FileVault només queda preparat quan l’empresa pot recuperar el Mac
Un Mac pot sortir de l’oficina amb FileVault activat i, tot i així, deixar l’empresa en una situació incòmoda: ningú no sap si la clau de recuperació personal ha arribat realment al servei MDM. El problema acostuma a aparèixer tard, quan una persona oblida la contrasenya, marxa de l’organització o cal intervenir en un equip que ja no permet iniciar sessió.
Activar xifratge és només una part del procés. L’altra és conservar una via de recuperació verificable, associada al Mac correcte i disponible per a les persones autoritzades. Aquesta és una bona pràctica petita, gairebé administrativa, que evita convertir una incidència puntual en una pèrdua de dades o en una reinstal·lació precipitada.
Pensem en una consultora que prepara deu MacBook per a un equip comercial. El tècnic inscriu els equips a Apple Business Manager, els assigna a l’MDM i activa FileVault durant la configuració inicial. Una setmana després, una comercial canvia la contrasenya i, durant un viatge, oblida la nova. L’MDM mostra el dispositiu com a xifrat, però no mostra cap clau de recuperació. FileVault protegia les dades; l’empresa, en canvi, no disposava de la peça necessària per ajudar-la a recuperar l’accés.
En Macs amb APFS, els permisos per desbloquejar FileVault depenen del secure token i, en Macs amb Apple silicon, també de la propietat del volum. Apple indica que el bootstrap token, quan l’MDM el suporta, facilita l’assignació d’aquests permisos als comptes i ajuda a autoritzar algunes operacions de gestió. Des de macOS 10.15.4, el sistema pot generar-lo i desar-lo al servei MDM després de l’inici de sessió d’un usuari amb secure token. (support.apple.com)
Converteix aquesta comprovació en un pas obligatori abans de lliurar cada Mac:
-
Parteix d’un Mac inscrit correctament. Per a equips propietat de l’empresa, fes servir la inscripció automatitzada mitjançant Apple Business Manager i un MDM compatible. Aquest model permet supervisió, restringir la retirada del perfil de gestió i aplicar la configuració des del primer ús. (support.apple.com)
-
Configura FileVault des de l’MDM amb clau personal de recuperació. Evita basar el procés en una clau institucional antiga. Apple recomana la clau personal de recuperació, que l’MDM pot custodiar mitjançant escrow, especialment en Macs amb Apple silicon. (support.apple.com)
-
Fes que l’usuari iniciï sessió i completi l’activació. Si l’MDM aplica l’activació diferida de FileVault, el xifratge pot requerir un inici o tancament de sessió. No tanquis la preparació del dispositiu només perquè el perfil ja s’ha instal·lat.
-
Comprova tres estats a la consola MDM: FileVault actiu, clau personal recuperable i bootstrap token dipositat, si el teu servei n’ofereix visibilitat. Els noms dels camps canvien segons el proveïdor, però la pregunta és sempre la mateixa: “Podem recuperar aquest Mac sense demanar cap secret a l’usuari?”
-
Registra l’evidència al teu inventari. Desa la data de validació, el número de sèrie, el responsable i l’identificador del registre a l’MDM. No copiïs la clau dins d’un full de càlcul ni en una nota compartida: la seva custòdia ha de continuar dins del sistema dissenyat per protegir-la.
Si l’MDM permet consultar l’estat local, sudo profiles status -type bootstraptoken ajuda a diagnosticar si el Mac i el servei admeten i tenen actiu aquest mecanisme. Executa aquesta comprovació amb un compte administrador autoritzat i tracta la sortida com a informació tècnica interna.
Petit repte: revisa aquesta setmana tres Macs ja lliurats. Per a cadascun, localitza la clau de recuperació des de l’MDM i registra la data de comprovació. Si en falta una, ja tens un procés concret per corregir abans que arribi la incidència.