需启用FileVault实现Mac启动磁盘全盘加密，共五种方案：一、系统设置GUI启用，支持iCloud密钥托管；二、终端命令行启用，适用于自动化部署；三、恢复模式强制启用，解决系统异常；四、磁盘工具加密非启动宗卷；五、MDM配置文件集中管控企业设备。

如果您希望对Mac启动磁盘实施全盘加密以防止物理访问导致的数据泄露，则需启用FileVault功能。FileVault使用XTS-AES 128位加密算法实时加解密全部用户数据，仅在登录时自动解锁。以下是三种互为补充、适用不同场景的配置方案：

一、通过系统设置图形界面启用FileVault

该方式依赖macOS原生GUI流程，自动处理恢复选项与权限校验，适合未接触命令行的普通用户，且支持iCloud密钥托管以降低丢失风险。

1、点击屏幕左上角的苹果菜单，选择“系统设置”。

2、在左侧边栏中点击“隐私与安全性”，向下滚动至“文件保险箱”区域。

3、若右侧按钮为灰色，先点击左下角锁形图标，输入管理员密码解锁设置项。

4、点击“打开文件保险箱”按钮，系统弹出确认提示，点击“继续”。

5、选择恢复方式：使用iCloud账户重设密码或创建个人恢复密钥；若选后者，请务必将生成的24位或28位字母数字组合的恢复密钥完整抄录并保存于离线安全位置。

6、完成选择后，系统自动重启；登录账户后，加密过程将在后台持续进行，期间可正常使用Mac。

二、使用终端命令行启用FileVault

该方式绕过图形界面限制，允许精确控制加密行为、输出格式及重启策略，适用于脚本批量部署、自动化运维或企业IT集中管理场景。

1、打开“应用程序” > “实用工具” > “终端”。

2、输入命令检查当前状态：fdesetup status，确认返回结果为“FileVault is Off.”。

3、执行启用指令：sudo fdesetup enable -authrestart，系统将请求管理员密码并生成恢复密钥。

4、终端窗口会显示一串24位或28位字母数字组合的恢复密钥，请立即复制并保存至可信离线介质。

5、重启Mac，登录后加密流程即自动启动，可通过活动监视器观察fdesetup进程运行状态。

三、通过恢复模式强制启用FileVault

当系统因权限损坏、配置异常或无法正常进入桌面环境时，此方法可在无GUI状态下直接调用底层加密服务，确保在受限启动环境中仍能激活磁盘保护机制。

1、关机后立即按住电源按钮不放，直至出现启动选项窗口。

2、选择带有齿轮图标的“选项”，进入macOS恢复模式，然后从顶部菜单栏选择“实用工具” > “终端”。

3、输入命令：fdesetup enable -defer /Volumes/Macintosh\ HD（请将Macintosh HD替换为实际启动卷名称，如不确定可用ls /Volumes查看）。

四、使用“磁盘工具”对非启动宗卷加密

该方式不涉及系统盘，专用于对独立外置硬盘、U盘或内置辅助宗卷进行密码级加密，操作后每次挂载均需手动输入密码，适用于临时敏感数据存储。

1、在Mac上打开“磁盘工具”App（可在“访达”搜索栏中键入“磁盘工具”并点按图标）。

2、选取“显示” > “显示所有设备”。

3、在边栏中选择目标储存设备（注意：必须为未挂载或可抹掉的宗卷）。

4、点按工具栏中的“抹掉”按钮。

5、输入宗卷名称，点按“方案”弹出式菜单，选取“GUID 分区图”。

6、点按“格式”弹出式菜单，选取APFS（加密）或Mac OS 扩展（日志式，加密）。

7、输入密码并确认，然后点按“选取”；切勿勾选“显示密码”选项。

8、（可选）点按“安全性选项”，使用滑块选取覆盖已抹掉数据的次数，然后点按“好”。

五、通过MDM配置文件集中启用FileVault

该方式面向企业环境，由管理员远程推送加密策略，支持强制启用、恢复密钥托管至MDM服务器，并可关联设备组统一管控，避免终端用户跳过安全配置。

1、登录MDM控制台，导航至设备管理 > 配置文件 > macOS配置文件。

2、为配置文件命名，并在模板类型中选择FileVault加密。

3、勾选启用FileVault，并选择个人恢复密钥或机构恢复密钥。

4、启用选项：向用户显示生成的密钥以便记录或密钥自动上传至MDM服务器。

5、保存并发布配置文件，随后将此配置文件与目标设备组或单个设备关联。