启用FileVault后，仅初始授权的管理员账户能解锁启动磁盘；新用户或未参与授权的现有用户需手动添加，且必须满足强密码、禁用自动登录等条件。
启用 FileVault 后，只有被明确授权的用户才能在启动时解锁加密磁盘——系统不会自动为所有账户开通解锁权限，必须手动添加。
哪些用户能自动解锁启动磁盘
只有在启用 FileVault 过程中主动输入密码并完成授权的管理员账户，才具备开机解锁能力。普通用户、标准账户或未参与初始授权流程的账户，默认无此权限。
- 首次启用时，系统会列出当前所有本地管理员账户，逐个提示输入其密码以加入解锁列表
- 若只授权了 A 用户，那么即使 B 用户是管理员，也无法在登录界面输入密码来解锁磁盘——B 会看到“该用户无权解锁磁盘”的提示
- iCloud 恢复和恢复密钥是全局备用方案，不绑定具体用户，但需手动在恢复模式下使用
如何为新用户或现有用户添加解锁权限
启用 FileVault 后新增的用户，不会自动获得解锁资格；已有用户若未在初始阶段授权，也需后续补加。
- 进入“系统设置 → 隐私与安全性 → 文件保险箱”，点击下方“用户…”按钮
- 点“+”号，从列表中选择目标用户，系统会弹出窗口要求输入该用户的登录密码
- 密码验证通过后，该用户即加入解锁组，下次重启即可在登录界面输入密码解锁磁盘
- 注意：仅限本地账户，Apple ID 登录的网络账户（如 iCloud 账户直登）无法用于解锁启动盘
为什么有些用户点了“启用”却仍无法解锁
常见原因不是设置遗漏，而是权限校验失败：
- 用户密码为空、纯数字、或不符合 macOS 强密码要求（至少8位，含大小写字母+数字）
- 该账户已启用“自动登录”，FileVault 明确禁止此类账户参与解锁
- 账户类型为“群组账户”或“共享账户”，这类账户本身不支持 FileVault 解锁
- 用户目录位于外置磁盘或网络位置，FileVault 只保护启动卷上的本地用户数据
企业环境中用户的解锁管理
通过 MDM（如 Intune 或 Apple Business Essentials）部署 FileVault 时，解锁权限由策略统一控制：
- 可预设允许解锁的用户列表，或限制仅特定 AD 组成员具备资格
- 恢复密钥默认由 MDM 服务器托管，不再依赖用户手动保管
- 用户首次登录时自动完成授权，无需交互式输入密码——前提是账户已同步至设备且符合策略条件
- 离职或权限变更后，IT 管理员可远程移除其解锁权限，无需接触设备
