macOS richiede un account con un token sicuro prima di permetterti di gestire gli utenti locali, ad esempio per cambiare una password o creare un nuovo account. Questo articolo spiega quali account ne ottengono uno, cosa consente e come fornirne uno all'account admin IT di Factorial.
Panoramica
Cosa è un token sicuro. È un identificatore di sicurezza che macOS crea e associa a un account utente locale. Esiste su macOS 10.13 e versioni successive, su volumi APFS.
Il token è ciò che consente a un account di crittografare e decrittografare il disco con FileVault. macOS tratta un account con un token come "autorizzato" per azioni sensibili come:
- Attivare o disattivare FileVault
- Cambiare la password di un altro utente locale (se quell'utente ha un token sicuro)
- Creare un nuovo utente locale
- Assegnare un token sicuro a un altro account
- Cancellare un account utente locale
Senze un token, queste azioni falliscono, anche da un account amministratore.
Quando il Mac si avvia, la schermata di sblocco di FileVault elenca solo gli account con un token sicuro. Un account amministratore senza token non può sbloccare il disco dopo un riavvio. Può accedere solo dopo che un altro account ha sbloccato il disco.
Un account senza token si comporta comunque come un normale amministratore una volta che il disco è sbloccato: sudo, installazione di app e impostazioni non correlate a FileVault o sicurezza all'avvio. I comandi MDM come Lock e Wipe non dipendono da questo account e funzionano in ogni caso.
Un token sicuro è assegnato, mai spostato. Diversi account su un Mac possono ciascuno avere uno. Non è mai necessario prelevare un token da un account per fornirne uno a un altro.
Perché è importante per Factorial IT
Factorial IT utilizza il token sicuro per gestire gli utenti macOS in modo sicuro. Quando reimposti una password o crei un utente dalla console, macOS ha bisogno di un account con un token sicuro per eseguire l'operazione. Se nessun account sul Mac ne ha uno, l'azione fallisce.
Controlla lo stato del token sicuro
- Apri Dispositivi e apri la pagina dei dettagli del dispositivo.
- Vai alla scheda Utenti. Lo stato del token sicuro è mostrato lì.
- Controlla che l'account amministratore macOS utilizzato da Factorial IT abbia un token sicuro attivo. La gestione degli utenti funziona correttamente solo se ce l'ha.
Per controllare direttamente sul Mac, esegui:
sudo sysadminctl -secureTokenStatus <account>La console può impiegare fino a 24 ore per mostrare le modifiche agli account locali nella scheda Utenti.
Come usare: dare un token sicuro all'account admin IT di Factorial
Gli account creati dal controllo di gestione Admin non ricevono alcun token sicuro fino a quando non accedono almeno una volta. Devi farlo una volta per Mac.
- Controlla il token bootstrap. Sul Mac, esegui:
sudo profiles status -type bootstraptoken
Devi vedere Bootstrap Token escrowed to server: YES. Se dice NO, segui prima Escrow un token bootstrap mancante qui sotto.
- Ottieni la password dell'amministratore. Nella pagina dei dettagli del dispositivo, apri la scheda Utenti. Nella scheda dell'account amministratore, fai clic su Azioni > Mostra password e copiala.
- Accedi come account amministratore dalla finestra di accesso del Mac, digitando la password. Le sessioni SSH, gli script eseguiti tramite Factorial IT,
suesudonon concedono un token. - Controlla il risultato:
sysadminctl -secureTokenStatus <admin account>
Puoi disconnetterti. L'account mantiene il token. La console mostrerà il nuovo stato entro 24 ore.
La console non ha un'azione di massa per dare il token all'account amministratore su molti Mac contemporaneamente. Su una grande flotta, inizia con i Mac che hanno FileVault attivo e i Mac con Apple silicon. Su questi, un token mancante blocca lo sblocco all'avvio e gli aggiornamenti software.
Concedi o revoca un token sicuro su qualsiasi account
Entrambi i comandi vengono eseguiti direttamente sul Mac.
Per concedere un token sicuro:
sysadminctl -secureTokenOn <target account> -password - -adminUser <admin account with a token> -adminPassword -Per revocare un token sicuro:
sysadminctl -secureTokenOff <target account> -password - -adminUser <admin account with a token> -adminPassword -Il - indica a sysadminctl di richiedere ciascuna password, in modo che rimangano fuori dalla cronologia della shell. Non inserire mai queste password in un ticket o in una chat.
In entrambi i casi, hai bisogno della password dell'account che stai modificando e della password di un account amministratore che ha già un token sicuro. Apple richiede questo: sysadminctl richiede sempre il nome e la password di un amministratore esistente con un token. Non può essere fatto da remoto senza quelle password.
Ogni Mac deve mantenere almeno un account con un token sicuro. Se revoci l'ultimo, nessuno può sbloccare il disco all'avvio e il Mac è bloccato.
Se non rimane alcun account con un token, solo la chiave di recupero di FileVault può sbloccare il disco. La trovi nella pagina dei dettagli del dispositivo, sotto Informazioni > Informazioni sull'host > Chiave di recupero.
sysadminctl e Impostazioni di sistema ti impediscono di eliminare l'ultimo amministratore o l'ultimo account con un token sicuro.
Token bootstrap e proprietà del volume
Il token bootstrap consente a macOS di concedere un token sicuro al primo accesso, senza che nessuno debba digitare le credenziali a mano. Apple lo descrive così:
- Su macOS 11 e versioni successive, il primo utente il cui password è impostata sul Mac riceve un token sicuro.
- Su macOS 11 e versioni successive, se un account non riceve alcun token quando viene creato e il servizio di gestione dei dispositivi detiene un token bootstrap, macOS concede il token quando quell'utente accede.
- Su macOS 10.15.4 e versioni successive, macOS crea un token bootstrap e lo conserva con il servizio di gestione dei dispositivi la prima volta che qualsiasi account con un token sicuro accede, se il servizio lo supporta.
Su Mac con Apple silicon, il token sicuro decide anche la proprietà del volume. I proprietari del volume controllano le impostazioni di sicurezza all'avvio e autorizzano aggiornamenti software e la cancellazione di tutto il contenuto e le impostazioni:
- La persona che ha configurato per prima il Mac per il proprio uso ottiene un token sicuro e diventa il primo proprietario del volume.
- Quando un token bootstrap è disponibile e in uso, è anche un proprietario del volume. Man mano che concede token sicuri ad altri account, li rende proprietari del volume anche a loro.
Per vedere i proprietari del volume e lo stato del token bootstrap sul Mac:
sudo diskutil apfs listUsers /
sudo profiles status -type bootstraptokenlistUsers elenca i proprietari del volume per GUID. Per trovare a quale account appartiene un GUID, cerca il suo GeneratedUID:
dscl . -search /Users GeneratedUID <GUID>Escrow un token bootstrap mancante
Se profiles status mostra escrowed to server: NO, esegui questo sul Mac utilizzando un account che ha già un token sicuro, normalmente l'utente principale del Mac:
sudo profiles install -type bootstraptokenRichiede il nome e la password di quell'account. Esegui di nuovo profiles status -type bootstraptoken per confermare.
Quali account ricevono un token sicuro (solo macOS)
| Come è stato creato l'account | Account amministratore | Account non amministratore |
|---|---|---|
| Creato da Factorial IT durante il deployment Zero Touch | Token sicuro attivato automaticamente | Nessun token sicuro |
| Creato automaticamente dal controllo di gestione Admin | Token sicuro concesso al primo accesso dell'account, se un token bootstrap è stato conservato (1) | Nessun token sicuro |
| Creato da te tramite Factorial IT | Token sicuro concesso al primo accesso dell'account, se un token bootstrap è stato conservato (1) | Nessun token sicuro |
| Creato da te sul Mac | Token sicuro se creato da un account amministratore con un token | Nessun token sicuro |
Creato da te con sysadminctl, sul Mac o da remoto |
Token sicuro se creato con un account amministratore che ha un token | Token sicuro se creato con un account amministratore che ha un token |
(1) Senza un token bootstrap conservato, il primo accesso non concede un token. Vedi Escrow un token bootstrap mancante.
Nella scheda Utenti, gli account creati dal controllo di gestione Admin mostrano Fonte: MDM Control. Altri account non mostrano alcuna fonte.
Consigli e migliori pratiche
- Controlla prima il token bootstrap. La maggior parte dei token mancanti deriva da un token bootstrap che non è mai stato conservato.
-
Accedi nella finestra di accesso. SSH, script,
suesudonon concedono mai un token. - Prioritizza i Mac con FileVault e Apple silicon. È lì che un token mancante blocca lo sblocco all'avvio e gli aggiornamenti.
- Non revocare mai l'ultimo token su un Mac. Mantieni almeno un account con un token sicuro.
-
Tieni le password fuori dalla cronologia e dalle chat. Usa
-affinchésysadminctlle richieda. - Consenti fino a 24 ore. La console impiega quel tempo per mostrare un nuovo stato.
Risoluzione dei problemi e FAQ
Risoluzione dei problemi
| Sintomo | Causa | Soluzione |
|---|---|---|
| Il rilascio di un token fallisce con le credenziali dell'amministratore | L'account amministratore utilizzato non ha un token sicuro | Controlla con sysadminctl -secureTokenStatus, quindi esegui nuovamente il comando con un account che ne ha uno |
| Un account non ha token anche se il Mac è gestito | È stato creato senza un token e non ha ancora effettuato accesso | Accedi una volta con quell'account nella finestra di accesso, quindi controlla di nuovo |
| Ancora nessun token dopo l'accesso | Nessun token bootstrap è stato conservato, o l'accesso non è stato effettuato nella finestra di accesso | Controlla profiles status -type bootstraptoken, conserva il token se necessario, quindi accedi di nuovo nella finestra di accesso |
| L'account admin IT di Factorial è assente dalla schermata di avvio | Non ha un token sicuro, quindi FileVault non lo elenca | Sblocca il Mac con l'utente principale, quindi assegna un token all'account amministratore |
| L'account con il token non è un amministratore | Un altro utente ha configurato prima il Mac e ha ottenuto il primo token sicuro | Usa quell'account come -adminUser per concedere token, rendendolo un amministratore prima se necessario |
FAQ
-
Un token sicuro può essere spostato da un account a un altro?
No. È assegnato, non spostato. Diversi account possono tenerne uno contemporaneamente.
-
Posso concedere un token da remoto dalla console?
No. Apple richiede le password dell'account e di un amministratore con un token, direttamente sul Mac. Per l'account admin IT di Factorial, è sufficiente un accesso nella finestra di accesso.
-
Lock e Wipe necessitano di un token sicuro?
No. Comandi MDM come questi funzionano in ogni caso.
-
Cosa succede se non rimane alcun account con un token?
Solo la chiave di recupero di FileVault può sbloccare il disco. La trovi sotto Informazioni > Informazioni sull'host > Chiave di recupero nella pagina dei dettagli del dispositivo.