Нещодавно я здійснив чисту установку Lion на одному з моїх Macs. Процес встановлення створив один адміністративний обліковий запис користувача. Після установки я включив FileVault для всього диска. Потім я створив додаткового адміністративного користувача. Обидва користувачі можуть розшифрувати диск під час входу.

Як я можу відкликати права дешифрування для одного з користувачів, не видаляючи користувача або тимчасово відключаючи FileVault? Я намагався відкликати адміністративний привілей одного користувача, роблячи його звичайним користувачем, але вони все ще можуть розшифрувати диск під час завантаження.

Використовуйте fdesetup:

sudo fdesetup remove -user username

Дивіться: http://derflounder.wordpress.com/2012/07/25/using-fdesetup-with-mountain-lions-filevault-2/

Це не неможливо. (Хоча якщо ви видалили користувача, можливо, ви ускладнили це!)

Я написав статтю «jaydisc», пов’язану з і лише перевірив, що вона все ще працює в 10.7.4:

Припустимо, що у вас є користувач "Чарлі" адміністратора, яким ви хочете користуватися, але не розблокувати комп'ютер:

sudo su - charlie  
$ passwd 
Changing password for charlie.
Old Password:**[enter old password here]**
New Password:**[press enter]**
Retype New Password:**[press enter]**
$ 

Зауважте, що ви не можете цього зробити:

sudo passwd charlie
Changing password for charlie.
New password:

тому що якщо ви натиснете клавішу Enter, коли отримаєте "новий запит на пароль", він повернеться і скаже:

Password unchanged.

Схоже, тимчасове видалення паролів користувачів видаляє їх із меню завантаження EFI:

http://www.tuaw.com/2011/12/12/prevent-certain-accounts-from-unlocking-filevault-2/

На жаль, у моєму випадку деякі користувачі є користувачами Open Directory Mobile, і я не можу знайти спосіб встановити їхній пароль порожнім.

FileVault 2 та відновлення HD

Відновлення HD не слід плутати з ОС відновлення (одна більша, ніж інша).

Коли ви ввімкнете FileVault 2 для користувача: незашифрований прихований розділ Apple_Boot Recovery HD, окремий від, але критичний для зашифрованого тома запуску, тимчасово встановлений для запису в пов'язані з EFI та інші файли. Якщо ви хочете переглянути цю діяльність у файловій системі, ввімкнувши користувача для розблокування:

• перед натисканням кнопки Готово використовуйте команду, наприклад fs_usage, або програму, наприклад fseventer .

Погляд на активність говорить про те, що зміни в незашифрованому томі - стосовно облікового запису користувача на зашифрованому томі - нетривіальні .

Якщо користувачеві надано невідповідні повноваження для розблокування

Можливо, оновлення до Lion (щось більше, ніж Build 11A511) надасть спосіб видалити з вікна входу в систему EFI користувача, який більше не зможе розблокувати том запуску.

Тим часом я можу придумати лише два методи, які можна використовувати.

Спосіб A: відключіть, тоді ввімкніть FileVault

1. відключити FileVault 2

2. дозволити завершення зворотного перетворення

3. перезавантажте операційну систему

4. увімкніть FileVault 2, але не для цього користувача.

Спосіб B: видаліть користувача, але не домашній каталог, et cetera

Я не перевіряв цей метод, я думаю, що наступне може спрацювати:

1. резервне копіювання

2. видаліть користувача, але не домашній каталог користувача

3. перезавантажте операційну систему

4. створити нового користувача з тим самим RecordName, що і оригінал

5. встановити номер UniqueID, який відрізняється від оригіналу

6. пов’язати попередній домашній каталог з новим користувачем.

Ось дуже проста відповідь про те, як відключити раніше доступний користувач доступ до зашифрованого накопичувача FileVault 2:

У терміналі використовуйте:

sudo fdesetup remove -user Username

Після цього ви побачите відключеного користувача у списку користувачів, доступних для включення у налаштуваннях системи-> Безпека та конфіденційність -> FileVault як підтвердження того, що відключення було успішним