如何在 Intel 型 Mac 上使用機構還原密鑰
了解如何建立機構還原密鑰 (IRK),以解鎖經「檔案保險箱」加密的 Intel 型 Mac 電腦並還原資料。
本文說明如何沿用舊有方法建立機構還原密鑰 (IRK),以解鎖經「檔案保險箱」加密的 Intel 型 Mac。如果你在配備 Apple 晶片的 Mac 電腦或 Intel 型 Mac 上使用流動裝置管理 (MDM),你可以將還原密鑰託管到伺服器上,而無需使用 IRK。
如用戶無法使用密碼存取經「檔案保險箱」加密的資料,則可使用還原密鑰重新取得加密資料的存取權。在 Intel 型 Mac 電腦上,你可以使用機構還原密鑰解鎖經「檔案保險箱」加密的 Mac 電腦,並透過「目標磁碟模式」還原資料。
建立「檔案保險箱」主鑰匙圈
在 Mac 上開啟「終端機」app,然後輸入以下指令:
security create-filevaultmaster-keychain ~/Desktop/FileVaultMaster.keychain
按系統提示輸入新鑰匙圈的主密碼,然後按提示再次輸入。當你輸入密碼時,「終端機」不會顯示密碼。
產生密鑰組合後,名為 FileVaultMaster.keychain 的檔案就會儲存在你的桌面上。請將此檔案複製到安全的地方,例如置於外置硬碟的加密磁碟映像檔。此安全副本為專用還原密鑰,可為任何設定使用「檔案保險箱」主鑰匙圈的 Intel 型 Mac 解鎖啟動磁碟。請勿將此副本分發出去。
在下一部分,你將要更新仍在桌面上的 FileVaultMaster.keychain 檔案。然後,你便可為所屬組織的 Mac 電腦部署該鑰匙圈。
從主鑰匙圈移除專用密鑰
建立「檔案保險箱」主鑰匙圈後,請按照下列步驟準備副本以作部署:
按兩下桌面上的「檔案保險箱」Master.keychain 檔案。「鑰匙圈存取」app 就會開啟。
在「鑰匙圈存取」側邊欄中,選擇「FileVaultMaster」。
如果 FileVaultMaster 鑰匙圈已鎖上,請從選單列中選取「檔案」>「解鎖鑰匙圈『FileVaultMaster』」,然後輸入你建立的主密碼。
從右邊顯示的兩個項目中,選擇在「種類」欄顯示為「專用密鑰」的項目:
刪除專用密鑰:在選單列中選擇「編輯」>「刪除」,並輸入鑰匙圈主密碼,然後在系統要求確認時按一下「刪除」。
結束「鑰匙圈存取」app。
現在,桌面上的主鑰匙圈不再載有專用密鑰,並可供隨時部署。
在每部 Mac 上部署已更新的主鑰匙圈
從鑰匙圈移除專用密鑰後,請在每部你想以專用密鑰解鎖的 Intel 型 Mac 上,按照下列步驟操作。
在 /資源庫/Keychains/ 資料夾中加入更新後的 FileVaultMaster.keychain 檔案副本。
開啟「終端機」app,並輸入下列兩項指令。這些指令可確保檔案權限設為
-rw-r--r--
and the file is owned by root and assigned to the group named wheel.sudo chown root:wheel /Library/Keychains/FileVaultMaster.keychain
sudo chmod 644 /Library/Keychains/FileVaultMaster.keychain
如已啟用「檔案保險箱」,請在「終端機」輸入以下指令:
sudo fdesetup changerecovery -institutional -keychain /Library/Keychains/FileVaultMaster.keychain
如已關閉「檔案保險箱」,則請開啟「保安與私隱」偏好設定,並啟用「檔案保險箱」。系統訊息應該會顯示「你的公司、學校或機構已設定還原密鑰」。按一下「繼續」。
步驟至此完成。如有使用者忘記 macOS 用戶帳戶密碼且無法登入 Mac,你便可使用專用密鑰為其磁碟解鎖。
使用專用密鑰來為使用者的啟動磁碟解鎖
在你想解鎖的 Mac 上,按住 T 鍵同時啟動電腦。
一旦看到 Thunderbolt 標誌,便可放開 T 鍵。
使用 Thunderbolt 3 (USB-C) 連接線將該部 Mac 連接到另一部 Mac (主機)。
當系統提示你輸入密碼以解鎖磁碟時,請按一下「取消」。
在主機 Mac 上,連接載有專用還原密鑰的外置硬碟。
如果專用還原密鑰儲存在加密磁碟映像檔中,請按兩下該檔案以便裝載,並在系統提示時輸入密碼。
如果你不知道你想解鎖的磁碟上開機卷宗的名稱 (例如「Macintosh HD」),請開啟「磁碟工具程式」,然後在側邊欄中找出該卷宗名稱。下一步會用到這項資料。
diskutil ap unlockVolume "name" -recoveryKeychain /path
Example for a startup volume named Macintosh HD and a recovery-key volume named ThumbDrive:
diskutil ap unlockVolume "Macintosh HD" -recoveryKeychain /Volumes/ThumbDrive/FileVaultMaster.keychain
輸入主密碼以解鎖啟動磁碟。如果系統接受密碼,便會在桌面上裝載該卷宗。