filevault 是 macos 原生全盘加密机制，依托 secure enclave 硬件密钥管理、xts-aes-128 加密算法及 mdm 统一管控，实现启动宗卷的静态数据防护与合规落地，且需协同备份加密、外设策略等构建纵深防御体系。
FileVault 是 macOS 原生的全磁盘加密机制，专为启动宗卷设计，在企业环境中不是“可选项”，而是数据防泄露的第一道硬防线。它不依赖软件层防护，而是从硬件密钥管理（Secure Enclave）、系统引导验证到文件系统读写加解密，全程闭环运作，真正实现“设备丢失 ≠ 数据泄露”。
加密强度与合规基础
FileVault 使用 XTS-AES-128 加密算法，密钥由 Apple silicon 的 Secure Enclave 独立生成并保管——密钥不出芯片，操作系统内核无法访问。这一设计满足 ISO/IEC 27001、NIST SP 800-131A 和 GDPR 对静态数据加密的基本要求。企业无需额外采购加密套件，即可通过原生功能达成等效合规等级。
MDM 统一管控落地路径
借助 Intune、Jamf Pro 或 Apple Business Essentials 等 MDM 平台，企业可实现三类关键管控：
- 策略强制启用：设定设备注册后自动触发 FileVault 启用流程，跳过用户交互环节
- 恢复密钥集中托管：密钥由 MDM 服务器安全接收并加密存储，支持按部门/角色分级授权访问
- 状态实时审计：通过内置加密报告查看每台设备的加密状态、启用时间、密钥托管情况，及时识别未合规终端
规避高风险使用场景
企业部署需避开四类典型冲突场景：
- Boot Camp 双系统设备：FileVault 可能导致 Windows 分区识别异常，建议虚拟化替代或禁用该类设备的加密策略
- 老旧 AirPort Time Capsule：不支持加密备份盘挂载，应迁移至支持 APFS 加密的 NAS 或本地 SSD
- 频繁使用 Target Disk Mode 的开发/测试机：需预配置 Recovery 模式密码或保留离线恢复密钥，避免跨设备调试时挂载失败
- MDM 策略未适配 Ventura+ 的密钥注入机制：旧版 Jamf 插件可能无法正确传递恢复密钥，引发远程解锁失败，须升级至 v10.43+ 或启用密钥延迟注入模式
与备份及外设策略协同
FileVault 仅保护本机启动盘，企业必须同步构建外围防护链：
- Time Machine 备份盘须单独勾选“加密备份磁盘”，否则备份数据明文裸露
- 外接硬盘统一通过 MDM 下发策略：禁止挂载未加密设备、强制新接入磁盘格式化为 APFS(加密)
- 虚拟机磁盘文件必须存于已加密的 APFS 卷中，或封装进加密.sparsebundle，防止宿主机被入侵后直接提取 VM 镜像
FileVault 的价值不在“开启”动作本身，而在它如何嵌入企业整体数据生命周期管理——从设备入网、策略分发、密钥托管到离网回收，每个环节都需设计对应控制点。用对了，它是静默守护者；忽略协同，它只是单点防护的幻觉。
