O macOS pede uma conta com um token seguro antes de permitir que você gerencie usuários locais, por exemplo, para alterar uma senha ou criar uma nova conta. Este artigo explica quais contas recebem um, o que ele permite e como conceder um à conta de admin de TI do Factorial.
Visão Geral
O que é um token seguro. É um identificador de segurança que o macOS cria e vincula a uma conta de usuário local. Ele existe no macOS 10.13 e versões posteriores, em volumes APFS.
O token é o que permite que uma conta criptografe e descriptografe o disco com FileVault. O macOS trata uma conta com um token como "autorizada" para ações sensíveis, como:
- Ativar ou desativar o FileVault
- Alterar a senha de outro usuário local (se esse usuário tiver um token seguro)
- Criar um novo usuário local
- Conceder um token seguro a outra conta
- Excluir uma conta de usuário local
Sem um token, essas ações falham, mesmo a partir de uma conta de administrador.
Quando o Mac inicia, a tela de desbloqueio do FileVault lista apenas as contas com um token seguro. Uma conta de administrador sem token não pode desbloquear o disco após uma reinicialização. Ela pode fazer login uma vez que outra conta tenha desbloqueado o disco.
Uma conta sem token ainda se comporta como um administrador normal uma vez que o disco está desbloqueado: sudo, instalação de aplicativos e configurações não relacionadas ao FileVault ou segurança de inicialização. Comandos MDM como Bloquear e Limpar não dependem dessa conta e funcionam em qualquer caso.
Um token seguro é concedido, nunca movido. Várias contas em um Mac podem cada uma ter um. Você nunca precisa retirar um token de uma conta para conceder a outra.
Por que isso é importante para a TI do Factorial
A TI do Factorial usa o token seguro para gerenciar usuários do macOS com segurança. Quando você redefine uma senha ou cria um usuário a partir do console, o macOS precisa de uma conta com um token seguro para realizar isso. Se nenhuma conta no Mac tiver um, a ação falha.
Verificar o status do token seguro
- Abra Dispositivos e abra a página de detalhes do dispositivo.
- Vá para a aba Usuários. O status do token seguro é mostrado lá.
- Verifique se a conta de administrador do macOS que a TI do Factorial usa tem um token seguro ativo. O gerenciamento de usuários só funciona corretamente se tiver.
Para verificar no próprio Mac, execute:
sudo sysadminctl -secureTokenStatus <account>O console pode levar até 24 horas para mostrar alterações nas contas locais na aba Usuários.
Como usar: conceder um token seguro à conta de admin da TI do Factorial
Contas criadas pelo controle de gerenciamento Admin não recebem um token seguro até que façam login uma vez. Você faz isso uma vez por Mac.
- Verifique o token de bootstrap. No Mac, execute:
sudo profiles status -type bootstraptoken
Você precisa ver Bootstrap Token escrowed to server: YES. Se disser NO, primeiro siga Escrow um token de bootstrap ausente abaixo.
- Obtenha a senha do administrador. Na página de detalhes do dispositivo, abra a aba Usuários. No cartão da conta de administrador, clique em Ações > Exibir senha e copie-a.
- Faça login como a conta de administrador a partir da janela de login do Mac, digitando a senha. Sessões SSH, scripts executados pela TI do Factorial,
suesudonão concedem um token. - Verifique o resultado:
sysadminctl -secureTokenStatus <admin account>
Você pode sair. A conta mantém o token. O console mostrará o novo status dentro de 24 horas.
O console não possui uma ação em massa para conceder o token à conta de administrador em muitos Macs ao mesmo tempo. Em uma grande frota, comece com Macs que têm o FileVault ativado e Macs com Apple silicon. Nesses, um token ausente bloqueia o desbloqueio na inicialização e as atualizações de software.
Conceder ou revogar um token seguro em qualquer conta
Ambos os comandos são executados no próprio Mac.
Para conceder um token seguro:
sysadminctl -secureTokenOn <target account> -password - -adminUser <admin account with a token> -adminPassword -Para revogar um token seguro:
sysadminctl -secureTokenOff <target account> -password - -adminUser <admin account with a token> -adminPassword -O - diz ao sysadminctl para pedir cada senha, para que elas não fiquem no seu histórico de shell. Nunca coloque essas senhas em um ticket ou em um chat.
De qualquer forma, você precisa da senha da conta que está mudando e da senha de uma conta de administrador que já tem um token seguro. A Apple exige isso: sysadminctl sempre pede o nome e a senha de um administrador existente com um token. Não pode ser feito remotamente sem essas senhas.
Cada Mac deve manter pelo menos uma conta com um token seguro. Se você revogar a última, ninguém poderá desbloquear o disco na inicialização e o Mac ficará bloqueado.
Se nenhuma conta com um token restar, apenas a chave de recuperação do FileVault desbloqueia o disco. Você a encontra na página de detalhes do dispositivo, sob Informações > Informações do host > Chave de recuperação.
sysadminctl e Configurações do Sistema ambos impedem que você exclua o último administrador ou a última conta com um token seguro.
Token de bootstrap e propriedade do volume
O token de bootstrap permite que o macOS conceda um token seguro no primeiro login, sem que ninguém digite credenciais manualmente. A Apple o descreve assim:
- No macOS 11 e posterior, o primeiro usuário cuja senha é definida no Mac recebe um token seguro.
- No macOS 11 e posterior, se uma conta não receber um token quando é criada e o serviço de gerenciamento de dispositivos tiver um token de bootstrap, o macOS concede o token quando esse usuário faz login.
- No macOS 10.15.4 e posterior, o macOS cria um token de bootstrap e o escrows com o serviço de gerenciamento de dispositivos na primeira vez que qualquer conta com um token seguro faz login, se o serviço suportar.
Em Macs com Apple silicon, o token seguro também decide a propriedade do volume. Os proprietários do volume controlam as configurações de segurança de inicialização e autorizam atualizações de software e a exclusão de todo o conteúdo e configurações:
- A pessoa que primeiro configurou o Mac para seu próprio uso recebe um token seguro e se torna o primeiro proprietário do volume.
- Quando um token de bootstrap está disponível e em uso, ele também é um proprietário do volume. À medida que concede tokens seguros a outras contas, torna-as proprietárias do volume também.
Para ver os proprietários do volume e o estado do token de bootstrap no Mac:
sudo diskutil apfs listUsers /
sudo profiles status -type bootstraptokenlistUsers lista os proprietários do volume por GUID. Para descobrir a qual conta um GUID pertence, procure seu GeneratedUID:
dscl . -search /Users GeneratedUID <GUID>Escrow um token de bootstrap ausente
Se profiles status mostrar escrowed to server: NO, execute isso no Mac usando uma conta que já tenha um token seguro, normalmente o usuário principal do Mac:
sudo profiles install -type bootstraptokenEle pede o nome e a senha dessa conta. Execute profiles status -type bootstraptoken novamente para confirmar.
Quais contas recebem um token seguro (somente macOS)
| Como a conta foi criada | Conta de administrador | Conta não administrativa |
|---|---|---|
| Criada pela TI do Factorial durante a implantação Zero Touch | Token seguro ativado automaticamente | Sem token seguro |
| Criada automaticamente pelo controle de Admin management | Token seguro concedido no primeiro login da conta, se um token de bootstrap estiver em escrow (1) | Sem token seguro |
| Criada por você através da TI do Factorial | Token seguro concedido no primeiro login da conta, se um token de bootstrap estiver em escrow (1) | Sem token seguro |
| Criada por você no Mac | Token seguro se criada a partir de uma conta de administrador com um token | Sem token seguro |
Criada por você com sysadminctl, no Mac ou remotamente |
Token seguro se criada com uma conta de administrador que tem um token | Token seguro se criada com uma conta de administrador que tem um token |
(1) Sem um token de bootstrap em escrow, o primeiro login não concede um token. Veja Escrow um token de bootstrap ausente.
Na aba Usuários, contas criadas pelo controle de Admin management mostram Fonte: Controle MDM. Outras contas não mostram fonte.
Dicas e Melhores Práticas
- Verifique o token de bootstrap primeiro. A maioria dos tokens ausentes se deve a um token de bootstrap que nunca foi escrowed.
-
Faça login na janela de login. SSH, scripts,
suesudonunca concedem um token. - Priorize Macs com FileVault e Apple silicon. É onde um token ausente bloqueia o desbloqueio na inicialização e as atualizações.
- Nunca revogue o último token em um Mac. Mantenha pelo menos uma conta com um token seguro.
-
Mantenha senhas fora do histórico e chats. Use
-para quesysadminctlas peça. - Permita até 24 horas. O console leva esse tempo para mostrar um novo status.
Resolução de Problemas e FAQ
Resolução de Problemas
| Sintoma | Causa | Solução |
|---|---|---|
| Conceder um token falha nas credenciais do administrador | A conta de administrador que você usou não tem um token seguro | Verifique com sysadminctl -secureTokenStatus, então execute o comando novamente com uma conta que tenha um |
| Uma conta não tem token embora o Mac esteja gerenciado | Foi criada sem um token e ainda não fez login | Faça login uma vez com essa conta na janela de login, depois verifique novamente |
| Ainda sem token após fazer login | Nenhum token de bootstrap está em escrow, ou o login não foi na janela de login | Verifique profiles status -type bootstraptoken, escrow o token se necessário, então faça login novamente na janela de login |
| A conta de admin do Factorial está ausente da tela de inicialização | Ela não tem um token seguro, então o FileVault não a lista | Desbloqueie o Mac com o usuário principal, então conceda um token à conta de admin |
| A conta com o token não é um administrador | Outro usuário configurou o Mac primeiro e obteve o primeiro token seguro | Use essa conta como -adminUser para conceder tokens, tornando-a um administrador primeiro se necessário |
FAQ
-
Um token seguro pode ser movido de uma conta para outra?
Não. Ele é concedido, não movido. Várias contas podem ter um ao mesmo tempo.
-
Posso conceder um token remotamente a partir do console?
Não. A Apple exige as senhas da conta e de um administrador com um token, no próprio Mac. Para a conta de admin da TI do Factorial, um login na janela de login é suficiente.
-
Bloquear e Limpar precisam de um token seguro?
Não. Comandos MDM como esses funcionam de qualquer forma.
-
E se nenhuma conta tiver um token restante?
Apenas a chave de recuperação do FileVault pode desbloquear o disco. Encontre-a em Informações > Informações do host > Chave de recuperação na página de detalhes do dispositivo.