FileVault恢复密钥需手动轮换且不自动更新，Intune可自动每六个月轮换本地管理员密码，钥匙串密码通常随登录密码同步更新。三者用途不同，须严格区分管理。
macOS 加密密钥的定期更新与更换，主要涉及两类关键密钥：FileVault 恢复密钥（用于全盘加密解密）和本地管理员密码（尤其在企业环境中由 Intune 等工具管理）。它们的更新逻辑不同，不能混为一谈——前者是用户或 IT 主动保管/轮换的静态凭证，后者可由系统自动周期性刷新。
FileVault 恢复密钥需手动轮换，非自动执行
FileVault 恢复密钥本身不会“定期自动更新”，它是一次性生成的 24 位字母数字字符串，用于紧急解锁加密磁盘。系统不主动轮换它，但你可以主动发起轮换操作：
- 打开“系统设置” > “隐私与安全性” > “FileVault”，点击“轮换恢复密钥”（需已启用 FileVault 且拥有管理员权限）
- 轮换后，旧密钥立即失效，新密钥必须重新保存——推荐上传至公司门户（如组织使用 Intune），或导出为文本文件并离线存档
- 若设备由 IT 管理，轮换通常需通过远程设备操作完成，普通用户界面中可能隐藏该选项
Intune 管理的本地管理员密码支持自动轮换
在企业部署场景下（如通过 ADE + Microsoft Intune 配置），本地管理员账户的密码可被设定为自动定期更新：
- Intune 默认每六个月自动轮换一次 LAPS（本地管理员密码解决方案）管理的管理员密码
- 密码长度为 15 位，含大小写字母、数字及特殊符号，由 Intune 后端加密生成并安全存储
- 管理员可在 Intune 管理中心随时查看或手动触发轮换，无需接触终端设备
- 注意：此功能仅适用于新注册的 ADE 设备；旧设备需重新注册并应用含 LAPS 的配置文件才生效
钥匙串密码 ≠ 加密密钥，但影响访问链路
登录钥匙串密码虽不直接参与磁盘加密，却是访问已存密码、通行密钥、证书等敏感凭据的前提。它的更新策略间接关系到加密生态的可用性：
- 正常情况下，它与你的用户登录密码保持一致；修改用户密码时，钥匙串会自动同步更新（前提是未手动断开关联）
- 若因密码不一致导致频繁弹窗要求输入钥匙串密码，说明二者已脱钩——此时应使用“钥匙串访问”App 中的“更改钥匙串‘登录’的密码”功能修复
- 切勿随意“还原默认钥匙串”，这会清空所有已存密码，包括 Wi-Fi 密码、网站凭证等，仅在完全无法解锁且无备份时作为最后手段
安全建议：区分密钥用途，避免混淆操作
日常维护中，务必分清三类密钥的职责边界：
- FileVault 恢复密钥：只在磁盘加密解锁失败时使用，离线保管，定期核对有效性（比如每年验证一次能否成功导入）
- Intune LAPS 密码：属于 IT 运维范畴，用户通常无需干预，但应知晓轮换周期与应急获取路径
- 钥匙串密码：本质是用户身份延伸，保持与登录密码一致即可，异常时优先修复而非重置
