Administrer FileVault avec Sophos Fusion

Sophos Fusion Device Encryption gère FileVault d’Apple et la clé de récupération personnelle. Le chiffrement, l’autorisation des utilisateurs avant le démarrage et le déverrouillage du volume de démarrage restent des fonctions de macOS. Le déploiement d’un Mac n’est donc terminé que lorsque la Policy, l’état FileVault local, les utilisateurs autorisés et une Recovery Key réellement disponible concordent.

Flux rapide

1. Vérifiez les versions macOS et Sophos prises en charge, les volumes APFS et l’état de FileVault et de gestion existant.
2. Assurez-vous que l’utilisateur local chargé de l’activation dispose d’un Secure Token. Sur un Mac équipé d’une puce Apple, il doit également s’agir de Volume Owner.
3. Installez Sophos Endpoint et le Device Encryption Agent.
4. Créez une politique de chiffrement de périphérique sous My Products > Encryption > Policies, activez Device Encryption is on et attribuez-la à tous les utilisateurs prévus du Mac.
5. Demandez à l’utilisateur de se connecter localement. Dans la boîte de dialogue Sophos, Encrypt lance un nouveau chiffrement ; si FileVault est déjà actif, Create key crée une nouvelle clé de récupération personnelle gérée par Sophos.
6. Vérifiez localement et sous My Products > Encryption > Computers : les volumes attendus chiffrés, les comptes prévus autorisés au pré-démarrage, la synchronisation actuelle et la clé de récupération disponible dans Sophos Fusion.

L’attribution d’une Policy ou l’affichage local de « FileVault : activé » ne suffit pas pour valider le déploiement. Un volume chiffré sans parcours de récupération fiable reste un risque opérationnel et de sécurité non résolu.

Prérequis avant la première affectation

Plateforme et agents pris en charge

Les versions de macOS et Sophos prises en charge évoluent. Avant le pilote comme avant le déploiement à grande échelle, vérifiez la prise en charge actuelle à l’aide de la procédure Planifier les configurations système requises et le cycle de vie de Sophos Endpoint. Sophos Endpoint et le Device Encryption Agent distinct doivent être installés sur le Mac.

Sophos gère le volume de démarrage APFS et, si la politique le permet, les volumes de données internes fixes. Les supports amovibles et les partitions Windows créés avec Boot Camp ne sont pas pris en charge. Avant l’affectation, inventoriez tous les volumes internes avec Disk Utility ou diskutil apfs list. Cela indique clairement quels volumes doivent être protégés et si un volume supplémentaire possède déjà son propre mot de passe de disque.

Comprendre le jeton sécurisé et le propriétaire du volume

Un utilisateur FileVault a besoin de l’autorisation Apple appropriée, pas seulement d’un compte local :

• L’utilisateur qui active FileVault ou déverrouille un volume de démarrage au pré-démarrage a besoin d’un Secure Token.
• Sur les Mac équipés d’une puce Apple, un utilisateur doit également être Volume Owner pour déverrouiller le disque de démarrage et autoriser les opérations de démarrage liées à la sécurité.
• Un nom d’administrateur ou une attribution de stratégie n’accorde pas automatiquement ces autorisations Apple.

Apple décrit les connexions dans Gérer FileVault avec gestion des appareils. Pour une vérification préliminaire locale en lecture seule, les commandes suivantes peuvent être utilisées dans le terminal :

sysadminctl -secureTokenStatus <KURZNAME>
diskutil apfs listUsers /

Remplacez <KURZNAME> par le nom abrégé du compte local. La première commande doit signaler que le Secure Token est activé pour l’utilisateur qui lance l’opération. Comparez la liste des utilisateurs APFS aux utilisateurs FileVault prévus localement ; sur les Mac à puce Apple, confirmez également le statut Volume Owner au moyen de la procédure Apple ou MDM approuvée par l’organisation. Si une autorisation est manquante, elle sera corrigée avant le déploiement à l’aide du processus d’administration Apple existant - et non en activant et désactivant à plusieurs reprises la stratégie Sophos.

Clarifier les responsabilités en matière de gestion et de récupération

Avant le changement, l’état actuel de FileVault, les clés de récupération personnelles existantes, les utilisateurs autorisés avant le démarrage et l’administration précédente sont documentés. Deux systèmes ne peuvent pas appliquer des politiques FileVault contradictoires en même temps. Si un MDM ou un produit de chiffrement existant est impliqué, l’état cible et la responsabilité de la clé doivent être établis avant le changement.

Le processus d’assistance commun pour la récupération, la remise et la documentation est présenté dans Récupérer la clé de récupération en toute sécurité. Sophos ne recommande pas de sauvegarder la clé de récupération FileVault sur le trousseau iCloud.

Un groupe pilote représentatif comprend au minimum des Mac Intel et des Mac à puce Apple, les types d’enrôlement réellement utilisés, un Mac neuf, un Mac sur lequel FileVault est déjà actif et, le cas échéant, un Mac doté de volumes APFS internes supplémentaires.

Créer et attribuer des stratégies

Le chemin central documenté est My Products > Encryption > Policies :

1. Sélectionnez Add Policy et créez une stratégie de chiffrement de périphérique.
2. Dans l’onglet Settings, activez l’option Device Encryption is on.
3. Décidez si vous souhaitez utiliser Encrypt boot volume only. Si l’option est active, la politique ignore les volumes de données internes fixes. Sinon, Sophos peut également gérer ces volumes après le volume de démarrage.
4. Activez la stratégie et attribuez-la aux utilisateurs prévus.

L’affectation est basée sur les utilisateurs. Sophos recommande d’attribuer la Policy à tous les utilisateurs d’un Mac donné. Ainsi, un Mac partagé ne reste pas hors du périmètre de protection prévu en raison d’une affectation incomplète. L’autorisation réelle avant le démarrage est néanmoins vérifiée séparément : l’affectation de la Policy et le statut d’utilisateur FileVault ne sont pas équivalents.

Si la Policy est désactivée ou supprimée, Sophos ne lance plus de nouvelle opération de chiffrement ou de déchiffrement. Un FileVault déjà actif le reste. Une Recovery Key précédemment transférée avec succès à Sophos Fusion peut rester accessible ; cela ne prouve toutefois ni que le dépôt actuel des clés fonctionne, ni que les modifications ultérieures de la clé seront prises en charge. « Policy désactivée, FileVault actif » ne constitue donc pas un état cible centralisé clairement validé.

Chiffrer un nouveau Mac

Après une connexion locale et une synchronisation réussie, Sophos affiche la boîte de dialogue d’activation :

1. L’utilisateur saisit son mot de passe de connexion macOS. Celui-ci autorise Sophos Device Encryption dans le contexte de son compte local.
2. Avec Encrypt, il lance le chiffrement. Postpone ne fait que reporter le démarrage ; le Mac n’est pas encore validé.
3. L’agent enregistre la clé de récupération personnelle dans le trousseau local et la transfère à Sophos Fusion.

Lors du déploiement initial, Sophos ajoute les utilisateurs autorisés existants du point de terminaison à FileVault. Si Encrypt boot volume only n’est pas activé, le volume de démarrage est suivi des volumes de données internes fixes non chiffrés. Les messages d’état indiquent la progression par volume.

L’utilisateur doit être connecté localement sur le Mac pour l’activation et la migration. Il ne suffit pas de se connecter à distance. Si aucune boîte de dialogue ne s’affiche, la session locale, l’attribution de stratégie, la dernière synchronisation, le jeton sécurisé et, sur les Mac à puce Apple, le statut du propriétaire du volume sont vérifiés en premier.

Reprendre un FileVault existant ou SafeGuard

FileVault déjà actif

Un Mac déjà chiffré n’a pas besoin d’être déchiffré au préalable pour que Sophos prenne le relais :

1. Documentez l’état initial, le chemin de récupération existant et l’utilisateur de pré-démarrage.
2. Installez Device Encryption Agent et attribuez la stratégie active.
3. Demandez à un utilisateur autorisé de se connecter localement.
4. Dans la boîte de dialogue Sophos, saisissez le mot de passe de connexion macOS et sélectionnez Create key.
5. Attendez que Sophos génère une nouvelle clé de récupération personnelle et la transfère vers Fusion.
6. Ne désactivez le parcours de récupération précédent selon votre procédure de conservation qu’une fois l’état local et la preuve dans Fusion validés.

Pour reprendre un volume de données interne déjà chiffré avec son propre mot de passe, ce mot de passe doit être saisi une fois. Sophos peut alors gérer le volume et le déverrouiller automatiquement au démarrage. Si le mot de passe est inconnu, interrompez la reprise de ce volume ; l’accès au volume de démarrage ne prouve pas que le volume de données est récupérable.

État initial de SafeGuard

Pour un Mac SafeGuard, le produit, la version, les modules installés, l’état de FileVault et le chemin de récupération existant sont d’abord clairement enregistrés. Le guide de migration Sophos nécessite la suppression du logiciel de chiffrement de l’appareil SafeGuard avant son adoption ; pour SafeGuard Enterprise 8 ou version ultérieure, il décrit une prise de contrôle dans laquelle FileVault peut rester chiffré.

Toutefois, les notes de version historiques de SafeGuard ne prouvent pas qu’un module SafeGuard maintenu en service ou nouvellement installé est encore pris en charge. Si la version est inconnue, si les modules sont mélangés ou s’il est prévu de continuer à utiliser un module de chiffrement de fichiers SafeGuard, arrêtez la migration et demandez au support Sophos de confirmer la prise en charge actuelle de cette combinaison précise. Le principe de sécurité reste le suivant : ne laissez jamais deux outils d’administration contrôler simultanément FileVault ou sa clé de récupération, et n’abandonnez l’ancienne méthode de récupération qu’après confirmation de la nouvelle clé.

Autoriser des utilisateurs FileVault supplémentaires

Toute personne censée déverrouiller le Mac au pré-démarrage doit être autorisée en tant qu’utilisateur FileVault. Si les nouveaux utilisateurs ne sont pas ajoutés automatiquement, Sophos décrit le processus suivant :

1. Le nouvel utilisateur se connecte localement, saisit son mot de passe de connexion macOS dans la boîte de dialogue Sophos et sélectionne Proceed.
2. Si aucune clé de récupération n’est encore enregistrée dans Fusion, il sélectionne également un utilisateur FileVault déjà autorisé.
3. Cet utilisateur existant saisit son propre mot de passe de connexion macOS et sélectionne Proceed.
4. Après un redémarrage, il est vérifié si le nouvel utilisateur peut se connecter au pré-démarrage de FileVault.

Un jeton sécurisé manquant ou - sur les Mac à puce Apple - un statut de propriétaire de volume manquant ne peut pas être remplacé par les informations d’identification d’un administrateur. Dans ce cas, l’autorisation Apple est d’abord corrigée, puis le processus Sophos est répété.

Selon Sophos, la suppression d’un utilisateur de la Policy centrale ne le supprime pas automatiquement de FileVault. Sur les Mac partagés, l’attribution des stratégies, les comptes locaux et l’autorisation de pré-démarrage réelle sont donc gérés séparément. Les utilisateurs FileVault activés localement affichent :

sudo fdesetup list

Valider l’état et la préparation à la récupération

Lire correctement l’état de Central

Sous My Products > Encryption > Computers, le Mac est vérifié avec son dernier état de communication et de chiffrement. Ces états sont particulièrement pertinents pour macOS :

• Encrypted: Le chiffrement est terminé. La capacité de récupération doit toujours être vérifiée séparément.
• Pending: La stratégie est attribuée, mais le chiffrement ou l’action de l’utilisateur n’est pas encore terminé.
• Plain: Au moins un volume attendu n’est pas chiffré ou le chiffrement n’a pas encore démarré.
• Unmanaged: L’agent existe, mais aucune stratégie de chiffrement de périphérique n’est en vigueur.
• Not supported: La plateforme ou le mode de fonctionnement n’est pas pris en charge.
• Not available: Fusion ne connaît pas l’état, par exemple parce que le composant est manquant ou qu’il n’y a pas encore de message utilisable.

Suspended est un état BitLocker, pas une valeur de validation ou de diagnostic FileVault. Sur un Mac, la Policy, l’autorisation des utilisateurs, l’état des volumes, la synchronisation et la Recovery Key sont évalués ensemble.

Pour le déploiement et la preuve de fonctionnement, les changements de statut et les événements clés sont également évalués sous Reports > General Logs > Events pour le Mac et la période concernés. Des événements tels que Device Encryption status changed, Received recovery keys, Key creation failed ou Recovery key missing retracent l’historique, mais ne remplacent pas la vérification actuelle sur l’appareil et sous Encryption > Computers. Le filtrage, l’exportation et la conservation du rapport sont expliqués dans Évaluer les événements et les rapports Sophos Endpoint.

Vérifiez localement

L’application Sophos Device Encryption se trouve dans le dossier Applications et affiche l’état de la stratégie, de l’utilisateur, du volume et de la récupération. Les symboles de volume signifient :

• Vert : entièrement chiffré et clé de récupération stockée dans Fusion.
• Jaune : entièrement chiffré, mais aucune clé n’est stockée dans Fusion ; un volume chiffré localement sans Fusion peut ne pas encore disposer de clé gérée.
• Jaune avec point d’exclamation : volume dont le chiffrement est exigé par la Policy, entièrement chiffré mais sans clé de récupération disponible.
• Rouge : non chiffré alors que la Policy exige le chiffrement.
• Gris : non chiffré et non exigé par la Policy, ou aucune Policy n’est présente.
• Barre de progression : le volume est en cours de chiffrement ou de déchiffrement.

De plus, Sophos propose l’outil /usr/local/bin/seadmin :

/usr/local/bin/seadmin help
/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status affiche la dernière synchronisation et l’intervalle de synchronisation. --device-encryption affiche la Policy actuelle ainsi que l’état du chiffrement et de la récupération des volumes internes. Réunissez les quatre preuves suivantes avant d’autoriser la mise en production :

1. Les volumes prévus sont entièrement chiffrés et apparaissent en vert localement.
2. fdesetup status signale que FileVault est actif ; sudo fdesetup list contient les utilisateurs de pré-démarrage prévus.
3. Le Mac se synchronise actuellement avec Fusion et signale Encrypted.
4. Le parcours de récupération approuvé permet d’obtenir la Recovery Key correspondant au bon Mac ou au Recovery-Key-ID qui y est affiché ; la validation locale de FileVault reste une opération distincte.

Restaurer un Mac

Récupérer la clé de récupération en toute sécurité renvoie la clé qui a déjà été correctement attribuée. Cet article commence par son utilisation dans FileVault.

Réinitialiser le mot de passe sur l’écran d’accueil normal

1. Cliquez sur le point d’interrogation dans le champ du mot de passe et utilisez la flèche pour accéder au champ de la clé de récupération.
2. Entrez la clé de récupération émise pour ce Mac.
3. Suivez la boîte de dialogue macOS pour créer un nouveau mot de passe de connexion.
4. Si Create New Keychain est proposé, créez un nouveau trousseau. Une clé de récupération FileVault ne déverrouille pas automatiquement l’ancien trousseau.
5. Après la connexion, vérifiez à nouveau les utilisateurs FileVault, la synchronisation Sophos et l’état de récupération.

L’ID de la clé de récupération ne s’affiche que brièvement au démarrage. Pour l’afficher à nouveau, redémarrez le Mac. Pour les utilisateurs importés depuis Active Directory, le mot de passe est d’abord réinitialisé dans AD et un mot de passe temporaire est attribué. Dans la boîte de dialogue macOS, l’utilisateur sélectionne Cancel puis saisit ce mot de passe temporaire.

Déverrouillez le volume APFS en dehors du démarrage normal

Cette solution de secours s’applique à un APFS-Volume chiffré lorsque l’écran d’accueil normal est inutilisable. Il ne remplace ni le contrôle d’identité ni l’attribution claire de la clé de récupération. Selon le modèle de Mac et la version de macOS, macOS Recovery, un volume de démarrage externe pris en charge ou la connexion fournie par Apple ou le partage de disque avec un deuxième Mac sont disponibles.

1. Ouvrez Utilities > Terminal dans l’environnement de récupération sélectionné.

2. Affichez la structure APFS en lecture seule :

   diskutil apfs list
   

3. Identifiez sans ambiguïté le volume chiffré cible par son nom, son rôle et son ID de volume APFS. Annulez si l’identification n’est pas certaine ; ne confondez pas les volumes système, de données, de pré-démarrage et de récupération.

4. Déverrouillez de manière interactive le volume cible :

   diskutil apfs unlockVolume <VOLUME-ID>
   

   Remplacez <VOLUME-ID> par l’identifiant relevé. Saisissez la clé de récupération uniquement à l’invite interactive du mot de passe ; ne l’inscrivez jamais comme argument de commande ni dans un script.

5. Utilisez diskutil apfs list et le Finder pour vérifier si le volume correct est monté et si les données attendues sont lisibles.

Un déverrouillage réussi prouve uniquement que cette clé correspond à ce volume APFS. Il ne répare pas l’agent Sophos ni le transfert de clé et n’autorise pas d’autres modifications du volume. Les données sont ensuite sauvegardées ou le défaut réel est traité de manière contrôlée.

Si la clé de récupération n’est pas enregistrée

Si l’agent ne peut pas enregistrer la nouvelle clé de récupération dans le trousseau macOS ou Sophos Fusion, Sophos l’affiche à l’utilisateur et l’invite à en enregistrer une copie. De plus, Sophos crée une sauvegarde d’urgence accessible uniquement pour root :

/Library/Application Support/Sophos Encryption/.RecoverykeyEmergencybackup

L’agent tente à nouveau le transfert. Une fois réussi, il informe l’utilisateur que Fusion gère une nouvelle clé et que la copie manuelle peut être détruite. D’ici là, la clé sera gardée secrète et aucun statut jaune ne sera enregistré comme un déploiement réussi.

Si l’état reste jaune après une connexion locale, une connexion réseau et une nouvelle synchronisation, ou si l’application, seadmin et Fusion indiquent des états contradictoires, consignez l’heure, les versions de macOS et de l’agent, la Policy, l’ID du volume concerné et les états affichés, sans inclure la Recovery Key. Le diagnostic approfondi et l’escalade sont décrits dans Résoudre méthodiquement les erreurs Sophos Device Encryption.

État cible contrôlé et retrait

Pour macOS, il n’existe pas de séquence Sophos générale et établie du type « supprimer la Policy, supprimer l’utilisateur, déchiffrer automatiquement ». De même, la désinstallation de l’Endpoint Agent ne transfère pas une clé FileVault à un nouveau système de gestion. Un état cible contrôlé est donc établi avant la remise, le changement de tenant ou la désinstallation de l’agent :

1. Déterminez si FileVault doit rester actif ou être délibérément désactivé par un administrateur local autorisé.
2. Documentez le dernier état local avec fdesetup status, les utilisateurs de pré-démarrage avec sudo fdesetup list et les volumes internes concernés.
3. Si FileVault reste actif, fournissez au futur propriétaire une preuve de la responsabilité de la récupération et un chemin de récupération approuvé adapté à l’appareil. Une ancienne entrée Fusion ne constitue pas à elle seule un transfert.
4. Si vous souhaitez désactiver FileVault localement, assurez-vous d’abord que la Policy Device Encryption du Mac ne s’applique plus. La suppression ou la désactivation de la Policy ne déchiffre pas FileVault ; elle empêche Sophos d’en demander de nouveau l’activation. Assurez un parcours de récupération opérationnel, planifiez une fenêtre de maintenance, lancez ensuite le déchiffrement sous macOS et vérifiez localement qu’il est terminé.
5. Uniquement lorsque l’état cible, les preuves locales et la responsabilité de récupération sont corrects, effectuez la suppression de l’agent local conformément à Désinstaller Sophos Endpoint sur macOS.
6. Le nettoyage de l’objet périphérique dans Fusion reste une étape administrative distincte et ne constitue ni un déchiffrement ni un transfert de clé.

Lors du passage à un autre système de gestion, ses fonctions FileVault et de dépôt des clés sont d’abord testées sur un groupe pilote. L’ancien parcours de récupération est conservé jusqu’à ce que le nouveau système ait repris de manière vérifiable l’état cible prévu et un parcours de récupération testé.

Limiter les écarts typiques

Aucune boîte de dialogue Sophos après la connexion

Vérifiez d’abord la connexion locale au lieu de la connexion à distance, l’installation de Device Encryption Agent, l’attribution des utilisateurs et des stratégies et la dernière synchronisation. Viennent ensuite Secure Token et, sur les Mac à puce Apple, Volume Owner. Sans ces exigences, les changements répétés de politique ne constituent pas un test utile.

L’utilisateur peut démarrer macOS mais ne peut pas se connecter au pré-démarrage de FileVault

Le compte local n’est pas automatiquement un utilisateur FileVault. Comparez sudo fdesetup list à la liste d’utilisateurs attendue, vérifiez les autorisations Apple et suivez la procédure documentée pour ajouter un utilisateur. Testez ensuite par un redémarrage ; une déconnexion suivie d’une reconnexion dans la session en cours ne suffit pas.

Fusion affiche Encrypted, localement un volume est jaune

Encrypted ne prouve pas à lui seul que la récupération est opérationnelle. Identifiez le volume concerné et l’état de sa clé dans l’application Sophos Device Encryption et avec seadmin --device-encryption. Tant que la disponibilité d’une clé de récupération appropriée n’est pas établie, le Mac ne peut pas être validé.

FileVault est actif, Fusion affiche Pending ou Not available

Vérifiez la dernière synchronisation, le composant, l’action de l’utilisateur local et la stratégie. Si FileVault est déjà actif, vérifiez si l’utilisateur a terminé Create key. Si les états local et central restent contradictoires après une nouvelle synchronisation, ne lancez ni rotation de clés ni modification expérimentale de la Policy : consignez les éléments observés et transmettez le dossier pour diagnostic.

Questions fréquentes