FileVault beheren met Sophos Fusion

Sophos Fusion Device Encryption beheert Apple FileVault en de persoonlijke Recovery Key. De versleuteling, gebruikersbevoegdheid bij Pre-Boot en ontgrendeling van het opstartvolume blijven functies van macOS. Een Mac is daarom pas volledig uitgerold wanneer policy, lokale FileVault-toestand, bevoegde gebruikers en een daadwerkelijk beschikbare Recovery Key op elkaar aansluiten.

Snel overzicht

1. Controleer ondersteunde macOS- en Sophos-versies, APFS-volumes en de bestaande FileVault- en beheertoestand.
2. Zorg dat de activerende lokale gebruiker een Secure Token heeft. Op een Mac met Apple-chip moet diegene bovendien Volume Owner zijn.
3. Installeer Sophos Endpoint en de Device Encryption Agent.
4. Maak onder My Products > Encryption > Policies een Device Encryption-policy, schakel Device Encryption is on in en wijs haar toe aan alle beoogde gebruikers van de Mac.
5. Laat de gebruiker zich lokaal aanmelden. In het Sophos-dialoogvenster start Encrypt een nieuwe versleuteling; als FileVault al actief is, maakt Create key een nieuwe, door Sophos beheerde persoonlijke Recovery Key.
6. Controleer lokaal en onder My Products > Encryption > Computers: verwachte volumes versleuteld, bedoelde accounts bevoegd voor Pre-Boot, synchronisatie actueel en Recovery Key beschikbaar in Sophos Fusion.

Een toegewezen policy of een lokale melding ‘FileVault: On’ volstaat niet als acceptatie. Een versleuteld volume zonder betrouwbare recoveryroute blijft een open beveiligings- en bedrijfsrisico.

Vereisten vóór de eerste toewijzing

Ondersteund platform en agents

Ondersteunde macOS- en Sophos-versies veranderen. Controleer daarom vóór pilot en brede uitrol de actuele stand volgens Sophos Endpoint-systeemeisen en Lifecycle plannen. Op de Mac moeten Sophos Endpoint en de afzonderlijke Device Encryption Agent zijn geïnstalleerd.

Sophos beheert het APFS-opstartvolume en, als de policy dit voorschrijft, vaste interne datavolumes. Verwisselbare media en met Boot Camp gemaakte Windows-partities worden niet ondersteund. Inventariseer daarom vóór toewijzing alle interne volumes met Disk Utility of diskutil apfs list. Zo staat vast welke volumes beschermd moeten worden en of een extra volume al een eigen schijfwachtwoord heeft.

Secure Token en Volume Owner begrijpen

Een FileVault-gebruiker heeft de passende Apple-bevoegdheid nodig, niet alleen een lokaal account:

• De gebruiker die FileVault activeert of een opstartvolume bij Pre-Boot ontgrendelt, heeft een Secure Token nodig.
• Op Macs met Apple-chip moet een gebruiker bovendien Volume Owner zijn om het opstartvolume te ontgrendelen en beveiligingsrelevante opstartacties te autoriseren.
• Een beheerdersnaam of policytoewijzing verleent deze Apple-bevoegdheden niet automatisch.

Apple beschrijft de samenhang in Manage FileVault with device management. Gebruik voor een lokale alleen-lezen voorafcontrole de volgende opdrachten in Terminal:

sysadminctl -secureTokenStatus <KURZNAME>
diskutil apfs listUsers /

Vervang <KURZNAME> door de lokale accountnaam. De eerste opdracht moet voor de activerende gebruiker een actieve Secure Token melden. Vergelijk de APFS-gebruikerslijst met de lokaal bedoelde FileVault-gebruikers; bevestig op Macs met Apple-chip de Volume Owner-bevoegdheid bovendien via de in de organisatie goedgekeurde Apple- of MDM-controle. Corrigeer een ontbrekende bevoegdheid vóór de uitrol via het bestaande Apple-beheerproces, niet door de Sophos-policy herhaald uit en in te schakelen.

Beheer- en recoveryverantwoordelijkheid vaststellen

Documenteer vóór de omschakeling de huidige FileVault-status, bestaande persoonlijke Recovery Keys, bevoegde Pre-Boot-gebruikers en het huidige beheer. Twee systemen mogen niet gelijktijdig conflicterende FileVault-instellingen afdwingen. Als een MDM of ouder versleutelingsproduct betrokken is, moeten doelstatus en keyverantwoordelijkheid vóór de wijziging vaststaan.

De gezamenlijke helpdeskprocedure voor ophalen, uitgifte en verslaglegging staat in Recovery Keys veilig ophalen. Sophos raadt opslag van de FileVault Recovery Key in de iCloud-sleutelhanger af.

Een representatieve pilotgroep omvat minimaal Intel- en Apple-chipvarianten, de werkelijk gebruikte inschrijvingsmethoden, een nieuwe Mac, een Mac waarop FileVault al actief is en, indien aanwezig, een Mac met extra interne APFS-volumes.

Policy maken en toewijzen

Het gedocumenteerde Central-pad is My Products > Encryption > Policies:

1. Kies Add Policy en maak een Device Encryption-policy.
2. Schakel op het tabblad Settings de optie Device Encryption is on in.
3. Bepaal of Encrypt boot volume only wordt gebruikt. Als de optie aanstaat, negeert de policy vaste interne datavolumes. Anders kan Sophos ook deze volumes na het opstartvolume beheren.
4. Schakel de policy in en wijs haar toe aan de beoogde gebruikers.

De toewijzing is gebruikersgebaseerd. Sophos raadt aan de policy toe te wijzen aan alle gebruikers van een bepaalde Mac. Zo blijft een gedeelde Mac niet door een onvolledige toewijzing buiten het bedoelde beveiligingsbereik. Controleer de werkelijke Pre-Boot-bevoegdheid toch afzonderlijk; policytoewijzing en FileVault-gebruikersstatus zijn niet hetzelfde.

Als de policy wordt uitgeschakeld of verwijderd, voert Sophos geen nieuwe ver- of ontsleutelingsactie uit. Een reeds actief FileVault blijft actief. Een eerder succesvol naar Sophos Fusion overgedragen Recovery Key kan beschikbaar blijven; daaruit mag niet worden afgeleid dat de actuele key-escrow nog werkt of latere keywijzigingen worden overgenomen. ‘Policy uit, FileVault aan’ is daarom geen aantoonbaar centraal beheerde doelstatus.

Een nieuwe Mac versleutelen

Na lokale aanmelding en geslaagde synchronisatie toont Sophos het activeringsvenster:

1. De gebruiker voert het macOS-aanmeldwachtwoord in. Daarmee autoriseert diegene Sophos Device Encryption in de context van het lokale account.
2. Met Encrypt start de versleuteling. Postpone stelt alleen de start uit; de Mac is daarmee nog niet geaccepteerd.
3. De agent slaat de persoonlijke Recovery Key op in de lokale sleutelhanger en draagt deze over aan Sophos Fusion.

Tijdens de eerste uitrol voegt Sophos de reeds aanwezige bevoegde gebruikers van het endpoint toe aan FileVault. Als Encrypt boot volume only niet aanstaat, volgen na het opstartvolume de onversleutelde vaste interne datavolumes. Statusmeldingen tonen de voortgang per volume.

De gebruiker moet voor activering en migratie lokaal op de Mac zijn aangemeld. Alleen aanmelden op afstand volstaat niet. Als geen dialoogvenster verschijnt, controleer dan eerst de lokale sessie, policytoewijzing, laatste synchronisatie, Secure Token en, op Macs met Apple-chip, Volume Owner-status.

Bestaand FileVault of SafeGuard overnemen

FileVault is al actief

Een reeds versleutelde Mac hoeft voor overname door Sophos niet eerst te worden ontsleuteld:

1. Documenteer uitgangstoestand, bestaande recoveryroute en Pre-Boot-gebruikers.
2. Installeer de Device Encryption Agent en wijs de actieve policy toe.
3. Laat een bevoegde gebruiker zich lokaal aanmelden.
4. Voer in het Sophos-dialoogvenster het macOS-aanmeldwachtwoord in en kies Create key.
5. Wacht totdat Sophos een nieuwe persoonlijke Recovery Key heeft gemaakt en aan Fusion heeft overgedragen.
6. Stel de oude recoveryroute volgens het eigen bewaarbeleid pas buiten gebruik nadat lokale status en Central-bewijs overeenkomen.

Een reeds versleuteld intern datavolume met een eigen schijfwachtwoord vereist dat wachtwoord eenmaal. Daarna kan Sophos het volume beheren en tijdens het opstarten automatisch ontgrendelen. Stop de overname van dit volume als het wachtwoord onbekend is; een werkende aanmelding op het opstartvolume bewijst niet dat ook het datavolume kan worden hersteld.

SafeGuard-uitgangssituatie

Leg bij een SafeGuard-Mac eerst product, versie, geïnstalleerde modules, FileVault-status en bestaande recoveryroute eenduidig vast. De Sophos-migratiehandleiding vereist verwijdering van de SafeGuard Device Encryption-software vóór overname; voor SafeGuard Enterprise 8 of nieuwer beschrijft ze een overname waarbij FileVault versleuteld kan blijven.

Historische SafeGuard-release notes bewijzen echter geen huidige ondersteuning voor een behouden of opnieuw geïnstalleerde SafeGuard-module. Stop de migratie bij een onbekende versie, gemengde modules of een plan om een SafeGuard-bestandsversleutelingsmodule te behouden, en laat Sophos Support de concrete combinatie actueel bevestigen. Het veilige beginsel blijft: laat nooit twee managers gelijktijdig FileVault of de Recovery Key beheren en geef de oude recoveryroute pas op nadat de nieuwe key is bevestigd.

Meer FileVault-gebruikers autoriseren

Iedereen die de Mac bij Pre-Boot moet kunnen ontgrendelen, moet als FileVault-gebruiker bevoegd zijn. Als nieuwe gebruikers niet automatisch worden toegevoegd, beschrijft Sophos het volgende proces:

1. De nieuwe gebruiker meldt zich lokaal aan, voert in het Sophos-dialoogvenster het macOS-aanmeldwachtwoord in en kiest Proceed.
2. Als nog geen Recovery Key in Fusion is opgeslagen, kiest diegene ook een reeds bevoegde FileVault-gebruiker.
3. Deze bestaande gebruiker voert het eigen macOS-aanmeldwachtwoord in en kiest Proceed.
4. Controleer na een herstart of de nieuwe gebruiker bij FileVault Pre-Boot kan aanmelden.

Een ontbrekende Secure Token of, op een Mac met Apple-chip, ontbrekende Volume Owner-status kan niet door de aanmeldgegevens van een willekeurige beheerder worden vervangen. Corrigeer in dat geval eerst de Apple-bevoegdheid en herhaal daarna het Sophos-proces.

Een gebruiker uit de Central-policy verwijderen, verwijdert diegene volgens Sophos niet automatisch uit FileVault. Beheer policytoewijzing, lokale accounts en daadwerkelijke Pre-Boot-bevoegdheid daarom afzonderlijk op gedeelde Macs. Deze opdracht toont de lokaal actieve FileVault-gebruikers:

sudo fdesetup list

Versleutelings- en recoverygereedheid accepteren

Central-status correct lezen

Controleer de Mac onder My Products > Encryption > Computers, inclusief laatste communicatie en versleutelingsstatus. Voor macOS zijn vooral deze toestanden relevant:

• Encrypted: de versleuteling is voltooid. Controleer het recoverybewijs toch afzonderlijk.
• Pending: de policy is toegewezen, maar versleuteling of gebruikersactie is nog niet voltooid.
• Plain: minimaal één verwacht volume is onversleuteld of de versleuteling is nog niet gestart.
• Unmanaged: de agent is aanwezig, maar er is geen effectieve Device Encryption-policy.
• Not supported: platform of bedrijfsmodus wordt niet ondersteund.
• Not available: Fusion kent de toestand niet, bijvoorbeeld omdat de component ontbreekt of nog geen bruikbare melding is ontvangen.

Suspended is een BitLocker-status en geen FileVault-acceptatie- of diagnosewaarde. Beoordeel op een Mac in plaats daarvan policy, gebruikersautorisatie, volumestatus, synchronisatie en Recovery Key samen.

Onderzoek voor uitrol- en bedrijfsbewijs ook statuswijzigingen en key-events onder Reports > General Logs > Events voor de betrokken Mac en periode. Events zoals Device Encryption status changed, Received recovery keys, Key creation failed en Recovery key missing tonen het verloop, maar vervangen de actuele controle op het apparaat en onder Encryption > Computers niet. Filters, export en bewaring van het rapport staan in Sophos Endpoint Events en Reports analyseren.

Lokaal controleren

De app Sophos Device Encryption staat in de map Programma’s en toont policy-, gebruikers-, volume- en recoverystatus. De volumepictogrammen betekenen:

• Groen: volledig versleuteld en Recovery Key opgeslagen in Fusion.
• Geel: volledig versleuteld, maar geen key opgeslagen in Fusion; voor een lokaal en zonder Fusion versleuteld volume bestaat mogelijk nog geen beheerde key.
• Geel met uitroepteken: door de policy vereist, volledig versleuteld volume zonder beschikbare Recovery Key.
• Rood: niet versleuteld hoewel de policy versleuteling vereist.
• Grijs: niet versleuteld en niet door de policy vereist, of er is geen policy.
• Voortgangsbalk: het volume wordt momenteel versleuteld of ontsleuteld.

Sophos levert daarnaast het hulpmiddel /usr/local/bin/seadmin:

/usr/local/bin/seadmin help
/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status toont de laatste synchronisatie en het synchronisatie-interval. --device-encryption toont de actuele policy en de versleutelings- en recoverystatus van interne volumes. Voor vrijgave moeten vier bewijzen samen aanwezig zijn:

1. De bedoelde volumes zijn volledig versleuteld en lokaal groen.
2. fdesetup status meldt dat FileVault actief is; sudo fdesetup list bevat de bedoelde Pre-Boot-gebruikers.
3. De Mac heeft recent met Fusion gesynchroniseerd en meldt Encrypted.
4. De goedgekeurde ophaalroute kan de Recovery Key voor de juiste Mac of daar getoonde Recovery-Key-ID leveren; de lokale FileVault-acceptatie blijft hiervan gescheiden.

Een Mac herstellen

Recovery Keys veilig ophalen levert de reeds correct gekoppelde key. Dit artikel begint met het gebruik ervan in FileVault.

Wachtwoord op het normale opstartscherm resetten

1. Klik in het wachtwoordveld op het vraagteken en ga met de pijl naar het Recovery-Key-veld.
2. Voer de voor deze Mac uitgegeven Recovery Key in.
3. Volg het macOS-dialoogvenster om een nieuw aanmeldwachtwoord te maken.
4. Als Create New Keychain wordt aangeboden, maakt u een nieuwe sleutelhanger. De oude sleutelhanger wordt niet automatisch door een FileVault Recovery Key ontgrendeld.
5. Controleer na aanmelding opnieuw de FileVault-gebruikers, Sophos-synchronisatie en recoverystatus.

De Recovery-Key-ID wordt bij het opstarten slechts kort getoond. Start de Mac opnieuw om haar nogmaals weer te geven. Voor uit Active Directory geïmporteerde gebruikers wordt eerst het wachtwoord in AD gereset en een tijdelijk wachtwoord verstrekt. In het macOS-dialoogvenster kiest de gebruiker Cancel en voert daarna dit tijdelijke wachtwoord in.

APFS-volume buiten de normale opstart ontgrendelen

Deze fallback geldt voor een versleuteld APFS-volume wanneer het normale opstartscherm niet bruikbaar is. Ze vervangt noch de identiteitscontrole noch de eenduidige koppeling van de Recovery Key. Afhankelijk van Mac-model en macOS-versie zijn macOS Recovery, een ondersteund extern opstartvolume of de door Apple voorziene verbinding of schijfdeling met een tweede Mac beschikbaar.

1. Open in de gekozen recoveryomgeving Utilities > Terminal.

2. Toon de APFS-structuur alleen-lezen:

   diskutil apfs list
   

3. Bepaal het versleutelde doelvolume eenduidig op basis van naam, rol en APFS-volume-ID. Breek af bij een onduidelijke koppeling; System-, Data-, Preboot- en Recovery-volumes mogen niet worden verwisseld.

4. Ontgrendel het doelvolume interactief:

   diskutil apfs unlockVolume <VOLUME-ID>
   

   Vervang <VOLUME-ID> door de gevonden identifier. Voer de Recovery Key pas in bij de interactieve wachtwoordprompt; geef hem nooit als opdrachtargument op en schrijf hem niet in een script.

5. Controleer met diskutil apfs list en in Finder of het juiste volume is gekoppeld en de verwachte gegevens leesbaar zijn.

Geslaagde ontgrendeling bewijst alleen dat deze key bij dit APFS-volume past. Ze herstelt noch de Sophos-agent noch de keyoverdracht en geeft geen toestemming voor verdere volumewijzigingen. Stel daarna gegevens veilig of behandel de eigenlijke storing gecontroleerd.

Als de Recovery Key niet wordt opgeslagen

Als de agent de nieuwe Recovery Key niet in de macOS-sleutelhanger of Sophos Fusion kan opslaan, toont Sophos hem aan de gebruiker en vraagt een kopie te bewaren. Sophos maakt bovendien een noodkopie die alleen voor root toegankelijk is:

/Library/Application Support/Sophos Encryption/.RecoverykeyEmergencybackup

De agent probeert de overdracht herhaaldelijk. Zodra die slaagt, meldt hij dat Fusion een nieuwe key beheert en de handmatige kopie kan worden vernietigd. Bescherm de key tot dan als geheim en registreer een gele status niet als geslaagde uitrol.

Als de status na lokale aanmelding, netwerkverbinding en nieuwe synchronisatie geel blijft of als app, seadmin en Fusion elkaar tegenspreken, leg dan tijdstip, macOS- en agentversie, policy, betrokken volume-ID en statusweergaven zonder Recovery Key vast. Verdere diagnose en escalatie staan in Problemen met Sophos Device Encryption systematisch oplossen.

Gecontroleerde doelstatus en offboarding

Voor macOS bestaat geen bewezen algemene Sophos-volgorde van het type ‘policy verwijderen, gebruiker verwijderen, automatisch ontsleutelen’. De-installatie van de Endpoint-agent draagt evenmin een FileVault-key over aan nieuw beheer. Stel daarom vóór overdracht, tenantwissel of de-installatie een gecontroleerde doelstatus in:

1. Bepaal of FileVault actief moet blijven of door een lokaal bevoegde beheerder bewust moet worden uitgeschakeld.
2. Documenteer de laatste lokale toestand met fdesetup status, de Pre-Boot-gebruikers met sudo fdesetup list en de betrokken interne volumes.
3. Als FileVault actief blijft, toon dan de recoveryverantwoordelijkheid en een bij het apparaat passende, goedgekeurde recoveryroute bij de toekomstige eigenaar aan. Alleen een oude Fusion-vermelding is geen overdracht.
4. Als FileVault lokaal moet worden uitgeschakeld, zorg dan eerst dat de Device Encryption-policy niet meer effectief is voor de Mac. Verwijderen of uitschakelen van de policy ontsleutelt FileVault niet; het voorkomt dat Sophos opnieuw om activering vraagt. Stel daarna recovery en onderhoudsvenster veilig, voer de ontsleuteling onder macOS uit en controleer lokaal of ze volledig is voltooid.
5. Verwijder de lokale agent pas nadat doelstatus, lokale bewijzen en recoveryverantwoordelijkheid kloppen, volgens Sophos Endpoint onder macOS verwijderen.
6. Opschoning van het apparaatobject in Fusion blijft een afzonderlijke beheerhandeling en is noch ontsleuteling noch keyoverdracht.

Test bij een overstap naar een ander beheersysteem eerst de FileVault- en escrowfunctie daarvan op een pilotgroep. Behoud de oude recoverymogelijkheid totdat het nieuwe systeem de bedoelde doelstatus en een geteste recoveryroute aantoonbaar heeft overgenomen.

Typische afwijkingen afbakenen

Geen Sophos-dialoog na aanmelding

Controleer eerst lokale in plaats van remote aanmelding, de geïnstalleerde Device Encryption Agent, gebruiker- en policytoewijzing en laatste synchronisatie. Controleer daarna Secure Token en op Macs met Apple-chip Volume Owner. Zonder deze vereisten is herhaald omschakelen van de policy geen zinvolle test.

Gebruiker kan macOS starten, maar niet bij FileVault Pre-Boot aanmelden

Een lokaal account is niet automatisch FileVault-gebruiker. Vergelijk sudo fdesetup list met de verwachte gebruikerslijst, controleer Apple-bevoegdheden en voer de gedocumenteerde toevoegprocedure uit. Test daarna met een herstart; af- en aanmelden binnen de actieve sessie volstaat niet.

Fusion toont Encrypted, lokaal is een volume geel

Encrypted alleen bewijst geen volledige recoverystatus. Bepaal in de Sophos Device Encryption-app en met seadmin --device-encryption het concrete volume en de keystatus. De Mac blijft buiten acceptatie totdat een passende Recovery Key is aangetoond.

FileVault is actief, Fusion toont Pending of Not available

Controleer laatste synchronisatie, component, lokale gebruikersactie en policy. Controleer bij reeds actief FileVault of de gebruiker Create key heeft voltooid. Als lokale en centrale toestand na nieuwe synchronisatie tegenstrijdig blijven, start dan geen keyrotatie of policy-experimenten, maar stel bewijs veilig en draag over aan troubleshooting.

Veelgestelde vragen