filevault 不加密 time machine 备份，备份盘需单独启用加密；外置硬盘须在添加时勾选“加密备份磁盘”，网络备份需用加密.sparsebundle；虚拟机磁盘应存于加密卷中；非 apfs 加密格式或访达加密的磁盘不支持 time machine。
FileVault 只加密你 Mac 上的启动磁盘，它不会自动让 Time Machine 备份也变安全。备份是否真正受保护，取决于备份目标本身有没有启用独立加密——这是容易被忽略的关键点。
Time Machine 备份盘必须单独加密
即使你的 Mac 启用了 FileVault，外置硬盘或网络位置上的备份数据默认仍是明文存储。macOS 不会把 FileVault 密钥同步过去，也不自动加密备份内容。
- 连接新外置硬盘后，在“系统设置 → Time Machine → 添加备份磁盘”中，务必勾选“加密备份磁盘”
- 系统会自动抹盘、格式化为 APFS 加密卷，并在首次备份时启用全盘加密
- 已存在的未加密备份盘若想转为加密，需先移除备份磁盘设置，再重新添加并勾选加密选项（原有备份会被清空）
网络备份需绕过协议限制
普通 NAS 或 SMB 共享无法直接支持 Time Machine 加密备份。AFP 已弃用，主流 SMB 实现只保证传输加密，不保证静态数据加密。
- 推荐做法：在 NAS 上创建一个加密的 .sparsebundle 映像文件，挂载后作为本地磁盘供 Time Machine 使用
- 这样所有写入都实时加密，卸载后整个文件就是自包含的加密备份包
- 避免将加密外置硬盘直接连到 AirPort 基站或 Time Capsule——这类设备不支持加密磁盘作为备份目标
虚拟机与敏感数据备份要额外防护
macOS 虚拟机（如通过 macOS-KVM 运行）的磁盘文件常以普通文件形式存在主机系统中，FileVault 对其无直接保护作用。
- 建议将虚拟机磁盘文件存放在已加密的 APFS 卷内，或直接使用加密.sparsebundle 存储整个 VM 目录
- 若使用企业 MDM（如 Jamf），可策略性强制用户只向加密本地磁盘备份，并禁用未加密目标
- 注意：安全虚拟内存始终开启，但仅保护交换数据，不影响备份文件本身的加密状态
加密操作中的常见误区
不是所有“加密”方式都适用于 Time Machine，也不是所有场景都能无缝切换。
- 用“访达右键 → 加密磁盘”方式加密外置盘，虽无需抹盘，但该盘无法用于 Time Machine（Apple 官方明确限制）
- 通过“磁盘工具”抹盘加密时，必须选“APFS（加密）”或“Mac OS 扩展（加密）”，不能选非加密格式再手动开启 FileVault
- FileVault 和备份加密是两套独立机制，各自管理密钥，不可互相替代或联动
