Chiffrer des appareils macOS avec FileVault à l’aide d’Intune

Utilisez Microsoft Intune pour configurer et gérer le chiffrement de disque FileVault sur les appareils macOS. FileVault est un programme de chiffrement de disque entier inclus avec macOS qui utilise le chiffrement XTS-AES 128 bits. Cet article décrit des scénarios complets de déploiement, de gestion et de récupération de FileVault pour les environnements d’entreprise.

Le chiffrement de disque FileVault est disponible sur les appareils exécutant macOS 10.13 ou version ultérieure et fournit un chiffrement de disque complet pour protéger les données sur les appareils perdus, volés ou compromis.

Scénarios de chiffrement FileVault

Intune prend en charge plusieurs approches de déploiement de FileVault qui peuvent répondre aux différents besoins de l’organisation :

• Chiffrement FileVault Standard : déploiement interactif pour l’utilisateur avec invites et options de report.
• Mise en œuvre de l’Assistant Installation : chiffrement automatique lors de la configuration initiale de l’appareil (macOS 14+).
• Hypothèse du chiffrement existant : prenez la gestion des appareils chiffrés par l’utilisateur.
• Gestion des clés de récupération : scénarios complets de rotation et de récupération des clés.

Processus de déploiement de FileVault

Une fois que vous avez créé une stratégie pour chiffrer les appareils avec FileVault, la stratégie est appliquée aux appareils en deux étapes :

1. Préparation du séquestre de clé : l’appareil est préparé pour permettre à Intune de récupérer et de sauvegarder la clé de récupération. Cette action est désignée sous le nom de « mise en dépôt ».
2. Initiation du chiffrement de disque : une fois la clé séquestrée, le chiffrement de disque peut démarrer.

Quand Intune chiffre un appareil macOS avec FileVault pour la première fois, une clé de récupération personnelle est créée. Lors du chiffrement, l’appareil affiche une seule fois la clé personnelle à l’utilisateur de l’appareil.

Configuration requise

Versions de licence et macOS

La gestion du chiffrement FileVault requiert :

• macOS 10.13 ou version ultérieure pour les fonctionnalités de base de FileVault.
• macOS 14 ou version ultérieure pour les fonctionnalités de mise en conformité de l’Assistant Réglages.
• Inscription MDM approuvée par l’utilisateur : les utilisateurs doivent approuver manuellement le profil de gestion à partir des Préférences système.

Contrôles d’accès basés sur les rôles

Pour gérer FileVault dans Intune, un compte doit disposer d’un rôle de contrôle d’accès basé sur un rôle (RBAC) Intune qui inclut l’autorisation Tâches à distance avec la droite Faire pivoter la clé FileVault définie sur Oui.

Vous pouvez ajouter cette autorisation à vos propres rôles RBAC personnalisés ou utiliser l’un des rôles RBAC intégrés suivants :

• Opérateur du support technique
• Administrateur de la sécurité des terminaux

Considérations relatives à Apple Business Manager

Pour les scénarios de mise en conformité de l’Assistant Réglage, vérifiez :

• Les appareils sont enregistrés via Apple Business Manager ou Apple School Manager.
• La configuration finale d’attente est correctement configurée pour le déploiement automatisé.
• Les profils d’inscription sont configurés pour la gestion supervisée des appareils.

Types de stratégie pour le chiffrement de FileVault

Choisissez parmi les types de stratégie Intune suivants pour configurer le chiffrement FileVault en fonction de vos besoins de déploiement :

Paramètres de stratégie de sécurité du point de terminaison

Idéal pour : déploiements FileVault Standard avec une configuration rationalisée.

La stratégie de chiffrement de disque de sécurité du point de terminaison fournit une configuration FileVault ciblée et spécifique à la sécurité :

• Profil FileVault : paramètres dédiés à la configuration du chiffrement FileVault avec des options de récupération complètes.
• Configuration rationalisée axée sur les exigences de sécurité.
• Intégration avec la surveillance et la création de rapports de chiffrement d’Intune.
• Configuration simplifiée pour la plupart des scénarios FileVault.

Stratégie de catalogue des paramètres

Idéal pour : Déploiements avancés nécessitant l’application de l’Assistant Installation ou des options de configuration complètes.

Le catalogue de paramètres fournit les options de configuration FileVault les plus complètes :

• Accès à tous les paramètres disponibles via Intune pour FileVault
• Fonctionnalités de mise en conformité de l’Assistant Installation (macOS 14+) - propres au catalogue de paramètres
• Options de configuration avancées non disponibles dans les modèles
• Contrôle granulaire de l’expérience utilisateur et des paramètres de sécurité
• Flexibilité maximale pour les scénarios de déploiement complexes

Stratégie de configuration d’appareil (déconseillée)

Le modèle de protection de point de terminaison de configuration > de périphérique inclut FileVault dans le cadre d’une protection de point de terminaison plus large.

Créer une stratégie de sécurité de point de terminaison

Déploiement de FileVault Standard

1. Connectez-vous au Centre d’administration Microsoft Intune.

2. Sélectionnez Sécurité du point de terminaison>Chiffrement de disque>Créer une stratégie.

3. Définir les options suivantes :

   • Plateforme : macOS
   • Profil : MacOS FileVault

4. Sur la page Paramètres de configuration , configurez les paramètres principaux de FileVault :

   Paramètres obligatoires :

   • pour FileVault : Activer = sur (pour activer FileVault)
   • Utiliser une clé de = récupérationActivé

   Gestion des clés de récupération :

   • Rotation de la clé de récupération en mois = Définir l’intervalle de rotation
   • Location = Entrez des instructions descriptives pour guider vos utilisateurs lors de la récupération des clés.

   Paramètres d’expérience utilisateur :

   • Autoriser le report jusqu’à la déconnexion = Configurer en fonction des besoins de l’organisation
   • Différer Ne pas demander à la déconnexion de l’utilisateur = Configurer les préférences d’interaction utilisateur
   • Différer la force lors de la connexion de l’utilisateur Nombre maximal de tentatives de contournement = Définir la rigueur de l’application

5. Sur la page Étendue (Balises), attribuez les balises d’étendue appropriées à la structure de gestion de votre organisation.

6. Dans la page Devoirs , sélectionnez les groupes qui reçoivent ce profil. Considérez :

   • Groupes d’appareils pour les appareils appartenant à l’entreprise
   • Groupes d’utilisateurs pour les scénarios BYOD
   • Groupes pilotes pour les tests initiaux

7. Sélectionnez Créer pour déployer la stratégie.

Conseils sur l’emplacement du séquestre

Configurez des descriptions d’emplacement de séquestre utiles pour guider les utilisateurs sur la façon de récupérer leur clé de récupération. Ces informations sont utiles lorsque vous utilisez le paramètre pour la rotation personnelle des clés de récupération, qui peut générer automatiquement et périodiquement une nouvelle clé de récupération pour un appareil.

Exemple de message :

To retrieve a lost or recently rotated recovery key, sign in to the Intune Company Portal website from any device. In the portal, go to Devices and select the device that has FileVault enabled, and then select 'Get recovery key'. The current recovery key is displayed.

Considérations de configuration supplémentaires :

• Incluez les coordonnées du support de votre organisation.
• Consultez vos procédures informatiques internes pour la récupération des appareils.
• Fournissez un langage clair et simple que les utilisateurs non techniques peuvent comprendre.

Créer une stratégie de catalogue de paramètres

Le catalogue de paramètres fournit les options de configuration FileVault les plus complètes, y compris l’application de l’Assistant Installation.

Déploiement du catalogue de paramètres Standard

1. Connectez-vous au Centre d’administration Microsoft Intune.

2. Sélectionner les appareils>par plate-forme>macOS> Gérer laconfiguration>des appareils>Créer>une nouvelle stratégie.

3. Sélectionnez Catalogue des paramètres pour le type de profil.

4. Dans la page Paramètres de configuration , sélectionnez + Ajouter des paramètres et accédez à Chiffrement de disque complet.

   

5. Configurez les paramètres principaux de FileVault suivants :

   FileVault :

   • Activer = Activé
   • Différer = Activé (obligatoire pour une application FileVault réussie)

   Séquestre de la clé de récupération FileVault :

   • Location = Entrez des instructions descriptives pour guider vos utilisateurs lors de la récupération des clés.

   Options avancées (selon les besoins) : (toutes se trouvent sous FileVault)

   • Afficher la clé de récupération = Configurer la visibilité pendant le chiffrement
   • Différer ne pas demander à la déconnexion de l’utilisateur = contrôler le minutage de l’invite
   • Différer la force lors de la connexion de l’utilisateur Nombre maximal de tentatives de contournement = Définir des limites d’application
   • Rotation de la clé de récupération en mois = Configurer la rotation automatique

6. Effectuez l’attribution et le déploiement de stratégie en suivant les procédures Intune standard.

Mise en œuvre de l’Assistant Installation (macOS 14+)

Pour l’activation automatisée de FileVault lors de la configuration de l’appareil :

Configuration requise pour l’Assistant de configuration :

• macOS 14 ou version ultérieure
• Inscription à Apple Business Manager ou Apple School Manager
• Attendre la configuration = finaleOui dans le profil d’inscription
• Filtre d’appareil à l’aide de l’attribut EnrollmentProfileName

Paramètres supplémentaires Configuration du catalogue : (sous FileVault)

• FileVault>Forcer l’activation dans l’Assistant = InstallationActivé

• FileVault>Différer = Activé

  Importante

  Le paramètre Différer doit être configuré sur Activé pour activer correctement FileVault dans l’Assistant d’installation pour les appareils exécutant macOS 14.4.

  

Configuration du profil d’inscription :

1. Configurer le profil d’inscription avec la configuration = finale d’AwaitOui.
2. Créez un filtre d’appareils pour un déploiement ciblé.
3. Affecter une stratégie de catalogue de paramètres aux appareils filtrés.

Processus de chiffrement FileVault

Comprendre le processus de chiffrement FileVault facilite la planification et la résolution des problèmes de déploiement :

Étapes de chiffrement

Le déploiement de FileVault se déroule en deux phases distinctes :

1. Préparation du séquestre de clé : Intune prépare l’appareil à sauvegarder les clés de récupération sur les services cloud Microsoft
2. Initiation du chiffrement de disque - Le chiffrement FileVault commence après un séquestre de clé réussi

Considérations relatives à l’expérience utilisateur

Expérience utilisateur du déploiement Standard :

• Les utilisateurs peuvent voir des invites d’activation de FileVault (selon la configuration)
• La clé de récupération s’affiche une fois pendant le processus de chiffrement
• Les utilisateurs doivent être invités à enregistrer les informations de clé de récupération
• Le chiffrement continue en arrière-plan après la configuration initiale

Expérience utilisateur de l’Assistant Installation :

• Le chiffrement se produit automatiquement pendant la configuration de l’appareil
• Aucune interaction utilisateur requise pour l’initiation du chiffrement
• La clé de récupération est automatiquement effacée dans Intune
• Les utilisateurs terminent la configuration avec un appareil chiffré

Surveiller et gérer FileVault

Afficher le status de chiffrement

Pour afficher des informations sur les appareils qui reçoivent la stratégie FileVault, consultez Superviser le chiffrement de disque.

Surveiller le déploiement de FileVault via plusieurs interfaces Intune :

1. Rapport de chiffrement - Accédez àMoniteurs>d’appareils>Chiffrement de l’appareil status :

   • Afficher le status du chiffrement sur tous les appareils gérés
   • Accéder aux informations de clé de récupération pour les appareils chiffrés
   • Surveiller le déploiement et la conformité de la stratégie

2. Surveillance spécifique à l’appareil : sélectionnez des appareils individuels pour afficher :

   • status d’activation de FileVault
   • Disponibilité de la clé de récupération
   • Détails de l’affectation de stratégie de chiffrement

Entiercement et gestion de clés FileVault

Pour les appareils gérés, Intune peut mettre en dépôt une copie de la clé de récupération personnelle. La mise en dépôt de clés permet aux administrateurs Intune d’effectuer une rotation des clés de façon à mieux protéger les appareils, et à faciliter la récupération par les utilisateurs d’une clé de récupération personnelle perdue ou ayant fait l’objet d’une rotation.

Intune séquestre une clé de récupération lorsque :

• La stratégie Intune chiffre un appareil
• Un utilisateur charge sa clé de récupération pour un appareil qu’il a chiffré manuellement

Après la mise en dépôt de la clé de récupération personnelle par Intune :

• Les administrateurs peuvent gérer et faire pivoter les clés de récupération FileVault pour n’importe quel appareil macOS géré à l’aide du rapport de chiffrement Intune.
• Les administrateurs peuvent afficher la clé de récupération personnelle uniquement pour les appareils macOS gérés qui sont marqués comme Entreprise. Ils ne peuvent pas afficher la clé de récupération pour les appareils personnels.
• Les utilisateurs peuvent afficher et récupérer leur clé de récupération personnelle à partir d’emplacements pris en charge.

Gestion des clés de récupération

Intune fournit une gestion complète des clés de récupération pour les appareils chiffrés par FileVault :

Afficher les clés de récupération

Pour les administrateurs :

• Accéder aux clés de récupération d’accès pour les appareils marqués comme étant d’entreprise uniquement
• Impossible d’afficher les clés de récupération pour les appareils personnels/BYOD
• Accédez aux détails de > l’appareil Surveiller les>clés de récupération
• Sélectionnez Afficher la clé de récupération (génère une entrée de journal d’audit)

Autorisations requises :

• Rôle RBAC Intune avec autorisation Tâches à distance
• Faire pivoter la clé FileVault vers la droite définie sur Oui

Emplacements d’accès aux clés de récupération

Les utilisateurs finaux peuvent récupérer des clés de récupération à partir de :

• Portail d'entreprise site web (portal.manage.microsoft.com) - Méthode principale et la plus fiable
• iOS/iPadOS Application du portail d’entreprise : affiche la clé de récupération FileVault pour les appareils Mac
• Application du portail d’entreprise Android : affiche la clé de récupération FileVault pour les appareils Mac
• Intune application mobile : affiche la clé de récupération FileVault pour les appareils Mac

Processus de récupération de clé de récupération :

1. Utilisation du site web du Portail d’entreprise (recommandé) :

   • Connectez-vous au site web du Portail d’entreprise (https://portal.manage.microsoft.com/) à partir de n’importe quel appareil.
   • Accédez à Appareils , puis sélectionnez l’appareil macOS chiffré avec FileVault.
   • Sélectionnez Obtenir une clé de récupération : la clé de récupération actuelle s’affiche.

2. Utilisation des applications mobiles du Portail d’entreprise :

   • Ouvrez l’application iOS/iPadOS du Portail d’entreprise, l’application du Portail d’entreprise Android ou l’application mobile Intune.
   • Accédez à Appareils , puis sélectionnez l’appareil macOS chiffré et inscrit.
   • Sélectionnez Obtenir une clé de récupération : le navigateur affiche le Portail d’entreprise Web et la clé de récupération.

Rotation de la clé de récupération

Intune prend en charge la rotation de clé de récupération automatique et manuelle :

Rotation automatique

Configurez la rotation automatique des clés dans les stratégies FileVault :

• Rotation de la clé de récupération personnelle = Définir l’intervalle (1-12 mois)
• De nouvelles clés sont automatiquement générées et effacées
• Les clés précédentes ne sont plus valides après une rotation réussie
• Les utilisateurs doivent récupérer de nouvelles clés via le Portail d’entreprise

Rotation manuelle

Les administrateurs peuvent faire pivoter manuellement les clés de récupération :

1. Se connecter au Centre d’administration de Microsoft Intune
2. Sélectionner les appareils>Tous les appareils
3. Sélectionnez l’appareil chiffré
4. Sous Superviser, sélectionnez Clés de récupération
5. Sélectionnez Faire pivoter la clé de récupération FileVault

Assumer la gestion du chiffrement FileVault existant

Intune peut prendre en charge la gestion des appareils que les utilisateurs ont chiffrés avant de recevoir la stratégie FileVault Intune. Ce scénario permet une gestion centralisée des clés de récupération pour les appareils précédemment chiffrés.

Conditions préalables à la prise en charge de la gestion

• L’appareil doit recevoir la stratégie FileVault active d’Intune
• L’utilisateur doit avoir accès à la clé de récupération actuelle ou pouvoir générer une nouvelle clé

Les deux méthodes nécessitent une stratégie FileVault active déployée via Intune. Utilisez un profil de chiffrement de disque de sécurité de point de terminaison pour la remise des stratégies.

Méthode 1 : Charger une clé de récupération existante

Quand l’utiliser : L’utilisateur connaît sa clé de récupération personnelle actuelle.

Processus :

1. Déployer la stratégie FileVault sur un appareil précédemment chiffré.
2. Diriger l’utilisateur vers Portail d'entreprise site web (portal.manage.microsoft.com).
3. L’utilisateur sélectionne un appareil chiffré et choisit une clé de récupération Store.
4. L’utilisateur entre la clé de récupération personnelle actuelle.
5. Intune valide la clé et effectue une rotation vers une nouvelle clé de récupération.
6. La nouvelle clé est effacée et disponible via le Portail d’entreprise.

Communication utilisateur :
Informez les utilisateurs qu’ils doivent charger leur clé de récupération pour activer la gestion d’Intune. Envisagez l’application des stratégies de conformité pour garantir l’achèvement.

Méthode 2 : Générer une nouvelle clé de récupération sur l’appareil

Quand l’utiliser : L’utilisateur ne connaît pas la clé de récupération actuelle, mais a accès à l’appareil.

Processus :

1. Déployer la stratégie FileVault sur un appareil précédemment chiffré.
2. L’utilisateur ouvre l’application Terminal sur un appareil chiffré.
3. Exécuter les commandes de rotation des touches :

   cd /Applications/Utilities
   sudo fdesetup changerecovery -personal
   

4. L’utilisateur fournit le mot de passe de l’appareil lorsqu’il y est invité.
5. Le système génère et affiche une nouvelle clé de récupération.
6. L’appareil s’enregistre avec Intune et la gestion est supposée.

Accélérer la case activée de l’appareil :

• Administration : appareils>Sélectionner la synchronisation des appareils >
• Utilisateur :Synchronisationdes paramètres de> l’application > du Portail d’entreprise

Vérification de l’hypothèse de gestion

Après l’une ou l’autre méthode, vérifier l’hypothèse de prise en charge réussie :

1. Vérifiez le status de chiffrement de l’appareil dans le rapport de chiffrement Intune.
2. Confirmez la disponibilité de la clé de récupération dans les détails de l’appareil.
3. Testez la récupération de clé de récupération via le Portail d’entreprise.

Résolution des problèmes de déploiement de FileVault

Problèmes de déploiement courants

Référence du code d’erreur

Erreur 2016341107 / 0x87d1138d : L’utilisateur n’a pas accepté l’invite d’activation de FileVault.

• Résolution : Formation des utilisateurs sur l’acceptation des invites de FileVault.
• Prévention : Envisagez l’application de l’Assistant Configuration pour le déploiement automatisé.

Résolution des conflits de stratégie

Utilisez la détection des conflits de stratégie d’Intune pour identifier :

• Chevauchement des stratégies FileVault
• Paramètres de protection des points de terminaison en conflit
• Interactions entre les stratégies de conformité

Considérations en matière de sécurité

Sécurité de la clé de récupération

Protection de la clé :

• Les clés de récupération sont chiffrées en transit et au repos
• Les clés sont stockées en toute sécurité dans les services cloud Microsoft
• L’accès est contrôlé par Intune autorisations RBAC

Enregistrement d’audit :

• Tous les accès à la clé de récupération sont enregistrés dans les journaux d’audit de Microsoft Entra
• Les journaux incluent l’identité de l’utilisateur, l’horodatage et l’ID de clé
• Examinez régulièrement les journaux pour détecter les tentatives d’accès non autorisé

Appareils professionnels et personnels

Appareils d’entreprise :

• Accès administrateur complet : les administrateurs peuvent afficher, faire pivoter et gérer les clés de récupération
• Terminer les fonctionnalités de gestion des clés de récupération via le Centre d’administration Intune
• Convient aux équipements appartenant à l’entreprise où un contrôle informatique total est attendu
• La journalisation d’audit effectue le suivi de tous les accès aux clés de récupération administratives

Appareils personnels (BYOD) :

• Aucun accès administratif : les administrateurs ne peuvent pas afficher ou gérer directement les clés de récupération
• Les utilisateurs conservent un contrôle total grâce à l’accès au Portail d’entreprise en libre-service
• Équilibre entre les besoins de sécurité de l’organisation et les exigences de confidentialité des employés
• Les clés sont toujours effacées dans le cloud Microsoft pour la récupération en libre-service par l’utilisateur
• La rotation automatique fonctionne toujours en fonction de la configuration de la stratégie

Intégration de la conformité

Le chiffrement FileVault s’intègre aux stratégies de conformité Intune :

• Définir Exiger le chiffrement du stockage de données dans la stratégie de conformité
• Bloquer l’accès aux ressources d’entreprise jusqu’à ce que le chiffrement soit activé
• Surveiller la conformité grâce aux rapports de conformité des appareils

Étapes suivantes

• Surveiller le chiffrement de disque dans votre environnement
• Configurer le chiffrement BitLocker pour les appareils Windows
• Référence des paramètres de FileVault pour les stratégies de sécurité des points de terminaison
• Guide de déploiement Apple FileVault(ouvre le site Web d’Apple)
• Conseils à l’utilisateur final pour les clés de récupération FileVault