![](https://help.apple.com/assets/664256E0F9FFA26F690A0B01/664256E3F9FFA26F690A0B07/nl_NL/312766e3df7f57c1f549da2dab216b36.png)
Secure Tokens, Bootstrap Tokens en volume-eigendom gebruiken in implementaties
Secure Token
In Apple File System (APFS) in macOS 10.13 of nieuwer worden FileVault-encryptiesleutels op een andere manier gegenereerd. In eerdere versies van macOS op CoreStorage-volumes werden de sleutels voor het FileVault-encryptieproces aangemaakt wanneer een gebruiker of organisatie FileVault inschakelde op een Mac. In macOS op APFS-volumes worden de encryptiesleutels gegenereerd wanneer een gebruiker wordt aangemaakt, wanneer het wachtwoord van de eerste gebruiker wordt ingesteld of wanneer een gebruiker voor het eerst inlogt op de Mac. Deze implementatie van de encryptiesleutels, het moment waarop ze worden gegenereerd en de manier waarop ze worden opgeslagen maken deel uit van de voorziening Secure Token. Een Secure Token is een ingepakte versie van een Key Encryption Key (KEK) die beveiligd is met het wachtwoord van een gebruiker.
Na de implementatie van FileVault op APFS blijven de volgende mogelijkheden bestaan:
Bestaande tools en processen gebruiken, zoals een persoonlijke herstelsleutel (PRK) die aan een MDM-oplossing (Mobile Device Management) in bewaring kan worden gegeven
Een herstelsleutel voor de organisatie (IRK) aanmaken en gebruiken
Inschakeling van FileVault uitstellen totdat een gebruiker in- of uitlogt op de Mac
In macOS 11 of nieuwer wordt bij het instellen van het eerste wachtwoord voor de allereerste gebruiker van de Mac een Secure Token aan die gebruiker verleend. In sommige workflows is dit mogelijk niet gewenst, omdat het verlenen van het eerste Secure Token voorheen betekende dat die gebruikersaccount moest inloggen. Om dit te voorkomen, voeg je ;DisabledTags;SecureToken
toe aan het kenmerk AuthenticationAuthority
van de programmatisch aangemaakte gebruiker voordat je het wachtwoord van de gebruiker instelt, zoals hieronder aangegeven:
sudo dscl . -append /Users/<user name> AuthenticationAuthority ";DisabledTags;SecureToken"
Bootstrap Token
In macOS 10.15 of nieuwer wordt een Bootstrap Token gebruikt om een Secure Token te verlenen aan zowel macOS-accounts als de optionele beheerdersaccount die bij de apparaatinschrijving is aangemaakt ("beheerde beheerder"). In macOS 11 of nieuwer kan het Bootstrap Token aan iedere gebruiker die op een Mac inlogt een Secure Token verlenen, ook aan lokale gebruikersaccounts. Voor het gebruik van de Bootstrap Token-functie van macOS 10.15 of nieuwer is het volgende vereist:
Toezicht
Door leverancier ondersteund MDM
Stel dat je MDM-oplossing Bootstrap Tokens ondersteunt. In macOS 10.15.4 of nieuwer wordt een Bootstrap Token gegenereerd en aan MDM in bewaring gegeven zodra een voor SecureToken geschikte gebruiker voor de eerste keer inlogt. Een Bootstrap Token kan zo nodig ook worden gegenereerd en aan MDM in bewaring worden gegeven met de commandoregeltool profiles
.
In macOS 11 of nieuwer kan het Bootstrap Token voor meer worden gebruikt dan alleen het verlenen van een Secure Token aan gebruikersaccounts. Op een Mac met Apple silicon kan het Bootstrap Token, indien beschikbaar, worden gebruikt om de installatie van zowel kernelextensies als software-updates te autoriseren als het beheer ervan via MDM wordt gedaan. Het Bootstrap Token wordt ook gebruikt om op de achtergrond het commando 'Wis alle inhoud en instellingen' te autoriseren wanneer dit via MDM wordt gestart in macOS 12.0.1 of nieuwer.
Volume-eigendom
Op Mac-computers met Apple silicon is het nieuwe concept "volume-eigendom" geïntroduceerd. Volume-eigendom in een organisatorische context houdt geen verband met het wettelijke eigendom of de eigendomsketen van de Mac. In plaats daarvan heeft volume-eigendom betrekking op de gebruiker die als eerste een Mac heeft geclaimd door deze te configureren voor eigen gebruik, samen met eventuele andere gebruikers. Je moet volume-eigenaar zijn om wijzigingen te kunnen aanbrengen in het opstartbeveiligingsbeleid voor een bepaalde installatie van macOS, om de installatie van software-updates en upgrades voor macOS te kunnen autoriseren en om 'Wis alle inhoud en instellingen' op de Mac te kunnen starten. Met het opstartbeveiligingsbeleid wordt bepaald met welke versies van macOS mag worden opgestart en hoe en of kernelextensies van andere ontwikkelaars mogen worden geladen of beheerd.
De gebruiker die een Mac met Apple silicon als eerste heeft geclaimd door deze te configureren, ontvangt een Secure Token en wordt de eerste volume-eigenaar. Wanneer een Bootstrap Token beschikbaar en in gebruik is, krijgt dit Bootstrap Token ook de status van volume-eigenaar en kent het vervolgens volume-eigendomsrechten toe aan andere accounts door Secure Tokens toe te kennen. Omdat zowel de eerste gebruiker aan wie een Secure Token is toegekend als het Bootstrap Token volume-eigenaar worden, en omdat het Bootstrap Token aan andere gebruikers Secure Tokens (en dus ook volume-eigendomsrechten) kan toekennen, hoeft volume-eigendom niet actief te worden beheerd of gestuurd in een organisatie. Bestaande overwegingen voor het beheren en toekennen van Secure Tokens komen over het algemeen ook overeen met volume-eigendomsrechten.
Het is mogelijk om volume-eigenaar te zijn zonder dat je beheerder bent. Bij bepaalde taken waarvoor je eigenaar moet zijn, wordt echter gecontroleerd of je zowel eigenaar als beheerder bent. Voor het wijzigen van de opstartbeveiligingsinstellingen moet je bijvoorbeeld zowel beheerder als volume-eigenaar zijn, terwijl het autoriseren van software-updates kan worden uitgevoerd door standaardgebruikers die alleen maar eigenaar hoeven te zijn.
Om een overzicht van de huidige volume-eigenaren op een Mac-computer met Apple silicon weer te geven, kun je het volgende commando uitvoeren:
sudo diskutil apfs listUsers /
De GUID's van het type 'Local Open Directory User' die in de uitvoer van het commando diskutil
worden vermeld, corresponderen met de GeneratedUID
-kenmerken van gebruikersrecords in Open Directory. Gebruik het volgende commando om een gebruiker op basis van de GeneratedUID
te vinden:
dscl . -search /Users GeneratedUID <GUID>
Met het volgende commando kun je gebruikersnamen samen met GUID's weergeven:
sudo fdesetup list -extended
Eigendom is beveiligd via cryptografie in de Secure Enclave. Zie voor meer informatie:
Gebruik van commandoregeltools
Er zijn commandoregeltools beschikbaar om Bootstrap Tokens en Secure Tokens te beheren. Het Bootstrap Token wordt doorgaans gegenereerd op de Mac en in bewaring gegeven aan de MDM-oplossing tijdens het configureren van macOS nadat de MDM-oplossing aan de Mac heeft doorgegeven dat de functie wordt ondersteund. Een Bootstrap Token kan echter ook worden gegenereerd op een Mac die al is geïmplementeerd. In macOS 10.15.4 of nieuwer wordt een Bootstrap Token gegenereerd en aan MDM in bewaring gegeven zodra een voor Secure Token geschikte gebruiker voor de eerste keer inlogt (als de MDM-oplossing de functie ondersteunt). Dit vermindert de noodzaak om na de configuratie van het apparaat de commandoregeltool profiles te gebruiken om een Bootstrap Token te genereren en aan de MDM-oplossing in bewaring te geven.
De commandoregeltool profiles
heeft een aantal opties voor interactie met het Bootstrap Token:
sudo profiles install -type bootstraptoken
: Met dit commando wordt een nieuw Bootstrap Token gegenereerd en aan de MDM-oplossing in bewaring gegeven. Voor dit commando zijn bestaande Secure Token-beheerdersgegevens vereist om het Bootstrap Token te genereren en de MDM-oplossing moet deze functie ondersteunen.sudo profiles remove -type bootstraptoken
: Verwijdert het bestaande Bootstrap Token van de Mac en uit de MDM-oplossing.sudo profiles status -type bootstraptoken
: Geeft aan of de MDM-oplossing de Bootstrap Token-functie ondersteunt en wat de huidige status van het Bootstrap Token op de Mac is.sudo profiles validate -type bootstraptoken
: Geeft aan of de MDM-oplossing de Bootstrap Token-functie ondersteunt en wat de huidige status van het Bootstrap Token op de Mac is.
Commandoregeltool sysadminctl
De commandoregeltool sysadminctl
kan worden gebruikt om de Secure Token-status van gebruikersaccounts op een Mac aan te passen. Doe dit alleen wanneer echt nodig en ga hierbij voorzichtig te werk. Voor het wijzigen van de Secure Token-status van een gebruiker met sysadminctl
zijn altijd de gebruikersnaam en het wachtwoord van een bestaande Secure Token-beheerder vereist. Deze inloggegevens kunnen interactief of met de desbetreffende schakelopties van het commando worden opgegeven. Met zowel sysadminctl
als Systeeminstellingen (macOS 13 of nieuwer) of Systeemvoorkeuren (macOS 12.0.1 of ouder) wordt voorkomen dat de laatste beheerder of Secure Token-gebruiker op een Mac kan worden verwijderd. Als een script met sysadminctl
wordt gebruikt om extra lokale gebruikers aan te maken, kunnen die gebruikers alleen geschikt worden gemaakt voor Secure Token door de inloggegevens van een actuele Secure Token-beheerder te verstrekken via de interactieve optie of rechtstreeks met de schakelopties -adminUser
en -adminPassword
voor sysadminctl
. Als er bij het aanmaken geen Secure Token wordt verleend, gebeurt dit in macOS 11 of nieuwer alsnog als een lokale gebruiker inlogt op een Mac en er via de MDM-oplossing een Bootstrap Token beschikbaar is. Gebruik sysadminctl -h
om meer gebruiksinstructies te zien.