# Entrar

> O chip de usuário na barra de título, o diálogo de entrada e o teclado de PIN dele, trocar de usuário e sair, o que uma troca de identidade faz com a página aberta, e como os navegadores e os circuitos remotos entram.

Entrar troca as permissões em vigor numa tela, do papel **Não conectado** para o papel de um
usuário. Nunca é obrigatório: a estação abre na identidade de quem chega e continua usável
ali. Existe um caminho de entrada com duas portas, o **chip de usuário** na barra de título e
a raiz **Conectado agora** da página Usuários, e as duas abrem o mesmo diálogo sobre a mesma
conferência. Um navegador que não pode nem ver ganha uma terceira superfície, a entrada de
visualização, que é o mesmo painel sem a moldura.

Entrar não é uma mudança na estação. Isso continua disponível enquanto o runtime está parado
pelo limite do modo gratuito, quando toda escrita na configuração é recusada.

## O chip de usuário {#the-user-chip}

O chip fica à direita da barra de título, depois das teclas de tema e de um divisor, em toda
rota e em toda conexão. Ele mostra um glifo de pessoa com um ponto (verde enquanto há alguém
autenticado, cinza no resto do tempo) e o nome de exibição autenticado, ou **Entrar** quando
não há ninguém. Pressioná-lo abre o diálogo de entrada. O chip nunca mostra um nome de papel:
sem ninguém autenticado ele é um chamado à ação, com alguém autenticado ele é um nome.

## O diálogo de entrada {#the-sign-in-dialog}

O diálogo se chama **Entrar**, ou **Trocar de usuário** enquanto a lista está à mostra e alguém
já está autenticado. Enquanto alguém está autenticado, o cabeçalho dele diz "Conectado como
**{nome}**" com um botão **Sair**. O Esc ou um clique fora o fecham sem mudar nada.

### A lista {#the-roster}

A lista traz todo usuário local da estação, na ordem da relação, cada linha com uma sigla de
duas letras feita das iniciais, o nome de exibição, e uma de duas marcas: um cadeado, "PIN
obrigatório", ou uma seta de entrada, "Entra com um toque". Tocar num usuário sem PIN entra na
hora. Tocar num usuário com PIN abre o passo do PIN. Toda tela oferece a mesma lista, qualquer
que seja o papel autenticado nela.

Quando a lista está vazia, o diálogo mostra a razão em vez de uma lista em branco:

| Situação | Texto |
| --- | --- |
| Nenhum usuário local ainda | "Esta estação ainda não tem usuários locais. O primeiro, o administrador principal, é criado na página Usuários." |
| A demonstração publicada | "Esta é a demonstração publicada, então não há conta com que entrar. Tudo aqui é somente visualização." |

### O passo do PIN {#the-pin-step}

O passo do PIN mostra a sigla e o nome do usuário escolhido, um botão **Voltar** para a lista,
o rótulo **Digite o PIN**, e o teclado de PIN: um mostrador que exibe um ponto por dígito
digitado (nunca o dígito em si) e, enquanto está vazio, um cursor piscando se o teclado da tela
tem o foco, que ele recebe quando o passo abre, ou a faixa aceita se não tem; as teclas de 1 a
9, uma tecla de apagar, o 0, e uma tecla de confirmação que acende assim que 4 dígitos entram. O
teclado para de aceitar em 6 dígitos. Ele também é um controle de teclado físico: o teclado da
tela recebe o foco quando o passo abre, os dígitos são acrescentados, o Backspace apaga, o
Enter confirma. Clicar no mostrador devolve o foco ao teclado da tela sem levantar um teclado
virtual.

Uma recusa fica no passo, sob o teclado, e limpa o mostrador para a próxima tentativa:

| Texto | Quando |
| --- | --- |
| Esse PIN não está correto. | O PIN não foi verificado. |
| PINs errados demais. Tente de novo em {espera}. | Um circuito de navegador bateu no limite de PINs errados; a espera se lê em segundos abaixo de um minuto, e em minutos inteiros acima. |
| Falha ao entrar. | Um usuário sem PIN foi recusado (removido da relação nesse meio-tempo). |

Enquanto uma entrada está em curso, a lista e o teclado ficam inertes, para que um toque duplo
não consiga lançar uma segunda tentativa.

## Trocar de usuário e sair {#switching-and-signing-out}

**Trocar de usuário** é o mesmo diálogo aberto sobre uma tela autenticada: escolha outro
usuário, e a identidade muda sem uma saída no meio. **Sair**, no cabeçalho do diálogo ou no
painel Conectado agora, devolve a tela ao papel Não conectado. Na janela da própria estação
isso limpa a sessão da estação; num navegador limpa só aquela conexão.

Todo desfecho é relatado no feed de ações da conexão, na barra de status:

| Desfecho | Texto do feed |
| --- | --- |
| Entrou | Conectado como {nome}. |
| Recusado, ninguém autenticado | Entrada recusada. Ninguém está autenticado. |
| Recusado, alguém autenticado | Entrada recusada. Ainda conectado como {nome}. |
| Bloqueado | Entrada bloqueada depois de PINs errados demais. Tente de novo em {espera}. (seguido da mesma linha de identidade) |
| Saiu | Você saiu. ou {nome} saiu. |

Toda tentativa também deixa uma linha no console de eventos, sob o componente **Acesso à
estação**, nomeando a conta e de onde a tentativa veio ("a webview do shell" para a janela da
própria estação, "um navegador em {endereço}" para um navegador), para que as elevações de um
turno possam ser lidas depois. Uma entrada bem-sucedida carimba o último acesso do usuário, que
a relação mostra.

## Identidade por conexão {#per-connection-identity}

A janela da própria estação (a webview embutida que é o shell do desktop) conduz a **sessão da
estação**: entrar ali é entrar na bancada. Todo navegador, seja num tablet do outro lado da
rede ou na própria máquina da estação, carrega o **próprio** operador dele: entrar ali muda só
aquele navegador, e ele nunca herda nem muda quem está autenticado na bancada. O chip de
usuário, o painel Conectado agora e toda permissão lida numa tela respondem pela conexão
daquela tela, então um visitante remoto nunca consegue tomar emprestado o administrador
sentado na estação.

Os dois caminhos diferem em mais uma coisa. Os PINs errados de um navegador são contados, por
conta e por endereço: cinco seguidos fecham a porta por um minuto, cada nova sequência de cinco
dobra a espera até quinze minutos, e uma sequência de falhas que ficou quieta por cinco minutos
é esquecida. A janela da própria estação não tem contador, de propósito: quem digita na bancada
está na máquina, e um bloqueio seria o único jeito de uma estação trancar o próprio operador
do lado de fora.

## O que muda quando a identidade muda {#what-changes-when-the-identity-changes}

Toda superfície lê a identidade ao vivo, então uma entrada, uma saída, uma edição de papel ou
uma remoção de usuário valem na hora, em toda conexão que elas tocam:

- O trilho é redesenhado com as entradas que o papel novo pode abrir. Se a página em que você
  está pertence a uma entrada que a identidade nova não enxerga, o shell navega para a primeira
  entrada que ela enxerga.
- Cada página reconfere a permissão dela; um navegador que chega a uma rota que o papel dele
  não abre recebe a superfície de entrada no lugar da página.
- Todo verbo e todo campo reconferem o papel no momento em que são pressionados, então uma tela
  desenhada sob a identidade antiga não consegue agir sob ela.
- Uma edição de papel na página Usuários alcança todo usuário que carrega o papel, autenticado
  ou não; um usuário removido da relação cai para o papel Não conectado em toda conexão que
  ele tinha.
- As telas escondidas do papel novo pela lista Visível para saem da lista da View, e um endereço
  digitado para uma delas recai em silêncio.

## Navegadores e acesso remoto {#browsers-and-remote-access}

Um navegador na própria máquina da estação é uma conexão de loopback: ele sempre vê, no papel
Não conectado até alguém entrar nele. Um navegador em outro dispositivo alcança a estação só
quando o [Acesso remoto](remote-access) está ligado, e então vê só se a identidade
dele carregar **Acesso remoto (LAN)**. Essa chave vem desligada no papel Não conectado de
fábrica, então ligar o acesso remoto não expõe nada até um usuário com a permissão entrar no
dispositivo, ou até o papel de quem chega receber a permissão deliberadamente, para um quiosque
ou um tablet.

Um navegador que não pode ver recebe a **entrada de visualização** no lugar de qualquer página:
o símbolo da marca, "Ganter Lab", "Estação", e o painel de entrada sem barra de título nem
trilho em volta. A linha acima da lista nomeia o que foi recusado:

| Linha | Quando |
| --- | --- |
| Entre para ver esta estação pela rede. | Uma conexão de rede cuja identidade não tem Acesso remoto (LAN). Com um usuário autenticado nela: "O papel de **{nome}** não tem acesso remoto. Entre como um usuário cujo papel o conceda." |
| Entre para abrir esta página. | Uma conexão que pode ver, numa rota que o papel dela não abre. Com um usuário autenticado: "O papel de **{nome}** não abre esta página. Entre como um usuário cujo papel abra." Sem ninguém: "Ninguém está autenticado aqui, e esta página não está aberta ao papel **Não conectado**. Entre como um usuário cujo papel a abra." |

Sair num dispositivo de rede cujo papel Não conectado não tem Acesso remoto (LAN) derruba
aquele dispositivo de volta para a entrada de visualização. Os PINs viajam pela rede em texto
claro a menos que a estação sirva HTTPS, uma configuração de Acesso remoto.

## Um dispositivo configurado {#configured-devices}

Um tablet ou um PC pode ser configurado na página Acesso remoto para que a estação o reconheça e o abra do jeito que a linha dele diz (veja [Dispositivos configurados](remote-access#configured-devices)). Quatro das configurações dele mudam quem está autenticado nele, ou o que pode ser pressionado ali:

| Configuração | O que faz |
| --- | --- |
| Um usuário fixo | O dispositivo entra como esse usuário, sem entrada, com o papel dele: o chip dá o nome do usuário, as páginas e as telas seguem o papel, e um ato registrado ali é desse usuário. Só um usuário cujo papel tenha Acesso remoto (LAN) pode sê-lo. Se esse usuário for excluído, ou o papel perder a permissão, o dispositivo pede para entrar como qualquer navegador até ser configurado de novo. |
| Entrar por cima dele | Qualquer pessoa da relação ainda pode entrar no dispositivo, pelo chip ou, num dispositivo travado na tela inicial, pela tecla discreta **Entrar** num canto, com o PIN como em qualquer lugar. O dispositivo passa então a ter o papel dessa pessoa. Sair traz o usuário fixo de volta, nunca o papel Não conectado, e entrar nunca tira a trava. |
| Volta após minutos sem toque | Quando ninguém toca no dispositivo pelos minutos dele, quem entrou por cima do usuário fixo sai, e o dispositivo volta à tela inicial. |
| Somente visualização | Ninguém comanda nada do dispositivo, seja quem for que esteja autenticado, um administrador inclusive: o papel ainda decide quais páginas e telas aparecem, e todo comando nelas continua desenhado, esmaecido com o motivo "Este dispositivo é somente de visualização." Abrir outra tela pelo botão de uma tela continua funcionando, e entrar e sair também. |

Todo registro que o diário guarda do que foi feito de um dispositivo configurado traz o nome do dispositivo ao lado do usuário.

## O que entrar não faz {#what-signing-in-does-not-do}

- Não para, não inicia e não muda o runtime, e não afeta o servidor OPC UA embutido nem um
  agente conectado por MCP.
- Não autentica a estação na conta Ganter dela. Isso é a página
  [Conta Ganter](account-ganter-account) e pertence à estação, não a um usuário.
- Não abre nada que o papel não tenha. A elevação é exatamente o conjunto de chaves do papel;
  não existe sobreposição temporária e não existe exceção por usuário.
- Não tranca a janela da própria estação depois de PINs errados, e nunca lembra um PIN.
- Não pode ser tentado na demonstração publicada, cuja relação está vazia por desenho.