# Usuários

> A raiz Usuários da página Usuários, a relação de usuários locais, e o painel do usuário onde o nome de exibição, o papel e o PIN de um usuário são definidos, incluindo o administrador principal e a recuperação do PIN de administrador.

A raiz **Usuários** guarda um nó por usuário local da estação. Um usuário local é um nome de
exibição vinculado a exatamente um papel, com um PIN opcional. Não há senhas, não há endereços
de e-mail e não há permissões por usuário: o papel decide tudo o que o usuário pode fazer, e o
usuário é o nome sob o qual aquela decisão é assinada.

A raiz e os filhos dela são para um administrador neste circuito (a permissão Gerenciar usuários
locais). Qualquer outra pessoa vê a raiz sem contagem e sem filhos e, ao abri-la, o aviso que
manda entrar como administrador em Conectado agora ou no chip de usuário. A única exceção é
uma estação sem usuário nenhum, onde a raiz oferece a preparação de primeiro uso a quem estiver
na bancada (veja [Usuários](users#first-use)).

## A relação {#the-roster}

Abrir a raiz Usuários mostra o cartão **USUÁRIOS** com a linha "{n} usuários locais nesta
estação. Cada um tem um papel, e o papel decide o que ele pode fazer." e uma linha por
usuário, na ordem em que a estação os guarda.

| Elemento | O que ele mostra |
| --- | --- |
| Avatar e nome de exibição | O nome que a coluna, a relação e a lista de entrada usam. |
| Você | Um chip no usuário autenticado neste circuito. |
| Administrador principal | Um chip no usuário mestre criado pela preparação de primeiro uso. |
| Sublinha | "PIN definido" ou "Sem PIN", e depois "nunca entrou", "último acesso hoje", "último acesso ontem", "último acesso há {n} dias" ou, passados 60 dias, a data no formato configurado da estação. |
| Texto final | O papel que o usuário carrega; uma marca de lacuna quando aquele papel não existe mais. |

Clicar numa linha abre o nó daquele usuário na coluna, que é onde o usuário é lido e mudado.
Criar um usuário é o **Novo usuário** do rodapé da coluna (veja
[Usuários](users#new-and-the-column-footer)), e o usuário novo não é aberto: a linha dele fica destacada e rolada até ficar à vista nesta lista; remover um é **Remover o usuário** na barra de
detalhe.

Na coluna, cada nó de usuário traz o nome do papel dele.

## O painel do usuário {#the-user-panel}

O painel de um usuário salva conforme você trabalha, como todo painel do aplicativo: o nome
confirma quando o campo é deixado, o papel no instante em que é escolhido. Não há botão Salvar.
Enquanto está selecionado um usuário que outra tela acabou de remover, o painel diz "Esse
usuário não está mais nesta estação. Escolha outro na coluna." Enquanto o runtime está parado o
painel nem aparece: a página dá lugar ao aviso de pausa, como toda tela menos a
[Conta](account) (veja [Usuários](users#what-the-page-does-not-do)).

### Identidade {#identity}

| Campo | O que é | Valores / padrão | Efeito |
| --- | --- | --- | --- |
| Nome de exibição | O nome que a coluna, a relação e a lista de entrada usam para esta pessoa. | Até 80 caracteres; um usuário novo começa como **Novo usuário**; um nome em branco é guardado como **Usuário**. | Confirma quando o campo é deixado. O feed relata "Usuário renomeado para '{nome}'." com o nome que a estação de fato guardou. |

O topo do cartão repete o avatar, os chips **Você** e **Administrador principal** e a sublinha
de PIN e de último acesso, vindos da relação.

### Papel {#role}

| Campo | O que é | Valores / padrão | Efeito |
| --- | --- | --- | --- |
| Papel | O papel que concede as permissões deste usuário. | Todo papel menos Não conectado, que nunca é atribuído a ninguém. Um usuário criado pela coluna começa em Operador quando essa semente existe. | Vale na hora; o feed relata "'{nome}' agora tem o papel {papel}." As telas do usuário reconferem o papel novo no toque seguinte, mesmo com ele autenticado. |

Sob o seletor, o cartão lê o alcance do papel: "Pode mudar {n} de 6 áreas" (ou "Somente
visualização" / "Sem acesso") e a faixa de alcance rotulada, a mesma silhueta que a lista de Papéis desenha.
Quando o papel foi excluído, o cartão diz "O papel deste usuário sumiu, então nada é concedido.
Escolha um papel que exista." Um usuário cujo papel sumiu cai para o piso: Ver dashboards e nada
mais.

Para o administrador principal não há seletor. O cartão nomeia o papel Admin e diz
"Administrador principal: acesso total e guarda da chave de recuperação offline. O papel
dele é fixo e não pode ser mudado." A estação recusa qualquer edição que o rebaixasse.

### Entrar {#signing-in}

O cartão **ENTRADA** abre com o estado do usuário: "Este usuário precisa digitar um PIN ao
entrar." ou "Este usuário entra com um toque: nenhum PIN está definido." Um PIN é um comando com
botão próprio, não um campo que salva sozinho: meio PIN não é uma intenção, e um PIN guardado
nunca pode ser substituído por uma tecla perdida.

| Campo ou comando | O que é | Valores / padrão | Efeito |
| --- | --- | --- | --- |
| Definir um PIN / Trocar o PIN | A entrada mascarada do PIN novo, com o texto de exemplo "4 a 6 dígitos". | Até 6 caracteres digitados; tudo o que não é dígito é descartado antes da conferência. | Nada até o botão ser pressionado. |
| Definir PIN / Trocar PIN | Guarda o PIN, com sal e resumo criptográfico. | Recusado no campo com "Um PIN tem de 4 a 6 dígitos." quando sobram menos de 4 dígitos. | O feed relata "PIN definido para '{nome}'." (ou "PIN de administrador definido." para o administrador principal). O campo se limpa. |
| Remover PIN | Tira o PIN, para que a próxima entrada seja um toque simples. Mostrado só quando um PIN está definido, e nunca para o administrador principal. | | Pergunta antes, na mesma janela que o Remover usuário e o Excluir papel usam: "Remover o PIN de '{nome}'? Entrar como este usuário passa a ser um simples toque, em toda tela desta estação e em qualquer navegador que a alcance. Dá para definir outro PIN, mas este não volta." No Remover, o feed relata "PIN removido de '{nome}'. Entrar como este usuário agora é um simples toque." |
| Esqueceu o PIN de administrador? | Um link mostrado só no administrador principal, e só depois que o PIN dele está definido: é definir esse PIN que cunha a chave de recuperação que o link pede. Abre o fluxo de recuperação abaixo. | | |

A dica sob o campo diz o que o PIN é: "Opcional e local, de 4 a 6 dígitos. Ele só controla quem
usa esta estação; não é proteção contra adulteração." No administrador principal ela diz "4 a
6 dígitos. Definir um PIN revela uma chave de recuperação de uso único, então anote."

Trocar para outro usuário na coluna limpa qualquer coisa digitada pela metade nesses campos,
então um PIN rascunhado para uma pessoa nunca é aplicado à seguinte.

## O administrador principal {#the-primary-administrator}

O primeiro usuário que a estação recebe é o **administrador principal** (o usuário mestre):
criado por **Configurar os usuários locais**, chamado **Administrator** até você renomeá-lo, no
papel Admin, sem PIN. É ele que torna a estação governável e recuperável, então três coisas
sobre ele são fixas:

- Ele não pode ser removido. **Remover o usuário** fica esmaecido nele com a razão "O
  administrador principal fica: a chave de recuperação dele é o que redefine um PIN de
  administrador esquecido, pela tela de entrada, sem ninguém conectado."
- O papel dele não muda. Ele é um Admin por construção; o painel não mostra seletor.
- O PIN dele não pode simplesmente ser removido. Definir ou trocar o PIN é o jeito de a chave de
  recuperação dele ser cunhada; um administrador principal sem PIN nenhum é o estado em que a
  preparação de primeiro uso o deixa.

Outros usuários também podem ficar no papel Admin, e eles gerenciam usuários e papéis como o
principal. O que lhes falta é a chave de recuperação.

### A chave de recuperação {#the-recovery-key}

Definir ou trocar o PIN do administrador principal gira a chave de recuperação dele e mostra a
nova numa janela chamada **Chave de recuperação do administrador**:

> O PIN de administrador está definido. Anote esta chave de recuperação. Ela é mostrada uma única
> vez e é o único jeito offline de redefinir um PIN de administrador esquecido:

A chave tem doze caracteres em três grupos, como `ABCD-EFGH-JKLM`, tirados de um alfabeto sem os
facilmente confundíveis 0, O, 1, I e L. Ela é guardada com resumo criptográfico, como o PIN, e
nunca é mostrada de novo. A janela é a única coisa desta página que não é um painel com rolagem,
porque ela não pode ser ultrapassada por rolagem.

### Redefinir o PIN de administrador {#resetting-the-admin-pin}

Existem duas portas para a mesma chave, e as duas pedem exatamente as mesmas duas coisas.

Nesta página, para um administrador que já está autenticado, **Esqueceu o PIN de administrador?**
substitui os campos de PIN pelo formulário de recuperação:

| Campo ou comando | O que é | Efeito |
| --- | --- | --- |
| Chave de recuperação | A chave anotada quando o PIN foi definido pela última vez. Maiúsculas e espaços em volta não importam. | |
| Novo PIN | Mascarado, de 4 a 6 dígitos. | Recusado no campo com "O PIN novo precisa ter de 4 a 6 dígitos." |
| Redefinir o PIN | Verifica a chave, guarda o PIN novo e gira a chave. | Uma chave errada fica no campo: "Essa chave de recuperação não está correta." No sucesso, o feed relata "PIN de administrador redefinido." e a janela mostra a chave nova: "O PIN de administrador foi redefinido. Sua chave de recuperação nova (a anterior não funciona mais):". |
| Cancelar | Volta aos campos de PIN e limpa os dois. | |

A outra porta é a **tela de entrada**, e é ela que importa quando o PIN foi de fato esquecido:
numa estação cujo único administrador está trancado do lado de fora, esta página não pode nem
ser aberta. Escolha o administrador principal na lista (o chip da barra de título, ou o cartão
de entrada que um navegador recebe), e sob o teclado há **Esqueceu o PIN?**. Ele pede a mesma
chave de recuperação e o mesmo PIN novo, recusa uma chave errada nas mesmas palavras, e então
mostra a chave girada num passo próprio com um botão **Pronto**, porque ela é mostrada uma vez
só. Ninguém precisa estar autenticado: a própria chave é a autorização, e a redefinição é
registrada no diário como qualquer outra.

A recuperação é em camadas e não precisa de rede: um administrador redefine o PIN de qualquer
outro usuário pelo painel daquele usuário; o PIN do próprio administrador principal é redefinido
com a chave de recuperação, pela tela de entrada ou daqui; com os dois perdidos, o caminho de
volta é restaurar um backup de configuração (veja [Backups](settings-backups)). Não existe, de
propósito, um botão de "apagar o controle de acesso".

## Onde os usuários são guardados {#where-users-are-stored}

Os usuários, os papéis, os resumos criptográficos dos PINs e o da chave de recuperação moram no
banco de configuração da estação, sem chave presa à máquina, então eles viajam dentro de um
backup de configuração e sobrevivem a uma mudança para outro computador, totalmente offline.

## O que o painel não faz {#what-the-panel-does-not-do}

- Ele não define permissões num usuário. Mude o papel em [Papéis](users-roles), e todo usuário
  que o carrega muda de uma vez.
- Ele não mostra nem recupera um PIN em claro. Só o resumo criptográfico é guardado; um PIN
  esquecido é substituído, nunca lido de volta.
- Ele não autentica o usuário. Isso é a raiz [Conectado agora](users-signed-in) e o chip da
  barra de título; veja [Entrar](users-signing-in).
- Ele não é desenhado enquanto o runtime está parado, nem na janela da estação nem em nenhum
  navegador: a página dá lugar ao aviso de pausa, então nenhum usuário pode ser criado,
  renomeado, passado para outro papel, nem ganhar ou perder um PIN até o runtime ser
  reiniciado. Entrar continua disponível no chip de usuário da barra de título, mas uma
  redefinição pelo **Esqueceu o PIN?** da tela de entrada muda a estação e também é recusada.
- Ele não remove o administrador principal, e não cria um segundo.