Algú no pot accedir al seu portàtil. Abans d'agafar una clau de recuperació, descobreix quina de quatre coses està passant realment — perquè tres d'elles són ràpides i una d'elles esborra la màquina. La primera regla és fer que deixin de endevinar.
Funcionalitat
Visió General
Quatre causes cobreixen gairebé tots els casos:
- Han oblidat la contrasenya, normalment després d'un període de descans o un canvi recent.
- Estan escrivint-la correctament en el teclat equivocat. AZERTY i QWERTY produeixen caràcters diferents amb les mateixes tecles.
- Una política ha canviat — longitud, complexitat o rotació — i ha forçat un canvi que no han acabat.
- En un Mac, el missatge no demana la seva contrasenya en absolut. Algunes pantalles demanen un compte que tingui un SecureToken, que pot ser un compte totalment diferent.
Digueu-los que deixin de provar abans de fer qualsevol altra cosa. Els intents fallits repetits en un Mac poden fer que la màquina entri en mode de recuperació, la qual cosa converteix una solució de cinc minuts en una llarga tarda.
Com utilitzar — descartar primer les causes barates
Fes que escriguin la contrasenya on la puguin veure. Qualsevol camp visible servirà — la caixa d'usuari, per exemple. La meitat d'aquestes trucades acaben aquí.
Després comprova el disseny del teclat, que és la causa que la gent mai sospita:
- macOS: Preferències del sistema > Llengua i regió > Mètode d'entrada
- Windows: Configuració > Hora i llengua > Llengua i regió
Després comprova si has canviat les regles per a ells. Ves a Configuració > Seguretat > Polítiques de contrasenya i mira què s'aplica a aquest dispositiu. Una política que va entrar la setmana passada pot haver demanat un canvi que mai van completar.
Com utilitzar — el cas del Mac que sembla una contrasenya incorrecta
En macOS, alguns missatges — desbloquejant FileVault, accions a nivell d'administrador, qualsevol cosa després d'un canvi de política — volen un compte amb un SecureToken, no la contrasenya d'inici de sessió habitual. Un/a empleat/da pot saber perfectament la seva contrasenya i encara estar atrapat/da, perquè el missatge és per a un compte diferent.
Comprova-ho en el dispositiu:
sysadminctl -secureTokenStatus <nom_d'usuari>La sortida diu ENABLED o DISABLED per a aquest usuari. Si està desactivat, un compte d'administrador que ja té un token pot concedir-ne un:
sysadminctl -secureTokenOn <usuari> -password <contrasenya> -adminUser <administrador> -adminPassword <contrasenya_administrador>La solució permanent no és per dispositiu: utilitza MDM > Perfils > Gestió d'Usuaris Administradors perquè cada Mac tingui un compte d'administrador de bootstrap amb un token ja actiu.
Si algú no pot desbloquejar FileVault amb una contrasenya que saps que és correcta, aquesta és gairebé segur la raó.
Com utilitzar — les quatre maneres de tornar a entrar
Tria segons l'estat del dispositiu, en aquest ordre:
| Opció | Utilitza-ho quan | Cost |
|---|---|---|
| Restablir de manera remota | El dispositiu està en línia i té una sessió d'administrador | Res |
| L'account d'Apple o Microsoft vinculat | Un compte està vinculat al dispositiu | Res, però està en mans de l'empleat/a |
| La clau de recuperació | El dispositiu està fora de línia o no està comunicant amb tu, i el disc està xifrat | Res, si la clau ha estat escrowada |
| Restabliment complet | Res més funciona | Tot el local és esborrat |
Per la ruta de la clau de recuperació, obre el registre del dispositiu i ves a Informació > Clau de recuperació, desbloqueja la sessió localment amb ella, i després estableix una nova contrasenya. Només funciona si el xifrat estava activat i la clau realment va arribar al servidor — cosa que es decideix mesos abans que la necessitis.
El restabliment complet és el final del camí, i és irreversible.
Consells i Millors Pràctiques
- "Deixa de provar" és el primer que dius en la trucada. Tot el que ve després és més fàcil si el Mac no ha entrat en recuperació.
- Comprova el teclat abans de la política de contrasenya. Costa deu segons i és una sorprenent proporció dels casos.
- Desplega un compte d'administrador de bootstrap amb un SecureToken a cada Mac ara. És la diferència entre una solució remota i un esborrat, i no pots afegir-ho durant l'incident.
- Verifica que les claus de recuperació estiguin escrowades, no només que el xifrat estigui activat. Un disc xifrat sense clau al servidor és el camí del restabliment complet.
- Anuncia els canvis en les polítiques de contrasenya abans que entrin en vigor. La majoria d'aquests tiquets arriben el matí després d'un canvi silenciós.
Resolució de Problemes i FAQ
Resolució de Problemes
La contrasenya és definitivament correcta i el Mac encara la rebutja. El missatge vol un compte amb SecureToken. Comprova l'estat del token abans de res més.
El Mac ha entrat en recuperació després de diversos intents. La recuperació és ara més difícil i pot necessitar la clau de recuperació. Aquesta és la raó de l'advertència a la part superior.
No hi ha cap clau de recuperació al registre del dispositiu. O bé el xifrat mai es va habilitar o l'escrow mai es va completar. Cap dels dos es pot arreglar retroactivament — la ruta restant és un restabliment complet.
El restabliment remot està desactivat. Necessita que el dispositiu estigui en línia i una sessió d'administrador present. One dels dos falta.
FAQ
-
Podem restablir una contrasenya en un dispositiu que està fora de línia?
No de manera remota. Utilitza la clau de recuperació localment, o el compte d'Apple o Microsoft vinculat. -
Què és un SecureToken, en una línia?
Un permís en un compte de macOS que permet desbloquejar el disc xifrat. Sense ell, la contrasenya correcta encara és rebutjada. -
Utilitzar la clau de recuperació esborra alguna cosa?
No. Desbloqueja la sessió perquè es pugui establir una nova contrasenya. -
Com podem evitar que això passi?
Xifrat amb claus escrowades, un compte d'administrador de bootstrap en cada Mac, i informar a les persones abans de canviar les regles.