** キーを表示すると **Rotate keys after viewing (hours)** が開始されます。その時間が経過すると、Iru Endpoint は RotateFileVaultKey MDM コマンドで Mac 上のキーをローテーションします。
* **オフ:** キーは表示後にローテーションされません。**Automatically rotate keys** がオンの場合、キーは引き続きそのスケジュールでローテーションされます。
Enterprise API(`GET /api/v1/devices/{device_id}/secrets/filevaultkey`)でキーを取得することも表示としてカウントされ、同じ設定に従います。
#### FileVault Recovery Key ダイアログを開く
デバイスレコードに移動します。
**デバイスアクションメニュー** を選択します。
**View FileVault2 recovery key** を選択します。
#### 表示後のローテーションがオンの場合
キーは非表示になっています。ダイアログには、キーが表示された後、**Rotate keys after viewing (hours)** で設定した時間が経過すると Mac 上でローテーションされることが記載されています。目のアイコンを選択してキーを表示し、タイマーを開始します。
コピーアイコンを選択してキーをコピーするか、斜線の入った目のアイコンを選択して非表示にします。完了したら **完了** を選択します。
#### 表示後のローテーションがオフの場合
Iru は、FileVault Library Item が表示後にキーをローテーションするよう構成されていないこと、およびキーの表示は引き続き記録されることを通知します。**Okay** を選択して続行します。
キーは非表示になっています。目のアイコンを選択して表示します。
コピーアイコンを選択してキーをコピーするか、斜線の入った目のアイコンを選択して非表示にします。完了したら **完了** を選択します。
### 新しい FileVault リカバリキーを生成する
ターミナルで次のコマンドを実行すると、Mac に新しい FileVault リカバリキーを強制的に生成させることができます。エスクローオプションが有効になっている場合、Iru Endpoint は新しいキーを取得します。
```bash Terminal icon="terminal" theme={null}
sudo fdesetup changerecovery -personal
```
### Parameter:iCloud にエスクローされた FileVault リカバリキーを持つユーザーアカウントを報告する
macOS では、ユーザーが iCloud を通じて Apple Account にリカバリキーを保存できます。不明な第三者がキーを取得できる可能性があるため、企業所有の Mac コンピュータではこれは推奨されません。この Parameter を使用すると、リカバリキーが iCloud に保存されたときにアラートを受け取ることができます。アラートは、ユーザーと協力してアカウントからリカバリキーを削除するよう通知します。
### 暗号化ステータス
APFS ボリュームでは、デバイス詳細の Volumes セクションで **Encrypted: Yes** と表示されるのは Data ボリュームのみです。これは想定どおりの動作です。
Apple T2 Security Chip または Apple silicon を搭載した Mac コンピュータでは、起動ディスクは常に暗号化されているため、FileVault 暗号化はほぼ即座に完了します。その他の Mac コンピュータでは、データ量によって FileVault 暗号化に時間がかかる場合がありますが、暗号化はバックグラウンドで継続されます。
### FileVault のユーザーエクスペリエンス
FileVault Library Item で **Escrow recovery keys to Iru Endpoint** 設定を有効にしている場合、以前に FileVault が有効になっていた Mac が Iru Endpoint に登録されると、エスクローできるように FileVault キーを再生成するようエンドユーザーに自動的に求めます。
FileVault が **Automatically rotate keys** に設定され、パスコードプロファイルで **Maximum Passcode Age** オプションが有効になっている場合、最大期間を超えたパスワードは期限切れとなり、ユーザーは FileVault Recovery Key をローテーションおよびエスクローする前に新しいパスワードを作成する必要があります。
詳細については、[FileVault のユーザーエクスペリエンス](/ja/endpoint/library/library-items-profiles/filevault-user-experience)の記事を参照してください。