Questo articolo spiega cos'è il Secure Token su macOS, il suo ruolo nella gestione degli utenti locali e perché è necessario per azioni quali la modifica delle password utente o la creazione di nuovi account utente.
Che cos'è il Secure Token?
Il Secure Token è un identificatore di sicurezza generato da macOS e collegato a un account utente locale.
Abilita la crittografia e la decrittografia dei dati tramite FileVault . Un utente con un Secure Token è considerato "autorizzato" a eseguire azioni di sistema sensibili come:
- Abilitazione o disabilitazione di FileVault
- Modifica della password di un altro utente locale (se l'utente dispone di un token di sicurezza)
- Creazione di un nuovo utente locale
- Concessione di un token sicuro a un altro account
- Senza un Secure Token, queste operazioni falliranno, anche se eseguite da un account amministratore
Perché il Secure Token è importante per Factorial IT
Factorial IT si affida al Secure Token per gestire in modo sicuro gli utenti macOS.
Quando si reimposta una password o si crea un nuovo utente tramite Factorial IT, macOS richiede che l'azione venga avviata da un account che detiene un Secure Token.
Ciò garantisce:
- Conformità ai requisiti di sicurezza di Apple
- Accesso continuato al disco crittografato con FileVault
- Esecuzione corretta delle azioni di gestione degli utenti tramite Factorial IT
Controlla lo stato del Secure Token in Factorial IT
Lo stato del Secure Token viene visualizzato direttamente nel cockpit IT Factorial , nella scheda Utenti del dispositivo in questione.
È possibile verificare rapidamente se l'account amministratore macOS utilizzato da Factorial IT contiene un Secure Token attivo.
Per garantire una corretta gestione degli utenti tramite Factorial IT, assicurarsi che l'account amministratore collegato al dispositivo disponga di un Secure Token.
Trasferisci SecureToken
Se hai un account a cui è stato concesso un SecureToken e desideri che un altro account lo abbia, segui questa procedura
- Se necessario, promuovi l'account con SecureToken Granted (deve essere sudoers)
- Esegui
sudo sysadminctl -secureTokenOn seconduseraccount -password - -adminUser firstuseraccount -adminPassword - - Per verificare se secureToken è abilitato sul nuovo account, eseguire
sudo sysadminctl -secureTokenStatus seconduseraccount - Se necessario, declassare l'account.
La cabina di pilotaggio può impiegare fino a 24 ore per aggiornare lo stato dell'account locale nella scheda utente del dispositivo.
Comportamenti di SecureToken (solo MacOS)
| Metodo di creazione | Account amministratore | Account non amministratore |
| Creato da Factorial IT durante ZTD | SecureToken abilitato automaticamente | Nessun SecureToken fornito |
| Creato automaticamente dal criterio "Account amministratore" | SecureToken fornito al primo accesso all'account | Nessun SecureToken fornito |
| Creato manualmente dal cliente tramite Factorial IT | SecureToken fornito al primo accesso all'account | Nessun SecureToken fornito |
| Creato manualmente dal cliente localmente | SecureToken fornito se creato dall'account amministratore con SecureToken | Nessun SecureToken fornito |
| Creato tramite sysadminctl dal cliente in locale o in remoto | SecureToken fornito se creato utilizzando l'amministratore con SecureToken | SecureToken fornito se creato utilizzando l'amministratore con SecureToken |