在启动/登录时禁用用户解锁FileVault 2卷的功能


28

我最近在其中一台Mac上执行了Lion的全新安装。安装过程创建了一个管理用户帐户。安装后,我为整个磁盘启用了FileVault。然后,我创建了另一个管理用户。两个用户都可以在登录期间解密驱动器。

在不删除用户或暂时禁用FileVault的情况下,如何撤消其中一位用户的解密权限?我试图撤消一个用户的管理特权,使他们成为普通用户,但是他们仍然能够在引导过程中解密驱动器。


由于该用户的主文件夹存储在加密磁盘(以及所有应用程序)上,因此,如果该磁盘仍保持加密状态,则最好暂停该用户帐户。也许我缺少了一些东西-但这实际上是不可能的。
bmike

这不是答案,只是一些背景信息可帮助我们找到答案。我只是没有代表对此发表评论。只要我们能够找到更改权限的地方,这实际上应该是可能的。在Apple 2011年7月22日的支持文章[“ OS X Lion:关于FileVault 2”] [a]中,他们指出:>未启用FileVault解锁的用户将只能在启用了解锁的情况下登录该Mac。用户已启动或解锁驱动器。解锁后,驱动器将保持解锁状态,并可供所有用户使用,直到计算机休眠,休眠或关闭。H
曼·

如果在启用FileVault2时计算机已经有多个用户帐户,则它将询问您要允许哪些用户在启动过程中解密驱动器。因此,可能仅某些用户帐户具有访问权限。如果您有用户Amy和Barry,并且仅授予对Amy的访问权限,则在引导过程中,她必须先登录,然后Barry才能切换到他的帐户。您可能是对的,鉴于我的限制,这可能是不可能的,但我还没有放弃。:-)
kccricket

哇-看来我需要进一步研究,然后才能说不可能:-)我可以看到将密钥(而不是密码)存储在那些用户的钥匙串中是如何实现的。您是否看过那里是否就这么简单?
bmike

我发现有一篇文章声称解密密钥存储在用户的钥匙串中。在登录或系统钥匙串中都找不到任何证据。无论如何,这是没有意义的,因为钥匙串存储在加密分区上。如果不先解密驱动器,就无法找到它们。我读了一篇文章(现在找不到),声称加密密钥存储在恢复分区中,但是我已经浏览了一下,找不到任何值得注意的东西。这是一个难题。
kccricket 2011年

Answers:


37

使用fdesetup:

sudo fdesetup remove -user username

请参阅:http//derflounder.wordpress.com/2012/07/25/using-fdesetup-with-mountain-lions-filevault-2/


这对于Mountain Lion是正确的,尽管我不确定1)它最初适用于Lion,还是2)在Lion中可用。
TJ Luoma

这也适用于小牛队
Devon_C_Miller 2014年

3
它也可以在OS X 10.10 Yosemite上使用。
拉斐尔·布加杰夫斯基

1
sudo fdesetup remove -user username在macOS 10.12 Sierra上也可以使用!
jaume

1
sudo fdesetup remove -user username同样适用于macOS 10.13 High Sierra。
卡帕

4

这并非不可能。(尽管如果您删除了用户,则可能使操作变得更加复杂!)

我写了链接到“ jaydisc”的文章,并测试了它在10.7.4中仍然有效:

假设您有一个管理员用户“ charlie”,您希望能够使用该计算机但不能解锁该计算机:

sudo su - charlie  
$ passwd 
Changing password for charlie.
Old Password:**[enter old password here]**
New Password:**[press enter]**
Retype New Password:**[press enter]**
$ 

请注意,您不能执行以下操作:

sudo passwd charlie
Changing password for charlie.
New password:

因为如果在出现“新密码提示”时按Enter,它将返回并说:

Password unchanged.


2

FileVault 2和Recovery HD

Recovery HD不要与Recovery OS混淆(一个大于另一个)。

当为用户启用FileVault 2时:非加密的隐藏的Apple_Boot Recovery HD分区与加密的启动卷是分开的,但对加密的启动卷至关重要,但它会临时挂载,以写入与EFI相关的文件和其他文件。如果希望查看此文件系统活动,同时允许用户进行解锁:

对该活动一目了然,这表明对非加密卷的编辑(相对于加密卷上的用户帐户)是不平凡的

如果授予用户不适当的解锁权限

也许对Lion(比Build 11A511大的更新)的更新将提供一种从EFI登录窗口中删除不再能够解锁启动卷的用户的方法。

同时,我只能想到可以使用的两种方法。

方法A:禁用然后启用FileVault

  1. 禁用FileVault 2

  2. 允许向后转换完成

  3. 重新启动操作系统

  4. 启用FileVault 2,但不为该用户启用。

方法B:删除用户但不删除主目录等

我尚未测试此方法,我以下方法可能会起作用:

  1. 后备

  2. 删除用户,但不删除用户的主目录

  3. 重新启动操作系统

  4. 创建一个与原始记录名相同的新用户

  5. 设置原始ID 不同的唯一ID号

  6. 将先前的主目录与新用户相关联。


0

关于如何禁用先前启用的用户对FileVault 2加密驱动器的访问,这是一个非常简单的答案:

在终端中,使用:

sudo fdesetup remove -user Username

此后,您将在系统偏好设置->安全和隐私-> FileVault中可用于启用的用户列表中看到禁用的用户,以验证禁用是否成功


3
这与公认的答案有何不同?
nohillside
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.