macSO 普通账户下，如何使用 Touch ID 验证 admin 账户？

[oIMOo]

当前登录账户为非管理员账户，在某些需要管理员权限的操作时，会弹出验证框，要求验证管理员账户的账号和密码。

请问，在上述场景中，如何调用 Touch ID 验证管理员权限？

当前普通账户和管理员账户在各自账户下均已设置 Touch ID （不同手指），且允许作为登录使用。

---

网络中仅搜索到当前账户为管理员权限时，可通过修改 /etc/pam.d/sudo ，在 Terminal 中调用 Touch ID 进行授权。没有搜到与主题相关的结果。

macOS Monterey 12.2.1

[doveyoung]

蹲一个答案涨涨见识

[miyunda]

事实证明打错了标题并不影响我理解

[dingwen07]

出现指纹提示窗的时候直接用管理员的指纹就可以了啊



sudo 非管理员没权限的

[oIMOo]

@dingwen07 好神奇……
发帖的时候，部分操作还是弹出手动输入的提醒。看到这个帖子的时候，试了下修改系统设置、修改系统文件夹，都可以用指纹了。
感谢大佬~~~

[oIMOo]

@dingwen07 终于复现了。
我刚刚下载一个安装包。运行里面的卸载脚本需要手动填入管理员账号和密码……

[dingwen07]

@oIMOo #5 你在管理员账户下，有些操作也是需要输入密码的，比如用户与群组那边的锁，pkg 安装我有点忘了

[mxalbert1996]

一个普通的非管理员用户能用他自己的指纹来取得管理员权限，你觉得这合理么？

[oIMOo]

@mxalbert1996
引用主体中的描述：“当前普通账户和管理员账户在各自账户下均已设置 Touch ID （不同手指），且允许作为登录使用。”
见以上括号中内容。
虽然我理解如果这俩手指属于同一个人，且登录普通账户使用，用管理员账户授权这件事不太符合常理（俗话说，脱裤子放屁）。如果你说的是这点，我充分赞同你的想法。
然而，我们的要求是不给员工管理员权限，特殊情况下才可以申请。Windows 系统貌似是改 group 设定（我不确定），macOS 和 linux 都是建立另一个 admin 账户共员工临时使用，方便随时收回，且收回时不影响常规账户（非管理员账户）。这么说应该你就明白为什么我要这么操作了……

[oIMOo]

@dingwen07 原来如此，感谢。
因为我上一台电脑是 2014 年的 MBP ，第一次用带 Touch ID 的，以为鉴权都是一样的逻辑。
疑问消除了，期待以后苹果能优化这个逻辑~ 当然，有可能由于某些安全因素，刻意要求密码。

[mxalbert1996]

@oIMOo 不是符不符合常理的问题，一个普通用户如果能用自己的账户凭据取得管理员权限，那就是严重的提权安全漏洞，这在任何系统都是不可能的。

[oIMOo]

@mxalbert1996
普通账户 A ，右手食指作为 Touch ID 。
管理员账户 B ，右手小拇指作为 Touch ID 。
当登录普通用户时，部分操作需要管理员授权，这时需要键入 B 的密码。这个逻辑好像没问题啊，这就是我的场景。只不过两个手指都是我自己的而已……
其他补充信息就是 #8 里面的故事了。

[mxalbert1996]

@oIMOo 你意思是说用管理员用户的指纹？但指纹是弱凭据，在需要强认证的时候是不能用的（就好比你不能用指纹登录），更何况 Touch ID 设计时就没有考虑使用非当前用户指纹的情况。