Gérer FileVault en ligne de commande : état, clés de récupération, secure token et bootstrap token

Objectif

Vérifier si le disque de démarrage d'un Mac est chiffré, savoir qui peut le déverrouiller et déterminer si un système de gestion peut le récupérer en cas de perte d'un mot de passe.

Prérequis

Un terminal ; des droits d'administrateur pour modifier l'état de FileVault. fdesetup status et sysadminctl -secureTokenStatus fonctionnent sans privilèges ; fdesetup list et profiles status -type bootstraptoken nécessitent sudo.

Étapes

1. Vérifier l'état actuel : fdesetup status indique FileVault is On ou Off et précise si un chiffrement ou un déchiffrement est encore en cours.
2. Lister les utilisateurs qui peuvent déverrouiller le disque au démarrage : sudo fdesetup list.
3. Activer FileVault de manière interactive, ce qui affiche par défaut une clé de récupération personnelle une seule fois à l'écran : sudo fdesetup enable. Pour une activation sans intervention liée à une clé institutionnelle, ou à une clé émise via la gestion des appareils, piloter le processus depuis un profil MDM afin que la clé soit mise en dépôt automatiquement plutôt qu'affichée à l'écran.
4. Quelle que soit la façon dont la clé a été générée, la conserver ailleurs que sur le disque qu'elle protège : dans un gestionnaire de mots de passe, ou en dépôt auprès du service de gestion des appareils de l'organisation. C'est le seul moyen d'accès si le mot de passe du propriétaire du volume est perdu.
5. Vérifier si un compte local donné dispose d'un secure token, qui détermine s'il peut ou non déverrouiller ou activer FileVault : sysadminctl -secureTokenStatus <username>.
6. Vérifier si un bootstrap token a été mis en dépôt. Ce mécanisme permet à la gestion des appareils d'attribuer des secure tokens à de nouveaux comptes sans qu'un administrateur ait à s'authentifier de nouveau à chaque fois : sudo profiles status -type bootstraptoken.

Résultat attendu

fdesetup status indique On ; fdesetup list inclut tous les comptes qui doivent pouvoir déverrouiller le disque ; profiles status -type bootstraptoken signale un token en dépôt sur un Mac géré qui repose sur un provisionnement de comptes piloté par la gestion des appareils.

Limites et base de vérification

La finalité de FileVault ainsi que le rôle d'un secure token et d'un bootstrap token dans un déploiement géré sont documentés dans les guides de sécurité de la plateforme et de déploiement d'Apple ; la syntaxe des options de fdesetup et de sysadminctl suit les pratiques largement documentées et une référence de commandes, Apple ne publiant pas les options de ces outils sous forme de page web. Ne jamais désactiver FileVault comme étape de dépannage sur un appareil contenant des données de l'organisation sans avoir d'abord confirmé qu'une voie de récupération à jour existe.