FileVault 恢复密钥备份由 Intune 策略驱动，需启用托管策略才能将个人恢复密钥上传至后端；密钥生成后仅一次性显示，未托管则无法远程获取；成功托管后支持查询、轮换与应急访问。

macOS 的 FileVault 恢复密钥备份机制，核心在于“谁托管、怎么存、如何取”。企业环境里，它不是简单记个密码的事，而是由策略驱动的可审计流程，尤其在 Microsoft Intune 等 MDM 平台下，备份行为是策略执行的一部分，而非用户手动操作。

恢复密钥类型决定备份路径

Intune 部署 FileVault 时，默认生成的是个人恢复密钥（24 字符字母数字组合），而非机构恢复密钥（IRK）。这意味着：

• 密钥归属设备用户，与用户账户绑定，不共享给其他管理员或设备
• 密钥首次生成后，仅在加密完成时向用户一次性显示——错过即无法再从本地获取
• 若未通过 MDM 托管，该密钥只存在于设备本地，且无法远程检索
• 企业必须明确启用“密钥托管”策略，才能将密钥安全上传至 Intune 后端

Intune 中的密钥托管流程

托管不是自动发生的，需策略配置触发两个关键阶段：

macOS Automator Services

部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...

下载

• 密钥托管准备：设备注册到 Intune 后，MDM 代理先建立通信通道，授权 Intune 在加密前获取密钥权限
• 磁盘加密启动：加密开始后，系统生成密钥并立即推送至 Intune 服务器，而非仅显示给用户
• 成功托管后，密钥可在公司门户、Intune 管理后台或 PowerShell 中查询和轮换
• 管理员只能查看公司拥有设备的密钥；个人设备（如 BYOD）的密钥对 IT 完全不可见

用户侧密钥提交与验证方式

对于已手动加密或 Autopilot 前已启用 FileVault 的设备，IT 通常要求用户主动上传密钥：

• 登录公司门户 → 进入“加密设备”页面 → 点击“存储恢复密钥”
• 准确输入 24 位字符（区分大小写，无空格），两次确认一致才提交
• 常见失败提示：“键必须匹配”说明输入有误；“无法更新设备的恢复密钥”多因设备未完成 MDM 注册或策略未生效
• 上传成功后，密钥即被 Intune 加密存储，支持后续按需轮换（1–12 个月周期可设）

密钥轮换与应急访问能力

备份不是一劳永逸，企业需设计密钥生命周期管理：

• 可设置定期轮换（如每 6 个月），旧密钥自动失效，新密钥由 Intune 重新生成并托管
• 当用户被锁在设备外，IT 管理员可通过 Intune 后台直接轮换密钥，无需接触设备
• 轮换后，新密钥会同步推送到公司门户，用户可随时下载或用于恢复
• 注意：轮换不解除当前加密状态，也不影响正常登录，仅更新备用解锁凭证