macOS solicita una cuenta con un token seguro antes de permitirte gestionar usuarios locales, por ejemplo, para cambiar una contraseña o crear una nueva cuenta. Este artículo explica qué cuentas obtienen uno, qué permite y cómo otorgar uno a la Factorial cuenta de administrador de TI.
Descripción general
Qué es un token seguro. Es un identificador de seguridad que macOS crea y vincula a una cuenta de usuario local. Existe en macOS 10.13 y versiones posteriores, en volúmenes APFS.
El token es lo que permite a una cuenta cifrar y descifrar el disco con FileVault. macOS trata a una cuenta con un token como "autorizada" para acciones sensibles como:
- Activar o desactivar FileVault
- Cambiar la contraseña de otro usuario local (si ese usuario tiene un token seguro)
- Crear un nuevo usuario local
- Otorgar un token seguro a otra cuenta
- Eliminar una cuenta de usuario local
Sin un token, estas acciones fallan, incluso desde una cuenta de administrador.
Cuando el Mac se inicia, la pantalla de desbloqueo de FileVault lista solo las cuentas con un token seguro. Una cuenta de administrador sin token no puede desbloquear el disco después de un reinicio. Puede iniciar sesión una vez que otra cuenta haya desbloqueado el disco.
Una cuenta sin token sigue comportándose como un administrador normal una vez que el disco está desbloqueado: sudo, instalación de aplicaciones y configuraciones no relacionadas con FileVault o seguridad de inicio. Los comandos MDM como Bloquear y Borrar no dependen de esta cuenta y funcionan en cualquier caso.
Un token seguro es otorgado, nunca movido. Varias cuentas en un Mac pueden tener uno cada una. Nunca necesitas quitar un token de una cuenta para otorgar uno a otra.
Por qué importa para Factorial TI
Factorial TI utiliza el token seguro para gestionar usuarios de macOS de manera segura. Cuando restableces una contraseña o creas un usuario desde la consola, macOS necesita una cuenta con un token seguro para llevar a cabo la acción. Si ninguna cuenta en el Mac tiene uno, la acción falla.
Verificar el estado del token seguro
- Abre Dispositivos y abre la página de detalles del dispositivo.
- Ve a la pestaña Usuarios. El estado del token seguro se muestra allí.
- Verifica que la cuenta de administrador de macOS que utiliza Factorial TI tenga un token seguro activo. La gestión de usuarios solo funciona correctamente si lo tiene.
Para verificar en el Mac mismo, ejecuta:
sudo sysadminctl -secureTokenStatus <cuenta>La consola puede tardar hasta 24 horas en mostrar cambios en las cuentas locales en la pestaña Usuarios.
Cómo usar: otorgar un token seguro a la cuenta de administrador de Factorial TI
Las cuentas creadas por el control de gestión de Admin no obtienen un token seguro hasta que inician sesión una vez. Haces esto una vez por Mac.
- Verifica el token de arranque. En el Mac, ejecuta:
sudo profiles status -type bootstraptoken
Necesitas ver Bootstrap Token escrowed to server: YES. Si dice NO, primero sigue Escrow un token de arranque faltante a continuación.
- Obtén la contraseña de administrador. En la página de detalles del dispositivo, abre la pestaña Usuarios. En la tarjeta de cuenta de administrador, haz clic en Acciones > Mostrar contraseña y cópiala.
- Inicia sesión como la cuenta de administrador desde la ventana de inicio de sesión del Mac, escribiendo la contraseña. Las sesiones SSH, los scripts ejecutados a través de Factorial TI,
suysudono otorgan un token. - Verifica el resultado:
sysadminctl -secureTokenStatus <cuenta admin>
Puedes cerrar sesión. La cuenta mantiene el token. La consola muestra el nuevo estado dentro de 24 horas.
La consola no tiene una acción masiva para otorgar el token a la cuenta de administrador en muchos Macs a la vez. En una gran flota, comienza con Macs que tienen FileVault activado y Macs con Apple silicon. En esos, un token faltante bloquea el desbloqueo al inicio y las actualizaciones de software.
Otorgar o revocar un token seguro en cualquier cuenta
Ambos comandos se ejecutan en el Mac mismo.
Para otorgar un token seguro:
sysadminctl -secureTokenOn <cuenta objetivo> -password - -adminUser <cuenta admin con un token> -adminPassword -Para revocar un token seguro:
sysadminctl -secureTokenOff <cuenta objetivo> -password - -adminUser <cuenta admin con un token> -adminPassword -El - le dice a sysadminctl que pida cada contraseña, para que no queden en tu historial de shell. Nunca pongas estas contraseñas en un ticket o en un chat.
De cualquier manera, necesitas la contraseña de la cuenta que estás cambiando y la contraseña de una cuenta de administrador que ya tiene un token seguro. Apple requiere esto: sysadminctl siempre pide el nombre y la contraseña de un administrador existente con un token. No se puede hacer de forma remota sin esas contraseñas.
Cada Mac debe mantener al menos una cuenta con un token seguro. Si revocas la última, nadie puede desbloquear el disco al inicio y el Mac queda bloqueado.
Si no queda ninguna cuenta con un token, solo la clave de recuperación de FileVault desbloquea el disco. La encuentras en la página de detalles del dispositivo, bajo Información > Información del host > Clave de recuperación.
sysadminctl y Configuración del sistema te impiden eliminar al último administrador o la última cuenta con un token seguro.
Token de arranque y propiedad del volumen
El token de arranque permite a macOS otorgar un token seguro en el primer inicio de sesión, sin que nadie tenga que escribir credenciales manualmente. Apple lo describe así:
- En macOS 11 y versiones posteriores, el primer usuario cuyo contraseña se establece en el Mac obtiene un token seguro.
- En macOS 11 y versiones posteriores, si una cuenta no obtiene un token cuando se crea y el servicio de gestión de dispositivos tiene un token de arranque, macOS otorga el token cuando ese usuario inicia sesión.
- En macOS 10.15.4 y versiones posteriores, macOS crea un token de arranque y lo escrows con el servicio de gestión de dispositivos la primera vez que cualquier cuenta con un token seguro inicia sesión, si el servicio lo admite.
En Macs con Apple silicon, el token seguro también decide la propiedad del volumen. Los propietarios del volumen controlan la configuración de seguridad de inicio y autorizan actualizaciones de software y el borrado de todo el contenido y configuraciones:
- La persona que primero configuró el Mac para su propio uso obtiene un token seguro y se convierte en el primer propietario del volumen.
- Cuando un token de arranque está disponible y en uso, también es un propietario del volumen. A medida que otorga tokens seguros a otras cuentas, también las convierte en propietarios del volumen.
Para ver los propietarios del volumen y el estado del token de arranque en el Mac:
sudo diskutil apfs listUsers /
sudo profiles status -type bootstraptokenlistUsers lista los propietarios del volumen por GUID. Para encontrar a qué cuenta pertenece un GUID, busca su GeneratedUID:
dscl . -search /Users GeneratedUID <GUID>Escrow un token de arranque faltante
Si profiles status muestra escrowed to server: NO, ejecuta esto en el Mac usando una cuenta que ya tenga un token seguro, normalmente el usuario principal del Mac:
sudo profiles install -type bootstraptokenPide el nombre y la contraseña de esa cuenta. Ejecuta profiles status -type bootstraptoken nuevamente para confirmar.
Qué cuentas obtienen un token seguro (solo macOS)
| Cómo se creó la cuenta | Cuenta de administrador | Cuenta no administrativa |
|---|---|---|
| Creada por Factorial TI durante la implementación de Zero Touch | Token seguro activado automáticamente | No hay token seguro |
| Creada automáticamente por el control de gestión de Admin | Token seguro otorgado en el primer inicio de sesión de la cuenta, si hay un token de arranque escrowed (1) | No hay token seguro |
| Creada por ti a través de Factorial TI | Token seguro otorgado en el primer inicio de sesión de la cuenta, si hay un token de arranque escrowed (1) | No hay token seguro |
| Creada por ti en el Mac | Token seguro si se creó desde una cuenta de administrador con un token | No hay token seguro |
Creada por ti con sysadminctl, en el Mac o de forma remota |
Token seguro si se creó con una cuenta de administrador que tiene un token | Token seguro si se creó con una cuenta de administrador que tiene un token |
(1) Sin un token de arranque escrowed, el primer inicio de sesión no otorga un token. Ver Escrow un token de arranque faltante.
En la pestaña Usuarios, las cuentas creadas por el control de gestión de Admin muestran Fuente: Control MDM. Otras cuentas no muestran fuente.
Consejos y Mejores Prácticas
- Verifica primero el token de arranque. La mayoría de los tokens faltantes se deben a un token de arranque que nunca fue escrowed.
-
Inicia sesión en la ventana de inicio de sesión. SSH, scripts,
suysudonunca otorgan un token. - Prioriza Macs con FileVault y Apple silicon. Ahí es donde un token faltante bloquea el desbloqueo al inicio y las actualizaciones.
- Nunca revokes el último token en un Mac. Mantén al menos una cuenta con un token seguro.
-
Mantén las contraseñas fuera del historial y chats. Usa
-para quesysadminctllas pida. - Permite hasta 24 horas. La consola tarda ese tiempo en mostrar un nuevo estado.
Resolución de problemas y FAQ
Resolución de problemas
| Síntoma | Causa | Solución |
|---|---|---|
| Otorgar un token falla en las credenciales del administrador | La cuenta de administrador que usaste no tiene un token seguro | Verifica con sysadminctl -secureTokenStatus, luego ejecuta el comando nuevamente con una cuenta que tenga uno |
| Una cuenta no tiene token aunque el Mac está gestionado | Fue creada sin un token y aún no ha iniciado sesión | Inicia sesión una vez con esa cuenta en la ventana de inicio de sesión, luego verifica nuevamente |
| Aún no hay token después de iniciar sesión | No hay un token de arranque escrowed, o el inicio de sesión no fue en la ventana de inicio de sesión | Verifica profiles status -type bootstraptoken, escrow el token si es necesario, luego inicia sesión nuevamente en la ventana de inicio de sesión |
| La cuenta de Factorial TI falta en la pantalla de inicio | No tiene un token seguro, por lo que FileVault no la lista | Desbloquea el Mac con el usuario principal, luego otorga un token a la cuenta de administrador |
| La cuenta con el token no es un administrador | Otro usuario configuró primero el Mac y obtuvo el primer token seguro | Usa esa cuenta como -adminUser para otorgar tokens, haciéndola un administrador primero si es necesario |
FAQ
-
¿Se puede mover un token seguro de una cuenta a otra?
No. Se otorga, no se mueve. Varias cuentas pueden tener uno al mismo tiempo.
-
¿Puedo otorgar un token de forma remota desde la consola?
No. Apple requiere las contraseñas de la cuenta y de un administrador con un token, en el Mac mismo. Para la cuenta de administrador de Factorial TI, un inicio de sesión en la ventana de inicio de sesión es suficiente.
-
¿Lock y Wipe necesitan un token seguro?
No. Los comandos MDM como estos funcionan de cualquier manera.
-
¿Qué pasa si no queda ninguna cuenta con un token?
Solo la clave de recuperación de FileVault puede desbloquear el disco. Encuéntrala bajo Información > Información del host > Clave de recuperación en la página de detalles del dispositivo.