macOS benötigt ein Konto mit einem sicheren Token, bevor du lokale Benutzer verwalten kannst, zum Beispiel um ein Passwort zu ändern oder ein neues Konto zu erstellen. Dieser Artikel erklärt, welche Konten einen erhalten, was es erlaubt und wie man einem Factorial IT-Administratorkonto einen gibt.
Überblick
Was ein sicherer Token ist. Es handelt sich um einen Sicherheitsidentifier, den macOS erstellt und mit einem lokalen Benutzerkonto verknüpft. Er existiert auf macOS 10.13 und später, auf APFS-Volumes.
Der Token ist es, der einem Konto erlaubt, die Festplatte mit FileVault zu verschlüsseln und zu entschlüsseln. macOS behandelt ein Konto mit einem Token als "autorisiert" für sensible Aktionen wie:
- FileVault ein- oder auszuschalten
- Das Passwort eines anderen lokalen Benutzers zu ändern (wenn dieser Benutzer einen sicheren Token hat)
- Ein neues lokales Benutzerkonto zu erstellen
- Einem anderen Konto einen sicheren Token zu geben
- Ein lokales Benutzerkonto zu löschen
Ohne einen Token schlagen diese Aktionen fehl, selbst von einem Administratorkonto aus.
Wenn der Mac startet, listet der Bildschirm zur Entsperrung von FileVault nur die Konten mit einem sicheren Token auf. Ein Administratorkonto ohne Token kann die Festplatte nach einem Neustart nicht entsperren. Es kann sich anmelden, sobald ein anderes Konto die Festplatte entsperrt hat.
Ein Konto ohne Token verhält sich weiterhin wie ein normaler Administrator, sobald die Festplatte entsperrt ist: sudo, Apps installieren und Einstellungen, die nicht mit FileVault oder der Startsicherheit zu tun haben. MDM-Befehle wie Lock und Wipe hängen nicht von diesem Konto ab und funktionieren in jedem Fall.
Ein sicherer Token wird gewährt, niemals verschoben. Mehrere Konten auf einem Mac können jeweils einen halten. Du musst niemals einen Token von einem Konto nehmen, um einen anderen zu geben.
Warum es für Factorial IT wichtig ist
Factorial IT nutzt den sicheren Token, um macOS-Benutzer sicher zu verwalten. Wenn du ein Passwort zurücksetzt oder einen Benutzer über die Konsole erstellst, benötigt macOS ein Konto mit einem sicheren Token, um dies durchzuführen. Wenn kein Konto auf dem Mac einen hat, schlägt die Aktion fehl.
Überprüfe den Status des sicheren Tokens
- Öffne Geräte und öffne die Detailseite des Geräts.
- Gehe zum Tab Benutzer. Der Status des sicheren Tokens wird dort angezeigt.
- Überprüfe, dass das macOS-Administratorkonto, das Factorial IT verwendet, einen aktiven sicheren Token hat. Die Benutzerverwaltung funktioniert nur ordnungsgemäß, wenn dies der Fall ist.
Um dies auf dem Mac selbst zu überprüfen, führe aus:
sudo sysadminctl -secureTokenStatus <account>Die Konsole kann bis zu 24 Stunden benötigen, um Änderungen an lokalen Konten im Tab Benutzer anzuzeigen.
So geht's: einem Factorial IT-Administratorkonto einen sicheren Token geben
Konten, die durch die Admin-Verwaltungskontrolle erstellt werden, erhalten keinen sicheren Token, bis sie sich einmal anmelden. Du machst dies einmal pro Mac.
- Überprüfe den Bootstrap-Token. Auf dem Mac führe aus:
sudo profiles status -type bootstraptoken
Du musst Bootstrap Token escrowed to server: YES sehen. Wenn dort NO steht, folge zuerst Escrow a missing bootstrap token unten.
- Hole das Administratorkennwort. Auf der Detailseite des Geräts öffne den Tab Benutzer. Klicke auf der Administratorkarten auf Aktionen > Passwort anzeigen und kopiere es.
- Melde dich als Administratorkonto im Anmeldefenster des Macs an, indem du das Passwort eingibst. SSH-Sitzungen, über Factorial IT ausgeführte Skripte,
suundsudogewähren keinen Token. - Überprüfe das Ergebnis:
sysadminctl -secureTokenStatus <admin account>
Du kannst dich abmelden. Das Konto behält den Token. Die Konsole zeigt den neuen Status innerhalb von 24 Stunden an.
Die Konsole bietet keine Massenaktion, um den Token gleichzeitig dem Administratorkonto auf vielen Macs zu geben. Bei einer großen Flotte beginne mit Macs, die FileVault aktiviert haben, und Macs mit Apple Silicon. Auf diesen blockiert ein fehlender Token das Entsperren beim Start und Software-Updates.
Gewähren oder widerrufen eines sicheren Tokens auf jedem Konto
Beide Befehle werden auf dem Mac selbst ausgeführt.
Um einen sicheren Token zu gewähren:
sysadminctl -secureTokenOn <target account> -password - -adminUser <admin account with a token> -adminPassword -Um einen sicheren Token zu widerrufen:
sysadminctl -secureTokenOff <target account> -password - -adminUser <admin account with a token> -adminPassword -Das - weist sysadminctl an, nach jedem Passwort zu fragen, damit sie nicht in deiner Shell-Historie gespeichert werden. Setze diese Passwörter niemals in ein Ticket oder einen Chat.
In jedem Fall benötigst du das Passwort des Kontos, das du änderst, und das Passwort eines Administratorkontos, das bereits einen sicheren Token hat. Apple verlangt dies: sysadminctl fragt immer nach dem Namen und dem Passwort eines bestehenden Administrators mit einem Token. Es kann nicht aus der Ferne ohne diese Passwörter durchgeführt werden.
Jeder Mac muss mindestens ein Konto mit einem sicheren Token behalten. Wenn du den letzten widerrufst, kann niemand die Festplatte beim Start entsperren und der Mac ist gesperrt.
Wenn kein Konto mit einem Token mehr vorhanden ist, kann nur der FileVault-Wiederherstellungsschlüssel die Festplatte entsperren. Du findest ihn auf der Detailseite des Geräts unter Informationen > Hostinformationen > Wiederherstellungsschlüssel.
sysadminctl und die Systemeinstellungen verhindern beide, dass du den letzten Administrator oder das letzte Konto mit einem sicheren Token löschst.
Bootstrap-Token und Volume-Eigentum
Der Bootstrap-Token ermöglicht es macOS, bei der ersten Anmeldung einen sicheren Token zu vergeben, ohne dass jemand die Anmeldedaten manuell eingeben muss. Apple beschreibt es so:
- Auf macOS 11 und später erhält der allererste Benutzer, dessen Passwort auf dem Mac festgelegt wird, einen sicheren Token.
- Auf macOS 11 und später, wenn ein Konto bei der Erstellung keinen Token erhält und der Gerätemanagementdienst einen Bootstrap-Token hat, gewährt macOS den Token, wenn sich dieser Benutzer anmeldet.
- Auf macOS 10.15.4 und später erstellt macOS einen Bootstrap-Token und hinterlegt ihn beim Gerätemanagementdienst, wenn sich zum ersten Mal ein Konto mit einem sicheren Token anmeldet, sofern der Dienst dies unterstützt.
Auf Macs mit Apple Silicon entscheidet der sichere Token auch über das Volume-Eigentum. Volume-Eigentümer kontrollieren die Einstellungen zur Startsicherheit und autorisieren Software-Updates sowie das Löschen aller Inhalte und Einstellungen:
- Die Person, die den Mac zuerst für den eigenen Gebrauch eingerichtet hat, erhält einen sicheren Token und wird der erste Volume-Eigentümer.
- Wenn ein Bootstrap-Token verfügbar und in Verwendung ist, ist er ebenfalls ein Volume-Eigentümer. Während er anderen Konten sichere Tokens gewährt, macht er sie ebenfalls zu Volume-Eigentümern.
Um die Volume-Eigentümer und den Status des Bootstrap-Tokens auf dem Mac zu sehen:
sudo diskutil apfs listUsers /
sudo profiles status -type bootstraptokenlistUsers listet die Volume-Eigentümer nach GUID. Um herauszufinden, zu welchem Konto eine GUID gehört, suche nach ihrer GeneratedUID:
dscl . -search /Users GeneratedUID <GUID>Hinterlegung eines fehlenden Bootstrap-Tokens
Wenn profiles status escrowed to server: NO anzeigt, führe dies auf dem Mac mit einem Konto aus, das bereits einen sicheren Token hat, normalerweise dem Hauptbenutzer des Macs:
sudo profiles install -type bootstraptokenEs fragt nach dem Namen und dem Passwort dieses Kontos. Führe profiles status -type bootstraptoken erneut aus, um dies zu bestätigen.
Welche Konten einen sicheren Token erhalten (nur macOS)
| Wie das Konto erstellt wurde | Admin-Konto | Nicht-Admin-Konto |
|---|---|---|
| Von Factorial IT während der Zero Touch-Bereitstellung erstellt | Sicherer Token wird automatisch aktiviert | Kein sicherer Token |
| Automatisch durch die Admin-Verwaltung erstellt | Sicherer Token wird beim ersten Login des Kontos gewährt, wenn ein Bootstrap-Token hinterlegt ist (1) | Kein sicherer Token |
| Von dir durch Factorial IT erstellt | Sicherer Token wird beim ersten Login des Kontos gewährt, wenn ein Bootstrap-Token hinterlegt ist (1) | Kein sicherer Token |
| Von dir auf dem Mac erstellt | Sicherer Token, wenn von einem Administratorkonto mit einem Token erstellt | Kein sicherer Token |
Von dir mit sysadminctl, auf dem Mac oder aus der Ferne erstellt |
Sicherer Token, wenn mit einem Administratorkonto, das einen Token hat, erstellt | Sicherer Token, wenn mit einem Administratorkonto, das einen Token hat, erstellt |
(1) Ohne einen hinterlegten Bootstrap-Token gewährt das erste Login keinen Token. Siehe Hinterlegung eines fehlenden Bootstrap-Tokens.
Im Tab Benutzer zeigen Konten, die durch die Admin-Verwaltung erstellt wurden, Quelle: MDM Control an. Andere Konten zeigen keine Quelle an.
Tipps und bewährte Praktiken
- Überprüfe zuerst den Bootstrap-Token. Die meisten fehlenden Tokens sind auf einen Bootstrap-Token zurückzuführen, der nie hinterlegt wurde.
-
Melde dich am Anmeldefenster an. SSH, Skripte,
suundsudogewähren niemals einen Token. - Priorisiere FileVault und Apple-Silicon-Macs. Dort blockiert ein fehlender Token das Entsperren beim Start und Updates.
- Widerrufe niemals den letzten Token auf einem Mac. Halte mindestens ein Konto mit einem sicheren Token.
-
Halte Passwörter aus der Historie und Chats fern. Verwende
-, damitsysadminctlnach ihnen fragt. - Erlaube bis zu 24 Stunden. Die Konsole benötigt so lange, um einen neuen Status anzuzeigen.
Fehlerbehebung und FAQ
Fehlerbehebung
| Symptom | Ursache | Behebung |
|---|---|---|
| Gewähren eines Tokens schlägt bei den Administratoranmeldeinformationen fehl | Das Administratorkonto, das du verwendet hast, hat selbst keinen sicheren Token | Überprüfe mit sysadminctl -secureTokenStatus, führe dann den Befehl erneut mit einem Konto aus, das einen hat |
| Ein Konto hat keinen Token, obwohl der Mac verwaltet wird | Es wurde ohne Token erstellt und hat sich noch nicht angemeldet | Melde dich einmal mit diesem Konto im Anmeldefenster an, überprüfe dann erneut |
| Immer noch kein Token nach der Anmeldung | Kein Bootstrap-Token ist hinterlegt, oder die Anmeldung erfolgte nicht am Anmeldefenster | Überprüfe profiles status -type bootstraptoken, hinterlege den Token bei Bedarf, melde dich dann erneut am Anmeldefenster an |
| Das Factorial IT-Administratorkonto fehlt auf dem Startbildschirm | Es hat keinen sicheren Token, daher wird es von FileVault nicht aufgelistet | Entsperre den Mac mit dem Hauptbenutzer und gib dann dem Administratorkonto einen Token |
| Das Konto mit dem Token ist kein Administrator | Ein anderer Benutzer hat den Mac zuerst eingerichtet und den ersten sicheren Token erhalten | Verwende dieses Konto als -adminUser, um Tokens zu gewähren, und mache es bei Bedarf zuerst zu einem Administrator |
FAQ
-
Kann ein sicherer Token von einem Konto auf ein anderes verschoben werden?
Nein. Er wird gewährt, nicht verschoben. Mehrere Konten können gleichzeitig einen halten.
-
Kann ich einen Token aus der Ferne von der Konsole gewähren?
Nein. Apple verlangt die Passwörter des Kontos und eines Administrators mit einem Token, auf dem Mac selbst. Für das Factorial IT-Administratorkonto ist eine Anmeldung am Anmeldefenster ausreichend.
-
Benötigen Lock und Wipe einen sicheren Token?
Nein. MDM-Befehle wie diese funktionieren in jedem Fall.
-
Was, wenn kein Konto mehr einen Token hat?
Nur der FileVault-Wiederherstellungsschlüssel kann die Festplatte entsperren. Finde ihn unter Informationen > Hostinformationen > Wiederherstellungsschlüssel auf der Detailseite des Geräts.