這篇文章已封存,而且 Apple 也不會再更新。

如何在 Intel 型 Mac 上使用機構還原密鑰

了解如何建立機構還原密鑰 (IRK),以解鎖經「檔案保險箱」加密的 Intel 型 Mac 電腦並還原資料。

本文說明如何沿用舊有方法建立機構還原密鑰 (IRK),以解鎖經「檔案保險箱」加密的 Intel 型 Mac。如果你在配備 Apple 晶片的 Mac 電腦或 Intel 型 Mac 上使用流動裝置管理 (MDM),你可以將還原密鑰託管到伺服器上,而無需使用 IRK。

如用戶無法使用密碼存取經「檔案保險箱」加密的資料,則可使用還原密鑰重新取得加密資料的存取權。在 Intel 型 Mac 電腦上,你可以使用機構還原密鑰解鎖經「檔案保險箱」加密的 Mac 電腦,並透過「目標磁碟模式」還原資料。

建立「檔案保險箱」主鑰匙圈

  1. 在 Mac 上開啟「終端機」app,然後輸入以下指令:

    security create-filevaultmaster-keychain ~/Desktop/FileVaultMaster.keychain

  2. 按系統提示輸入新鑰匙圈的主密碼,然後按提示再次輸入。當你輸入密碼時,「終端機」不會顯示密碼。

  3. 產生密鑰組合後,名為 FileVaultMaster.keychain 的檔案就會儲存在你的桌面上。請將此檔案複製到安全的地方,例如置於外置硬碟的加密磁碟映像檔。此安全副本為專用還原密鑰,可為任何設定使用「檔案保險箱」主鑰匙圈的 Intel 型 Mac 解鎖啟動磁碟。請勿將此副本分發出去。

在下一部分,你將要更新仍在桌面上的 FileVaultMaster.keychain 檔案。然後,你便可為所屬組織的 Mac 電腦部署該鑰匙圈。

從主鑰匙圈移除專用密鑰

建立「檔案保險箱」主鑰匙圈後,請按照下列步驟準備副本以作部署:

  1. 按兩下桌面上的「檔案保險箱」Master.keychain 檔案。「鑰匙圈存取」app 就會開啟。

  2. 在「鑰匙圈存取」側邊欄中,選擇「FileVaultMaster」。

  3. 如果 FileVaultMaster 鑰匙圈已鎖上,請從選單列中選取「檔案」>「解鎖鑰匙圈『FileVaultMaster』」,然後輸入你建立的主密碼。

  4. 從右邊顯示的兩個項目中,選擇在「種類」欄顯示為「專用密鑰」的項目:

    Keychain Access, showing the private FileVault Master Password Key selected
  5. 刪除專用密鑰:在選單列中選擇「編輯」>「刪除」,並輸入鑰匙圈主密碼,然後在系統要求確認時按一下「刪除」。

  6. 結束「鑰匙圈存取」app。

現在,桌面上的主鑰匙圈不再載有專用密鑰,並可供隨時部署。

在每部 Mac 上部署已更新的主鑰匙圈

從鑰匙圈移除專用密鑰後,請在每部你想以專用密鑰解鎖的 Intel 型 Mac 上,按照下列步驟操作。

  1. 在 /資源庫/Keychains/ 資料夾中加入更新後的 FileVaultMaster.keychain 檔案副本。

  2. 開啟「終端機」app,並輸入下列兩項指令。這些指令可確保檔案權限設為-rw-r--r-- and the file is owned by root and assigned to the group named wheel.

    sudo chown root:wheel /Library/Keychains/FileVaultMaster.keychain

    sudo chmod 644 /Library/Keychains/FileVaultMaster.keychain

  3. 如已啟用「檔案保險箱」,請在「終端機」輸入以下指令:

    sudo fdesetup changerecovery -institutional -keychain /Library/Keychains/FileVaultMaster.keychain

  4. 如已關閉「檔案保險箱」,則請開啟「保安與私隱」偏好設定,並啟用「檔案保險箱」。系統訊息應該會顯示「你的公司、學校或機構已設定還原密鑰」。按一下「繼續」。

    Security & Privacy preferences, showing the Recovery Key message

步驟至此完成。如有使用者忘記 macOS 用戶帳戶密碼且無法登入 Mac,你便可使用專用密鑰為其磁碟解鎖

使用專用密鑰來為使用者的啟動磁碟解鎖

  1. 在你想解鎖的 Mac 上,按住 T 鍵同時啟動電腦。

  2. 一旦看到 Thunderbolt 標誌,便可放開 T 鍵。

  3. 使用 Thunderbolt 3 (USB-C) 連接線將該部 Mac 連接到另一部 Mac (主機)。

  4. 當系統提示你輸入密碼以解鎖磁碟時,請按一下「取消」。

  5. 在主機 Mac 上,連接載有專用還原密鑰的外置硬碟。

  6. 如果專用還原密鑰儲存在加密磁碟映像檔中,請按兩下該檔案以便裝載,並在系統提示時輸入密碼。

  7. 如果你不知道你想解鎖的磁碟上開機卷宗的名稱 (例如「Macintosh HD」),請開啟「磁碟工具程式」,然後在側邊欄中找出該卷宗名稱。下一步會用到這項資料。

  8. diskutil ap unlockVolume "name" -recoveryKeychain /path

    • Example for a startup volume named Macintosh HD and a recovery-key volume named ThumbDrive:

    diskutil ap unlockVolume "Macintosh HD" -recoveryKeychain /Volumes/ThumbDrive/FileVaultMaster.keychain

  9. 輸入主密碼以解鎖啟動磁碟。如果系統接受密碼,便會在桌面上裝載該卷宗。

發佈日期: