![](https://help.apple.com/assets/664256E0F9FFA26F690A0B01/664256E3F9FFA26F690A0B07/tr_TR/312766e3df7f57c1f549da2dab216b36.png)
Dağıtımlarda güvenli jetonları, ön yükleme (bootstrap) jetonlarını ve disk bölümü sahipliğini kullanma
Güvenli jeton
macOS 10.13 veya daha yenisindeki APFS (Apple File System), FileVault şifreleme anahtarlarının oluşturulma biçimini değiştirir. CoreStorage disk bölümlerindeki önceki macOS sürümlerinde, FileVault şifreleme işleminde kullanılan anahtarlar bir kullanıcı veya kuruluş Mac’te FileVault’u açtığında yaratılırdı. APFS disk bölümlerindeki macOS’te, şifreleme anahtarları kullanıcı yaratma sırasında ilk kullanıcının parolası ayarlanırken ya da Mac’teki kullanıcının ilk oturum açışında oluşturulur. Şifreleme anahtarlarının bu uygulaması, ne zaman oluşturuldukları ve nasıl saklandıkları Güvenli Jeton olarak bilinen özelliğin parçalarıdır. Özellikle, güvenli jeton, kullanıcının parolası tarafından korunan anahtar şifreleme anahtarının (KEK) paketlenmiş sürümüdür.
APFS’de FileVault’u dağıtırken kullanıcı şunları yapmayı sürdürebilir:
Emanet için bir mobil aygıt yönetimi (MDM) çözümünde saklanabilen kişisel kurtarma anahtarı (PRK) gibi var olan araçları ve işlemleri kullanma
Kurumsal kurtarma anahtarı yaratma ve kullanma (IRK)
Kullanıcı Mac’te oturum açana veya kapatana kadar FileVault’un etkinleştirilmesini erteleme
macOS 11 veya daha yenisinde, Mac’teki ilk kullanıcının ilk parolasını ayarlamak kullanıcıya güvenli jeton verilmesiyle sonuçlanır. Bazı iş akışlarında bu istenen davranış olmayabilir; önceden ilk güvenli jetonun verilmesi için kullanıcı hesabının oturum açması gerekirdi. Bunun oluşmasını önlemek için aşağıda gösterildiği gibi kullanıcının parolasını ayarlamadan önce program tarafından yaratılan kullanıcının AuthenticationAuthority
özelliğine ;DisabledTags;SecureToken
ekleyin:
sudo dscl . -append /Users/<user name> AuthenticationAuthority ";DisabledTags;SecureToken"
Ön yükleme (bootstrap) jetonu
macOS 10.15 veya daha yenisinde, hem macOS hesaplarına hem de isteğe bağlı olarak aygıt kaydı ile yaratılan yönetici hesabına (“yönetilen yönetici”) güvenli bir jeton vermeyle ilgili yardımcı olması için ön yükleme (bootstrap) jetonu kullanılır. macOS 11 veya daha yenisinde, ön yükleme (bootstrap) jetonu yerel kullanıcı hesapları da dahil olmak üzere Mac bilgisayarında oturum açan tüm kullanıcılara güvenli jeton verebilir. macOS 10.15 veya daha yeni sürümünün Ön Yükleme (Bootstrap) Jetonu özelliğini kullanmak için şunlar gerekir:
Denetim
MDM satıcı desteği
MDM çözümünüzün ön yükleme (bootstrap) jetonlarını desteklediğini varsayalım. macOS 10.15.4 veya daha yenisinde, güvenli jeton özelliği etkinleştirilmiş herhangi bir kullanıcı ilk kez oturum açtığında bir ön yükleme (bootstrap) jetonu oluşturulur ve MDM’ye emanet edilir. Gerekirse ön yükleme (bootstrap) jetonu da oluşturulabilir ve profiles
komut satırı aracı kullanılarak MDM’ye emanet edilebilir.
macOS 11 veya daha yenisinde, ön yükleme (bootstrap) jetonu kullanıcı hesaplarına güvenli jeton vermekten başka şeyler için de kullanılabilir. Apple Silicon çipli bir Mac bilgisayarında, varsa ön yükleme (bootsrap) jetonu MDM kullanılarak yönetildiğinde hem çekirdek genişletmelerinin hem de yazılım güncellemelerinin yüklenmesini yetkilendirmek için kullanılabilir. Ön yükleme (bootstrap) jetonu, macOS 12.0.1 veya daha yenisinde MDM aracılığıyla başlatılan bir Tüm İçerikleri ve Ayarları Sil komutunu sessizce yetkilendirmek için de kullanılır.
Disk bölümü sahipliği
Apple Silicon çipli Mac bilgisayarları, disk bölümü sahipliği kavramını öne sürer. Kurumsal bağlamda disk bölümü sahipliği, Mac’in gerçek yasal sahipliği veya vesayet silsilesi ile bağlantılı değildir. Buna karşılık, disk bölümü sahipliği, kabaca bir Mac’i ek kullanıcılarla birlikte kendi kullanımı için ayarlayarak onun üzerinde ilk hak iddia eden kullanıcı olarak tanımlanabilir. macOS’in belirli bir yüklemesi için başlangıç güvenliği politikasında değişiklik yapmak, macOS yazılım güncellemelerinin ve yükseltmelerinin yüklenmesini yetkilendirmek, Mac’te Tüm İçerikleri ve Ayarları Sil işlemini başlatmak ve daha fazlası için disk bölümünün sahibi olmanız gerekir. Başlangıç güvenliği politikası, başlatmak için macOS’in hangi sürümlerinin kullanılabileceğiyle ilgili sınırlamaları ve üçüncü parti genişletmelerin yüklenip yüklenmeyeceğini veya bunların yönetilip yönetilmeyeceğini ve bunların nasıl gerçekleştirileceğini tanımlar.
Bir Mac’i kendi kullanımı için ayarlayarak onun üzerinde ilk hak iddia eden kullanıcıya Apple Silicon çipli bir Mac’te bir güvenli jeton verilir ve bu kullanıcı ilk disk bölümü sahibi olur. Ön yükleme (bootstrap) jetonu varsa ve kullanımdaysa o da bir disk bölümü sahibi olur ve sonra da güvenli jeton verdiği ek hesaplara disk bölümü sahiplik durumunu da verir. Güvenli jeton ve ön yükleme (bootstrap) jetonu verilecek ilk kullanıcılar, disk bölümü sahibi olmanın yanı sıra ön yükleme (bootstrap) jetonunun ek kullanıcılara güvenli jeton verme yeteneğine sahip olacağından (yine disk bölümü sahipliği durumu) disk bölümü sahipliği, kuruluşta etkin bir şekilde yönetilmesi veya kullanılması gereken bir şey olmamalıdır. Güvenli jetonlar verme ve bunları yönetme ile ilgili önceki incelemeler genel olarak disk bölümü sahipliği durumuyla da örtüşmelidir.
Disk bölümü sahibi olup yönetici olmamak mümkündür ama bazı görevler her ikisinin de sahipliğinin denetlenmesini gerektirir. Örneğin başlangıç güvenliği ayarlarının değiştirilmesi için hem yönetici hem de disk bölümünün sahibi olmak gerekir; yazılım güncellemelerinin yetkilendirilmesinde ise standart kullanıcılara izin verilir ve yalnızca sahiplik gerekir.
Apple Silicon çipli bir Mac bilgisayarında disk bölümü sahiplerinin güncel listesini görüntülemek için şu komutu çalıştırabilirsiniz:
sudo diskutil apfs listUsers /
diskutil
komutunun çıktısında “Local Open Directory User” türünde listelenen GUID’ler, yeniden Open Directory’deki kullanıcı kayıtlarının GeneratedUID
özellikleriyle eşlenir. GeneratedUID
’sine göre bir kullanıcıyı bulmak için şu komutu kullanın:
dscl . -search /Users GeneratedUID <GUID>
Kullanıcı adlarını ve GUID’leri birlikte görmek için aşağıdaki komutu da kullanabilirsiniz:
sudo fdesetup list -extended
Sahiplik, Secure Enclave’de korunan şifreleme ile desteklenir. Daha fazla bilgi için şuraya bakın:
Komut satırı aracı kullanımı
Ön yükleme (bootstrap) jetonunu ve güvenli jetonu yönetmek için komut satırı araçları vardır. Ön yükleme (bootstrap) jetonu genellikle Mac’te oluşturulur ve MDM çözümü Mac’e bu özelliği desteklediğini söyledikten sonra macOS ayarlama işlemi sırasında MDM çözümüne emanet edilir. Bununla birlikte daha önce dağıtılmış bir Mac üzerinde de ön yükleme (bootstrap) jetonu oluşturulabilir. macOS 10.15.4 veya daha yenisinde MDM çözümü bu özelliği destekliyorsa güvenli jeton özelliği etkinleştirilmiş herhangi bir kullanıcı tarafından ilk oturum açmada ön yükleme (bootstrap) jetonu oluşturulur ve MDM’ye emanet edilir. Bu, ön yükleme (bootstrap) jetonu oluşturup MDM çözümüne emanet etmek için aygıt ayarlamadan sonra profiles komut satırı aracını kullanma gerekliliğini azaltır.
profiles
komut satırı aracında, ön yükleme (bootstrap) jetonu ile etkileşimde bulunmak için kullanılabilecek birkaç seçenek vardır:
sudo profiles install -type bootstraptoken
: Bu komut yeni bir ön yükleme (bootstrap) jetonu oluşturur ve onu MDM çözümüne emanet eder. Bu komut, ön yükleme (bootstrap) jetonunu ilk olarak oluşturmak için var olan güvenli jeton yönetici bilgilerini ve MDM çözümünün bu özelliği desteklemesini gerektirir.sudo profiles remove -type bootstraptoken
: Mac’te ve MDM çözümünde bulunan ön yükleme (bootstrap) jetonunu siler.sudo profiles status -type bootstraptoken
: MDM çözümünün ön yükleme (bootstrap) jetonu özelliğini destekleyip desteklemediğini ve Mac’teki ön yükleme (bootstrap) jetonunun güncel durumunu bildirir.sudo profiles validate -type bootstraptoken
: MDM çözümünün ön yükleme (bootstrap) jetonu özelliğini destekleyip desteklemediğini ve Mac’teki ön yükleme (bootstrap) jetonunun güncel durumunu bildirir.
sysadminctl komut satırı aracı
sysadminctl
komut satırı aracı, özellikle bir Mac bilgisayarındaki kullanıcı hesaplarının güvenli jeton durumunu değiştirmek için kullanılabilir. Bu dikkatle ve yalnızca gerektiğinde yapılmalıdır. Bir kullanıcının güvenli jeton durumunu sysadminctl
kullanarak değiştirmek için her zaman, etkileşimli olarak ya da komuttaki uygun bayraklar yoluyla var olan bir güvenli jeton özellikli yöneticinin kullanıcı adı ve parolası gerekir. Hem sysadminctl
hem de Sistem Ayarları (macOS 13 veya daha yenisi) ya da Sistem Tercihleri (macOS 12.0.1 veya daha eskisi), Mac’te son yöneticinin veya güvenli jeton özellikli kullanıcının silinmesini önler. Ek yerel kullanıcılar sysadminctl
kullanılarak betik yazma yoluyla yaratılıyorsa bu kullanıcıların güvenli jeton açısından etkinleştirilebilmesi için geçerli bir güvenli jeton özellikli yöneticinin kimlik bilgilerinin etkileşimli seçenekle veya doğrudan sysadminctl
komutunun -adminUser
ve -adminPassword
bayraklarıyla sağlanması gerekir. Yaratma zamanında güvenli jeton verilmemişse macOS 11 veya daha yenisinde, Mac bilgisayarında oturum açan yerel kullanıcıya MDM çözümünden bir ön yükleme (bootstrap) jetonu varsa oturum açma sırasında güvenli jeton verilir. Ek kullanım yönergeleri için sysadminctl -h
komutunu kullanın.