Gerir FileVault com o Sophos Fusion

O Sophos Fusion Device Encryption gere Apple FileVault e o respetivo Recovery Key pessoal. A encriptação, a autorização do utilizador no Pre-Boot e o desbloqueio do volume de arranque continuam a ser funções do macOS. Um Mac só está totalmente implementado quando Policy, estado FileVault local, utilizadores autorizados e um Recovery Key realmente disponível estão alinhados.

Visão geral rápida

1. Confirme as versões macOS e Sophos suportadas, os volumes APFS e o estado atual de FileVault e gestão.
2. Confirme que o utilizador local que ativa possui Secure Token e, num Mac com Apple Silicon, também é Volume Owner.
3. Instale Sophos Endpoint e o Device Encryption Agent separado.
4. Em My Products > Encryption > Policies, crie uma política Device Encryption, ative Device Encryption is on e atribua-a a todos os utilizadores previstos desse Mac.
5. Peça ao utilizador que inicie sessão localmente. Encrypt inicia uma nova encriptação; se FileVault já estiver ativo, Create key cria um novo Recovery Key pessoal gerido pela Sophos.
6. Confirme localmente e em My Products > Encryption > Computers os volumes previstos, utilizadores Pre-Boot, sincronização atual e Recovery Key disponível no Sophos Fusion.

Uma Policy atribuída, por si só, não comprova o sucesso. A implementação só termina quando os estados de encriptação e recuperação estão corretos.

Requisitos antes da primeira atribuição

Antes da atribuição, esclareça os seguintes pontos:

Plataforma e agentes suportados

• Como as versões suportadas e as datas de retirada mudam, confirme a versão do macOS e os respetivos limites de Lifecycle antes de cada atribuição através de Planear requisitos de sistema e Lifecycle do Sophos Endpoint.
• Sophos Fusion Agent e Device Encryption Agent estão instalados. Ao contrário do Windows, o Device Encryption Agent tem de ser instalado separadamente nos Macs.
• São conhecidos o estado atual do FileVault, os Recovery Keys pessoais existentes e os volumes internos adicionais.
• Nenhum outro sistema de gestão aplica definições FileVault incompatíveis. Se o SafeGuard ainda gerir FileVault, determine primeiro versão, módulos e percurso atualmente suportado. Módulos de encriptação de ficheiros SafeGuard não são mantidos, reinstalados nem operados em paralelo sem confirmação escrita, atual e específica do Sophos Support.
• O Help Desk dispõe de um processo aprovado para verificação de identidade, entrega da chave e documentação. Recovery Keys não devem ficar em tickets, históricos de chat ou notas amplamente acessíveis; a Sophos também não recomenda guardar o Recovery Key no porta-chaves iCloud.

O Sophos Fusion Device Encryption não suporta partições Windows criadas num Mac com Boot Camp. Gere o volume de arranque APFS e, conforme a política, volumes de dados internos fixos; suportes amovíveis não são suportados. Antes da atribuição, inventarie os volumes com Disk Utility ou diskutil apfs list, incluindo volumes com palavra-passe própria. Um piloto representativo deve incluir Intel e Apple Silicon, os métodos de inscrição utilizados, um Mac novo, outro com FileVault ativo e, se existirem, volumes APFS internos adicionais.

Compreender Secure Token e Volume Owner

Um utilizador FileVault precisa das permissões Apple adequadas, não apenas de uma conta local:

• quem ativa FileVault ou desbloqueia o volume de arranque no Pre-Boot precisa de Secure Token;
• num Mac com Apple Silicon, também tem de ser Volume Owner;
• ser administrador ou receber a política não concede automaticamente estas permissões.

A Apple descreve a relação em Manage FileVault with device management. Para uma verificação local e só de leitura:

sysadminctl -secureTokenStatus <KURZNAME>
diskutil apfs listUsers /

Substitua <KURZNAME> pelo nome da conta local. Confirme Secure Token do utilizador que ativa, compare a lista APFS com os utilizadores FileVault previstos e valide Volume Owner pelo processo Apple ou MDM aprovado. Corrija permissões em falta pelo processo de administração Apple, não alternando repetidamente a política.

Esclarecer a responsabilidade pela gestão e recuperação

Documente o estado FileVault atual, Recovery Keys pessoais existentes, utilizadores Pre-Boot autorizados e gestão anterior. Dois sistemas não podem impor simultaneamente requisitos FileVault contraditórios. Se existir MDM ou um produto de encriptação anterior, defina antes da alteração o estado final e a responsabilidade pela chave.

O processo comum do Help Desk para obtenção, entrega e documentação encontra-se em Obter Recovery Keys em segurança. A Sophos não recomenda guardar a chave FileVault no porta-chaves iCloud.

Criar e atribuir a Policy

O caminho documentado no Central é My Products > Encryption > Policies:

1. Selecione Add Policy e crie uma Device Encryption Policy.
2. No separador Settings, ative Device Encryption is on.
3. Decida se utiliza Encrypt boot volume only. Se ativada, a Policy ignora volumes de dados; caso contrário, a Sophos também pode gerir volumes de dados internos fixos. Suportes amovíveis não são suportados.
4. Ative a Policy e atribua-a aos utilizadores previstos.

A gestão de FileVault é baseada no utilizador. A Sophos avisa explicitamente que a Policy deve ser atribuída a todos os utilizadores de um determinado Mac para assegurar proteção completa. Quando um utilizador atribuído inicia sessão, o Mac obtém automaticamente alterações à Policy; se não houver alterações, aplica-a em cada início de sessão.

Se a Policy for desativada ou removida, a Sophos não inicia uma nova encriptação nem desencriptação; FileVault já ativo permanece ativo. Uma chave anteriormente transferida com êxito pode continuar disponível, mas isso não prova Escrow atual nem recolha de alterações posteriores. “Policy desativada, FileVault ativo” não é, portanto, um estado centralmente gerido e comprovado.

Encriptar Macs novos

Após um início de sessão local e a sincronização com o Central, o utilizador segue o processo apresentado pela Sophos:

1. Introduzir a palavra-passe de acesso ao macOS. Isto ativa Sophos Device Encryption.
2. Selecionar Encrypt para iniciar a encriptação do volume do sistema ou Postpone para a adiar.
3. Depois de Encrypt, o Agent guarda o Recovery Key no porta-chaves local e no Sophos Fusion.

Durante a implementação inicial, a Sophos adiciona automaticamente a FileVault os utilizadores existentes autorizados do Endpoint. A menos que Encrypt boot volume only esteja ativado, depois do volume do sistema também encripta volumes de dados internos não encriptados e desbloqueia-os automaticamente no arranque. As notificações mostram o progresso de cada volume.

O utilizador tem de estar localmente ligado para ativação e migração. Uma sessão exclusivamente remota não basta. Se não surgir diálogo, verifique primeiro sessão local, atribuição, última sincronização, Secure Token e, em Apple Silicon, Volume Owner.

Adotar FileVault existente ou SafeGuard

Adotar um FileVault já ativo

Um Mac já encriptado não precisa de ser desencriptado primeiro. Aplicam-se os mesmos requisitos básicos: instalar o Agent, atribuir uma Device Encryption Policy ativa e pedir ao utilizador que inicie sessão localmente.

1. Documente o estado inicial, o percurso de recuperação existente e os utilizadores Pre-Boot.
2. Instale o Device Encryption Agent e atribua a política ativa.
3. Peça a um utilizador autorizado que inicie sessão localmente.
4. No diálogo Sophos, introduza a palavra-passe macOS e selecione Create key.
5. Aguarde que a Sophos crie um novo Recovery Key pessoal e o envie para o Fusion.
6. Só depois de estado local e prova Central coincidirem, retire o percurso anterior segundo o processo de retenção da organização.

Volumes internos já encriptados com palavra-passe própria exigem essa palavra-passe uma vez; depois, a Sophos gere o volume e este é desbloqueado automaticamente no arranque. Se a palavra-passe for desconhecida, pare a adoção desse volume: o acesso ao volume de arranque não prova a recuperação do volume de dados.

Estado inicial SafeGuard

Num Mac com SafeGuard, registe inequivocamente produto, versão, módulos, estado FileVault e percurso de recuperação. A orientação de migração da Sophos exige remover o software SafeGuard Device Encryption antes da adoção; para SafeGuard Enterprise 8 ou posterior, descreve uma adoção em que FileVault pode permanecer encriptado.

No entanto, notas de versão históricas do SafeGuard não comprovam o suporte atual de um módulo SafeGuard mantido ou novamente instalado. Perante versão desconhecida, módulos mistos ou intenção de manter um módulo de encriptação de ficheiros SafeGuard, pare a migração e obtenha do Sophos Support uma confirmação atual para a combinação concreta. Nunca permita que dois gestores controlem simultaneamente FileVault ou o respetivo Recovery Key; preserve a recuperação antiga até confirmar a nova chave no Fusion.

Adicionar mais utilizadores FileVault

Quem precisar de desbloquear o Mac no Pre-Boot tem de ser utilizador FileVault. Se os novos utilizadores não forem adicionados automaticamente, a Sophos documenta este processo:

1. O novo utilizador inicia sessão localmente, introduz a palavra-passe macOS no diálogo Sophos e seleciona Proceed.
2. Se o Central ainda não tiver um Recovery Key, seleciona também um utilizador FileVault existente.
3. Esse utilizador introduz a própria palavra-passe macOS e seleciona Proceed.
4. Reinicie e confirme que o novo utilizador consegue iniciar sessão no FileVault Pre-Boot.

Segundo a Sophos, remover um utilizador da Policy do Central não o remove automaticamente de FileVault. Em Macs partilhados, documente e verifique separadamente as contas com acesso Pre-Boot.

Secure Token em falta ou, em Apple Silicon, ausência de Volume Owner não pode ser substituído pelas credenciais de um administrador qualquer. Corrija primeiro a permissão Apple e repita depois o processo Sophos.

Como verificação local adicional, liste os utilizadores ativados em FileVault:

sudo fdesetup list

Verificar o estado de encriptação e recuperação

Interpretar o estado no Central

Em My Products > Encryption > Computers, verifique última comunicação e estado:

• Encrypted: encriptação concluída; a recuperação continua a exigir prova separada.
• Pending: política atribuída, mas encriptação ou ação do utilizador incompleta.
• Plain: pelo menos um volume esperado está sem encriptação ou não começou.
• Unmanaged: agente presente, mas nenhuma política efetiva.
• Not supported: plataforma ou modo não suportado.
• Not available: estado desconhecido, por exemplo por falta do componente ou de uma comunicação utilizável.

Suspended é um estado BitLocker, não um valor de validação ou diagnóstico FileVault. Num Mac, avaliam-se em conjunto política, autorização, volumes, sincronização e Recovery Key.

Para evidência operacional, analise também Device Encryption status changed, Received recovery keys, Key creation failed e Recovery key missing em Reports > General Logs > Events. Estes eventos não substituem o estado atual local e no Central. Filtros, exportação e retenção são explicados em Analisar Events e Reports do Sophos Endpoint.

Verificar localmente

A aplicação Sophos Device Encryption encontra-se na pasta Aplicações e pode ser aberta pelo Finder, Launchpad ou Spotlight. Mostra o estado da Policy, utilizador, volume e recuperação. Os ícones significam:

• Verde: totalmente encriptado, com Recovery Key guardado no Central.
• Amarelo: totalmente encriptado, mas sem Key no Central; um volume encriptado localmente sem gestão Central pode não ter qualquer chave gerida.
• Amarelo com ponto de exclamação: totalmente encriptado e exigido pela Policy, mas sem Recovery Key disponível.
• Vermelho: não encriptado, embora a Policy exija encriptação.
• Cinzento: não encriptado e não exigido pela Policy, ou sem Policy.
• Barra de progresso: o volume está a ser encriptado ou desencriptado.

A Sophos também disponibiliza /usr/local/bin/seadmin. As invocações documentadas são:

/usr/local/bin/seadmin help
/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status mostra a última sincronização e o respetivo intervalo. --device-encryption mostra a Policy atual e o estado de encriptação e recuperação dos volumes internos. A aprovação exige quatro provas: volumes previstos totalmente encriptados e verdes; fdesetup status ativo e sudo fdesetup list com os utilizadores Pre-Boot previstos; sincronização atual e estado Encrypted; e o processo de obtenção aprovado capaz de fornecer a chave do Mac ou Recovery-Key-ID correta. A validação local FileVault continua separada.

Recuperar um Mac

Obter Recovery Keys em segurança entrega a chave já inequivocamente associada. Este artigo começa com a sua utilização.

Repor a palavra-passe no ecrã de arranque normal

1. No campo da palavra-passe, clique no ponto de interrogação e avance para o campo Recovery Key.
2. Introduza a chave emitida para este Mac.
3. Siga o diálogo macOS para criar uma nova palavra-passe de início de sessão.
4. Se surgir Create New Keychain, crie um novo porta-chaves: a chave FileVault não desbloqueia automaticamente o antigo.
5. Após iniciar sessão, volte a verificar utilizadores FileVault, sincronização Sophos e estado de recuperação.

A Recovery-Key-ID só aparece brevemente no arranque; reinicie para a voltar a mostrar. Para utilizadores AD, reponha primeiro a palavra-passe no AD, forneça uma temporária, selecione Cancel no diálogo macOS e introduza-a.

Desbloquear um volume APFS fora do arranque normal

Este fallback destina-se a um volume APFS encriptado quando o ecrã normal não pode ser usado; não substitui identidade nem associação da chave. Conforme o modelo, use macOS Recovery, um volume externo suportado ou o mecanismo Apple para ligação/partilha com outro Mac.

1. Abra Utilities > Terminal no ambiente escolhido.

2. Liste a estrutura sem alterar o estado:

   diskutil apfs list
   

3. Identifique inequivocamente o volume pelo nome, função e APFS Volume ID; pare se houver dúvida entre System, Data, Preboot e Recovery.

4. Desbloqueie o volume de destino de forma interativa:

   diskutil apfs unlockVolume <VOLUME-ID>
   

   Substitua <VOLUME-ID> pelo identificador determinado. Introduza a chave apenas no pedido interativo, nunca como argumento nem num script.

5. Confirme com diskutil apfs list e Finder que montou o volume correto e que os dados esperados são legíveis.

O desbloqueio só prova que a chave corresponde àquele volume APFS. Não repara o agente, não corrige o envio da chave e não autoriza alterações adicionais; depois, proteja os dados ou trate a avaria de forma controlada.

Se não for possível guardar o Recovery Key

Se o Agent não conseguir guardar o Recovery Key no porta-chaves macOS nem no Central, a Sophos mostra-o ao utilizador e pede que guarde uma cópia. Também cria um backup de emergência acessível apenas a root:

/Library/Application Support/Sophos Encryption/.RecoverykeyEmergencybackup

O Agent repete as tentativas de transferência para o Central. Após o sucesso, o utilizador é informado de que o Central gere agora uma nova chave e que a cópia manual pode ser destruída. Até lá, a chave apresentada deve ser protegida como segredo; o estado amarelo de um volume exigido pela Policy não deve ser registado como implementação bem-sucedida.

Se o estado continuar amarelo após início de sessão local, rede e nova sincronização, ou se aplicação, seadmin e Fusion divergirem, registe hora, versões macOS e Agent, Policy, Volume ID e estados sem incluir a chave. Para outros erros, consulte Resolver sistematicamente erros do Sophos Device Encryption.

Estado final controlado e entrega do dispositivo

Não existe uma sequência Sophos geral comprovada do tipo «remover Policy, remover utilizador, desencriptar automaticamente». Desinstalar o agente também não transfere a chave FileVault. Antes de entrega, mudança de tenant ou desinstalação:

1. Decida se FileVault permanece ativo ou será desativado deliberadamente por um administrador local autorizado.
2. Documente fdesetup status, sudo fdesetup list e os volumes internos afetados.
3. Se permanecer ativo, prove um processo de recuperação aprovado sob responsabilidade do futuro proprietário; um registo Fusion antigo não é uma entrega.
4. Se for desativado, confirme primeiro que a política já não está efetiva. Removê-la não desencripta FileVault, apenas evita um novo pedido da Sophos. Garanta recuperação e manutenção, desencripte no macOS e confirme localmente a conclusão.
5. Só depois do estado final e da responsabilidade de recuperação estarem comprovados, remova o agente segundo Desinstalar o Sophos Endpoint no macOS.
6. A limpeza do objeto no Fusion é separada e não constitui desencriptação nem transferência de chave.

Ao mudar de gestão, teste primeiro as funções FileVault e Escrow num piloto. Conserve a recuperação antiga até o novo sistema provar o estado final e um percurso de recuperação testado.

Delimitar desvios frequentes

O diálogo Sophos não surge após o início de sessão

Verifique início de sessão local em vez de remoto, Device Encryption Agent instalado, atribuição ao utilizador e política e última sincronização. Depois, verifique Secure Token e, em Apple Silicon, Volume Owner. Alternar a política repetidamente não corrige estes pré-requisitos.

O utilizador inicia o macOS, mas não entra no FileVault Pre-Boot

Uma conta local não é automaticamente utilizador FileVault. Compare sudo fdesetup list com a lista esperada, verifique as permissões Apple e siga o processo documentado para adicionar o utilizador. Teste com um reinício; terminar e iniciar sessão na mesma sessão não basta.

O Fusion mostra Encrypted, mas um volume está amarelo localmente

Encrypted não prova por si só um estado completo de recuperação. Na aplicação Sophos Device Encryption e com seadmin --device-encryption, identifique o volume e o estado da chave. O Mac não é aprovado sem um Recovery Key correspondente comprovado.

FileVault está ativo, mas o Fusion mostra Pending ou Not available

Verifique última sincronização, componente, ação local e Policy. Se FileVault já estava ativo, confirme que o utilizador concluiu Create key. Se a divergência persistir após sincronização, não rode chaves nem experimente a política: preserve a evidência e encaminhe para Troubleshooting.

Perguntas frequentes