Недавно я выполнил чистую установку Lion на одном из моих Mac. В процессе установки была создана одна учетная запись администратора. После установки я включил FileVault для всего диска. Затем я создал дополнительного административного пользователя. Оба пользователя могут расшифровать диск во время входа в систему.

Как отозвать права на расшифровку для одного из пользователей, не удаляя пользователя и не временно отключая FileVault? Я попытался отозвать административные привилегии одного пользователя, сделав их обычным пользователем, но они все еще могут расшифровать диск во время загрузки.

Используйте fdesetup:

sudo fdesetup remove -user username

Смотрите: http://derflounder.wordpress.com/2012/07/25/using-fdesetup-with-mountain-lions-filevault-2/

Это не невозможно. (Хотя, если вы удалили пользователя, вы могли бы сделать это более сложным!)

Я написал статью «jaydisc», на которую ссылается и только что протестировал, что она все еще работает в 10.7.4:

Предположим, что у вас есть пользователь-администратор «Чарли», который вы хотите использовать, но не разблокировать компьютер:

sudo su - charlie  
$ passwd 
Changing password for charlie.
Old Password:**[enter old password here]**
New Password:**[press enter]**
Retype New Password:**[press enter]**
$ 

Обратите внимание, что вы не можете сделать это:

sudo passwd charlie
Changing password for charlie.
New password:

потому что если вы нажмете клавишу ввода, когда получите «запрос нового пароля», он вернется и скажет:

Password unchanged.

Похоже, что временное удаление паролей пользователей удаляет их из меню загрузки EFI:

http://www.tuaw.com/2011/12/12/prevent-certain-accounts-from-unlocking-filevault-2/

К сожалению, в моем случае, некоторые пользователи являются пользователями Open Directory Mobile, и я не могу найти способ установить их пароль пустым.

FileVault 2 и Recovery HD

Recovery HD не следует путать с Recovery OS (одна больше другой).

Когда вы включаете FileVault 2 для пользователя: незашифрованный скрытый раздел Apple_Boot Recovery HD, отдельно от критически важного для зашифрованного загрузочного тома, временно монтируется для записи в файлы EFI и другие файлы. Если вы хотите просмотреть эту активность файловой системы, в то же время позволяя пользователю разблокировать ее:

• прежде чем нажать Готово , используйте команду, такую ​​как fs_usage, или приложение, такое как fseventer .

Взгляд на активность показывает, что редактирование незашифрованного тома - по отношению к учетной записи пользователя на зашифрованном томе - нетривиально .

Если пользователю даны несоответствующие полномочия для разблокировки

Возможно, обновление Lion (что-то большее, чем Build 11A511) позволит удалить из окна входа в систему EFI пользователя, который больше не сможет разблокировать загрузочный том.

Между тем я могу думать только о двух методах, которые могут быть использованы.

Способ A: отключить, а затем включить FileVault

1. отключить FileVault 2

2. разрешить обратное преобразование для завершения

3. перезагрузите операционную систему

4. включить FileVault 2, но не для этого пользователя.

Метод Б: удалить пользователя, но не домашний каталог, и так далее

Я не проверял этот метод, я думаю, что может работать следующее:

1. резервный

2. удалить пользователя, но не домашний каталог пользователя

3. перезагрузите операционную систему

4. создать нового пользователя с тем же RecordName, что и оригинал

5. установить номер UniqueID, который отличается от оригинала

6. свяжите предыдущий домашний каталог с новым пользователем.

Вот очень простой ответ о том, как отключить доступ ранее включенного пользователя к зашифрованному диску FileVault 2:

В терминале используйте:

sudo fdesetup remove -user Username

После этого вы увидите отключенного пользователя в списке пользователей, которые доступны для включения в Системных настройках-> Безопасность и конфиденциальность -> FileVault как подтверждение того, что отключение прошло успешно.