FileVault

Avec la configuration FileVault pour les appareils macOS, le chiffrement intégral du disque est activé de manière centralisée sur les Mac gérés. La configuration n’est possible qu’une fois par politique et n’est disponible que pour les appareils avec inscription de l’appareil, pas pour les appareils avec inscription utilisateur (User Enrollment) →.

Moment de l’activation #

Avec les paramètres par défaut :

• Diffère l’activation de FileVault jusqu’à ce que l’utilisateur désigné se déconnecte. est activé.
• Ne pas demander l’activation de FileVault lorsque l’utilisateur se déconnecte est désactivé.
• Nombre maximal de fois où les utilisateurs peuvent contourner l’activation de FileVault vaut 0.

L’activation est alors demandée à l’utilisateur lors de la prochaine déconnexion. Elle est exigée au plus tard lors de la connexion suivante.

Une valeur supérieure à 0 (au maximum 9999) autorise le nombre de contournements correspondant. Avec -1, l’activation n’est pas imposée à la connexion. Si Ne pas demander l’activation de FileVault lorsque l’utilisateur se déconnecte est activé, la demande lors de la déconnexion est supprimée. Ces deux sous-options ne sont disponibles que tant que le report est activé. Si le report est désactivé, le nom d’utilisateur et le mot de passe d’un utilisateur doivent être indiqués dans le profil.

Paramètres #

La section Général propose les paramètres suivants :

• État de FileVault : activé ou désactivé (obligatoire, activé par défaut).
• Type de clé de recouvrement : clé de recouvrement institutionnelle et personnelle, uniquement institutionnelle ou uniquement personnelle. Une clé institutionnelle nécessite un Certificat.
• Chemin de la clé de recouvrement : emplacement de la clé de recouvrement et des informations sur l’ordinateur, par ex. /Library/Keychains/recovery.plist.
• Autoriser l’affichage de la clé de récupération personnelle après l’activation de FileVault sur l’appareil : détermine si la clé personnelle est affichée à l’utilisateur après l’activation.
• Utilisateur de FileVault Open Directory et Mot de passe : utilisateur ajouté à FileVault. L’option Activer la demande de nom d’utilisateur ou de mot de passe manquant permet de demander les informations manquantes sur l’appareil.
• Options de report de l’activation (voir ci-dessus).

Dans la section Gestion des clés de recouvrement personnelles, l’option Permettre à Relution d’accéder à la clé de recouvrement personnelle détermine si Relution enregistre la clé de recouvrement personnelle (activée par défaut). La clé peut ensuite être consultée dans les détails de l’appareil, dans la carte Sécurité, sous Clé de récupération personnelle FDE. Cela n’est possible que si l’option était déjà activée avant l’activation de FileVault ; si FileVault est déjà activé sur le Mac, l’option n’a aucun effet.

La section Options supplémentaires propose Interdire la désactivation de FileVault, Interdire l’activation de FileVault et Supprimer la clé FileVault en veille.

Déploiement via l’inscription automatisée des appareils (ADE) #

La configuration FileVault peut être déployée via l’inscription automatisée des appareils (ADE, DEP dans le portail) avant ou pendant l’assistant de configuration, de sorte qu’elle est déjà présente au premier démarrage de l’appareil. La dérivation de la clé de chiffrement nécessitant un compte utilisateur et son mot de passe de connexion, le chiffrement effectif ne peut commencer qu’après la création d’un compte utilisateur et sa première connexion.

Pour que Relution enregistre la clé de recouvrement personnelle, la configuration avec l’option Permettre à Relution d’accéder à la clé de recouvrement personnelle activée doit être présente sur l’appareil avant l’activation de FileVault. Dans le profil DEP, l’étape FileVault de l’assistant de configuration peut être ignorée. Relution ne prend pas en charge l’activation forcée de FileVault dans l’assistant de configuration.