# 你的 Touch ID 访问审查涵盖代理审批了吗？

指纹注册发生变化，就是访问权限发生变化。请像对待新建管理员账户、转交笔记本电脑或找回设备一样认真处理，因为它改变了代理准备执行操作时，谁能完成生物识别审批提示。

这听起来显而易见，但部署正在等待、有人说自己只是添加了配偶的指纹好让对方解锁笔记本电脑时，情况就不一样了。团队这才想起，同一台机器还能批准使用生产凭据。我见过一些团队为代理建立了周密的控制措施，却把那台掌握审批按钮的实体电脑排除在访问流程之外。薄弱点很少是密码学，通常只是一个看似合理、却没人记录的捷径。

本操作手册涵盖添加和删除指纹、Mac 所有权变化以及生物识别锁定。它假设 AI 代理只有在有人授权操作路径后，才能发起 HTTP 请求或 SSH 连接。请根据团队情况调整本地角色和升级联系人名称，但不要放宽关键决策点。如果无法确认谁控制着 Mac，就不要让这台 Mac 审批重要操作。

## 指纹变化会改变审批边界

新增指纹后，持有者之外的人可能也能跨过同一个生物识别边界，因此在机器批准下一次代理操作前，所有者必须先审查。重点不在于新指纹属于值得信任的家人、队友还是 IT 技术人员，而在于这个人现在是否实际拥有审批权限，而他们并不负责管理相关凭据。

Apple 的 Touch ID 指南说明，指纹注册在设备上；发生某些事件后，macOS 可能要求输入密码，而不是接受 Touch ID。这个后备路径很有用，但不能因此把注册变化当成无害的偏好设置。Mac 仍需要一个拥有密码且权限足够、能够管理指纹注册的账户，设备的实际占有情况也仍然重要。

每当有人添加或删除指纹时，都要执行这项审查，无论变化是有意为之，还是在支持工作中发生的。负责 Mac 的人应在使用任何能够访问共享基础设施的代理前完成审查。

1. 确认当前设备所有者，以及控制 Touch ID 注册的本地账户。记录具体所有者，不要只写团队别名。
2. 让所有者在场，打开 Mac 的 Touch ID 设置。将已注册指纹与预期用户进行比对，并询问每个指纹存在的原因。
3. 确认哪些本地账户可以解锁 Mac、管理 Mac 以及更改设备设置。只审查指纹而不审查账户，会漏掉一半的审批路径。
4. 结束变化发生前已经运行的所有代理任务。审批边界发生变化后，不要继续沿用之前的授权决定。
5. 审查代理可以从这台 Mac 调用的凭据。在审查完成前，把影响最大的凭据放到一次新的人工确认之后。

最棘手的情况是支持技术人员。技术人员可能需要密码和设备的实际访问权限来维修机器，但这并不自动赋予他们长期审批代理操作的权利。如果维修必须注册支持人员的指纹，就要在维修收尾时移除该指纹，并记录这一事实。写着“修好了 Touch ID”的工单，并不能说明维修期间谁有能力批准生产访问。

不要让人保证自己不会触碰提示框。流程应以共享物理访问会改变风险这一事实为基础。确认看起来很普通时，人很容易犯错，尤其是在代理快速执行操作，而请求又和他们每天进行的工作很相似时。

## 逐次调用审批需要明确的人工决定

只有当审批人能在提示出现时识别操作、凭据和后果，逐次调用审批才是安全的。Touch ID 可以证明已注册的人与 Mac 发生了交互，但不能证明这个人理解了代理在三十秒前提出的请求，也不能证明他就是应该做决定的人。

这一区别经常被混淆。生物识别提示常被描述为身份检查，之后却被当作授权审查来使用。两者有关联，但回答的是不同问题。身份检查问的是，已注册用户是否触碰了传感器。授权检查问的是，这个用户现在是否应该允许这次调用。混淆二者的团队，会像看待登录界面一样自信地批准破坏性请求。

用日常语言写清审批规则。例如：“任何能够更改生产部署、创建长期令牌、修改计费或向组织外发送数据的调用，都必须由当前服务所有者检查并批准。”这条规则明确了人工判断的责任，没有假装是指纹自己做出了决定。

审批提示也需要提供有用的上下文。接受前，审查人应该无需重构代理的内部推理，就能回答以下问题：

- 哪个代理进程发起了这次调用？
- 这次调用将使用哪个凭据？
- 请求或 SSH 命令将发送到哪个目标？
- 如果调用成功，会执行什么操作？
- 为什么这个人可以在这台 Mac 上批准它？

如果提示无法回答这些问题，就先修复流程，再扩大访问范围。只写着“代理需要权限”的通用请求会制造审批表演。人们点击它，是因为自己被阻挡，无法继续有用的工作，而不是因为他们做出了知情决定。

Sallyport 明确区分了这些层次：锁定的保险库会拒绝所有操作，会话授权覆盖一个代理进程直到它退出，而某个凭据还可以要求每次使用都经过审批。只要团队仍把生物识别确认当作人工决定，而不是神奇印章，这种固定顺序就比临时拼凑的例外更容易审查。

对于日常的低影响调用，逐会话审批可以合理。它能让人工继续掌控一次运行，又不必为每次无害读取都确认。凡是一次调用就可能造成持久变化或暴露重要数据，都应使用逐次调用审批。不要为了显得严格而给每个凭据都设置这种要求。提示过多会让人养成盲目批准的习惯，真正重要的提示出现时，看起来也和其他提示没有区别。

## 所有权转移需要切断保管关系

Mac 易主时，旧所有者必须先失去审批能力，新所有者才能使用它。交接并不是笔记本电脑到了另一张桌子上就完成了，也不是设备管理库存发生变化就完成了。只有当机器的本地访问、已注册生物识别信息、保险库访问权限、活动会话和凭据都符合新的保管安排时，交接才算完成。

最快的安全做法是重新配置。对于公司所有的 Mac，应擦除设备，然后通过组织正常的管理流程为新所有者设置。这样就不必逐一推测旧本地账户、遗忘的指纹、浏览器会话、缓存令牌和转移后仍然存在的开发工具。重新配置需要时间，但错误交接后再进行取证猜测会花更久。

有时机器里还保留着尚未迁移的本地开发状态，无法立即重建。此时可以使用临时转交流程，并设定结束日期。不要让“以后再清理”变成一台具备生产能力的 Mac 的永久状态。

临时转交应按以下顺序进行：

1. 旧所有者退出各项服务、锁定保险库并停止所有代理任务。只有通过批准路径导出新所有者需要的开发材料。
2. 管理员根据公司政策移除旧所有者的本地账户，或将其禁用。重启后确认旧所有者无法登录。
3. 新所有者注册自己的本地账户和指纹。让管理员和新所有者同时在场，检查注册列表。
4. 有意识地重新创建访问权限。不要从旧账户复制凭据、SSH 私钥、浏览器配置文件或本地密钥文件，因为复制会保留你可能没有察觉的访问路径。
5. 新所有者完成第一次代理调用后，审查活动记录。确认进程、目标和凭据都符合新所有者的工作。

Mac 的所有权和凭据的所有权是两回事。承包商可能暂时持有设备，而员工仍然是服务所有者。在这种情况下，承包商不应仅因为持有设备就成为审批方。让凭据对该流程不可用，或要求实际服务所有者在经过批准的设备上完成确认。

不要只更改显示名称、保留旧配置文件来解决交接问题。这种做法很受欢迎，因为它能保留工具，避免漫长的设置过程。但对于能够授权代理活动的机器来说，这样做是错误的，因为它留下了太多未经检查的路径：已保存的密码、SSH 配置、命令历史、本地代码库以及恢复方法的访问权限。便利适合工作站设置，不适合出现在保管人变更的证据链中。

## 删除指纹需要证据，不能只听口头保证

删除一个指纹确实减少了一条审批路径，但不能证明之前的使用者已经失去 Mac 的访问权限。审查必须确认这个人无法通过其他本地账户、管理员凭据、恢复方法或已经打开的会话完成身份验证。

离职和角色变化后，这一点尤其重要。经理可能要求删除员工的指纹，因为员工不再负责该服务。这是一个好的第一步，但如果员工仍知道登录密码、保留管理员账户，或有一台在共享桌面上保持解锁的设备，就会产生虚假的安全感。

Mac 删除指纹时，请使用以下证据集：

- 当前所有者打开 Touch ID 设置，确认该指纹已经不存在。
- 管理员根据适用的保留流程，确认之前的本地账户已禁用或删除。
- 当前所有者锁定屏幕、重启 Mac，并确认只有获批人员能够返回桌面。
- 服务所有者审查删除指纹前哪些凭据可用，并决定是否需要轮换其中任何凭据。
- 审查人记录访问变化的时间、参与人员以及检查结果。

重启很有用，因为它会清除电脑已经解锁这一令人安心却容易误导的状态，也会迫使团队正视平时被 Touch ID 隐藏的密码路径。如果之前的使用者仍能通过登录界面，说明指纹并不是你以为的访问边界。

如果之前的人接触过凭据、可能复制过凭据，或在机器解锁时可能批准过调用，就应轮换该凭据。如果只是一次常规变化，几个月后才删除指纹，而你能证明凭据从未向对方暴露、设备也始终处于受控保管状态，就不必仅仅因为删除了指纹而轮换凭据。轮换有成本，毫无区别地轮换会让团队在真正需要时反而拖延。应根据这个人实际能做什么来决定，而不是完成某种仪式。

此时也要撤销代理会话。会话审批针对的是特定访问条件下运行的特定进程。一旦获授权人员或生物识别注册状态发生变化，这项授权就已经失效。重启代理很便宜，解释为什么旧进程在保管关系变化后仍能访问，则要困难得多。

## 生物识别锁定时，应先控制风险

Touch ID 锁定后，应暂停审批，直到团队确认设备由谁持有，并通过预定的恢复路径恢复访问。锁定可能有普通原因：反复验证失败、重启、传感器故障，或 macOS 要求输入账户密码。但它也可能发生在最不合适的时候，正是有人因为压力而想寻找任何绕过控制的路径时。

不要让机器保持解锁、在聊天中分享账户密码，或把凭据放进代理配置文件来应对。这样做解决了眼前的提示，却制造了更大的后续事件。不能因为一个人无法完成生物识别确认，就让代理直接拿到密钥。

使用以下控制流程：

1. 停止代理运行或撤销其授权。记录代理进程，以及它当时试图执行的操作。
2. 确认设备的实际保管情况。询问谁持有 Mac、设备在哪里，以及设备解锁期间是否可能被批准群组之外的人使用。
3. 如果所有者在场且拥有授权，就通过正常的 macOS 路径使用本地账户密码。重启后要求输入密码是预期行为，不代表 Touch ID 出现故障。
4. 如果所有者无法完成身份验证，就把设备交给经过批准的支持或恢复流程。不要临时使用其他人的账户或指纹。
5. 恢复后，在重新开放审批能力前，检查注册列表、本地账户以及任何尝试过的代理操作。

团队最容易在第五步松懈。他们重新看到桌面，就宣布事件结束。恢复只能证明有人重新获得了访问权限，不能说明锁定是否掩盖了硬件问题、未授权尝试、指纹列表变化或被遗弃的代理会话。趁事件还清楚，花两分钟回答这些问题。

即使锁定发生在紧急发布期间，也应按同样方式处理。如果组织有其他经过批准的机器，就把发布决策转移到那台设备上。如果没有，就暂停重要操作。这个决定会让人不舒服，但总比在时间压力下削弱凭据边界，之后才发现例外变成了正式流程更好。

## 不确定期间，保险库门禁必须保持绝对有效

Mac 的保管关系或生物识别状态不确定时，应在负责人解决问题前，通过保险库边界拒绝访问。调查期间允许某些代理调用继续执行的条件规则更难理解，也更容易被滥用。锁定保险库、停止受影响的会话并完成检查，流程会清晰得多。代价只是短暂中断，收益则是能够明确回答之后所有人都会问的问题：设备访问存在疑问时，代理还能不能继续操作？

在受支持的 Mac 上，Sallyport 的保险库通过 Secure Enclave 和 Touch ID 进行硬件门控，锁定状态会拒绝操作。这并不意味着不需要审查保管关系。它为审查人提供了清晰的控制手段，让他们可以在确认谁持有电脑、谁能完成审批要求的同时，先控制风险。

不要把这项控制延伸成“保险库锁定时 Mac 就安全”的结论。Mac 仍可能保存源代码、浏览器会话、工作记录，或拥有广泛权限的本地账户。保险库门禁保护的是经过它的操作，交接和事件处理流程还必须保护工作站的其他部分。

任何审计记录也有同样的局限。记录可以显示代理尝试或完成了某项操作，却无法告诉你是否有人看见旧所有者输入密码、解锁的机器是否无人看管，或主管是否理解了提示。日志能支持审查，但不能代替审查。

## 审计条目需要把设备事件与操作关联起来

当之后的调查人员能够把指纹或所有权事件与前后的代理活动关联起来时，访问审查才真正有用。保留一份简洁记录，将物理变化、本地账户检查、受影响会话和凭据决定放在一起。

对小型团队来说，受控工单或安全日志就够了。按照内部流程记录 Mac 资产标识符或序列号、之前和当前的保管人、事件类型、审查人、时间范围以及结果。然后附上代理会话记录和单项操作记录的引用。不要在工单中保存密码、指纹图像、恢复密钥或复制的密钥。

记录可以采用以下形式：

```text
Event: Touch ID enrollment removed
Mac custodian before: Development contractor
Mac custodian after: Platform engineer
Observed by: Device administrator
Local-account result: Former account disabled and restart check passed
Agent result: Active sessions revoked at 14:32 UTC
Credential result: Deployment credential rotated after access review
Follow-up: Clean reprovision scheduled before reassignment
```

这份记录的目的不是增加文书工作，而是避免最危险的模糊空间：一个人认为设备已经易主，另一个人认为代理审批仍然有效，第三个人因为会议上提到过凭据轮换，就以为轮换已经完成。每个说法都需要一个可观察的结果。

Sallyport 会将会话和调用记录写入一个不可写回、经过加密且采用哈希链连接的审计日志。离线执行 `sp audit verify` 可以在不需要保险库材料的情况下，确认加密链是否仍能通过验证。用这份证据确认完整性，再与保管记录结合。链条有效，并不能让不完整的交接变得完整。

事后审查记录，留意暴露流程问题的模式：发布前后反复锁定、重复出现的支持人员指纹注册、所有者不清楚的机器发起审批，或标记为逐次调用审查的凭据因为每个提示都缺少上下文而被人刻意回避。这些都是设计问题。不要惩罚报告问题的人，要改变让变通做法显得有吸引力的流程。

## 共享 Mac 会把个人生物识别变成团队风险

一台 Mac 如果由多人使用，除非团队能够分配并执行清晰的保管责任，否则不应把它作为敏感代理操作的审批工作站。实验室、构建室和临时事件空间经常使用共享工作站。它们便于完成工作，却很难证明是谁做出了权限决定。

常见的辩解是每个人都有自己的登录账户。这确实有帮助，但当人们知道彼此的密码、为了交接而保持会话打开，或让乐于助人的同事用指纹绕过提示时，仍然不够。在合作型团队中，社会习惯往往会击穿技术隔离。

为每台具备审批能力的 Mac 指定一名主要保管人。这个人负责注册审查、锁定状态，以及设备位置或使用者发生变化时的升级处理。如果团队需要共享的事件工作站，就不要让它进入凭据审批路径；或者规定由获授权的服务所有者在自己控制的设备上完成确认。

还应将物理便利与凭据触达范围分开。共享 Mac 可以承载文档、仪表板和只读代理工作，但不应同时保留通往生产凭据的路径。一旦它能授权代理修改共享系统，它的位置、账户设置和生物识别注册就需要和其他特权工作站一样严格管理。

不要依赖贴在显示器上的“不要使用 Touch ID”纸条。纸条表达的是意图。所有者不在场时，系统应该拒绝操作，流程也应该让这种缺席变得可见。如果团队无法说明谁可以解锁、审批和恢复这台 Mac，就把它移出审批路径。

## 第一次审查应在下一次代理运行前完成

注册、删除、所有权变化或锁定发生后，应立即执行审查，因为此时证据最清楚。等到季度访问审查时，具体事件就会变成记忆测试，而安静的例外最容易在记忆里消失。

从手中的设备开始。确认保管人，检查已注册指纹和本地账户；只要有任何不清楚之处，就锁定或撤销访问，然后结束旧代理会话。之后判断受影响的凭据是否需要轮换，并结合相关操作历史记录结果。

难点不在于打开 macOS 设置，而在于当同一台 Mac 能批准代理使用真实凭据时，拒绝把物理访问变化当成个人便利。守住这条边界，下一次紧急提示出现时，你就能做出经得起追问的决定。