macOS demana un compte amb un token segur abans de deixar-te gestionar usuaris locals, per exemple, per canviar una contrasenya o crear un nou compte. Aquest article explica quins comptes en reben un, què permet i com donar-ne un al compte d'administrador IT de Factorial.
Visió general
Què és un token segur. És un identificador de seguretat que macOS crea i vincula a un compte d'usuari local. Existeix a macOS 10.13 i posteriors, en volums APFS.
El token és el que permet a un compte xifrar i desxifrar el disc amb FileVault. macOS tracta un compte amb un token com a "autoritzat" per a accions sensibles com ara:
- Activar o desactivar FileVault
- Canviar la contrasenya d'un altre usuari local (si aquest usuari té un token segur)
- Crear un nou usuari local
- Donar un token segur a un altre compte
- Eliminar un compte d'usuari local
Sense un token, aquestes accions fallen, fins i tot des d'un compte d'administrador.
Quan el Mac s'inicia, la pantalla de desbloqueig de FileVault només mostra els comptes amb un token segur. Un compte d'administrador sense token no pot desbloquejar el disc després d'un reinici. Pot iniciar sessió un cop un altre compte hagi desbloquejat el disc.
Un compte sense token encara es comporta com un administrador normal un cop el disc està desbloquejat: sudo, instal·lant aplicacions i configuracions no relacionades amb FileVault o seguretat d'inici. Els comandos MDM com ara Lock i Wipe no depenen d'aquest compte i funcionen en qualsevol cas.
Un token segur és concedit, mai mogut. Diversos comptes en un Mac poden tenir-ne un cadascun. Mai no cal treure un token d'un compte per donar-ne un a un altre.
Per què és important per a Factorial IT
Factorial IT utilitza el token segur per gestionar usuaris de macOS de manera segura. Quan restableixes una contrasenya o crees un usuari des de la consola, macOS necessita un compte amb un token segur per dur-ho a terme. Si cap compte al Mac en té un, l'acció falla.
Comprova l'estat del token segur
- Obre Dispositius i obre la pàgina de detalls del dispositiu.
- Ves a la pestanya Usuaris. L'estat del token segur s'hi mostra.
- Comprova que el compte d'administrador de macOS que utilitza Factorial IT tingui un token segur actiu. La gestió d'usuaris només funciona correctament si el té.
Per comprovar-ho al Mac mateix, executa:
sudo sysadminctl -secureTokenStatus <account>La consola pot trigar fins a 24 hores a mostrar canvis als comptes locals a la pestanya Usuaris.
Com utilitzar: donar un token segur al compte d'administrador IT de Factorial
Els comptes creats pel control de gestió Admin no reben cap token segur fins que inicien sessió una vegada. Ho fas una vegada per Mac.
- Comprova el token de bootstrap. Al Mac, executa:
sudo profiles status -type bootstraptoken
Has de veure Bootstrap Token escrowed to server: YES. Si diu NO, primer segueix Escrow a missing bootstrap token a continuació.
- Obté la contrasenya d'administrador. A la pàgina de detalls del dispositiu, obre la pestanya Usuaris. A la targeta del compte d'administrador, fes clic a Accions > Mostrar contrasenya i copia-la.
- Inicia sessió com a compte d'administrador des de la finestra d'inici de sessió del Mac, escrivint la contrasenya. Les sessions SSH, scripts executats a través de Factorial IT,
suisudono concedeixen un token. - Comprova el resultat:
sysadminctl -secureTokenStatus <admin account>
Pots tancar sessió. El compte manté el token. La consola mostra el nou estat en un termini de 24 hores.
La consola no té cap acció en massa per donar el token al compte d'administrador en molts Macs alhora. En una gran flota, comença amb Macs que tenen FileVault activat i Macs amb Apple silicon. En aquests, un token que falta bloqueja el desbloqueig a l'inici i les actualitzacions de programari.
Concedir o revocar un token segur a qualsevol compte
Ambdós comandos s'executen al Mac mateix.
Per concedir un token segur:
sysadminctl -secureTokenOn <target account> -password - -adminUser <admin account with a token> -adminPassword -Per revocar un token segur:
sysadminctl -secureTokenOff <target account> -password - -adminUser <admin account with a token> -adminPassword -El - indica a sysadminctl que demani cada contrasenya, de manera que es mantinguin fora de l'historial de la teva shell. Mai posis aquestes contrasenyes en un tiquet o en un xat.
De qualsevol manera, necessites la contrasenya del compte que estàs canviant i la contrasenya d'un compte d'administrador que ja té un token segur. Apple requereix això: sysadminctl sempre demana el nom i la contrasenya d'un administrador existent amb un token. No es pot fer de manera remota sense aquestes contrasenyes.
Cada Mac ha de mantenir almenys un compte amb un token segur. Si revocas l'últim, ningú pot desbloquejar el disc a l'inici i el Mac queda bloquejat.
Si no queda cap compte amb un token, només la clau de recuperació de FileVault pot desbloquejar el disc. La trobaràs a la pàgina de detalls del dispositiu, sota Informació > Informació de l'amfitrió > Clau de recuperació.
sysadminctl i Configuracions del sistema t'impedeixen eliminar l'últim administrador o l'últim compte amb un token segur.
Token de bootstrap i propietat del volum
El token de bootstrap permet a macOS concedir un token segur en el primer inici de sessió, sense que ningú hagi d'introduir les credencials manualment. Apple ho descriu així:
- A macOS 11 i posteriors, el primer usuari el qual la contrasenya es configura al Mac obté un token segur.
- A macOS 11 i posteriors, si un compte no obté un token quan es crea i el servei de gestió de dispositius té un token de bootstrap, macOS concedeix el token quan aquell usuari inicia sessió.
- A macOS 10.15.4 i posteriors, macOS crea un token de bootstrap i el diposita amb el servei de gestió de dispositius la primera vegada que qualsevol compte amb un token segur inicia sessió, si el servei ho suporta.
En Macs amb Apple silicon, el token segur també decideix la propietat del volum. Els propietaris del volum controlen les configuracions de seguretat d'inici i autoritzen actualitzacions de programari i l'esborrat de tot el contingut i configuracions:
- La persona que primer va configurar el Mac per al seu propi ús obté un token segur i es converteix en el primer propietari del volum.
- Quan un token de bootstrap està disponible i en ús, també és un propietari del volum. A mesura que concedeix tokens segurs a altres comptes, els converteix també en propietaris del volum.
Per veure els propietaris del volum i l'estat del token de bootstrap al Mac:
sudo diskutil apfs listUsers /
sudo profiles status -type bootstraptokenlistUsers llista els propietaris del volum per GUID. Per trobar quin compte pertany a un GUID, cerca el seu GeneratedUID:
dscl . -search /Users GeneratedUID <GUID>Diposit d'un token de bootstrap que falta
Si profiles status mostra escrowed to server: NO, executa això al Mac utilitzant un compte que ja té un token segur, normalment l'usuari principal del Mac:
sudo profiles install -type bootstraptokenEt demanarà el nom i la contrasenya d'aquest compte. Executa profiles status -type bootstraptoken de nou per confirmar.
Quins comptes obtienen un token segur (només macOS)
| Com es va crear el compte | Compte d'administrador | Compte no administrador |
|---|---|---|
| Creat per Factorial IT durant el desplegament Zero Touch | Token segur activat automàticament | Sense token segur |
| Creat automàticament pel control de gestió d'administradors | Token segur concedit en el primer inici de sessió del compte, si un token de bootstrap està dipositada (1) | Sense token segur |
| Creat per tu a través de Factorial IT | Token segur concedit en el primer inici de sessió del compte, si un token de bootstrap està dipositada (1) | Sense token segur |
| Creat per tu al Mac | Token segur si es va crear des d'un compte d'administrador amb un token | Sense token segur |
Creat per tu amb sysadminctl, al Mac o de manera remota |
Token segur si es va crear amb un compte d'administrador que té un token | Token segur si es va crear amb un compte d'administrador que té un token |
(1) Sense un token de bootstrap dipositat, el primer inici de sessió no concedeix un token. Veure Diposit d'un token de bootstrap que falta.
A la pestanya Usuaris, els comptes creats pel control de gestió d'administradors mostren Font: Control MDM. Altres comptes no mostren cap font.
Consells i millors pràctiques
- Comprova primer el token de bootstrap. La majoria de tokens que falten es deuen a un token de bootstrap que mai no es va dipositar.
-
Inicia sessió a la finestra d'inici de sessió. SSH, scripts,
suisudomai concedeixen un token. - Prioritza Macs amb FileVault i Apple silicon. Allí és on un token que falta bloqueja el desbloqueig de l'inici i les actualitzacions.
- Mai no revoquis l'últim token en un Mac. Mantingues almenys un compte amb un token segur.
-
Mantenir les contrasenyes fora de l'historial i xats. Utilitza
-perquèsysadminctlles demani. - Permet fins a 24 hores. La consola triga aquest temps a mostrar un nou estat.
Resolució de problemes i FAQ
Resolució de problemes
| Síntoma | Causa | Solució |
|---|---|---|
| Concedir un token falla amb les credencials d'administrador | El compte d'administrador que has utilitzat no té un token segur | Comprova amb sysadminctl -secureTokenStatus, després executa de nou la comanda amb un compte que en té un |
| Un compte no té token tot i que el Mac està gestionat | Es va crear sense un token i encara no ha iniciat sessió | Inicia sessió una vegada amb aquell compte a la finestra d'inici de sessió, després comprova de nou |
| Encara sense token després d'iniciar sessió | No hi ha un token de bootstrap dipositat, o l'inici de sessió no va ser a la finestra d'inici de sessió | Comprova profiles status -type bootstraptoken, diposita el token si cal, després inicia sessió de nou a la finestra d'inici de sessió |
| El compte d'administrador de Factorial IT falta de la pantalla d'inici | No té un token segur, així que FileVault no el llista | Desbloqueja el Mac amb l'usuari principal, després dóna un token al compte d'administrador |
| El compte amb el token no és un administrador | Un altre usuari va configurar primer el Mac i va obtenir el primer token segur | Utilitza aquell compte com a -adminUser per concedir tokens, convertint-lo en administrador primer si cal |
FAQ
-
Es pot moure un token segur d'un compte a un altre?
No. Es concedeix, no es mou. Diversos comptes poden tenir-ne un al mateix temps.
-
Puc concedir un token de manera remota des de la consola?
No. Apple requereix les contrasenyes del compte i d'un administrador amb un token, al Mac mateix. Per al compte d'administrador de Factorial, un inici de sessió a la finestra d'inici de sessió és suficient.
-
Necessiten Lock i Wipe un token segur?
No. Comandos MDM com aquests funcionen de qualsevol manera.
-
Què passa si no queda cap compte amb un token?
Només la clau de recuperació de FileVault pot desbloquejar el disc. La trobaràs sota Informació > Informació de l'amfitrió > Clau de recuperació a la pàgina de detalls del dispositiu.