macOSでのFileVaultおよびスマートカードの使用

Appleシリコンを搭載したmacOS 11以降のMacにFileVaultを使用してサインインすると、CCIDやPIV互換のスマートカードを使用した認証の組み込み対応など、macOSで対応している認証方法を使用できます。

スマートカードを使用したユニバーサルログインでは、FileVault認証が正常に完了するとシステムにも自動的にログインできます。FileVaultのスマートカード対応は、securityコマンドラインツールを使用して管理できます。

ログインにFileVaultとスマートカードのパスワード認証を使用する

Apple T2セキュリティチップを搭載したmacOS 10.14以降のMacでは、FileVaultのロックを解除するとログインが有効になります。ただし、これらのコンピュータのFileVaultには、スマートカードの対応が含まれていません。スマートカードログインを使えるようにするには、各コンピュータで以下のコマンドを実行する必要があります:

sudo defaults write /Library/Preferences/com.apple.loginwindow DisableFDEAutoLogin -bool YES

Macを再起動すると、macOSでパスワードを使用するFileVaultロック解除が使えるようになり、ログインウインドウでスマートカード認証が要求されます。この設定は、モバイルデバイス管理（MDM）ソリューションで管理対象の環境設定を使って管理することもできます。

recoveryOSを使用してFileVaultにリンクしているスマートカードを削除する

macOS 11以降では、recoveryOSにスマートカードの復元オプションが用意されています（「スマートカードを必須にする」がオンになっている場合）。ユーザのスマートカードが紛失または損傷した場合、ユーザは一時的にスマートカードの適用を解除してローカル管理者の認証を使用することができます。そのためには、ユーザが自分のMacをrecoveryOSで起動し、認証してから、以下のコマンドを実行する必要があります:

security filevault skip-sc-enforcement <data volume UUID> <operation>

その後、ユーザは管理者パスワードを求められます。成功すると、1回のログインでのみスマートカードの適用がスキップされます。続いて、ペアリングを解除してから新しいスマートカードをペアリングすると、通常のスマートカード操作を再開できます。

役に立ちましたか？

Appleプラットフォーム導入

macOSでのFileVaultおよびスマートカードの使用

ログインにFileVaultとスマートカードのパスワード認証を使用する

recoveryOSを使用してFileVaultにリンクしているスマートカードを削除する