macOS 的系统加密与用户身份验证深度协同：文件保险箱依赖登录密码或恢复密钥解密卷密钥，T2/M芯片提供硬件级AES-XTS加密；iCloud钥匙串以Apple ID和设备信任链实现端到端加密同步，生物识别通过Secure Enclave参与登录、凭证释放等关键环节；企业环境下Intune与平台SSO联动，确保加密策略与身份会话统一管控。
macOS 的系统加密与用户身份验证不是孤立功能，而是深度协同的两层防护。文件保险箱负责磁盘级数据加密，钥匙串和登录机制则控制谁有权解密、访问这些数据——两者绑定越紧，整体安全性越高。
文件保险箱依赖登录密码完成解密
启用文件保险箱后，Mac 启动时会先要求输入登录密码，这个密码实际用于解锁加密密盘的密钥。系统不会直接用你的密码加密数据，而是用它解密一个隐藏的卷密钥（Volume Key），再由该密钥解密整个启动盘。
- 如果你使用 iCloud 帐户恢复选项，登录密码失效时，iCloud 凭据可触发 Apple 服务器返回解密凭证（需联网且已开启双重认证）
- 若选择恢复密钥，则该密钥是独立于密码的“最后防线”，但必须离线保管——它不经过 Apple 服务器，也无法重置
- iMac Pro 或带 T2/M系列芯片的 Mac，硬件层面已启用 AES-XTS 加密，文件保险箱在此基础上叠加软件层策略（如强制密码验证、密钥轮换）
钥匙串自动同步与身份强关联
iCloud 钥匙串不是简单云备份，而是以你的 Apple ID 和设备信任链为前提的端到端加密同步。每台设备首次加入时，需用当前登录密码或生物识别确认授权，之后所有钥匙串操作（包括安全备注、Wi-Fi 密码、网站凭据）都经由设备私钥签名并加密传输。
- 安全备注内容仅在你点击“显示备注”并输入登录密码（或 Touch ID/Face ID）后才解密呈现，不会明文缓存
- 若某台设备被移出 iCloud 钥匙串设置，其本地钥匙串副本将被清除，且无法再同步新条目
- 访问控制中未勾选“允许所有应用程序访问此项目”时，每次调用（如浏览器自动填充密码）都会弹出密码验证，避免后台程序越权读取
生物识别与登录流程无缝嵌入
Touch ID 和 Face ID 不只是快捷登录方式，它们在底层参与多个加密环节：登录时解锁钥匙串默认项、授权安装 App、批准 Apple Pay 交易、甚至在 M 系列芯片 Mac 上协助生成和保护加密密钥。
- 指纹/面容数据全程保存在设备安全隔区（Secure Enclave），操作系统无法直接读取原始特征，只接收“验证通过”信号
- 当启用“自动填充密码”时，系统调用钥匙串前，先由 Secure Enclave 验证生物特征，再释放对应账户凭证
- 若连续五次生物识别失败，系统会退回到密码输入界面，并可能暂时锁定 Secure Enclave 访问
企业环境中的扩展联动（Intune + 平台 SSO）
在使用 Microsoft Intune 管理的 Mac 上，平台 SSO 可将 macOS 登录与 Microsoft Entra ID 绑定。用户首次登录时，不仅完成本地账户认证，还同步建立企业身份会话，后续访问 Outlook、Teams 等应用无需重复输入密码，且所有会话密钥受设备加密保护。
- 设备注册阶段（如 ADE 流程）即写入组织策略，确保文件保险箱启用、钥匙串访问受管控
- 平台 SSO 插件与钥匙串集成，企业证书和 Wi-Fi 配置可安全存入受管理钥匙串，普通用户无法导出或查看
- 一旦设备脱离管理（如被远程擦除或退出 Intune），相关钥匙串项会被自动删除，防止凭证泄露
