要为 macos 设备配置真正意义上的“全局磁盘加密强制策略”，核心是确保启动盘必须启用 filevault，且用户无法绕过或关闭；其他存储场景（如外置盘、文件夹）则需按需补充加密控制。
要为 macOS 设备配置真正意义上的“全局磁盘加密强制策略”，核心是确保启动盘必须启用 FileVault，且用户无法绕过或关闭；其他存储场景（如外置盘、文件夹）则需按需补充加密控制。这不是单一开关能解决的问题，而是一套分层落地的组合策略。
启动盘：用 FileVault 实现系统级强制加密
这是唯一能覆盖系统缓存、交换文件、临时数据和已删除残留的加密方式，也是“全局”防护的基础。
- 必须通过系统设置 → 隐私与安全性 → 文件保险箱开启，或使用终端命令 fdesetup enable；图形界面方式会引导选择恢复密钥托管方式（iCloud 或手动记录）
- 企业环境务必结合 MDM 工具（如 Jamf、Kandji）下发策略，锁定 FileVault 开启状态，并禁用用户自行关闭权限
- 启用前确认三项硬性条件：Recovery HD 存在、启动卷为 APFS 格式、管理员账户已设强密码且未启用自动登录——任一缺失都会导致启用失败且无明确提示
- 24 或 28 位恢复密钥必须离线保存；若托管到 iCloud，需确保账户已开启双重认证
外置设备：统一采用 APFS(加密) 格式化管控
适用于 U 盘、移动硬盘等可拔插介质，实现“即插即锁”，但需注意兼容性与使用限制。
- 通过“磁盘工具”操作：显示所有设备 → 选中物理设备条目（非其下宗卷）→ 抹掉 → 格式选“APFS(加密)” → 输入强密码并设隐晦提示（如“咖啡馆第三把椅子”而非“我的生日”）
- 该操作不可逆，务必提前备份；加密后不能用于 AirPort 基站的时间机器备份，也无法被 Windows 或 Linux 直接识别
- MDM 可推送脚本，在设备首次接入时自动检测未加密外置盘并触发提醒或阻断写入
敏感数据容器：用加密 .dmg 封装高频移动资料
适合项目包、财务报表、合同扫描件等需频繁复制、邮件发送或上传云盘的场景，不改动原位置，零风险部署。
- 访达中右键点击文件夹，按住 Control 键选择“加密 [名称]”，系统自动生成同名 .dmg 文件
- 加密算法必须选 AES-256；密码不要勾选“记住在钥匙串中”，尤其在共享设备或高风险环境中
- 生成的 .dmg 双击挂载需密码，推出后即完全封存；可直接复制到 iCloud Drive、Google Drive 或作为邮件附件发送
规避常见失效陷阱
很多所谓“已加密”的设备实际形同虚设，关键在于堵住管理漏洞。
- 禁用屏幕锁定代替磁盘加密——锁屏不等于加密，关机后硬盘仍可被拆下直读
- 避免密码提示过于直白，例如“WiFi 密码”或“Apple ID”；提示语应仅对本人有意义，且不暴露密码规律
- 重装系统前未提前关闭 FileVault，会导致新系统默认不启用，旧密钥失效，造成策略断层
- 不依赖第三方加密工具替代 FileVault，Veracrypt 或 AxCrypt 等无法保护系统级缓存与内存交换区
