Hantera FileVault med Sophos Fusion

Sophos Fusion Device Encryption hanterar Apples FileVault och den personliga Recovery Key. Kryptering, användarbehörighet vid Pre-Boot och upplåsning av startvolymen förblir funktioner i macOS. En Mac är därför färdigutrullad först när policyn, det lokala FileVault-tillståndet, behöriga användare och en faktiskt tillgänglig Recovery Key stämmer överens.

Snabböversikt

1. Kontrollera vilka macOS- och Sophos-versioner som stöds, APFS-volymer och befintliga FileVault- och hanteringstillstånd.
2. Se till att den aktiverande lokala användaren har en Secure Token. På en Mac med ett Apple-chip måste det också vara Volume Owner.
3. Installera Sophos Endpoint och Device Encryption Agent.
4. Skapa en Device Encryption-policy under My Products > Encryption > Policies, aktivera Device Encryption is on och tilldela den till alla avsedda användare av Mac-datorn.
5. Låt användaren logga in lokalt. I Sophos-dialogrutan startar Encrypt en ny kryptering. Om FileVault redan är aktivt skapar Create key en ny personlig Recovery Key som hanteras av Sophos.
6. Kontrollera både lokalt och under My Products > Encryption > Computers att avsedda volymer är krypterade, rätt konton är behöriga vid Pre-Boot, synkroniseringen är aktuell och en Recovery Key är tillgänglig i Sophos Fusion.

En tilldelad policy eller en lokalt visad “FileVault: On” räcker inte som godkännande. En krypterad volym utan en tillförlitlig återställningsväg förblir ett öppet säkerhets- och driftsfall.

Förutsättningar före den första tilldelningen

Plattform och agenter som stöds

Vilka macOS- och Sophos-versioner som stöds förändras över tid. Före piloten och en bred utrullning kontrolleras därför den aktuella statusen enligt Planera systemkrav och livscykel för Sophos Endpoint. Sophos Endpoint och den separata Device Encryption Agent måste vara installerade på Mac-datorn.

Sophos hanterar APFS-startvolymen och, om policyn tillåter detta, fasta interna datavolymer. Flyttbara media och Windows-partitioner skapade med Boot Camp stöds inte. Före tilldelning inventeras alla interna volymer med Disk Utility eller diskutil apfs list. Detta gör det tydligt vilka volymer som ska skyddas och om en extra volym redan har ett eget disklösenord.

Förstå Secure Token och Volume Owner

En FileVault-användare behöver lämplig Apple-behörighet, inte bara ett lokalt konto:

• Användaren som aktiverar FileVault eller låser upp en startvolym vid Pre-Boot behöver en Secure Token.
• På Mac-datorer med ett Apple-chip måste en användare också vara Volume Owner för att låsa upp startskivan och auktorisera säkerhetsrelaterade startoperationer.
• Ett administratörsnamn eller policytilldelning ger inte automatiskt dessa Apple-behörigheter.

Apple beskriver sambanden i Hantera FileVault med enhetshantering. För en lokal, inledande skrivskyddad kontroll kan följande kommandon användas i terminalen:

sysadminctl -secureTokenStatus <KURZNAME>
diskutil apfs listUsers /

<KURZNAME> ersätts med det lokala kontonamnet. Det första kommandot måste rapportera en aktiverad Secure Token för användaren som aktiverar FileVault. APFS-användarlistan jämförs med de avsedda lokala FileVault-användarna. På Mac-datorer med Apple-chip bekräftas dessutom Volume Owner-behörigheten via den Apple- eller MDM-kontroll som organisationen har godkänt. Om en behörighet saknas korrigeras den före utrullningen med den befintliga Apple-administrationsprocessen – inte genom att Sophos-policyn upprepade gånger slås av och på.

Klargör ansvar för hantering och återställning

Före bytet dokumenteras den aktuella FileVault-statusen, befintliga personliga Recovery Keys, behöriga Pre-Boot-användare och det tidigare hanteringssystemet. Två system får inte tillämpa motstridiga FileVault-policyer samtidigt. Om en MDM eller äldre krypteringsprodukt är inblandad måste måltillståndet och nyckelansvaret fastställas före ändringen.

Den gemensamma helpdeskprocessen för hämtning, utfärdande och dokumentation finns tillgänglig på Hämta Recovery Key säkert. Sophos rekommenderar inte att säkerhetskopiera FileVault-Recovery Key till iCloud Keychain.

En representativ pilotgrupp inkluderar åtminstone Intel- och Apple-chipvarianter, de faktiska registreringstyperna som används, en ny Mac, en Mac med FileVault redan aktiv och – om tillgänglig – en Mac med ytterligare interna APFS-volymer.

Skapa och tilldela policyer

Den dokumenterade centrala vägen är My Products > Encryption > Policies:

1. Välj Add Policy och skapa en Device Encryption-policy.
2. På fliken Settings, aktivera alternativet Device Encryption is on.
3. Bestäm om du vill använda Encrypt boot volume only. Om alternativet är aktivt ignorerar policyn fasta interna datavolymer. Annars kan Sophos också hantera dessa volymer efter startvolymen.
4. Aktivera policyn och tilldela den till de avsedda användarna.

Tilldelningen är användarbaserad. Sophos rekommenderar att du tilldelar policyn till alla användare av en specifik Mac. Detta förhindrar en delad Mac från att förbli utanför det önskade skyddsomfånget bara på grund av en ofullständig tilldelning. Den faktiska Pre-Boot-behörigheten kontrolleras fortfarande separat; policytilldelning och FileVault-användarstatus är inte samma sak.

Om policyn stängs av eller tas bort utför Sophos ingen ny krypterings- eller dekrypteringsåtgärd. En redan aktiverad FileVault-kryptering förblir aktiv. En Recovery Key som tidigare har överförts till Sophos Fusion kan fortfarande vara tillgänglig. Det bevisar dock varken att central nyckellagring fortfarande fungerar eller att senare nyckeländringar tas över. ”Policy av, FileVault på” är därför inte ett entydigt verifierat, centralt hanterat måltillstånd.

Kryptera en ny Mac

Efter lokal inloggning och framgångsrik synkronisering visar Sophos aktiveringsdialogrutan:

1. Användaren anger sitt macOS-inloggningslösenord. Därmed auktoriseras Sophos Device Encryption för det lokala kontot.
2. Användaren startar krypteringen med Encrypt. Postpone skjuter bara upp starten; Mac-datorn är ännu inte godkänd.
3. Agenten lagrar den personliga Recovery Key i den lokala nyckelringen och överför den till Sophos Fusion.

Under den första utrullningen lägger Sophos till endpointens befintliga behöriga användare som FileVault-användare. Om Encrypt boot volume only inte är aktiverat följs startvolymen av okrypterade fasta interna datavolymer. Statusmeddelanden visar förlopp per volym.

Användaren måste vara inloggad lokalt på Mac för aktivering och migrering. Det räcker inte att bara logga in på distans. Om ingen dialogruta visas kontrollerar du först den lokala sessionen, policytilldelningen, den senaste synkroniseringen, Secure Token och, på Mac-datorer med Apple-chip, Volume Owner-statusen.

Använd befintligt FileVault eller SafeGuard

Redan aktiv FileVault

En redan krypterad Mac behöver inte dekrypteras först för att Sophos ska ta över:

1. Dokumentera utgångsläge, befintlig återställningsväg och Pre-Boot-användare.
2. Installera Device Encryption Agent och tilldela den aktiva policyn.
3. Låt en behörig användare logga in lokalt.
4. Låt användaren ange sitt macOS-inloggningslösenord i Sophos-dialogrutan och välja Create key.
5. Vänta tills Sophos genererar en ny personlig Recovery Key och överför den till Fusion.
6. Avveckla den tidigare återställningsvägen enligt organisationens lagringsprocess först när både den lokala statusen och verifieringen i Central stämmer.

För en redan krypterad intern datavolym med ett eget volymlösenord måste lösenordet anges en gång. Sophos kan sedan hantera volymen och automatiskt låsa upp den vid start. Om lösenordet är okänt stoppas övertagandet av denna volym; en fungerande inloggning till startvolymen bevisar inte att datavolymen också kan återställas.

SafeGuard utgångsläge

För en Mac med SafeGuard dokumenteras först produkt, version, installerade moduler, FileVault-status och befintlig återställningsväg entydigt. Sophos migreringsguide kräver att programvaran för SafeGuard Device Encryption tas bort före övertagandet. För SafeGuard Enterprise 8 eller senare beskriver guiden ett övertagande där FileVault kan förbli krypterat.

Historiska SafeGuard-utgåvor bevisar dock inte att en befintlig eller nyinstallerad SafeGuard-modul stöds i dag. Om versionen är okänd, modulerna är blandade eller en SafeGuard-modul för filkryptering ska fortsätta användas stoppas migreringen. Den specifika kombinationen måste då klarläggas genom ett aktuellt besked från Sophos Support. Säkerhetsprincipen kvarstår: låt aldrig två hanteringssystem styra FileVault eller dess Recovery Key samtidigt, och överge den gamla återställningsmetoden först när den nya nyckeln har bekräftats.

Auktorisera ytterligare FileVault-användare

Alla som ska låsa upp Mac vid Pre-Boot måste vara behöriga som FileVault-användare. Om nya användare inte läggs till automatiskt, beskriver Sophos följande process:

1. Den nya användaren loggar in lokalt, anger sitt macOS-inloggningslösenord i Sophos-dialogrutan och väljer Proceed.
2. Om ingen Recovery Key ännu har sparats i Fusion väljer användaren också en redan behörig FileVault-användare.
3. Den här befintliga användaren anger sitt eget macOS-inloggningslösenord och väljer Proceed.
4. Efter en omstart kontrolleras om den nya användaren kan logga in på FileVault Pre-Boot.

En Secure Token som saknas eller – på Mac-datorer med Apple-chip – avsaknad av Volume Owner-status kan inte ersättas med inloggningsuppgifter från en valfri administratör. I det här fallet korrigeras Apple-behörigheten först och därefter upprepas Sophos-processen.

Enligt Sophos tas en användare inte automatiskt bort från FileVault när användaren tas bort från Central-policyn. På delade Mac-datorer upprätthålls därför policytilldelning, lokala konton och faktisk Pre-Boot-behörighet separat. De FileVault-användare som har aktiverats lokalt visas med:

sudo fdesetup list

Verifiera status och återställningsberedskap

Läs central status rätt

Under My Products > Encryption > Computers kontrolleras Mac med dess senaste kommunikations- och krypteringsstatus. Dessa tillstånd är särskilt relevanta för macOS:

• Encrypted: Krypteringen är klar. Återställningsunderlaget kontrolleras fortfarande separat.
• Pending: Policyn är tilldelad, men kryptering eller användaråtgärd har inte slutförts ännu.
• Plain: Minst en förväntad volym är okrypterad eller så har kryptering ännu inte startat.
• Unmanaged: Agenten finns, men ingen Device Encryption-policy är aktiv.
• Not supported: Plattform eller driftläge stöds inte.
• Not available: Fusion känner inte till statusen, till exempel för att komponenten saknas eller ingen användbar statusrapport ännu har tagits emot.

Suspended är ett BitLocker-tillstånd, inte ett status- eller diagnostikvärde för FileVault. Istället utvärderas policy, användarbehörighet, volymtillstånd, synkronisering och Recovery Key tillsammans på en Mac.

Som underlag för utrullning och drift utvärderas även statusändringar och nyckelevents under Reports > General Logs > Events för den berörda Mac-datorn och tidsperioden. Events som Device Encryption status changed, Received recovery keys, Key creation failed eller Recovery key missing visar historiken, men ersätter inte den aktuella kontrollen på enheten och under Encryption > Computers. Filtrering, export och lagring av rapporten beskrivs i Utvärdera Sophos Endpoint-events och rapporter.

Kontrollera lokalt

Sophos Device Encryption-appen finns i mappen Applications och visar policy, användare, volym och återställningsstatus. Volymsymbolerna betyder:

• Grön: helt krypterad och Recovery Key lagrad i Fusion.
• Gul: helt krypterad men ingen nyckel lagrad i Fusion. För en volym som har krypterats lokalt utan Fusion kan det ännu saknas en hanterad nyckel.
• Gult med utropstecken: helt krypterad volym som krävs av policyn utan tillgänglig Recovery Key.
• Röd: inte krypterad, även om policyn kräver kryptering.
• Grå: inte krypterad och krävs inte av policyn eller så finns det ingen policy.
• Förloppsindikator: Volymen krypteras eller dekrypteras för närvarande.

Dessutom tillhandahåller Sophos verktyget /usr/local/bin/seadmin:

/usr/local/bin/seadmin help
/usr/local/bin/seadmin status
/usr/local/bin/seadmin --device-encryption

status visar senaste synkronisering och synkroniseringsintervall. --device-encryption visar den aktuella policyn samt krypterings- och återställningsstatus för de interna volymerna. Följande fyra underlag måste finnas samtidigt för ett driftgodkännande:

1. De avsedda volymerna är helt krypterade och lokalt gröna.
2. fdesetup status rapporterar att FileVault är aktivt; sudo fdesetup list innehåller de avsedda Pre-Boot-användarna.
3. Mac-datorn har nyligen synkroniserats med Fusion och rapporterar Encrypted.
4. Den godkända hämtningsvägen kan hämta Recovery Key för rätt Mac eller för det Recovery-Key-ID som visas där; den lokala FileVault-kontrollen görs fortfarande separat.

Återställ en Mac

Hämta Recovery Key säkert returnerar nyckeln som redan har tilldelats rätt. Den här artikeln börjar med dess användning i FileVault.

Återställ lösenordet på normal startskärm

1. Klicka på frågetecknet i lösenordsfältet och använd pilen för att gå till fältet för Recovery Key.
2. Ange den Recovery Key som har lämnats ut för denna Mac.
3. Följ macOS-dialogrutan för att skapa ett nytt inloggningslösenord.
4. Om Create New Keychain erbjuds, skapa en ny nyckelring. En FileVault-Recovery Key låser inte upp den gamla nyckelringen automatiskt.
5. Efter inloggning, kontrollera FileVault-användare, Sophos sync och återställningsstatus igen.

Recovery-Key-ID visas bara kort vid start. Mac-datorn måste startas om för att det ska visas igen. För användare som importeras från Active Directory återställs lösenordet först i AD och ett tillfälligt lösenord tilldelas. I macOS-dialogrutan väljer användaren Cancel och anger sedan detta tillfälliga lösenord.

Lås upp APFS-volym utanför normal uppstart

Den här reservvägen gäller för en krypterad APFS-volym när den vanliga startskärmen inte kan användas. Den ersätter varken identitetskontrollen eller den tydliga tilldelningen av Recovery Key. Beroende på Mac-modell och macOS-version kan du använda macOS Recovery, en extern startvolym som stöds eller Apples funktion för anslutning eller diskdelning till en andra Mac.

1. Öppna Utilities > Terminal i den valda återställningsmiljön.

2. Visa APFS-strukturen som skrivskyddad:

   diskutil apfs list
   

3. Identifiera den krypterade målvolymen entydigt med namn, roll och APFS-Volume-ID. Avbryt om kopplingen är oklar; system-, data-, Pre-Boot- och återställningsvolymer får inte förväxlas.

4. Lås upp målvolymen interaktivt:

   diskutil apfs unlockVolume <VOLUME-ID>
   

   <VOLUME-ID> ersätts med det ID som identifierades i föregående steg. Ange Recovery Key först vid den interaktiva lösenordsfrågan; skriv den aldrig som ett kommandoargument eller i ett skript.

5. Använd diskutil apfs list och Finder för att kontrollera om rätt volym är monterad och förväntad data är läsbar.

Lyckad upplåsning bevisar bara att denna nyckel matchar denna APFS-volym. Den reparerar inte Sophos-agenten eller nyckelöverföringen och tillåter inte ytterligare ändringar av volymen. Därefter säkerhetskopieras data eller så åtgärdas det bakomliggande felet under kontrollerade former.

Om Recovery Key inte sparas

Om agenten inte kan spara den nya Recovery Key i macOS Keychain eller Sophos Fusion, visar Sophos den för användaren och uppmanar dem att spara en kopia. Dessutom skapar Sophos en nödkopia som endast är tillgänglig för root:

/Library/Application Support/Sophos Encryption/.RecoverykeyEmergencybackup

Agenten försöker överföra nyckeln igen. När överföringen lyckas informeras användaren om att Fusion hanterar en ny nyckel och att den manuella kopian kan förstöras. Fram till dess ska nyckeln hanteras som en hemlighet, och en gul status får inte godkännas som en lyckad utrullning.

Om statusen förblir gul efter lokal inloggning, nätverksanslutning och en ny synkronisering, eller om appen, seadmin och Fusion visar motstridiga uppgifter, dokumenteras tidpunkt, macOS- och agentversion, policy, berört Volume-ID och statusindikatorer – men ingen Recovery Key. Vidare diagnostik och eskalering beskrivs i Felsök Sophos Device Encryption systematiskt.

Kontrollerat måltillstånd och avveckling

För macOS finns det ingen dokumenterad allmän Sophos-sekvens i stil med “ta bort policy, ta bort användare, autodekryptera”. På samma sätt överförs inte en FileVault-nyckel till ny hantering av att avinstallera Endpoint-agenten. Ett kontrollerat måltillstånd upprättas därför före överlämning, byte av tenant eller avinstallation av agent:

1. Bestäm om FileVault ska förbli aktivt eller avsiktligt avaktiveras av en lokal behörig administratör.
2. Dokumentera den senaste lokala statusen med fdesetup status, Pre-Boot-användarna med sudo fdesetup list och de berörda interna volymerna.
3. Om FileVault förblir aktivt, tillhandahåll bevis för återställningsansvar och en godkänd återställningsväg som är lämplig för enheten till den framtida ägaren. Enbart en gammal Fusion-post är inte en överlämning.
4. Om FileVault ska inaktiveras lokalt kontrolleras först att Mac-datorns Device Encryption-policy inte längre är aktiv. Att ta bort eller inaktivera policyn dekrypterar inte FileVault; det förhindrar bara att Sophos begär aktivering igen. Verifiera återställningsmöjligheten och avsätt ett underhållsfönster. Kör därefter dekrypteringen i macOS och kontrollera lokalt att den har slutförts.
5. Ta bort den lokala agenten enligt Avinstallera Sophos Endpoint på macOS först när måltillståndet, de lokala underlagen och återställningsansvaret har verifierats.
6. Rensning av enhetsobjektet i Fusion är ett separat administrativt steg och innebär varken dekryptering eller nyckelöverföring.

Vid byte till ett annat hanteringssystem testas först dess funktioner för FileVault och central nyckellagring på en pilotgrupp. Den gamla återställningsvägen finns kvar tills det har verifierats att det nya systemet har tagit över det avsedda måltillståndet och erbjuder en testad återställningsväg.

Felsök typiska avvikelser

Ingen Sophos-dialogruta efter inloggning

Kontrollera först att inloggningen är lokal och inte fjärrbaserad, att Device Encryption Agent är installerad, att användar- och policytilldelningen stämmer och att synkroniseringen är aktuell. Kontrollera därefter Secure Token och, på Mac-datorer med Apple-chip, Volume Owner. Utan dessa förutsättningar är upprepade policybyten inget meningsfullt test.

Användaren kan starta macOS men kan inte logga in på FileVault Pre-Boot

Det lokala kontot är inte automatiskt en FileVault-användare. Matcha sudo fdesetup list med den förväntade användarlistan, kontrollera Apples behörigheter och följ den dokumenterade processen för att lägga till en användare. Testa sedan med en omstart; det räcker inte att logga ut och logga in under den aktuella sessionen.

Fusion visar Encrypted, lokalt är en volym gul

Enbart Encrypted bevisar inte ett fullständigt återställningstillstånd. Bestäm den specifika volymen och dess nyckelstatus i Sophos Device Encryption-appen och med seadmin --device-encryption. Mac-datorn får inte godkännas förrän en lämplig Recovery Key har verifierats.

FileVault är aktivt, Fusion visar Pending eller Not available

Kontrollera senaste synkronisering, komponent, lokal användaråtgärd och policy. Om FileVault redan är aktivt, kontrollera om användaren har slutfört Create key. Om de lokala och centrala tillstånden förblir motsägelsefulla efter förnyad synkronisering, starta inte nyckelrotation eller policyexperiment, utan spara dokument och lämna över dem för felsökning.

Vanliga frågor