iCloud钥匙串通过端到端加密、差分同步和Apple ID绑定实现安全多设备同步，依赖本地解密、Secure Enclave隔离与用户掌控恢复密钥三重隐私保护，仅支持开启状态下自动同步，禁用手动迁移文件。
macOS 钥匙串同步的核心机制是 iCloud 钥匙串，它不是简单复制文件，而是通过端到端加密、差分同步和 Apple ID 绑定实现安全一致的多设备凭证管理；隐私保护则依赖于本地解密、硬件隔离（Secure Enclave）、恢复密钥自主控制这三重设计，所有敏感数据在离开设备前已完成加密，Apple 无法读取内容。
iCloud 钥匙串是唯一推荐的同步通道
系统不支持手动导出 .keychain-db 或拖拽迁移钥匙串文件——这类操作会破坏加密绑定关系，导致条目失效或不同步。真正的同步只发生在启用 iCloud 钥匙串后：
- 进入「系统设置 > [你的姓名] > iCloud」，确保「密码」开关为开启状态，右侧显示「已启用」
- 所有设备必须使用同一 Apple ID，且已开启双重认证（这是强制前提，非可选项）
- 各设备「语言与地区」中的「地区」设置需完全一致，否则部分 Wi-Fi 或网站条目可能被过滤或忽略
- 同步类型覆盖：网站密码、App 登录凭证、Wi-Fi 密码、通行密钥、证书（部分需手动添加）
密码 App 是统一入口，操作即同步
macOS Sequoia 及更新版本中，“密码”App 已取代旧版“钥匙串访问”的图形化管理职能，它是直连 iCloud 钥匙串的唯一官方前端：
- 从苹果菜单 打开「密码」App，首次使用需用 Touch ID 或账户密码解锁
- 搜索域名（如 login.bank.com）或 App 名快速定位已有条目
- 点击条目后悬停密码字段圆点图标，可临时查看明文；点击「编辑」修改后自动秒级同步
- 新增条目直接点左下角「+」→选「密码」→填服务名、用户名、密码，保存即入同步队列
安全备注与高级凭证的同步要点
非登录类敏感信息（如保险柜 PIN、SSH 私钥片段、数据库连接串）应存为「安全备注」，并明确选择「iCloud」钥匙串：
- 打开「钥匙串访问」→左侧钥匙串列表选「iCloud」→「文件 > 新建安全备注项」
- 命名要具体（如「AWS root MFA 备份码」），备注栏粘贴内容，点击「添加」
- 双击该备注 → 勾选「显示备注」→ 输入登录密码验证身份后才可见原文
- 不建议将证书、密钥等存入「登录」钥匙串再试图同步——它们不会上传至 iCloud，仅限本机使用
隐私保护靠的是三层本地化控制
iCloud 钥匙串的设计原则是“数据可同步，密钥不离设备”：
- 每台设备用自己的 Secure Enclave 生成并保管解密密钥，iCloud 只传输加密后的密文
- 恢复密钥由用户首次启用时生成并离线保管，Apple 不持有也不存储该密钥
- 即使 iCloud 账户被盗，攻击者也无法解密钥匙串内容——缺少设备端密钥或恢复密钥，数据不可还原
- Wi-Fi 密码同步后，Mac 仍需本地网络环境验证才能自动连接，不暴露明文给系统其他进程
