Gần đây tôi đã thực hiện cài đặt sạch Lion trên một trong những máy Mac của mình. Quá trình cài đặt đã tạo một tài khoản người dùng quản trị. Sau khi cài đặt, tôi kích hoạt FileVault cho toàn bộ đĩa. Sau đó, tôi tạo thêm một người dùng quản trị. Cả hai người dùng có thể giải mã ổ đĩa trong khi đăng nhập.

Làm cách nào để thu hồi quyền giải mã cho một trong những người dùng mà không xóa người dùng hoặc tạm thời vô hiệu hóa FileVault? Tôi đã thử thu hồi đặc quyền quản trị của một người dùng, biến họ thành người dùng thông thường, nhưng họ vẫn có thể giải mã ổ đĩa trong khi khởi động.

Sử dụng fdesetup:

sudo fdesetup remove -user username

Xem: http://derflounder.wordpress.com/2012/07/25/USE-fdesetup-with-menez-lions-filevault-2/

Nó không phải là không thể. (Mặc dù nếu bạn đã xóa người dùng, bạn có thể đã làm điều này phức tạp hơn!)

Tôi đã viết bài báo 'jaydisc' được liên kết đến và chỉ kiểm tra rằng nó vẫn hoạt động trong 10.7.4:

Giả sử rằng bạn có một người dùng quản trị 'charlie' mà bạn muốn có thể sử dụng, nhưng không mở khóa máy tính:

sudo su - charlie  
$ passwd 
Changing password for charlie.
Old Password:**[enter old password here]**
New Password:**[press enter]**
Retype New Password:**[press enter]**
$ 

Lưu ý rằng bạn không thể làm điều này:

sudo passwd charlie
Changing password for charlie.
New password:

bởi vì nếu bạn nhấn enter khi bạn nhận được 'dấu nhắc mật khẩu mới', nó sẽ quay lại và nói:

Password unchanged.

Có vẻ như tạm thời xóa mật khẩu của người dùng sẽ xóa chúng khỏi menu khởi động EFI:

http://www.tuaw.com/2011/12/12/prevent-certain-accounts-from-unlocking-filevault-2/

Thật không may, trong trường hợp của tôi, một số người dùng là người dùng Open Directory Mobile và tôi không thể tìm ra cách đặt mật khẩu của họ thành trống.

FileVault 2 và Recovery HD

Recovery HD không bị nhầm lẫn với Recovery OS (cái này lớn hơn cái kia).

Khi bạn bật FileVault 2 cho người dùng: phân vùng Apple_Boot Recovery HD ẩn không được mã hóa, tách biệt nhưng quan trọng với khối lượng khởi động được mã hóa, tạm thời được gắn để ghi vào các tệp liên quan đến EFI và các tệp khác. Nếu bạn muốn xem hoạt động hệ thống tệp này, trong khi cho phép người dùng cho mục đích mở khóa:

• trước khi nhấp Xong , hãy sử dụng một lệnh như fs_usage hoặc một ứng dụng như fseventer .

Nhìn lướt qua hoạt động cho thấy rằng chỉnh sửa âm lượng không được mã hóa - liên quan đến tài khoản người dùng trên ổ đĩa được mã hóa - là không cần thiết .

Nếu người dùng được trao quyền không phù hợp để mở khóa

Có thể một bản cập nhật cho Lion (một cái gì đó lớn hơn Build 11A511) sẽ cung cấp một cách để loại bỏ, từ đăng nhập EFI, một người dùng không còn có thể mở khóa âm lượng khởi động.

Trong khi đó tôi chỉ có thể nghĩ ra hai phương pháp có thể được sử dụng.

Phương pháp A: vô hiệu hóa sau đó kích hoạt FileVault

1. tắt FileVault 2

2. cho phép chuyển đổi ngược để hoàn thành

3. khởi động lại hệ điều hành

4. bật FileVault 2, nhưng không cho người dùng đó.

Phương pháp B: xóa người dùng nhưng không xóa thư mục chính, et cetera

Tôi chưa thử nghiệm phương pháp này, tôi tưởng tượng rằng những điều sau đây có thể hoạt động:

1. sao lưu

2. xóa người dùng nhưng không xóa thư mục chính của người dùng

3. khởi động lại hệ điều hành

4. tạo một người dùng mới có cùng RecordName như bản gốc

5. đặt số UniqueID khác với số gốc

6. liên kết thư mục nhà trước với người dùng mới.

Đây là câu trả lời rất đơn giản về cách vô hiệu hóa quyền truy cập của người dùng được kích hoạt trước đó vào ổ đĩa được mã hóa FileVault 2:

Trong thiết bị đầu cuối, sử dụng:

sudo fdesetup remove -user Username

Sau đó, bạn sẽ thấy người dùng bị vô hiệu hóa trong danh sách người dùng có sẵn để bật trong Tùy chọn hệ thống-> Bảo mật & quyền riêng tư -> FileVault khi xác minh rằng việc vô hiệu hóa đã thành công