Was ist ein sicheres Token und wie erhalte ich einen Admin-Benutzer, der eines hat?

Ich bin gerade auf ein neues MacBook Pro 2018 migriert, und irgendwie wurde mein ursprüngliches Konto (ein Admin-Benutzer) während der Migration ohne sicheres Token erstellt. Ich habe sogar versucht, einen neuen Admin-Benutzer zu erstellen, mich bei diesem Benutzer anzumelden und zu versuchen, ihn auszuführen sysadminctl -secureTokenOn justin -password -, aber immer:

2018-07-30 14:17:56.552 sysadminctl[886:18232] Der Betrieb ist ohne sichere Token-Entsperrung nicht zulässig.

Also habe ich die folgenden Bereitstellungen adminUserund adminPasswordFlags als meinen ursprünglichen Benutzer ausprobiert justin:

sysadminctl -secureTokenOn justin -password - -adminUser justin -adminPassword -

Geben Sie das Passwort für Justin ein:

Geben Sie das Passwort für Justin K ein:

2018-07-30 14:31:05.262 sysadminctl[998:49031] setSecureTokenAuthorizationEnabled error Fehler Domain=com.apple.OpenDirectory Code=5101 „Der Authentifizierungsserver hat den Vorgang abgelehnt, da die aktuellen Anmeldeinformationen für den angeforderten Vorgang nicht autorisiert sind.“ UserInfo={NSLocalizedDescription=Der Authentifizierungsserver hat den Vorgang abgelehnt, da die aktuellen Anmeldeinformationen für den angeforderten Vorgang nicht autorisiert sind., NSLocalizedFailureReason=Der Authentifizierungsserver hat den Vorgang abgelehnt, da die aktuellen Anmeldeinformationen für den angeforderten Vorgang nicht autorisiert sind.}

Da keiner meiner Benutzer über ein sicheres Token verfügt, scheint es im Wesentlichen keine Möglichkeit zu geben, ein sicheres Token zu gewähren . Einziger Wermutstropfen ist folgender:

• Wenn ich die Maschine kalt starte, muss ich ein Festplattenentschlüsselungspasswort eingeben, was dazu führt, dass ich mein Passwort zweimal eingebe (einmal für die Festplattenentschlüsselung und einmal für das Benutzerkonto) .

• Wenn ich versuche, FileVault durch Klicken auf die Schaltfläche auszuschalten, passiert nichts. Das gleiche Verhalten beim Klicken auf die Warnschaltfläche "Einige Benutzer können die Festplatte nicht entsperren [Benutzer aktivieren ...]", nichts passiert.

Ich habe mich in dieser Situation wiedergefunden. Ich denke, das lag daran, dass ich eine Neuinstallation des Betriebssystems durchgeführt habe, während FileVault aktiviert war, sodass die Benutzer nicht migriert wurden.

Dementsprechend beschwerten sich die Systemeinstellungen "Einige Benutzer können die Festplatte nicht entsperren", aber das Klicken auf "Benutzer aktivieren" hat nichts bewirkt, sysadminctl -secureTokenStatus jrc(mein Hauptbenutzer) sagte "DEAKTIVIERT" und sysadminctl -secureTokenOn ...war nutzlos.

Ein Hinweis ergab sich daraus, dass fdesetup list -extendedein „Unknown User“-Eintrag gemeldet wurde. Also habe ich das Problem gelöst, indem ich einen neuen Benutzer erstellt, die UUID dieses Benutzers in die des unbekannten Benutzers geändert und diesen neuen Benutzer verwendet habe, um meinen vorhandenen Benutzer zu reparieren. Dies erforderte einen Wechsel in den Wiederherstellungsmodus (oder Einzelbenutzermodus), da der Directory Services-Speicher durch System Integrity Protection (SIP) geschützt ist.

1. Notieren Sie sich die UUID der unbekannten Benutzer, die von gemeldet wurden sudo fdesetup list -extended.
2. Erstellen Sie in Systemeinstellungen > Benutzer & Gruppen einen neuen Administratorbenutzer ( adminin diesem Beispiel benannt) mit demselben Passwort wie Ihr Hauptbenutzerkonto.
3. Booten Sie in den Wiederherstellungsmodus und ändern Sie die GeneratedUIDdes neu erstellten Benutzers, damit sie mit der obigen UUID übereinstimmt. Öffnen Sie dazu das Menü Dienstprogramme > Terminal im Wiederherstellungsmodus und führen Sie dann dscl -f "/Volumes/Macintosh HD/var/db/dslocal/nodes/Default" localonly -changei /Local/Default/Users/admin GeneratedUID 1 5BBB4CE0-FEC9-4922-A456-5FE00534C065. Ersetzen Sie Ihren Volume-Namen, Benutzernamen und UUID nach Bedarf. Alles ist Groß- und Kleinschreibung.
4. Normal neustarten. sysadminctl -secureTokenStatus adminsollte jetzt "ENABLED" melden. (Yay!)
5. sudo fdesetup add -usertoadd jrc. Geben Sie bei Aufforderung die Anmeldeinformationen des oben genannten Administratorbenutzers ein.
6. Führen Sie schließlich aus, diskutil apfs updatePreboot /um die Startgrafiken zu reparieren.

Einige verwandte Links, die ich hilfreich fand:

• https://carpeaqua.com/2017/11/30/updating-your-apfs-encrypted-volume-filevault-password/
• https://derflounder.wordpress.com/2019/02/10/re-syncing-local-account-passwords-and-secure-token-on-filevault-encrypted-macs-running-macos-mojave/

Es scheint, dass Sie auf einen Fehler gestoßen sind, da Ihnen ein sicheres Token gewährt werden sollte, wenn…

1. Secure Token wird automatisch für das vom Apple Setup Assistant erstellte Benutzerkonto aktiviert.
2. Das vom Setup-Assistenten erstellte Benutzerkonto mit Secure Token erstellt dann andere Benutzer über das Einstellungsfenster „Benutzer & Gruppen“ in den Systemeinstellungen. Diese Konten erhalten automatisch ihr eigenes sicheres Token.

Secure Token und FileVault auf Apple File System - Der Flunder

Um ein sicheres Token manuell zu erteilen, führen Sie

sysadminctl -secureTokenOn yourusername -password -

Dabei yourusernameist der Benutzername des Benutzers, dem Sie ein sicheres Token gewähren möchten. Vergessen Sie auch nicht den Bindestrich am Ende! Verwenden Sie nicht sudo.

Sie werden zuerst aufgefordert, die Benutzer- und Gruppeneinstellungen zu „entsperren“, indem Sie Administratoranmeldeinformationen für das GUI-Dialogfeld eingeben, dann werden Sie aufgefordert, das Kennwort für das Konto einzugeben, dem Sie auf der CLI ein Token geben möchten.

Ich konnte diese Arbeit machen. Stellen Sie zunächst fest, dass Sie das gleiche Problem haben. Laufen:

sysadminctl -secureTokenStatus <username>

Wenn es „sicheres Token deaktiviert“ anzeigt und Sie keine anderen Benutzer im System haben, die es aktiviert haben, müssen Sie diesen Tanz durchlaufen.

Erzwingen Sie die Ausführung des Apple Setup-Assistenten bei Ihrer nächsten Installation, indem Sie Folgendes ausführen:

sudo rm /var/db/.AppleSetupDone

Und starten Sie Ihren Computer neu. Melden Sie sich nach Abschluss des Neustarts als dieser neue Administrator an und erstellen Sie einen neuen Administratorbenutzer. Gehen Sie mit diesem Benutzer zu Einstellungen | Sicherheit & Datenschutz | File Vault und gewähren Sie Ihrem tatsächlichen Benutzer die Berechtigungen zum Entsperren des Dateisystems. Führen Sie dies erneut aus, es sollte jetzt für Ihren tatsächlichen Benutzer aktiviert lauten:

sysadminctl -secureTokenStatus <username>

Ich habe das gleiche Problem und das Entfernen der AppleSetupDone-Datei und das Neustarten, um die Erstellung eines neuen Administratorkontos zu erzwingen, gibt dem neuen Konto kein Token. Das einzige, was funktioniert hat, war das Sichern des Benutzerprofils, das Abflachen der Maschine und das Durchführen einer neuen High Sierra-Installation von einem bootfähigen USB-Stick, nicht gerade ideal, wenn ich viele Macs habe, die auf 10.13 aktualisiert werden müssen.

In dieser Antwort werde ich meine Lösung der Situation skizzieren:

1. Ich habe AppleCare kontaktiert und zusammen haben wir verschiedene Dinge ausprobiert, wie die Neuinstallation von MacOS High Sierra und den Versuch, FileVault vor der Migration von Benutzerdaten zu aktivieren. Dies ist nicht erfolgreich.
2. Die Internetwiederherstellung auf diesem Mac installiert MacOS Sierra und in MacOS Sierra kann FileVault aktiviert werden. (Dies weist eindeutig auf ein Softwareproblem hin) Man kann dann auf High Sierra aktualisieren und den Migrationsassistenten verwenden, um die Benutzerdaten zurückzubekommen. Das Problem ist, dass in dieser Situation nur die Benutzer, die in Sierra erstellt wurden, die Festplatte entsperren können, keine Benutzer, die nach der Migration migriert oder erstellt wurden.
3. AppleCare hat versucht, mein Problem auf einem ähnlichen iMac mit Fusion Drive zu reproduzieren, aber sie konnten es nicht. Sie boten an, es sich persönlich anzusehen, aber der nächste Laden ist ziemlich weit entfernt, also habe ich mich nicht für diese Option entschieden.
4. Da ein Neustart des Rechners nicht so häufig vorkommt, habe ich mich mit der Lösung begnügt, High Sierra in einem von Anfang an verschlüsselten Volume zu installieren. Das funktioniert, führt aber dazu, dass man bei jedem Hochfahren des Rechners das Entschlüsselungspasswort eingeben muss.
5. Nachdem ich das neuste Supplemental Update installiert habe, der Bootloader wahrscheinlich umgeschrieben wurde oder so, bin ich jetzt in einer Situation, wo nach dem ersten Booten ein Bildschirm erscheint, in dem sich beide Benutzer anmelden können, oder ich die Platte entsperren kann. Das sieht so aus: Auf diesem Bildschirm können sich beide Benutzer anmelden und damit die Festplatte entsperren. Die dritte Option besteht darin, die Festplatte zu entsperren, auf der ein weiterer Anmeldebildschirm mit nur den beiden Benutzern angezeigt wird.

Das heißt, das Problem ist im Grunde genommen gelöst, außer dass es dieses seltsame Login-Element gibt, aber naja ...

Ich habe auch mit Apple Support bestätigt, dass die in der Frage beschriebene Situation mit sicheren Token höchstwahrscheinlich irrelevant ist, da sichere Token sich auf APFS beziehen und dies ein Mac mit einem Fusion Drive ist.