macOS demande un compte avec un jeton de sécurité avant de vous permettre de gérer les utilisateurs locaux, par exemple pour changer un mot de passe ou créer un nouveau compte. Cet article explique quels comptes en obtiennent un, ce que cela permet et comment en donner un au compte administrateur IT de Factorial.
Aperçu
Ce qu'est un jeton de sécurité. C'est un identifiant de sécurité que macOS crée et associe à un compte utilisateur local. Il existe sur macOS 10.13 et ultérieur, sur des volumes APFS.
Le jeton est ce qui permet à un compte de chiffrer et déchiffrer le disque avec FileVault. macOS considère un compte avec un jeton comme "autorisé" pour des actions sensibles telles que :
- Activer ou désactiver FileVault
- Changer le mot de passe d'un autre utilisateur local (si cet utilisateur a un jeton de sécurité)
- Créer un nouvel utilisateur local
- Donner un jeton de sécurité à un autre compte
- Supprimer un compte utilisateur local
Sans jeton, ces actions échouent, même à partir d'un compte administrateur.
Lorsque le Mac démarre, l'écran de déverrouillage de FileVault liste uniquement les comptes avec un jeton de sécurité. Un compte administrateur sans jeton ne peut pas déverrouiller le disque après un redémarrage. Il peut se connecter une fois qu'un autre compte a déverrouillé le disque.
Un compte sans jeton se comporte toujours comme un administrateur normal une fois le disque déverrouillé : sudo, installation d'applications et paramètres non liés à FileVault ou à la sécurité de démarrage. Les commandes MDM telles que Verrouiller et Effacer ne dépendent pas de ce compte et fonctionnent dans tous les cas.
Un jeton de sécurité est accordé, jamais déplacé. Plusieurs comptes sur un Mac peuvent chacun en détenir un. Vous n'avez jamais besoin de retirer un jeton d'un compte pour en donner un à un autre.
Pourquoi cela compte pour l'IT de Factorial
L'IT de Factorial utilise le jeton de sécurité pour gérer les utilisateurs macOS en toute sécurité. Lorsque vous réinitialisez un mot de passe ou créez un utilisateur depuis la console, macOS a besoin d'un compte avec un jeton de sécurité pour le faire. Si aucun compte sur le Mac n'en a un, l'action échoue.
Vérifier l'état du jeton de sécurité
- Ouvrez Appareils et ouvrez la page de détails de l'appareil.
- Allez à l'onglet Utilisateurs. L'état du jeton de sécurité y est affiché.
- Vérifiez que le compte administrateur macOS utilisé par Factorial IT a un jeton de sécurité actif. La gestion des utilisateurs ne fonctionne correctement que si c'est le cas.
Pour vérifier sur le Mac lui-même, exécutez :
sudo sysadminctl -secureTokenStatus <compte>La console peut prendre jusqu'à 24 heures pour afficher les changements apportés aux comptes locaux dans l'onglet Utilisateurs.
Comment utiliser : donner un jeton de sécurité au compte administrateur IT de Factorial
Les comptes créés par le contrôle de gestion Admin n'obtiennent pas de jeton de sécurité tant qu'ils ne se connectent pas une fois. Vous faites cela une fois par Mac.
- Vérifiez le jeton de démarrage. Sur le Mac, exécutez :
sudo profiles status -type bootstraptoken
Vous devez voir Bootstrap Token escrowed to server: YES. Si cela indique NO, suivez d'abord Escrow un jeton de démarrage manquant ci-dessous.
- Obtenez le mot de passe administrateur. Sur la page de détails de l'appareil, ouvrez l'onglet Utilisateurs. Sur la carte de compte administrateur, cliquez sur Actions > Afficher le mot de passe et copiez-le.
- Connectez-vous en tant que compte administrateur depuis la fenêtre de connexion du Mac, en tapant le mot de passe. Les sessions SSH, les scripts exécutés via Factorial IT,
suetsudone donnent pas de jeton. - Vérifiez le résultat :
sysadminctl -secureTokenStatus <compte admin>
Vous pouvez vous déconnecter. Le compte conserve le jeton. La console affichera le nouvel état dans les 24 heures.
La console n'a pas d'action de masse pour donner le jeton au compte administrateur sur plusieurs Macs à la fois. Sur une grande flotte, commencez par les Macs ayant FileVault activé et les Macs avec une puce Apple. Sur ceux-ci, un jeton manquant bloque le déverrouillage au démarrage et les mises à jour logicielles.
Accorder ou révoquer un jeton de sécurité sur n'importe quel compte
Les deux commandes s'exécutent sur le Mac lui-même.
Pour accorder un jeton de sécurité :
sysadminctl -secureTokenOn <compte cible> -password - -adminUser <compte admin avec un jeton> -adminPassword -Pour révoquer un jeton de sécurité :
sysadminctl -secureTokenOff <compte cible> -password - -adminUser <compte admin avec un jeton> -adminPassword -Le - indique à sysadminctl de demander chaque mot de passe, afin qu'ils ne soient pas enregistrés dans votre historique de shell. Ne mettez jamais ces mots de passe dans un ticket ou un chat.
Dans tous les cas, vous avez besoin du mot de passe du compte que vous modifiez et du mot de passe d'un compte administrateur qui a déjà un jeton de sécurité. Apple exige cela : sysadminctl demande toujours le nom et le mot de passe d'un administrateur existant avec un jeton. Cela ne peut pas être fait à distance sans ces mots de passe.
Chaque Mac doit conserver au moins un compte avec un jeton de sécurité. Si vous révoquez le dernier, personne ne peut déverrouiller le disque au démarrage et le Mac est verrouillé.
S'il ne reste aucun compte avec un jeton, seule la clé de récupération de FileVault peut déverrouiller le disque. Vous la trouverez sur la page de détails de l'appareil, sous Informations > Informations sur l'hôte > Clé de récupération.
sysadminctl et les Paramètres du système vous empêchent tous deux de supprimer le dernier administrateur ou le dernier compte avec un jeton de sécurité.
Jeton de démarrage et propriété du volume
Le jeton de démarrage permet à macOS d'accorder un jeton de sécurité lors de la première connexion, sans que personne n'ait besoin de taper des identifiants à la main. Apple le décrit ainsi :
- Sur macOS 11 et ultérieur, le tout premier utilisateur dont le mot de passe est défini sur le Mac obtient un jeton de sécurité.
- Sur macOS 11 et ultérieur, si un compte ne reçoit pas de jeton lors de sa création et que le service de gestion des appareils détient un jeton de démarrage, macOS accorde le jeton lorsque cet utilisateur se connecte.
- Sur macOS 10.15.4 et ultérieur, macOS crée un jeton de démarrage et le dépose auprès du service de gestion des appareils la première fois qu'un compte avec un jeton de sécurité se connecte, si le service le prend en charge.
Sur les Macs avec une puce Apple, le jeton de sécurité détermine également la propriété du volume. Les propriétaires de volumes contrôlent les paramètres de sécurité de démarrage et autorisent les mises à jour logicielles ainsi que l'effacement de tout le contenu et des paramètres :
- La personne qui a d'abord configuré le Mac pour son propre usage obtient un jeton de sécurité et devient le premier propriétaire de volume.
- Lorsqu'un jeton de démarrage est disponible et utilisé, il est également un propriétaire de volume. En accordant des jetons de sécurité à d'autres comptes, il les rend également propriétaires de volume.
Pour voir les propriétaires de volume et l'état du jeton de démarrage sur le Mac :
sudo diskutil apfs listUsers /
sudo profiles status -type bootstraptokenlistUsers liste les propriétaires de volume par GUID. Pour trouver à quel compte appartient un GUID, recherchez son GeneratedUID :
dscl . -search /Users GeneratedUID <GUID>Déposer un jeton de démarrage manquant
Si profiles status affiche escrowed to server: NO, exécutez ceci sur le Mac en utilisant un compte qui a déjà un jeton de sécurité, normalement l'utilisateur principal du Mac :
sudo profiles install -type bootstraptokenIl demande le nom et le mot de passe de ce compte. Exécutez à nouveau profiles status -type bootstraptoken pour confirmer.
Quels comptes obtiennent un jeton de sécurité (macOS uniquement)
| Comment le compte a été créé | Compte administrateur | Compte non administrateur |
|---|---|---|
| Créé par Factorial IT lors du déploiement Zero Touch | Jeton de sécurité activé automatiquement | Aucun jeton de sécurité |
| Créé automatiquement par le contrôle Admin management | Jeton de sécurité accordé lors de la première connexion du compte, si un jeton de démarrage est déposé (1) | Aucun jeton de sécurité |
| Créé par vous via Factorial IT | Jeton de sécurité accordé lors de la première connexion du compte, si un jeton de démarrage est déposé (1) | Aucun jeton de sécurité |
| Créé par vous sur le Mac | Jeton de sécurité s'il a été créé à partir d'un compte administrateur avec un jeton | Aucun jeton de sécurité |
Créé par vous avec sysadminctl, sur le Mac ou à distance |
Jeton de sécurité s'il a été créé avec un compte administrateur qui a un jeton | Jeton de sécurité s'il a été créé avec un compte administrateur qui a un jeton |
(1) Sans un jeton de démarrage déposé, la première connexion ne donne pas de jeton. Voir Déposer un jeton de démarrage manquant.
Dans l'onglet Utilisateurs, les comptes créés par le contrôle Admin management affichent Source : MDM Control. D'autres comptes n'affichent aucune source.
Conseils et Meilleures Pratiques
- Vérifiez d'abord le jeton de démarrage. La plupart des jetons manquants proviennent d'un jeton de démarrage qui n'a jamais été déposé.
-
Connectez-vous à la fenêtre de connexion. SSH, scripts,
suetsudone donnent jamais de jeton. - Priorisez les Macs avec FileVault et Apple silicon. C'est là qu'un jeton manquant bloque le déverrouillage au démarrage et les mises à jour.
- Ne révoquez jamais le dernier jeton sur un Mac. Gardez au moins un compte avec un jeton de sécurité.
-
Évitez de conserver les mots de passe dans l'historique et les discussions. Utilisez
-afin quesysadminctlles demande. - Prévoir jusqu'à 24 heures. La console met ce temps pour afficher un nouvel état.
Dépannage et FAQ
Dépannage
| Symptôme | Cause | Solution |
|---|---|---|
| Accorder un jeton échoue sur les identifiants administratifs | Le compte administrateur que vous avez utilisé n'a pas de jeton de sécurité lui-même | Vérifiez avec sysadminctl -secureTokenStatus, puis exécutez à nouveau la commande avec un compte qui en a un |
| Un compte n'a pas de jeton bien que le Mac soit géré | Il a été créé sans jeton et ne s'est pas encore connecté | Connectez-vous une fois avec ce compte à la fenêtre de connexion, puis vérifiez à nouveau |
| Pas de jeton même après s'être connecté | Aucun jeton de démarrage n'est déposé, ou la connexion n'a pas eu lieu à la fenêtre de connexion | Vérifiez profiles status -type bootstraptoken, déposez le jeton si nécessaire, puis reconnectez-vous à la fenêtre de connexion |
| Le compte administrateur IT de Factorial est manquant de l'écran de démarrage | Il n'a pas de jeton de sécurité, donc FileVault ne l'affiche pas | Déverrouillez le Mac avec l'utilisateur principal, puis donnez un jeton au compte administrateur |
| Le compte avec le jeton n'est pas un administrateur | Un autre utilisateur a d'abord configuré le Mac et a obtenu le premier jeton de sécurité | Utilisez ce compte comme -adminUser pour accorder des jetons, en le rendant administrateur d'abord si nécessaire |
FAQ
-
Un jeton de sécurité peut-il être déplacé d'un compte à un autre ?
Non. Il est accordé, pas déplacé. Plusieurs comptes peuvent en détenir un en même temps.
-
Puis-je accorder un jeton à distance depuis la console ?
Non. Apple exige les mots de passe du compte et d'un administrateur avec un jeton, sur le Mac lui-même. Pour le compte administrateur IT de Factorial, une connexion à la fenêtre de connexion suffit.
-
Les commandes Verrouiller et Effacer nécessitent-elles un jeton de sécurité ?
Non. Les commandes MDM comme celles-ci fonctionnent dans tous les cas.
-
Que faire si aucun compte n'a de jeton ?
Seule la clé de récupération de FileVault peut déverrouiller le disque. Trouvez-la sous Informations > Informations sur l'hôte > Clé de récupération sur la page de détails de l'appareil.