セキュアトークンなしでFileVaultを再び有効化する方法【macOS】

FileVaultは、AppleがMacやmacOS向けに提供しているデータ暗号化機能です。この機能を有効にすると、起動ディスク上のすべてのデータが暗号化され、ファイルを不正アクセスから守ることができます。ただし、暗号化を維持するために、スクリーンセーバーやスリープから復帰する際にログイン情報の入力が求められる点が唯一のデメリットです。

FileVaultはOS X Pantherで初めて搭載されましたが、当時はまだ不安定な部分がありました。幸い、OS X Lionの登場時に大幅な改善が加えられています。さらに近年では、AppleがFileVaultの仕組みに「セキュアトークン(Secure Token)」を追加しました。これにより、セキュアトークンを持つすべてのMacユーザーは、FileVaultを有効にする際に自動的にFileVaultユーザーとして登録されるようになっています。

FileVaultに追加された「セキュアトークン」とは

AppleはmacOS High Sierraのリリースとともに、FileVaultの上にセキュアトークンの概念を導入しました。主な目的は、FileVaultの暗号化操作へのアクセスを、適切な権限を持つMacアカウントのみに制限することです。

セキュアトークン機能の仕組みは以下の通りです:

• 新しいMacで最初に作成したユーザーアカウントには、セキュアトークンが付与されます。
• sysadminctlを使って作成されたユーザーには、セキュアトークンが付与されます。
• システム環境設定の「ユーザとグループ」から作成されたユーザーアカウントには、セキュアトークンが付与されます。
• Active Directoryのユーザーには、セキュアトークンが付与されません。
• dsclで作成されたユーザーには、セキュアトークンが付与されません。
• セキュアトークンを持つユーザーだけが、FileVault暗号化の有効化・無効化を行う権限を持ちます。

MacにおけるFileVaultの問題点

しかし、最大の課題は、Mac上のどのアカウントにもセキュアトークンがない場合、そのプロファイルではFileVaultを有効にできないという点です。

プロのヒント:システムの不具合や動作の遅さを引き起こす可能性のあるパフォーマンス問題、ジャンクファイル、有害なアプリ、セキュリティ脅威について、Macを定期的にスキャンしましょう。

一部のユーザーからは、この悪夢のような事態に遭遇したとの報告があります。macOS High Sierra以降のバージョンでは、アカウントにセキュアトークンが付与されていない場合、移行、有効化、ユーザーの追加といったFileVaultの操作が失敗していました。

この問題をはじめとするMacでのFileVaultのトラブルは、FileVaultに「セキュアトークン」を追加することの価値について多くの議論を巻き起こしました。詳しくない方の中には、「セキュアトークンがない」とはどういう意味なのかと疑問に思っている方もいるでしょう。

「セキュアトークンがない」とはどういうこと?

公平に言えば、セキュアトークンはファイルとシステムを安全に保つための重要な仕組みです。これはmacOSにおける比較的新しい、公式には詳細が文書化されていないアカウント属性です。セキュアトークンは、Macに最初にログインした管理者アカウントに付与されるべきものです。このアカウントにセキュアトークン属性が紐付けられると、以降に作成する他のユーザーアカウントにも、それぞれ独自のセキュアトークンが付与されます。

残念ながら、従来の方法やリモートのコマンドラインツール、Active Directoryのモバイルアカウントを通じて作成されたユーザーアカウントには、セキュアトークン属性が自動的に付与されません。そのため、セキュアトークンがない状態では、これらのアカウントはFileVaultを有効にできません。そこで問題となるのは、「セキュアトークンがない場合、どうすればFileVaultを再び機能させられるのか?」ということです。ご安心ください。次のセクションで解決策をご紹介します。

セキュアトークンなしでFileVaultを再び機能させる方法

前述の通り、セキュアトークンを割り当てるには、ユーザーアカウントをローカルで作成する必要があります。とはいえ、セキュアトークンがなくてもFileVaultを有効化できるケースがあります。

何かを試す前に、まずFileVaultが有効にできるかどうか確認してみてください。セキュアトークンがないためにFileVaultを有効にできなかったユーザーの中には、後になって有効化できることに気づいた人もいます。おそらく、macOSの累積アップデートのいずれかで問題が解決されたのでしょう。例えば、SierraおよびHigh Sierra向けのセキュリティアップデート2019-003では、FileVaultにおけるユーザーアカウントのログイン情報のリセットに関する問題が修正されました。

それでもFileVaultを有効にできない場合は、ターミナルコマンドで現在のすべてのアカウントのパスワードをリセットしてみましょう。手順は以下の通りです:

1. まず、Macを再起動し、Command + Rキーを同時に押してmacOS復元(macOS Recovery)を起動します。
2. 画面上部のメニューバーからユーティリティメニューを開き、ターミナルを選択します。
3. ターミナルウィンドウにコマンド「resetpassword」と入力し、Returnキーを押します。
4. 数秒後にパスワードをリセットのダイアログが表示されます。各ユーザーアカウントに新しいパスワードを設定してください。現在のパスワードをそのまま使いたい場合は、同じパスワードを再設定しても構いません。
5. 1つのアカウントのパスワード変更が完了したら、次へを押して次のアカウントに進みます。アカウントが1つだけの場合は、再起動をクリックします。
6. Macの起動を待ち、セキュリティとプライバシー環境設定を開き、FileVaultタブを選択します。
7. ウィンドウ左下にある鍵アイコンをクリックし、管理者パスワードを入力します。
8. 最後に、「FileVaultをオンにする」ボタンをクリックして、FileVaultを有効にします。

以上で完了です。これでFileVaultによる暗号化が正常に機能するようになったはずです。FileVaultを有効にしてシステムを保護するだけでなく、Mac内の不要ファイルの削除や破損箇所の修復を行い、全体的なパフォーマンスを向上させることもおすすめします。Mac修復アプリのようなツールを活用すれば、こうした作業を自動化できます。

まとめ

FileVaultはmacOSの非常に有用な機能であり、ぜひ活用をおすすめしたい機能です。最新のCPUのパワーと効率性を活かしつつ、最新の暗号化アルゴリズムによって起動ディスクの全内容を保護します。トラブルが起こるのは、セキュアトークンがないために機能を有効にできない場合のみです。幸いにも、macOS復元からターミナルコマンドを実行してパスワードをリセットすることで、この問題は解決できます。

今回ご紹介した解決策が、皆さんのFileVaultを再び機能させる助けになれば幸いです。試した結果がどうだったか、ぜひコメント欄でお知らせください。