Llavero de elementos locales: ¿Cómo deshacerse de él?

¿Cómo puedo hacer que macOS no use el llavero de iCloud (o su área de sincronización, Elementos locales, mientras que iCloud KC está desactivado)?

Detalles:

Por varias razones, no quiero usar el llavero de iCloud. Esto parece haberse vuelto más difícil con 10.11 o 10.12 (actualizado directamente 10.10 - > 10.12, así que no sé qué pasó cuando).

Hoy, noté lo siguiente:

• iCloud Keychain se encendió sin mi conocimiento [1]. Aparentemente, algunas credenciales nuevas (+ elementos de contraseña de WiFi automatizados) ya estaban sincronizados.
• Si lo desactivas, aún queda el mismo contenido del llavero, bajo el nombre Elementos locales. Incluso si esto no se sincroniza mientras está desactivado, encenderlo es aparentemente fácil de hacer por error, así que preferiría que no usara el área de sincronización en absoluto.
• ssh-add ignora las identidades preexistentes en el llavero de inicio de sesión y solo se carga / guarda en el llavero de iCloud (o elementos locales, si la sincronización está desactivada)

Me gustaría:

• los nuevos elementos que ingresan en el inicio de sesión de Keychain una vez más, no en Elementos locales / iCloud de forma predeterminada (lo mejor sería no ver estas cosas en absoluto)
• ssh-add -A vuelve a encontrar elementos en todos los llaveros desbloqueados, incluido el inicio de sesión, donde tengo bastantes elementos que actualmente ignora y que no quiero tener que rehacer

Estos cambios parecen ser bastante persistentes, sin embargo, incluso intenté asignar los directorios con el extraño "UUID en mayúsculas" que parecen nombres en ~/Library/Keychains que parecen estar asociados con el llavero iCloud a root: - ssh-add -K aún escribió la frase de acceso a los elementos locales [2].

[1] No recuerdo haber optado por participar, pero IIRC lo pregunta , así que probablemente estaba tecleando cuando apareció un diálogo de robo de foco donde el espacio significaba que sí aparecía o algo así. [2] Pero no hay reinicios intermedios, tal vez algunos servidores aún tenían un controlador preexistente para ellos, no investigaron aún más esa parte.