Substituir um Mac de desenvolvedor significa renovar as credenciais dos agentes

Substituir um Mac de desenvolvedor é uma mudança de acesso, não uma transferência de arquivos. Os ajustes do editor, repositórios, histórico do shell e cache local de compilação podem ser transferidos com ferramentas comuns de migração. Já as credenciais que permitem a um agente de IA chamar APIs de produção ou abrir sessões SSH precisam de um plano separado.

O erro que mais vejo é tratar o Mac antigo como uma mala. O desenvolvedor configura a máquina nova, executa o Migration Assistant, vê a área de trabalho familiar e presume que a mudança terminou. Na prática, anos de permissões, tokens em cache, identidades SSH esquecidas e ferramentas de agentes podem ter atravessado uma fronteira de confiança sem que ninguém verificasse o que foi preservado.

Mova os dados separadamente da autoridade

Arquivos são cópias. Autoridade é a capacidade contínua de fazer algo fora do Mac. Um token de API pode criar uma implantação depois que o laptop antigo já saiu da sua casa. Uma chave pública SSH pode continuar aceita por um servidor muito depois de sua parte privada ter sido copiada, armazenada em backup ou apagada. Uma sessão na nuvem pode se renovar até que o emissor a revogue.

Essa distinção muda o plano de substituição. Você pode copiar o código-fonte, as anotações e as configurações que não são secretas desde cedo, porque poderá compará-los depois. O ideal é adiar a autoridade até decidir se o Mac novo precisa da mesma credencial, de uma credencial substituta ou de nenhuma credencial.

As ferramentas de agentes tornam essa diferença ainda mais importante. Um desenvolvedor comum pode digitar um comando quando um token expirado exige atenção. Um agente de programação autônomo pode fazer chamadas rapidamente, repeti-las e continuar operando enquanto você olha para outro lado. O agente não precisa receber um segredo em texto simples para criar risco. Basta ter um caminho até uma ação que ainda aceite a autoridade do dispositivo antigo.

Uma migração organizada tem dois registros:

• Um registro de dados lista repositórios, documentos, arquivos de configuração, bancos de dados locais, locais de backup e informações de licença.
• Um registro de autoridade lista todos os sistemas remotos que aceitarão uma ação por causa de algo armazenado no Mac antigo, emitido para ele ou aprovado a partir dele.

Não misture essas listas. Um repositório pode ser restaurado duas vezes sem causar problemas. Um token de acesso copiado duas vezes cria dois lugares para proteger. É por isso que o conselho habitual de migrar primeiro e limpar depois está errado quando falamos de credenciais.

A Apple descreve o Migration Assistant como uma ferramenta de transferência de documentos, apps, contas de usuário e ajustes. Ele não apaga as informações do Mac antigo. A descrição da Apple está correta para uma migração normal, mas justamente por isso o recurso não é um procedimento para aposentar credenciais. A máquina antiga continua sendo uma cópia ativa até que você retire deliberadamente sua autoridade.

Um novo cadastro deve ser a escolha padrão

Um novo cadastro costuma ser mais seguro porque obriga você a decidir o que o Mac substituto poderá fazer. Você entra novamente, cria um novo token ou uma nova identidade SSH quando o serviço oferece essa opção, concede ao novo dispositivo apenas a função mínima necessária e remove o acesso do antecessor depois que a troca funcionar.

Essa abordagem parece mais lenta porque expõe dívidas que a migração de contas costuma esconder. Você pode encontrar um token de implantação antigo cujo proprietário saiu da equipe, um token de acesso pessoal com permissões muito mais amplas do que a tarefa exige ou uma chave SSH copiada para várias máquinas porque ninguém queria interromper uma entrega. Essas descobertas são úteis. A troca de computador é um dos poucos momentos em que você pode corrigir isso sem interromper uma configuração em funcionamento.

Escolha um novo cadastro quando qualquer uma destas condições se aplicar:

• O Mac antigo foi usado para mais de uma função, como trabalho pessoal, administração e suporte à produção.
• Você não consegue listar todas as credenciais ou contas remotas que o Mac antigo pode usar.
• A máquina antiga passou por reparo, foi compartilhada, ficou perdida por algum tempo ou esteve fora do seu controle por outro motivo.
• O emissor de credenciais pode criar um token, certificado, senha de aplicativo ou chave SSH específico para o dispositivo.
• Você está mudando de empregador, equipe, perfil de dispositivo gerenciado ou conta Apple.

Um novo cadastro também facilita a reversão. Se o Mac novo falhar durante o primeiro dia de trabalho, o antigo pode continuar conectado temporariamente enquanto você corrige o acesso. Essa sobreposição tem um custo, então estabeleça um prazo curto e registre-o. Ela deve existir para comprovar que a máquina nova funciona, não para evitar a decisão sobre o que revogar.

O contra-argumento errado é que alterar todas as credenciais cria mais credenciais para administrar. Um período curto com duas credenciais identificadas e inventariadas é administrável. Um período indefinido em que ninguém sabe se um item do gerenciador de senhas, um registro do chaveiro local, um backup ou um cofre de agente ainda contém a autoridade antiga não é.

A migração criptografada tem uma função específica

Uma migração criptografada pode ser justificável quando fazer um novo cadastro criaria um risco operacional inaceitável, quando o emissor da credencial não oferece uma substituição limpa ou quando um produto de cofre tem um processo documentado de exportação e importação criado exatamente para essa mudança. Ela não se justifica apenas porque digitar as credenciais novamente é incômodo.

Não confunda um disco criptografado pelo sistema operacional com um pacote portátil de credenciais criptografado. A criptografia completa do disco protege o dispositivo enquanto o armazenamento permanece sob seu modelo normal de proteção. Uma exportação de migração se torna um novo objeto. Você precisa saber se ela tem sua própria criptografia, se o material usado para descriptografá-la fica separado, por quanto tempo o arquivo existirá e se uma restauração pode ocorrer em uma segunda máquina sem que ninguém perceba.

Use este teste antes de permitir uma exportação de cofre criptografada:

1. Identifique o formato da exportação e a versão do app capaz de lê-la.
2. Identifique o limite de criptografia da própria exportação, não apenas do disco que a contém.
3. Decida onde a exportação ficará durante a troca e estabeleça um prazo para apagá-la.
4. Confirme como o novo cofre comprovará que a importação foi bem-sucedida sem expor os valores secretos.
5. Decida quais registros de credenciais serão aposentados ou alterados depois da importação.

Se uma resposta for vaga, faça um novo cadastro. Migrações de segurança falham nas partes vagas, não no assistente que funciona conforme o esperado.

Há outro ponto desconfortável: uma exportação criptografada pode ser um backup disfarçado. Uma equipe pode importá-la no Mac novo, declarar vitória e depois deixar o arquivo no Time Machine, em um serviço de arquivos compartilhado ou em uma unidade externa. Essa exportação ainda é um contêiner de credenciais. Ela precisa da mesma decisão de retenção que o Mac antigo.

Migração criptografada e novo cadastro não são opostos. O caminho prático pode combinar os dois. Se for necessário, transfira credenciais de serviços de baixo impacto por um processo criptografado documentado. Emita novamente tokens de produção, chaves SSH privilegiadas, material de assinatura e qualquer credencial capaz de alcançar dados de clientes. Classifique pelo impacto, não pela facilidade de copiar um segredo.

Crie um registro de autoridade antes de tocar no Mac novo

Faça o inventário no Mac antigo enquanto ele ainda funciona. Não dependa da memória depois da transferência, pois os ajustes migrados podem fazer a máquina nova parecer completa mesmo quando acessos importantes estão ausentes. O registro deve conter referências aos segredos, não os valores secretos.

Um arquivo simples basta. Guarde-o em um local de trabalho privado que não se torne parte de um repositório público.

Service: production deployment API
Purpose: release automation
Credential form: bearer token
Old-device location: agent vault record deploy-prod
Issuer: deployment service administrator
Replacement method: create new device token
Cutover test: read release status only
Old-access action: revoke old token
Owner: platform team
Status: pending

Service: build host
Purpose: remote build troubleshooting
Credential form: SSH identity
Old-device location: agent vault record build-ssh
Issuer: build host authorized_keys
Replacement method: create a new SSH key pair
Cutover test: ssh hostname
Old-access action: remove old public key
Owner: build infrastructure
Status: pending

O campo que as pessoas costumam ignorar é a ação de acesso antigo. Sem ele, o inventário vira uma lista de compras para o Mac novo. Ele também precisa ser um plano para remover o acesso do Mac antigo.

Faça o inventário das credenciais nos locais que os desenvolvedores costumam esquecer:

• Cofres de agentes e arquivos de configuração dos agentes.
• Configuração do SSH, estado do agente SSH, identidades protegidas por hardware e listas remotas de chaves autorizadas.
• Sessões do navegador para consoles de nuvem e provedores de identidade.
• Registros de pacotes, ferramentas de hospedagem de código, sistemas de implantação e contas de administração de CI.
• Arquivos de ambiente locais, arquivos de inicialização do shell, gerenciadores de senhas, arquivos de backup e unidades removíveis criptografadas.

Não coloque tokens de acesso, chaves privadas, códigos de recuperação ou senhas reais no registro. Ele é útil porque fornece informações suficientes para substituir e revogar acessos sem se tornar outro armazenamento de alto valor.

Para cada item, anote o teste menos destrutivo. Uma credencial de implantação deve começar lendo o status, não criando uma entrega. Uma identidade SSH deve começar com um comando restrito ou com um host que não tenha autoridade sobre a produção. Se o único teste disponível puder alterar a produção, o serviço tem um problema de desenho de acesso que vale corrigir antes da próxima troca de hardware.

Um novo cofre precisa comprovar mais do que um login bem-sucedido

Um novo cofre está pronto quando você consegue contabilizar os registros esperados, desbloqueá-lo usando os controles do novo dispositivo, executar uma ação limitada por meio dele e consultar um registro independente dessa ação. Ver um nome familiar no app não basta. Um nome copiado pode apontar para um registro expirado, uma conta errada ou uma credencial que nunca esteve presente.

Para um cofre que armazena credenciais de agentes, use uma sequência de teste em ordem explícita:

1. Bloqueie o cofre e tente realizar a ação inofensiva. A solicitação deve ser recusada enquanto o cofre estiver bloqueado.
2. Desbloqueie-o pelo controle local normal e execute novamente a mesma ação inofensiva.
3. Inicie um processo de agente novo e confirme que o comportamento de autorização corresponde à configuração de sessão pretendida.
4. Consulte o registro de atividade individual da chamada e o registro de sessão da execução do agente.
5. Verifique o registro de auditoria antes de remover qualquer material de origem do Mac antigo.

O Sallyport mantém os segredos em um cofre local criptografado e executa ações HTTP e SSH sem entregar credenciais em texto simples ao agente. O controle do cofre recusa ações enquanto está bloqueado, o que torna o primeiro teste significativo, não apenas cosmético.

Use o comando de auditoria como parte do registro de aceitação:

sp audit verify

Execute-o no Mac novo depois da chamada de teste e registre a data, o operador, o alvo do teste e o resultado no chamado de migração ou no registro de mudanças. O objetivo não é criar burocracia. É preservar evidências de que a máquina nova produziu um registro válido antes que você destruísse o dispositivo de origem. Um registro de auditoria encadeado por hashes pode detectar alterações no log, mas não informa que você esqueceu de cadastrar uma credencial. O registro de autoridade cobre esse problema separado.

Mantenha o teste pequeno. Se uma credencial não puder executar com segurança uma solicitação somente de leitura, crie um endpoint de teste dedicado ou uma conta restrita para a migração. As pessoas costumam usar uma mudança real em produção como prova porque ela é conclusiva. Ela é conclusiva da pior maneira possível: transforma o teste de migração em um incidente quando atinge a conta errada.

O Migration Assistant é útil, mas não é um protocolo de cofre

O Migration Assistant pode economizar horas quando você precisa dos apps, contas de usuário, arquivos e ajustes do Mac antigo. Ele também pode transferir um ambiente de usuário inteiro a partir de um backup do Time Machine. A Apple documenta os dois usos. Essa abrangência ajuda a restaurar uma estação de trabalho, mas não oferece uma prova específica de quais arquivos, sessões, caches e registros de apps que contêm credenciais foram transferidos.

Use-o para o registro de dados. Considere cada item de autoridade ausente até verificá-lo sob os controles pretendidos para a nova máquina. Essa postura evita dois resultados ruins: confiar na migração acidental de um estado sensível e perder tempo procurando uma credencial que foi corretamente projetada para não ser transferida.

Uma falha comum acontece assim. O desenvolvedor migra a conta, abre um projeto de agente e vê o agente fazer uma chamada HTTP bem-sucedida. Ele presume que o novo cofre funciona. Na verdade, a chamada usou uma sessão de nuvem derivada do navegador ou um token que ainda estava em um arquivo de configuração copiado. Uma semana depois, a sessão expira. O desenvolvedor adiciona uma credencial substituta às pressas, deixa a credencial copiada no lugar e agora o Mac antigo, um backup e o novo cofre têm caminhos para o mesmo serviço.

A solução não é proibir o Migration Assistant. É isolar a comprovação. Antes de testar o agente, feche as sessões de navegador não relacionadas, evite arquivos de ambiente copiados e use um registro do cofre que você tenha cadastrado ou importado deliberadamente. Depois, consulte o registro de atividade resultante. Você precisa saber qual caminho executou a ação.

A Apple também informa que o Migration Assistant não apaga as informações do Mac antigo. Planeje a troca com base nesse fato. Uma tela indicando a conclusão da migração significa que a cópia terminou. Não significa que o dispositivo antigo se tornou seguro para ser entregue a outra pessoa.

Revogue o Mac antigo antes de apagá-lo

A revogação tem várias camadas, e tratá-las como uma única ação cria uma falsa sensação de segurança. Encerrar uma execução do agente interrompe um processo. Remover um dispositivo de um provedor de identidade pode encerrar algumas sessões. Revogar um token de acesso impede o uso futuro da API. Remover uma chave pública SSH interrompe o login remoto por meio daquela identidade. Alterar uma senha pode invalidar algumas sessões e deixar outras ativas, dependendo do serviço.

Escreva a ação de revogação para cada item do registro antes de começar. Não se contente com uma anotação que diga «desativar dispositivo antigo». Os sistemas remotos não compartilham uma definição universal de acesso de dispositivo.

Uma ordem prática é:

1. Revogue as sessões ativas dos agentes e interrompa os processos locais de agentes no Mac antigo.
2. Altere ou revogue tokens de API, senhas de aplicativos, sessões de nuvem e credenciais de contas de serviço que continuem válidas a partir do dispositivo antigo.
3. Remova as chaves públicas SSH antigas de todos os servidores, bastions e contas de hospedagem de código que as aceitem.
4. Remova a confiança do dispositivo ou as sessões do navegador nos sistemas de identidade que ofereçam esse controle.
5. Refaça o registro e marque cada item com a evidência da revogação.

O registro de sessões do Sallyport pode revogar imediatamente uma execução de agente, enquanto o registro de atividades permite consultar chamadas individuais. Use-o para a camada de processos ativos e conclua depois o trabalho com as credenciais externas. Uma sessão local revogada não revoga um token que um serviço externo ainda aceitaria.

Não apague primeiro, pois o Mac antigo pode conter o único registro de uma conta de serviço esquecida, de uma associação com um token de hardware ou de um alias de host que você precisa remover. Mantenha-o desligado e sob controle físico enquanto verifica o Mac novo. Se precisar mantê-lo conectado durante os testes, não execute agentes nele, não adicione credenciais e estabeleça um prazo explícito para a troca.

No momento em que você confirma a revogação, o Mac antigo muda de função. Ele deixa de ser uma estação de trabalho reserva. Passa a ser uma evidência mantida brevemente, caso um serviço informe um acesso inesperado, e depois um dispositivo pronto para ser apagado.

O descarte é um controle de segurança separado

Apagar o Mac não substitui a revogação, e revogar não substitui apagar o Mac. Você precisa das duas coisas. A revogação remota limita o que uma credencial copiada pode fazer. O apagamento remove dados locais, estado de apps locais, código-fonte baixado, histórico do navegador e o material do cofre que pode permanecer no dispositivo.

Para um Mac com Apple silicon ou um Mac Intel com o Chip de Segurança T2 executando uma versão compatível do macOS, use Ajustes do Sistema, Geral, Transferir ou Redefinir e Apagar Todo o Conteúdo e Ajustes. A Apple informa que o Assistente de Apagamento remove contas de usuário, dados, apps instalados, logins de serviços Apple, Buscar e Bloqueio de Ativação. Ele também apaga os volumes, em vez de remover apenas a conta de usuário atual.

Se a opção não estiver disponível, não improvise com exclusão de arquivos ou uma formatação rápida do disco. A Apple orienta que o hardware antigo e incompatível use o procedimento adequado de apagamento pela Recuperação e pelo Utilitário de Disco. O método muda porque o hardware compatível e o modelo de segurança também mudam.

Quando o apagamento terminar, pare na tela de configuração inicial se você for vender, trocar, doar ou reciclar o Mac. A Apple recomenda especificamente não continuar pela configuração nessas situações. Concluir a configuração apenas cria outra conta local em um computador que está prestes a sair do seu controle.

Se o Mac antigo estiver desaparecido ou você suspeitar que foi alterado, não restaure sua conta de usuário na máquina nova. A Apple alerta para não restaurar um backup quando a redefinição ocorre por suspeita de adulteração, pois o backup também pode restaurar o software indesejado. Nesse caso, priorize a revogação remota das credenciais e uma configuração limpa do Mac substituto.

Mantenha o procedimento de substituição simples o bastante para ser repetido

O melhor processo de troca de hardware não depende de uma memória heroica sobre onde os segredos estão. Ele produz os mesmos registros todas as vezes: um registro de dados, um registro de autoridade, testes limitados no Mac novo, evidências da revogação no antigo e uma confirmação de apagamento.

Não exija que todo desenvolvedor se torne especialista em perícia de credenciais. Exija que os serviços emitam credenciais específicas para cada dispositivo quando possível. Exija nomes e responsáveis para acessos privilegiados. Ofereça aos engenheiros um caminho de teste somente leitura. Torne a revogação evidente em cada serviço. Esses hábitos reduzem o trabalho de substituir um Mac e facilitam a contenção de qualquer outro incidente.

Um Mac substituto deve receber apenas a autoridade que pode justificar no primeiro dia. Se isso parecer inconveniente, deixe o dispositivo antigo desligado para mais uma verificação. Esse atraso custa menos do que descobrir meses depois que um laptop descartado ainda tinha um caminho para a produção.