macOS solicita una cuenta con un token seguro antes de permitirte gestionar usuarios locales, por ejemplo, para cambiar una contraseña o crear una nueva cuenta. Este artículo explica qué cuentas obtienen uno, qué permite y cómo otorgar uno a la cuenta de administrador de IT de Factorial.
Resumen
Qué es un token seguro. Es un identificador de seguridad que macOS crea y asocia a una cuenta de usuario local. Existe en macOS 10.13 y versiones posteriores, en volúmenes APFS.
El token es lo que permite que una cuenta encripte y desencripte el disco con FileVault. macOS trata una cuenta con un token como "autorizada" para acciones sensibles como:
- Activar o desactivar FileVault
- Cambiar la contraseña de otro usuario local (si ese usuario tiene un token seguro)
- Crear un nuevo usuario local
- Otorgar un token seguro a otra cuenta
- Eliminar una cuenta de usuario local
Sin un token, estas acciones fallan, incluso desde una cuenta de administrador.
Cuando el Mac arranca, la pantalla de desbloqueo de FileVault solo muestra las cuentas con un token seguro. Una cuenta de administrador sin token no puede desbloquear el disco después de un reinicio. Puede iniciar sesión una vez que otra cuenta haya desbloqueado el disco.
Una cuenta sin token aún se comporta como un administrador normal una vez que el disco está desbloqueado: sudo, instalación de aplicaciones y configuraciones no relacionadas con FileVault o seguridad de inicio. Los comandos de MDM como Bloquear y Borrar no dependen de esta cuenta y funcionan en cualquier caso.
Un token seguro es otorgado, nunca transferido. Varias cuentas en un Mac pueden tener uno cada una. Nunca necesitas quitar un token de una cuenta para otorgar uno a otra.
Por qué es importante para Factorial IT
Factorial IT utiliza el token seguro para gestionar usuarios de macOS de manera segura. Cuando restableces una contraseña o creas un usuario desde la consola, macOS necesita una cuenta con un token seguro para llevar a cabo la acción. Si ninguna cuenta en el Mac tiene uno, la acción falla.
Verificar el estado del token seguro
- Abre Dispositivos y abre la página de detalles del dispositivo.
- Ve a la pestaña Usuarios. El estado del token seguro se muestra allí.
- Verifica que la cuenta de administrador de macOS que utiliza Factorial IT tenga un token seguro activo. La gestión de usuarios solo funciona correctamente si lo tiene.
Para verificar en el propio Mac, ejecuta:
sudo sysadminctl -secureTokenStatus <cuenta>La consola puede tardar hasta 24 horas en mostrar cambios en las cuentas locales en la pestaña Usuarios.
Cómo usar: otorgar un token seguro a la cuenta de administrador de Factorial IT
Las cuentas creadas por el control de gestión de Admin no obtienen un token seguro hasta que inician sesión una vez. Haces esto una vez por Mac.
- Verifica el token bootstrap. En el Mac, ejecuta:
sudo profiles status -type bootstraptoken
Necesitas ver Bootstrap Token escrowed to server: YES. Si dice NO, primero sigue Escrow un token bootstrap faltante a continuación.
- Obtén la contraseña del administrador. En la página de detalles del dispositivo, abre la pestaña Usuarios. En la tarjeta de la cuenta de administrador, haz clic en Acciones > Mostrar contraseña y cópiala.
- Inicia sesión como la cuenta de administrador desde la ventana de inicio de sesión del Mac, escribiendo la contraseña. Las sesiones SSH, scripts ejecutados a través de Factorial IT,
suysudono otorgan un token. - Verifica el resultado:
sysadminctl -secureTokenStatus <cuenta admin>
Puedes cerrar sesión. La cuenta mantiene el token. La consola mostrará el nuevo estado dentro de 24 horas.
La consola no tiene una acción masiva para otorgar el token a la cuenta de administrador en muchos Macs a la vez. En una gran flota, comienza con Macs que tienen FileVault activado y Macs con Apple silicon. En esos, un token faltante bloquea el desbloqueo al inicio y las actualizaciones de software.
Otorgar o revocar un token seguro en cualquier cuenta
Ambos comandos se ejecutan en el propio Mac.
Para otorgar un token seguro:
sysadminctl -secureTokenOn <cuenta objetivo> -password - -adminUser <cuenta admin con un token> -adminPassword -Para revocar un token seguro:
sysadminctl -secureTokenOff <cuenta objetivo> -password - -adminUser <cuenta admin con un token> -adminPassword -El - le indica a sysadminctl que pida cada contraseña, para que no queden en el historial de tu terminal. Nunca pongas estas contraseñas en un ticket o en un chat.
De cualquier manera, necesitas la contraseña de la cuenta que estás cambiando y la contraseña de una cuenta de administrador que ya tenga un token seguro. Apple requiere esto: sysadminctl siempre pide el nombre y la contraseña de un administrador existente con un token. No se puede hacer de forma remota sin esas contraseñas.
Cada Mac debe mantener al menos una cuenta con un token seguro. Si revocas el último, nadie puede desbloquear el disco al inicio y el Mac queda bloqueado.
Si no queda ninguna cuenta con un token, solo la clave de recuperación de FileVault desbloquea el disco. La encuentras en la página de detalles del dispositivo, bajo Información > Información del host > Clave de recuperación.
sysadminctl y Configuración del Sistema te impiden eliminar al último administrador o la última cuenta con un token seguro.
Token bootstrap y propiedad del volumen
El token bootstrap permite a macOS otorgar un token seguro en el primer inicio de sesión, sin que nadie tenga que escribir credenciales a mano. Apple lo describe así:
- En macOS 11 y versiones posteriores, el primer usuario cuyo contraseña se establece en el Mac obtiene un token seguro.
- En macOS 11 y versiones posteriores, si una cuenta no obtiene un token cuando se crea y el servicio de gestión de dispositivos tiene un token bootstrap, macOS otorga el token cuando ese usuario inicia sesión.
- En macOS 10.15.4 y versiones posteriores, macOS crea un token bootstrap y lo custodia con el servicio de gestión de dispositivos la primera vez que cualquier cuenta con un token seguro inicia sesión, si el servicio lo admite.
En Macs con Apple silicon, el token seguro también decide la propiedad del volumen. Los propietarios del volumen controlan la configuración de seguridad de inicio y autorizan actualizaciones de software y el borrado de todo el contenido y configuraciones:
- La persona que primero configuró el Mac para su propio uso obtiene un token seguro y se convierte en el primer propietario del volumen.
- Cuando un token bootstrap está disponible y en uso, también es un propietario del volumen. A medida que otorga tokens seguros a otras cuentas, también las convierte en propietarios del volumen.
Para ver los propietarios del volumen y el estado del token bootstrap en el Mac:
sudo diskutil apfs listUsers /
sudo profiles status -type bootstraptokenlistUsers lista a los propietarios del volumen por GUID. Para encontrar a qué cuenta pertenece un GUID, busca su GeneratedUID:
dscl . -search /Users GeneratedUID <GUID>Custodiar un token bootstrap faltante
Si profiles status muestra escrowed to server: NO, ejecuta esto en el Mac usando una cuenta que ya tenga un token seguro, normalmente el usuario principal del Mac:
sudo profiles install -type bootstraptokenPide el nombre y la contraseña de esa cuenta. Ejecuta profiles status -type bootstraptoken nuevamente para confirmar.
Qué cuentas obtienen un token seguro (solo macOS)
| Cómo se creó la cuenta | Cuenta de administrador | Cuenta no administradora |
|---|---|---|
| Creada por Factorial IT durante el despliegue Zero Touch | Token seguro activado automáticamente | No hay token seguro |
| Creada automáticamente por el control de gestión de Admin | Token seguro otorgado en el primer inicio de sesión de la cuenta, si un token bootstrap está custodiado (1) | No hay token seguro |
| Creada por ti a través de Factorial IT | Token seguro otorgado en el primer inicio de sesión de la cuenta, si un token bootstrap está custodiado (1) | No hay token seguro |
| Creada por ti en el Mac | Token seguro si se creó desde una cuenta de administrador con un token | No hay token seguro |
Creada por ti con sysadminctl, en el Mac o de forma remota |
Token seguro si se creó con una cuenta de administrador que tiene un token | Token seguro si se creó con una cuenta de administrador que tiene un token |
(1) Sin un token bootstrap custodiado, el primer inicio de sesión no otorga un token. Ver Custodiar un token bootstrap faltante.
En la pestaña Usuarios, las cuentas creadas por el control de gestión de Admin muestran Fuente: Control MDM. Otras cuentas no muestran fuente.
Consejos y Mejores Prácticas
- Verifica primero el token bootstrap. La mayoría de los tokens faltantes se deben a un token bootstrap que nunca fue custodiado.
-
Inicia sesión en la ventana de inicio de sesión. SSH, scripts,
suysudonunca otorgan un token. - Prioriza Macs con FileVault y Apple silicon. Ahí es donde un token faltante bloquea el desbloqueo al inicio y las actualizaciones.
- Nunca revoques el último token en un Mac. Mantén al menos una cuenta con un token seguro.
-
Mantén las contraseñas fuera del historial y los chats. Usa
-para quesysadminctllas pida. - Permite hasta 24 horas. La consola tarda ese tiempo en mostrar un nuevo estado.
Solución de Problemas y FAQ
Solución de Problemas
| Síntoma | Causa | Solución |
|---|---|---|
| Otorgar un token falla en las credenciales del administrador | La cuenta de administrador que usaste no tiene un token seguro | Verifica con sysadminctl -secureTokenStatus, luego ejecuta el comando nuevamente con una cuenta que tenga uno |
| Una cuenta no tiene token aunque el Mac está gestionado | Se creó sin un token y aún no ha iniciado sesión | Inicia sesión una vez con esa cuenta en la ventana de inicio de sesión, luego verifica nuevamente |
| Aún sin token después de iniciar sesión | No hay un token bootstrap custodiado, o el inicio de sesión no fue en la ventana de inicio de sesión | Verifica profiles status -type bootstraptoken, custodia el token si es necesario, luego inicia sesión nuevamente en la ventana de inicio de sesión |
| La cuenta de administrador de Factorial IT falta en la pantalla de inicio | No tiene un token seguro, por lo que FileVault no la lista | Desbloquea el Mac con el usuario principal, luego otorga un token a la cuenta de administrador |
| La cuenta con el token no es un administrador | Otro usuario configuró primero el Mac y obtuvo el primer token seguro | Usa esa cuenta como -adminUser para otorgar tokens, convirtiéndola en administrador primero si es necesario |
FAQ
-
¿Se puede mover un token seguro de una cuenta a otra?
No. Se otorga, no se mueve. Varias cuentas pueden tener uno al mismo tiempo.
-
¿Puedo otorgar un token de forma remota desde la consola?
No. Apple requiere las contraseñas de la cuenta y de un administrador con un token, en el propio Mac. Para la cuenta de administrador de Factorial IT, un inicio de sesión en la ventana de inicio de sesión es suficiente.
-
¿Lock y Wipe necesitan un token seguro?
No. Los comandos de MDM como estos funcionan de cualquier manera.
-
¿Qué pasa si no queda ninguna cuenta con un token?
Solo la clave de recuperación de FileVault puede desbloquear el disco. Encuéntrala bajo Información > Información del host > Clave de recuperación en la página de detalles del dispositivo.