# Sua revisão de acesso ao Touch ID cobre aprovações de agentes?

Uma alteração no cadastro de uma impressão digital é uma alteração de acesso. Trate-a com a mesma seriedade de uma nova conta de administrador, de um laptop transferido ou de um dispositivo recuperado, porque ela muda quem pode atender a um prompt de aprovação biométrica no momento em que um agente quer agir.

Essa afirmação parece óbvia até que uma implantação fique esperando, alguém diga que adicionou apenas a impressão digital do cônjuge para que ele possa desbloquear o laptop e a equipe se lembre de que a mesma máquina pode aprovar o uso de credenciais de produção. Já vi equipes criarem controles cuidadosos para um agente e deixarem o computador físico que contém o botão de aprovação fora do processo de acesso. O ponto fraco raramente é a criptografia. Normalmente é um atalho razoável que ninguém registrou.

Este runbook cobre impressões digitais adicionadas e removidas, mudanças de propriedade do Mac e bloqueios biométricos. Ele pressupõe que um agente de IA só possa fazer solicitações HTTP ou conexões SSH depois que uma pessoa autorizar o caminho da ação. Adapte os nomes das funções locais e dos contatos de escalonamento à sua equipe, mas não enfraqueça os pontos de decisão. Se você não conseguir estabelecer quem controla o Mac, não deixe esse Mac aprovar ações de impacto.

## Uma alteração na impressão digital muda o limite de aprovação

Uma impressão digital adicionada pode autorizar uma pessoa a ultrapassar o mesmo limite biométrico do proprietário anterior. Por isso, o proprietário deve revisá-la antes que a máquina aprove outra ação do agente. A questão não é se a nova impressão pertence a um familiar de confiança, colega de equipe ou técnico de TI. A questão é se essa pessoa passou a ter uma forma prática de aprovar atividades ligadas a credenciais que ela não administra.

As orientações da Apple sobre o Touch ID explicam que as impressões digitais são cadastradas no dispositivo e que o macOS pode pedir uma senha depois de certos eventos, em vez de aceitar o Touch ID. Essa alternativa é útil, mas não transforma uma alteração no cadastro em uma preferência inofensiva. O Mac ainda precisa de uma conta protegida por senha e com autoridade suficiente para administrar o cadastro, e a posse física continua sendo importante.

Faça esta revisão sempre que alguém adicionar ou remover uma impressão digital, seja a mudança intencional ou tenha ocorrido durante um atendimento. A pessoa responsável pelo Mac deve concluí-la antes de usar qualquer agente que possa acessar a infraestrutura compartilhada.

1. Identifique o proprietário atual do dispositivo e a conta local que controla o cadastro do Touch ID. Anote o proprietário, não um alias da equipe.
2. Abra os ajustes do Touch ID no Mac com o proprietário presente. Compare as impressões cadastradas com os usuários esperados. Pergunte por que cada uma existe.
3. Confirme quais contas locais podem desbloquear o Mac, administrá-lo e alterar os ajustes do dispositivo. Uma revisão da impressão digital sem uma revisão das contas deixa de fora metade do caminho até a aprovação.
4. Encerre todas as execuções de agentes que estavam ativas antes da mudança. Não leve uma decisão de autorização anterior para um limite de aprovação que mudou.
5. Revise as credenciais que o agente pode chamar a partir deste Mac. Mantenha as credenciais de maior impacto atrás de uma nova confirmação humana até concluir a revisão.

O caso mais delicado é o do técnico de suporte. Um técnico pode precisar de uma senha e de acesso físico para consertar uma máquina, mas isso não concede automaticamente um direito permanente de aprovar as ações do agente. Se o cadastro para suporte for inevitável, remova a impressão digital ao encerrar o reparo e registre que isso foi feito. Um chamado que diz «Touch ID corrigido» não registra quem poderia aprovar o acesso à produção durante o reparo.

Não peça às pessoas que prometam não tocar no prompt. Estruture o processo considerando que o acesso físico compartilhado muda o risco. As pessoas cometem erros quando uma confirmação parece rotineira, especialmente quando um agente está agindo rapidamente e a solicitação se parece com um trabalho que elas fazem todos os dias.

## A aprovação por chamada precisa de uma decisão humana identificada

A aprovação por chamada só é segura quando a pessoa que aprova consegue reconhecer a ação, a credencial e a consequência no momento do prompt. O Touch ID pode provar que uma pessoa cadastrada interagiu com o Mac. Ele não pode provar que a pessoa certa entendeu uma solicitação feita pelo agente trinta segundos antes.

Essa diferença é constantemente ignorada. Um prompt biométrico costuma ser descrito como uma verificação de identidade e depois usado como se fosse uma revisão de autorização. Os conceitos estão relacionados, mas respondem a perguntas diferentes. A identidade pergunta se um usuário cadastrado tocou no sensor. A autorização pergunta se esse usuário deve permitir esta chamada agora. Uma equipe que confunde os dois aprovará uma solicitação destrutiva com a mesma confiança de uma tela de login.

Escreva a regra de aprovação em linguagem comum. Por exemplo: «Qualquer chamada que possa alterar uma implantação de produção, criar um token de longa duração, modificar o faturamento ou enviar dados para fora da organização exige que o responsável atual pelo serviço a examine e aprove.» Essa regra identifica o julgamento humano. Ela não finge que a impressão digital tomou a decisão sozinha.

O prompt de aprovação também precisa oferecer contexto útil. Antes de aceitá-lo, o revisor deve conseguir responder às perguntas abaixo sem reconstruir o raciocínio privado do agente:

- Qual processo do agente fez a chamada?
- Qual credencial a chamada usará?
- Qual destino receberá a solicitação ou o comando SSH?
- Que operação ocorrerá se a chamada for bem-sucedida?
- Por que esta pessoa, neste Mac, tem permissão para aprová-la?

Se o seu prompt não responder a essas perguntas, corrija o fluxo antes de ampliar o acesso. Uma solicitação genérica dizendo que um agente precisa de permissão cria um teatro de aprovação. As pessoas clicam porque estão impedidas de fazer um trabalho útil, não porque tomaram uma decisão informada.

O Sallyport torna essa separação explícita: um cofre bloqueado nega todas as ações, a autorização de sessão cobre um processo de agente até que ele seja encerrado e uma credencial pode exigir aprovação a cada uso. Essa sequência fixa é mais fácil de revisar do que um conjunto improvisado de exceções, desde que a equipe continue tratando a confirmação biométrica como uma decisão humana, não como um carimbo mágico.

Para chamadas rotineiras e de baixo impacto, a aprovação por sessão pode ser adequada. Ela mantém a pessoa no controle de uma execução sem obrigá-la a confirmar cada leitura inofensiva. Use a aprovação por chamada quando uma única chamada puder criar uma alteração duradoura ou expor dados relevantes. Não marque todas as credenciais dessa forma só para parecer rigoroso. Prompts em excesso treinam as pessoas a aprovar tudo às cegas. Depois, o prompt que realmente importa chega vestido como os demais.

## Transferências de propriedade exigem uma quebra de custódia

Quando um Mac muda de mãos, o proprietário antigo precisa perder a capacidade de aprovar ações antes que o novo proprietário o utilize. A transferência não termina quando o laptop chega a outra mesa, nem quando o inventário do gerenciamento de dispositivos é alterado. Ela termina quando o acesso local da máquina, as biometrias cadastradas, o acesso ao cofre, as sessões ativas e as credenciais correspondem ao novo arranjo de custódia.

A abordagem segura mais rápida é reprovisionar a máquina do zero. Em um Mac da empresa, apague o dispositivo e configure-o para o novo proprietário pelo processo normal de gerenciamento da organização. Isso elimina a necessidade de investigar contas locais antigas, impressões esquecidas, sessões do navegador, tokens em cache e ferramentas de desenvolvimento que sobreviveram à transferência. Reprovisionar leva tempo, mas tentar descobrir evidências depois de uma transferência malfeita leva mais.

Às vezes, uma reconstrução limpa é impossível porque a máquina contém um estado de desenvolvimento local que ainda não foi migrado. Nesse caso, use um procedimento de transferência temporário e defina uma data de encerramento. Não deixe que «vamos limpar isso depois» se torne o estado permanente de um Mac capaz de acessar a produção.

Uma transferência temporária deve seguir esta ordem:

1. O proprietário antigo encerra as sessões nos serviços, bloqueia o cofre e para todas as execuções de agentes. Exporte apenas o material de desenvolvimento de que o novo proprietário precisa, por um caminho aprovado.
2. Um administrador remove a conta local do proprietário antigo ou a desativa de acordo com a política da empresa. Confirme que o antigo proprietário não consegue fazer login depois de uma reinicialização.
3. O novo proprietário cadastra sua própria conta local e impressão digital. Verifique a lista de cadastros enquanto o administrador e o novo proprietário estiverem presentes.
4. Recrie o acesso de forma deliberada. Não copie credenciais, chaves privadas SSH, perfis do navegador nem arquivos locais de segredos da conta antiga, porque a cópia preserva acessos que talvez você não perceba.
5. Revise o registro de atividades depois que o novo proprietário fizer a primeira chamada de agente aprovada. Confirme que o processo, o destino e a credencial correspondem ao trabalho do novo proprietário.

A propriedade do Mac e a propriedade da credencial são coisas separadas. Um contratado pode ficar temporariamente com a máquina enquanto um funcionário continua sendo o responsável pelo serviço. Nesse caso, o contratado não deve se tornar uma parte aprovadora apenas porque possui o dispositivo. Mantenha a credencial indisponível para esse fluxo ou exija que o verdadeiro responsável pelo serviço faça a confirmação em um dispositivo aprovado.

Não resolva uma transferência alterando o nome exibido e mantendo o perfil antigo. Essa abordagem é popular porque preserva as ferramentas e evita uma configuração demorada. Ela está errada para uma máquina que pode autorizar atividades de agentes, pois deixa muitos caminhos sem análise: senhas salvas, configuração SSH, histórico de comandos, repositórios locais e acesso a métodos de recuperação. A conveniência tem seu lugar na configuração de uma estação de trabalho. Ela não pertence ao registro de evidências de uma mudança de responsável.

## Impressões removidas exigem provas, não uma garantia verbal

Remover uma impressão digital reduz um caminho até a aprovação, mas não prova que o antigo usuário perdeu o acesso ao Mac. A revisão precisa estabelecer que essa pessoa não consegue se autenticar por outra conta local, uma credencial de administrador, um método de recuperação ou uma sessão já aberta.

Isso é importante depois de desligamentos e mudanças de função. Um gerente pode pedir a remoção de uma impressão digital porque um funcionário deixou de trabalhar no serviço. Essa é uma boa primeira ação, mas pode criar uma falsa sensação de segurança se o funcionário ainda souber a senha de login, mantiver uma conta de administrador ou tiver um dispositivo que continua desbloqueado em uma mesa compartilhada.

Use este conjunto de evidências quando uma impressão digital for removida de um Mac:

- O proprietário atual abre os ajustes do Touch ID e confirma que a impressão não está mais presente.
- Um administrador verifica se as contas locais antigas estão desativadas ou removidas de acordo com o procedimento de retenção aplicável.
- O proprietário atual bloqueia a tela, reinicia o Mac e verifica que apenas pessoas aprovadas conseguem voltar à mesa.
- O responsável pelo serviço revisa quais credenciais estavam disponíveis antes da remoção e decide se alguma precisa ser alterada.
- O revisor registra o horário da alteração de acesso, as pessoas envolvidas e o resultado das verificações.

Uma reinicialização é útil porque elimina o estado tranquilizador, mas enganoso, de um computador que já estava desbloqueado. Ela também força a equipe a encarar o caminho da senha que o Touch ID normalmente oculta. Se o antigo usuário ainda consegue passar pela tela de login, a impressão digital não era o limite de acesso que você imaginava.

Altere uma credencial quando a pessoa antiga tinha acesso a ela, poderia tê-la copiado ou poderia ter aprovado chamadas enquanto a máquina estava desbloqueada. Não altere credenciais apenas porque alguém removeu uma impressão digital meses depois de uma mudança rotineira, se você puder provar que a credencial nunca foi exposta e que o dispositivo permaneceu sob custódia controlada. Alterar credenciais tem um custo, e mudanças indiscriminadas fazem as equipes adiarem a ação quando ela é realmente necessária. Relacione a decisão ao que a pessoa poderia fazer, não a um ritual.

Este também é o momento de revogar as sessões dos agentes. Uma aprovação de sessão é uma declaração sobre um processo específico em execução sob uma condição de acesso específica. Quando a pessoa autorizada ou o cadastro biométrico muda, essa declaração expira. Reiniciar o agente é simples. Explicar por que um processo antigo manteve o acesso depois de uma mudança de custódia não é.

## Um bloqueio biométrico exige contenção primeiro

Um bloqueio do Touch ID deve suspender as aprovações até que a equipe confirme a posse e restaure o acesso pelo caminho de recuperação previsto. Bloqueios acontecem por motivos comuns: várias tentativas malsucedidas, uma reinicialização, um problema no sensor ou uma exigência do macOS pela senha da conta. Eles também acontecem no pior momento possível, quando alguém se sente pressionado a encontrar qualquer forma de contornar o controle.

Não reaja deixando a máquina desbloqueada, compartilhando a senha da conta em um chat ou colocando uma credencial em um arquivo de configuração do agente. Essas ações resolvem o prompt imediato e criam um incidente mais longo. O agente nunca deve receber o segredo simplesmente porque uma pessoa não conseguiu concluir uma confirmação biométrica.

Use esta sequência de contenção:

1. Pare a execução do agente ou revogue sua autorização. Registre o processo do agente e a ação que ele tentava realizar.
2. Estabeleça a custódia física. Pergunte quem está com o Mac, onde ele esteve e se alguém fora do grupo aprovado poderia tê-lo usado enquanto estava desbloqueado.
3. Use a senha da conta local pelo caminho normal do macOS se o proprietário estiver presente e autorizado. Uma exigência de senha depois de uma reinicialização é um comportamento esperado, não uma prova de que o Touch ID falhou.
4. Se o proprietário não conseguir se autenticar, encaminhe o dispositivo ao processo aprovado de suporte ou recuperação. Não improvise usando a conta ou a impressão digital de outra pessoa.
5. Depois da recuperação, revise a lista de cadastros, as contas locais e quaisquer ações tentadas pelo agente antes de restaurar a capacidade de aprovação.

É no quinto passo que as equipes se descuidam. Elas veem a mesa novamente e declaram o incidente encerrado. A recuperação prova que alguém recuperou o acesso. Ela não responde se o bloqueio ocultou um problema de hardware, tentativas não autorizadas, uma alteração na lista de impressões digitais ou uma sessão abandonada do agente. Reserve dois minutos para responder a essas perguntas enquanto o evento ainda está recente.

Um bloqueio que ocorre durante uma implantação urgente merece o mesmo tratamento. Mova a decisão da implantação para outra máquina aprovada, se a organização tiver uma. Se não tiver, pause a ação de impacto. Isso vai frustrar alguém, mas é melhor do que enfraquecer o limite da credencial sob pressão e descobrir depois que a exceção virou o processo documentado.

## O bloqueio do cofre deve continuar absoluto durante a incerteza

Quando a custódia ou o estado biométrico do Mac forem incertos, negue o acesso no limite do cofre até que uma pessoa responsável resolva a situação. Uma regra condicional que permita a continuidade de algumas chamadas do agente enquanto a equipe investiga é mais difícil de entender e muito mais fácil de abusar.

É aqui que um modelo simples de controle mostra seu valor. Se um cofre bloqueado nega todas as ações, o operador não precisa calcular se uma solicitação HTTP é inofensiva o bastante durante uma revisão do dispositivo. Ele bloqueia o cofre, encerra as sessões afetadas e faz as verificações. O custo é uma breve interrupção. O benefício é uma resposta clara à pergunta que todos farão depois: o agente ainda podia agir enquanto o acesso ao dispositivo estava em dúvida?

O cofre do Sallyport é protegido por hardware em Macs compatíveis por meio do Secure Enclave e do Touch ID, e seu estado bloqueado nega as ações. Isso não elimina a necessidade de revisar a custódia. Ele oferece ao revisor um controle de contenção claro enquanto ele confirma quem está com o computador e quem pode atender aos requisitos de aprovação.

Não transforme esse controle em uma afirmação de que o Mac está seguro sempre que o cofre está bloqueado. O Mac ainda pode conter código-fonte, sessões do navegador, anotações de trabalho ou uma conta local com autoridade ampla. O bloqueio do cofre protege as ações que passam por ele. Seus procedimentos de transferência e incidentes também precisam proteger o restante da estação de trabalho.

O mesmo limite vale para qualquer registro de auditoria. Um registro pode mostrar que um agente tentou ou concluiu uma ação. Ele não pode dizer se alguém viu o antigo proprietário digitar uma senha, se uma máquina desbloqueada ficou sem supervisão ou se um supervisor entendeu um prompt. Os logs ajudam em uma revisão, mas não fazem a revisão.

## Os registros de auditoria precisam relacionar o evento do dispositivo à ação

Uma revisão de acesso é útil quando um investigador posterior consegue relacionar um evento de impressão digital ou de propriedade à atividade do agente ao redor dele. Mantenha um único registro conciso que una a alteração física, as verificações da conta local, as sessões afetadas e a decisão sobre a credencial.

Para uma equipe pequena, um chamado controlado ou um diário de segurança é suficiente. Registre o identificador do ativo ou o número de série do Mac de acordo com o procedimento interno, o custodiante anterior e o atual, o tipo de evento, o revisor, o intervalo de tempo e o resultado. Depois, anexe referências ao registro da sessão do agente e ao registro da ação individual. Não armazene senhas, imagens de impressões digitais, chaves de recuperação nem segredos copiados no chamado.

Um registro pode seguir este formato:

```text
Event: Touch ID enrollment removed
Mac custodian before: Development contractor
Mac custodian after: Platform engineer
Observed by: Device administrator
Local-account result: Former account disabled and restart check passed
Agent result: Active sessions revoked at 14:32 UTC
Credential result: Deployment credential rotated after access review
Follow-up: Clean reprovision scheduled before reassignment
```

O objetivo desse artefato não é criar burocracia. Ele evita a ambiguidade mais prejudicial: uma pessoa acredita que o dispositivo mudou de mãos, outra acredita que a aprovação do agente continuou válida e uma terceira presume que a credencial foi alterada porque isso foi mencionado em uma reunião. Cada afirmação precisa de um resultado observável.

O Sallyport projeta os registros de sessão e de chamadas a partir de um log de auditoria criptografado, encadeado por hash e sem possibilidade de escrita retroativa. A verificação offline `sp audit verify` pode estabelecer se a cadeia criptografada continua válida sem precisar do material do cofre. Use essa evidência para verificar a integridade e associe-a ao seu registro de custódia. Uma cadeia válida não torna completa uma transferência incompleta.

Depois, revise os registros em busca de padrões que indiquem problemas no processo: bloqueios repetidos durante uma implantação, cadastros recorrentes feitos pelo suporte, aprovações vindas de máquinas com proprietários incertos ou credenciais marcadas para revisão por chamada que as pessoas evitam porque cada prompt não tem contexto. Esses são problemas de design. Não puna quem os relata. Altere o fluxo que tornou o atalho atraente.

## Macs compartilhados transformam biometrias pessoais em um risco da equipe

Um Mac usado por mais de uma pessoa não deve ser a estação de aprovação de ações sensíveis de agentes, a menos que a equipe consiga atribuir e aplicar uma custódia clara. Estações compartilhadas são comuns em laboratórios, salas de build e espaços temporários de incidentes. Elas facilitam o trabalho e dificultam provar quem tomou uma decisão de permissão.

A defesa habitual é que cada pessoa tem seu próprio login. Isso ajuda, mas não basta quando as pessoas conhecem as senhas umas das outras, deixam sessões abertas durante transferências ou permitem que um colega prestativo use uma impressão digital para passar por um prompt. A norma social de uma equipe cooperativa muitas vezes derrota a separação técnica.

Atribua um custodiante principal a cada Mac capaz de aprovar ações. Essa pessoa é responsável pela revisão do cadastro, pelo estado de bloqueio e pelo escalonamento quando a máquina mudar de lugar ou de usuário. Se a equipe precisar de uma estação compartilhada para incidentes, mantenha-a fora do caminho de aprovação de credenciais ou use um procedimento que exija que um responsável autorizado pelo serviço aprove a partir do seu próprio dispositivo controlado.

Você também deve separar a conveniência física do alcance das credenciais. Um Mac compartilhado pode hospedar documentação, painéis e trabalhos de agentes somente para leitura sem conter um caminho para credenciais de produção. No momento em que puder autorizar um agente a alterar sistemas compartilhados, sua localização, configuração de contas e cadastro biométrico precisarão da mesma disciplina de qualquer outra estação de trabalho privilegiada.

Não dependa de um aviso colado no monitor dizendo «não use o Touch ID». Avisos descrevem uma intenção. O sistema deve negar a ação quando o proprietário pretendido estiver ausente, e o processo deve tornar essa ausência visível. Se sua equipe não consegue explicar quem pode desbloquear, aprovar e recuperar o Mac, remova-o do caminho de aprovação.

## A primeira revisão deve ocorrer antes da próxima execução do agente

Faça a revisão imediatamente depois de um cadastro, remoção, mudança de propriedade ou bloqueio, porque as evidências são mais claras antes que as pessoas retomem o trabalho normal. Esperar até uma revisão trimestral de acesso transforma um evento específico em um teste de memória, e é na memória que as exceções silenciosas desaparecem.

Comece com o dispositivo em mãos. Identifique o custodiante, inspecione as impressões digitais cadastradas e as contas locais, bloqueie ou revogue o acesso se algo não estiver claro e encerre as sessões antigas do agente. Depois, decida se as credenciais afetadas precisam ser alteradas e registre o resultado junto do histórico de ações relevante.

A parte difícil não é abrir os ajustes do macOS. É se recusar a tratar uma alteração no acesso físico como uma conveniência pessoal quando o mesmo Mac pode aprovar o uso de credenciais reais por um agente. Mantenha esse limite claro e o próximo prompt urgente será uma decisão que você poderá defender.