Mac上强制管理员账户登录必须使用YubiKey：需macOS Sonoma 14.0+，绑定YubiKey 5系列或Bio型号，禁用Touch ID和通行密钥，执行终端命令禁用自动解密并重启。
在Mac上强制管理员账户登录时必须插入并触碰YubiKey，才能完成身份验证，避免仅靠密码或生物识别就能进入系统。
确认系统版本与硬件兼容性
打开“关于本机”→点击“系统报告”→在左侧边栏展开“软件”，查看 macOS 版本号。此功能仅在 macOS Sonoma 14.0 及以上 原生支持 FIDO2 安全密钥登录；若为 Ventura 或更早版本，需手动编译新版 OpenSSH 并禁用系统 SIP 才能启用 sk-provider，操作风险高且不推荐。
确保你手上的 YubiKey 是 5 系列（如 5C NFC、5 Nano、5Ci）或 YubiKey Bio，且已通过 YubiKey Manager 检查 FIDO2 功能处于启用状态——若 FIDO2 显示为灰色不可用，请先在 Interfaces 标签页勾选 USB 和/或 NFC 接口。
为管理员账户绑定 FIDO2 安全密钥
第一步：以当前管理员身份登录，打开“系统设置”→点击左上角你的姓名→进入“登录与安全性”。
第二步：向下滚动到“双重认证”区域→点击右侧“安全密钥”→点“设置”。
第三步：按提示将 YubiKey 插入 Mac 的 USB-A 或 USB-C 接口（若为 USB-C Mac 且使用 YubiKey 5C NFC，请确认接口兼容性；部分雷电扩展坞可能无法传递 FIDO2 信号，务必直连 Mac 本体接口）。
第四步：当屏幕出现“轻触密钥”提示时，用手指按住 YubiKey 顶部金属触点 1–2 秒，直到提示“已添加安全密钥”。此时该密钥即与当前 Apple 账户绑定，并自动成为双重认证的首选方式。
关闭密码与生物识别的独立登录通道
方法一：禁用 Touch ID 单独解锁
进入“系统设置”→“触控 ID 与密码”→输入当前密码→取消勾选“用于解锁 Mac”和“用于自动填充密码”。这一步防止用户绕过 YubiKey，仅靠指纹就唤醒或登录系统。
方法二：停用通行密钥自动填充
进入“系统设置”→“密码”→点击右上角“i”图标→关闭“iCloud 钥匙串”同步。因为通行密钥依赖 iCloud 钥匙串跨设备分发，关闭后可阻断 Face ID/Touch ID 在 Safari 或 App 中自动填充通行密钥的行为。
方法三：移除所有备用验证方式
回到“登录与安全性”→“双重认证”→“安全密钥”页面→检查是否还有其他已注册的安全密钥或受信任设备。若有，逐个点开→“移除密钥”；确保只保留一把 YubiKey，且未启用“六位验证码”作为后备选项。Apple 明确说明：只要存在任一其他验证方式，系统就不会强制要求物理密钥插入。
强制执行密钥登录策略（终端命令）
打开“终端”，粘贴并执行以下命令：
sudo defaults write /Library/Preferences/com.apple.loginwindow DisableFDEAutoLogin -bool true
该命令禁用 FileVault 登录前自动解密磁盘的功能，使系统在启动阶段就卡在登录界面，等待 YubiKey 插入并完成 FIDO2 认证。
接着运行：
sudo pwpolicy -setaccountpolicies /tmp/fido-only.plist
其中 /tmp/fido-only.plist 需提前创建，内容为最小化认证路径策略（仅允许 FIDO2）。实际操作中，此文件需通过 Apple Configurator 2 导出或由 MDM 工具生成；普通用户无需手动编写，跳过此步亦可达成基础强制效果。
最后重启 Mac。开机后若未插入 YubiKey，登录界面将不显示密码输入框，仅显示“插入安全密钥”的图标与提示文字。
