Sono appena migrato a un nuovo MacBook Pro 2018 e in qualche modo il mio account originale (un utente amministratore) è stato creato senza un token di sicurezza durante la migrazione. Ho anche provato a creare un nuovo utente amministratore, ad accedere a quell'utente e a provare a eseguire sysadminctl -secureTokenOn justin -password - ma ottenendo:

2018-07-30 14: 17: 56.552 sysadminctl [886: 18232] L'operazione non è consentita senza token di sblocco sicuro.

Quindi ho provato quanto segue fornendo i flag adminUser e adminPassword come mio utente originale justin :

sysadminctl -secureTokenOn justin -password - -adminUser justin -adminPassword -

Inserisci la password per justin:

Inserisci la password per Justin K:

2018-07-30 14: 31: 05.262 sysadminctl [998: 49031] setSecureTokenAuthorizationEnabled errore Domain = com.apple.OpenDirectory Code = 5101 "Il server di autenticazione ha rifiutato l'operazione perché le credenziali correnti non sono autorizzate per l'operazione richiesta." UserInfo = {NSLocalizedDescription = Il server di autenticazione ha rifiutato l'operazione perché le credenziali correnti non sono autorizzate per l'operazione richiesta., NSLocalizedFailureReason = Il server di autenticazione ha rifiutato l'operazione perché le credenziali correnti non sono autorizzate per l'operazione richiesta.}

Essenzialmente sembra che, poiché nessuno dei miei utenti dispone di un token sicuro, non esiste alcun modo per garantire un token sicuro . L'unico inconveniente è il seguente:

• Quando avvio a freddo la macchina, devo inserire una password di decrittografia del disco, che si traduce nell'immissione della mia password due volte (una per la decrittografia del disco e una per l'account utente) .

• Quando provo a disattivare FileVault facendo clic sul pulsante non succede nulla. Lo stesso comportamento quando si fa clic sul pulsante di avviso "Alcuni utenti non sono in grado di sbloccare il disco [Abilita utenti ...]" non accade nulla.

Mi sono trovato in questa situazione. Penso che ciò sia dovuto al fatto che ho eseguito un'installazione pulita del sistema operativo mentre FileVault era abilitato, quindi gli utenti non sono stati migrati.

Di conseguenza, le Preferenze di Sistema si sono lamentate del fatto che "Alcuni utenti non sono in grado di sbloccare il disco" ma facendo clic su "Abilita utenti" non ha fatto nulla, sysadminctl -secureTokenStatus jrc (il mio utente principale) ha detto "DISABILITATO" e sysadminctl -secureTokenOn ... era inutile.

Un indizio è venuto dal fatto che fdesetup list -extended riportava una voce "Utente sconosciuto". Quindi ho risolto il problema creando un nuovo utente, cambiando l'UUID di quell'utente in quello dell'utente sconosciuto e usando quel nuovo utente per aggiustare il mio utente esistente. Ciò ha richiesto un passaggio alla modalità di ripristino (o modalità utente singolo) poiché l'archivio dei servizi di directory è protetto da System Integrity Protection (SIP).

1. Prendi nota dell'UUID degli utenti sconosciuti riportati da sudo fdesetup list -extended .
2. In Preferenze di Sistema> Utenti & Gruppi, crea un nuovo utente amministratore (denominato admin in questo esempio) utilizzando la stessa password del tuo account utente principale.
3. Avvia in modalità di ripristino e modifica l ' GeneratedUID dell'utente appena creato in modo che corrisponda all'UUID precedente. Questo può essere fatto aprendo il menu Utilità> Terminale in modalità di ripristino, quindi eseguendo dscl -f "/ Volumes / Macintosh HD / var / db / dslocal / nodes / Default" localonly -changei / Local / Default / Users / admin UID generato 1 5BBB4CE0-FEC9-4922-A456-5FE00534C065 . Sostituisci il nome del volume, il nome utente e l'UUID come appropriato. Tutto fa distinzione tra maiuscole e minuscole.
4. Riavvia normalmente. sysadminctl -secureTokenStatus admin dovrebbe ora riportare "ENABLED". (Yay!)
5. sudo fdesetup add -usertoadd jrc . Quando richiesto, inserisci le credenziali dell'utente amministratore di cui sopra.
6. Infine, esegui diskutil apfs updatePreboot / per correggere la grafica di avvio.

Alcuni link correlati che ho trovato utili:

• https://carpeaqua.com/2017/11/30/updating-your-apfs-encrypted-volume-filevault-password/
• https://derflounder.wordpress.com/2019/02/10/re-syncing-local-account-passwords-and-secure-token-on-filevault-encrypted-macs-running-macos-mojave /

Sembra che tu abbia riscontrato un bug, dal momento che dovresti ricevere un token sicuro quando ...

1. Il token di sicurezza viene attivato automaticamente per l'account utente creato dall'assistente di configurazione di Apple.
2. L'account utente creato da Setup Assistant con Secure Token crea quindi altri utenti tramite il pannello delle preferenze Users & Groups nelle Preferenze di Sistema. Questi account ottengono automaticamente il proprio token di sicurezza.

Token protetto e FileVault su file system Apple - Der Flounder

Per concedere manualmente un token sicuro, esegui

  sysadminctl -secureTokenOn yourusername -password -
 

dove yourusername è il nome utente dell'utente a cui desideri concedere un token sicuro. Non dimenticare anche il trattino alla fine! Don't usa sudo.

Per prima cosa ti verrà chiesto di "sbloccare" le preferenze degli utenti & Gruppi fornendo le credenziali di amministratore alla finestra di dialogo della GUI, quindi ti verrà richiesta la password per l'account a cui desideri dare un token sulla CLI.

Sono riuscito a farlo funzionare.In primo luogo, diagnoze che hai lo stesso problema.Esegui:

  sysadminctl -secureTokenStatus <username>
 

Se mostra "token sicuro disabilitato" e non ci sono altri utenti sul sistema che lo hanno abilitato, è necessario eseguire questo ballo.

Forza l'esecuzione della procedura guidata di configurazione di Apple alla tua prossima installazione eseguendo:

  sudo rm /var/db/.AppleSetupDone
 

E riavvia il computer.Al termine del riavvio, accedi come nuovo amministratore e crea un nuovo utente amministratore;con quell'utente, vai su Impostazioni |Sicurezza & Privacy |File Vault e concedi all'utente effettivo i privilegi per sbloccare il file system.Eseguilo di nuovo, ora dovrebbe indicare abilitato per il tuo utente effettivo:

  sysadminctl -secureTokenStatus <username>
 

In questa risposta descriverò la mia risoluzione della situazione:

1. Ho contattato AppleCare e insieme abbiamo provato varie cose come reinstallare MacOS High Sierra e provare ad abilitare FileVault prima della migrazione di qualsiasi dato utente. Questa operazione non è riuscita.
2. Internet Recovery su questo Mac installa MacOS Sierra e su MacOS Sierra FileVault può essere abilitato. (Questo indica chiaramente un problema software) È quindi possibile eseguire l'aggiornamento a High Sierra e utilizzare l'Assistente migrazione per recuperare i dati dell'utente. Il problema è che in questa situazione solo gli utenti che sono stati creati in Sierra possono sbloccare il disco, non gli utenti migrati o creati dopo la migrazione.
3. AppleCare ha cercato di riprodurre il mio problema su un iMac simile con Fusion Drive e non ci è riuscito. Si sono offerti di guardarlo di persona, ma il prossimo negozio è abbastanza lontano, quindi non ho scelto questa opzione.
4. Dato che il riavvio del computer non avviene così spesso, mi sono accontentato della soluzione per installare High Sierra all'interno di un volume crittografato sin dall'inizio. Funziona, ma porta alla situazione in cui devi inserire la password di decrittazione ogni volta che il computer si avvia.
5. Dopo aver installato l'ultimo aggiornamento supplementare, il boot loader è stato probabilmente riscritto o qualcosa del genere, ora mi trovo in una situazione in cui dopo il primo avvio viene visualizzata una schermata in cui entrambi gli utenti possono accedere o posso sbloccare il disco. Assomiglia a questo: In questa schermata entrambi gli utenti possono accedere e quindi sbloccare il disco. La terza opzione è sbloccare il disco su cui viene presentata un'altra schermata di accesso con solo i due utenti.

Ciò significa che il problema è sostanzialmente risolto, tranne per il fatto che c'è questo strano elemento di login, ma beh ...

Ho anche confermato con il supporto Apple che la situazione del token di sicurezza descritta nella domanda è molto probabilmente irrilevante perché i token di sicurezza riguardano APFS e questo è un Mac con Fusion Drive.

Ho lo stesso problema e la rimozione del file AppleSetupDone e il riavvio per forzare la creazione di un nuovo account amministratore non danno un token al nuovo account.L'unica cosa che ha funzionato è stato il backup del profilo utente, l'appiattimento della macchina e l'esecuzione di una nuova installazione di High Sierra da una USB avviabile, non esattamente l'ideale quando ho un sacco di Mac da aggiornare alla 10.13.