Esta referência explica cada status de problema que você pode encontrar na página Conformidade > Problemas de conformidade: o que o dispositivo está realmente reportando, as causas por trás disso no macOS e Windows, e como resolvê-lo. Para escolher quais status geram problemas, veja Configurar as configurações de problemas de conformidade; para o próprio fluxo de triagem, veja Triagem da lista de problemas.

Plataformas móveis (iOS, iPadOS, Android) e Linux são cobertas por um subconjunto dessas regras — veja Plataformas suportadas para saber o que se aplica onde.

Como Factorial IT decide que um dispositivo não está em conformidade

• Toda vez que um dispositivo sincroniza, Factorial IT reexecuta cada regra de conformidade e calcula um status por regra — não há uma varredura separada.
• Um dispositivo gera um problema apenas se seu status atual for um que você definiu para gerar um problema em Conformidade > Configurações de problemas de conformidade. Um status definido como Desligado nunca gera nada.
• Os problemas são resolvidos automaticamente na próxima sincronização uma vez que o status melhora. Não há reconhecimento ou fechamento manual.

Veja Visão geral da conformidade para o modelo de avaliação completo.

Descartar dados obsoletos primeiro

Um status de conformidade é um instantâneo da última sincronização do dispositivo. Antes de tratar um problema como uma violação real, verifique se os dados estão obsoletos:

Status de Matrícula

Uma regra global que se aplica a cada dispositivo gerenciado. Ela verifica se o dispositivo está totalmente matriculado e se o agente MDM ainda se comunica com o servidor.

Por que os dispositivos saem da matrícula

Causas que se aplicam a ambas as plataformas:

• O funcionário não completou todas as etapas da matrícula ou não permaneceu conectado tempo suficiente para finalizar a sincronização.
• O agente foi desinstalado manualmente ou uma atualização de sistema ou erro de configuração corrompeu a instalação.
• O serviço osqueryd usado pelo agente parou, ou o agente falha ao iniciar devido a problemas de permissão.
• O dispositivo está em uma rede que bloqueia o acesso ao servidor MDM — um proxy ou firewall corta a comunicação. Veja Requisitos de rede.

macOS

• Um usuário administrador pode remover um perfil MDM desbloqueado das Configurações do Sistema. O dispositivo então reporta MDM_DESLIGADO mesmo que o agente ainda possa responder.
• Um token APNs expirado ou revogado impede que o dispositivo valide seu perfil — o perfil se torna inválido sem que ninguém toque no dispositivo.
• Uma ação desligar mdm executada do lado do servidor MDM remove a gestão.
• A instalação do agente Factorial IT está incompleta — a causa mais comum de matrícula parcial no macOS.

Windows

• O dispositivo ainda está matriculado em um MDM anterior e reporta MDM_LIGADO_EM_OUTRO_MDM — migre-o para fora do antigo MDM antes de re-matriculá-lo.
• Um proxy ou firewall corporativo bloqueando a conexão com o servidor deixa um agente instalado silencioso (AGENTE_FALTANDO).

Resolver problemas de matrícula

• AGENTE_FALTANDO — no painel do dispositivo, clique no botão de status do dispositivo para acionar remotamente a instalação do agente. Se isso falhar, peça ao funcionário para abrir sua página de matrícula Factorial IT, clicar no dispositivo atribuído e baixar o agente.
• MDM_LIGADO_EM_OUTRO_MDM — migre o dispositivo do MDM anterior primeiro.
• MDM_DESLIGADO — peça ao funcionário para re-matricular. Você pode automatizar isso: em MDM > Configurações, defina Desmatrícula automática para um atraso offline e ative Convidar o funcionário para re-matricular.

Permita até 30 minutos para que o status seja atualizado após a correção. Detalhes completos: Resolver problemas de matrícula.

Status Online

Uma regra global que rastreia se o dispositivo verifica com o servidor.

Por que os dispositivos ficam offline

• O dispositivo está desligado ou em modo de espera — um funcionário de licença, ou um spare guardado em uma gaveta.
• A rede bloqueia a conexão do agente com o servidor (VPN, proxy, regras de firewall). Veja Requisitos de rede.
• O agente não está mais em execução. Um dispositivo que parece offline enquanto é ativamente usado por um funcionário geralmente indica um agente ausente ou um problema de rede, não um dispositivo genuinamente offline — verifique o problema de Status de Matrícula para o mesmo dispositivo.

Resolver problemas online

Confirme com o funcionário se o dispositivo está em uso. Se estiver, trate-o como um caso de MISSING_AGENT (veja acima). Se o ruído vem de lacunas curtas, gere problemas apenas em Offline 7+ dias.

Suporte a Plataforma

Uma regra global que verifica o sistema operacional do dispositivo em relação à linha de base que Factorial IT suporta como fonte de sinal MDM. Um dispositivo abaixo dessa linha de base não pode se matricular, reportar telemetria ou honrar políticas de forma confiável — esse problema é sua lista de atualizações.

CUMPRE_REQUISITOS é o status de conformidade. A regra permanece silenciosa até que o dispositivo tenha reportado suas informações de SO, então um dispositivo recém-matriculado nunca é sinalizado como desconhecido.

Resolver problemas de suporte à plataforma

• ABAIXO_VERSAO_MINIMA — atualize o SO. As linhas de base atuais por plataforma estão listadas em Plataformas suportadas.
• EDICAO_OS_NAO_SUPORTADA — atualize a edição, não apenas a versão: veja limitações do Windows Home e Atualize para Windows 11.

Criptografia

Verifica a criptografia de disco completo: FileVault no macOS, BitLocker no Windows. A criptografia não está ativada por padrão — ela começa quando você ativa o controle de Criptografia de Disco, que se aplica globalmente aos dispositivos matriculados uma vez criado.

CRIPTografado é o status de conformidade. Dispositivos iOS e iPadOS sempre reportam CRIPTografado — seu armazenamento é criptografado por hardware por design. Um dispositivo Windows Home não gera nenhum status de criptografia: ele não pode executar BitLocker e aparece sob Suporte à Plataforma como EDICAO_OS_NAO_SUPORTADA em vez disso.

macOS

• O FileVault é ativado uma vez que o controle de Criptografia de Disco visa o dispositivo, mas a criptografia só entra em vigor após a próxima reinicialização. Um Mac que nunca reinicia permanece NAO_ENCRYPTADO — peça ao funcionário para reiniciar.
• A chave de recuperação é armazenada dentro de 24 horas após essa reinicialização. Um Mac recém-criptografado que mostra CHAVE_DE_RECUPERACAO_FALTANDO nesse intervalo se resolve sozinho.
• Um Mac criptografado antes da matrícula possui uma chave que Factorial IT nunca viu — o armazenamento não é retroativo. O funcionário deve inserir sua senha quando solicitado para que uma nova chave possa ser gerada e armazenada (AÇÃO_REQUERIDA).

Windows

• O BitLocker começa a criptografar assim que o controle chega ao dispositivo, sem necessidade de reinicialização, e a chave é armazenada assim que a criptografia é ativada. Um dispositivo Windows preso em NAO_ENCRYPTADO geralmente tem um bloqueador, não um atraso.
• O BitLocker precisa de um TPM funcional. Um TPM ausente ou desativado por firmware faz a criptografia falhar ao iniciar.

Detalhes do controle: Criptografia de disco.

Atualização de SO

Verifica se os dispositivos instalam as atualizações de SO necessárias até o prazo que você impõe.

ATUALIZADO é o status de conformidade. Entre o lançamento de uma atualização e seu prazo, o dispositivo permanece em conformidade — NAO_ATUALIZADO só é acionado uma vez que o prazo tenha passado. Um dispositivo cujo SO é muito antigo para Factorial IT é um problema de suporte à plataforma, não um problema de atualização de SO.

Por que os dispositivos ficam atrasados nas atualizações

• O prazo conta a partir da data de disponibilidade da atualização, não de quando você configurou a política. Ativar a política em uma frota que executa versões mais antigas sinaliza esses dispositivos imediatamente — espere uma onda de problemas no primeiro dia.
• Espaço em disco baixo bloqueia a atualização em todas as plataformas, e nenhuma delas libera espaço automaticamente. No macOS 14+, o funcionário vê uma notificação do sistema; no macOS 13 e anteriores, a janela de Nudge continua reaparecendo enquanto o download falha; no Windows, o funcionário é informado de que a atualização falhou. Um administrador pode precisar intervir.
• O dispositivo estava desligado quando o prazo passou. No macOS 14+, a atualização é agendada para 1 hora após ele voltar a ligar; no Windows, o funcionário recebe o período de graça configurado antes da reinicialização automática.
• O funcionário continua adiando dentro da janela permitida — a pressão aumenta à medida que o prazo se aproxima (notificações horárias 24 horas antes, mais frequentes na última hora).

Resolver problemas de atualização

Peça ao funcionário para liberar espaço em disco se esse for o bloqueador, então deixe o fluxo de imposição correr — ele se intensifica por conta própria. Detalhes e o cronograma exato de notificações por plataforma: Impor versão mínima do SO.

Proteção de endpoint (SentinelOne, ThreatDown)

Disponível assim que a integração correspondente estiver conectada. Verifica se o agente de proteção de endpoint está instalado e reportando.

ATIVO é o status de conformidade para ambas as ferramentas.

Por que os dispositivos aparecem como não protegidos

• O controle foi apenas ativado — o agente é instalado na próxima sincronização do dispositivo.
• O agente foi desinstalado localmente ou não está em execução.
• A integração em si está obsoleta. Tokens de usuário do serviço SentinelOne expiram; uma vez que o token expira, a sincronização para e os status de proteção ficam obsoletos em toda a frota. Crie um novo token e entre em contato com nossa equipe para substituí-lo. Veja Renovar o Token de Usuário do Serviço.
• O dispositivo está offline, então seu estado real de proteção é desconhecido.

Configuração e remediação: SentinelOne, ThreatDown.

Contas de administrador (Gerenciamento de Usuário Administrador, Rotação de Senha Administrador)

Verifica se a conta de administrador local gerenciada existe, possui os privilégios esperados e rotaciona sua senha no cronograma.

Por que as ações da conta de administrador ficam paradas

• CREACAO_PENDENTE em um dispositivo offline é resolvido assim que ele sincroniza.
• No macOS, a demissão aguarda até que a Factorial IT-managed admin account itself holds a SecureToken — o token do FileVault depende disso. Factorial IT deliberadamente não demite ninguém antes disso, para que o dispositivo nunca fique sem um administrador que possua um token, e DEMOTAO_PENDENTE persiste (o dispositivo registra o evento ADMIN_DEMOTION_BLOCKED_SECURE_TOKEN_NOT_GRANTED). O administrador gerenciado recebe seu token em seu primeiro login no dispositivo — peça a alguém para fazer login nessa conta uma vez, ou conceda o token manualmente. Veja regras de SecureToken.
• O cockpit pode levar até 24 horas para atualizar o status da conta local na aba Usuários do dispositivo — verifique no dispositivo antes de concluir uma falha.

Quando o nome de usuário já existe no dispositivo e Factorial IT não criou a conta, Gerenciamento de Usuário Administrador reporta que foi criada (ADMIN_ACCOUNT_PRE_EXISTING). Factorial IT não retém sua senha até que um controle de rotação de senha de administrador a substitua.

A regra Rotação de Senha de Administrador reporta seus próprios status: PENDENTE, SUCESSO, ERRO. SUCESSO é conforme; PENDENTE é limpo assim que o dispositivo aplica a rotação, então ERRO é o status que vale a pena gerar um problema.

Um ERRO sem um status adicional significa que a rotação está atrasada.

Detalhes do controle: Gerenciamento de administrador, Rotação de senha de administrador.

Bloqueio do iCloud (Bloqueio de Ativação)

macOS apenas — O Bloqueio de Ativação também existe no iOS e iPadOS, mas esta regra de conformidade avalia apenas Macs. Ela verifica se, quando o Bloqueio de Ativação está ativado, Factorial IT possui o código de bypass, para que o dispositivo possa ser recuperado após uma limpeza sem a Conta Apple do funcionário.

ATIVADO (bloqueio ativado, código armazenado) e DESATIVADO (bloqueio desativado) são ambos conformes. A regra não produz status enquanto o dispositivo não estiver totalmente matriculado ou seu estado de bloqueio ainda for desconhecido.

Por que um código de bypass está faltando

O armazenamento acontece no momento em que o Bloqueio de Ativação é ativado — não é retroativo. Todas essas condições devem ser verdadeiras para que o código seja armazenado:

• O dispositivo é supervisionado via MDM.
• O dispositivo foi matriculado antes de o Bloqueio de Ativação ser ativado. Se o funcionário ativou o Encontrar Meu iPhone antes da matrícula, o código não pode ser recuperado — o único caminho de recuperação são as credenciais da Conta Apple dele.
• O dispositivo é de propriedade da empresa (dispositivos BYOD não são elegíveis).
• O perfil MDM está instalado a nível de sistema (a matrícula aprovada pelo usuário sem Apple Business não armazena códigos de forma confiável).

Análise e remediação cenário por cenário: Armazenamento do código de bypass do Bloqueio de Ativação.

Recuperação do SO

apenas macOS. Verifica se a configuração de proteção recoveryOS é aplicada. Apenas Macs Apple Silicon são avaliados — Macs Intel não podem suportar a proteção recoveryOS e não produzem nenhum status.

PROTEGIDO é o status de conformidade. A aplicação total requer que o dispositivo esteja matriculado com o nível de supervisão apropriado — um Mac não supervisionado é a primeira coisa a verificar em FALHOU. Detalhes do controle: proteção recoveryOS.

Por que a proteção recoveryOS falha

Além da supervisão, duas causas deixam um Mac em FALHOU:

• A opção de senha de recuperação do Fleet está ativada. A frota então recusa o comando de Factorial IT e define sua própria senha em Macs recém-matriculados.
• O Mac já possui uma senha de bloqueio de recuperação, definida por outra ferramenta ou outro MDM. O Mac recusa a senha de Factorial IT enquanto essa estiver em vigor.

O que fazer para cada causa: Solução de problemas de proteção recoveryOS.

Controles entregues por perfil

Firewall, Política de Senha, Wi-Fi, Bloqueio de USB, Bloqueio de Aplicativos, Captura de Tela, Desativar AirDrop, Bloquear Painel de Perfis, Google Chrome, Nomeação de Dispositivos, Arquivo de Configuração Personalizado, Web Clip, AirPrint, Atualização de Software (macOS), e os controles SSO (Entra SSO, Okta SSO, Factorial IT SSO) funcionam da mesma forma: Factorial IT entrega uma configuração ao dispositivo, e o dispositivo reporta de volta. Eles compartilham os mesmos status de entrega:

IMPOSTO é o status de conformidade.

Por que uma configuração falha ao aplicar

macOS

• Um usuário administrador removeu o perfil MDM que carrega a configuração (a menos que Bloquear Painel de Perfis o impeça).
• Problemas com APNs impedem que o dispositivo receba ou valide perfis — verifique o problema de Status de Matrícula para o mesmo dispositivo.
• O controle visa uma capacidade que o dispositivo não possui: controles SSO de Plataforma requerem versões recentes do macOS (login no Mac com Factorial IT precisa do macOS 27 ou posterior), e o funcionário deve completar o prompt de registro do provedor de identidade em sua sessão.

Windows

• Windows Home / Family apenas parcialmente aplica políticas de segurança — várias configurações requerem Pro, Enterprise ou Educação, e falham sem um erro explícito no Home. Veja limitações do Windows Home.
• Uma configuração conflitante de um MDM anterior ou uma política de grupo local substitui o valor entregue.

PENDENTE que persiste geralmente significa que o dispositivo está offline — corrija a conectividade primeiro. Para ERRO, abra a gaveta do dispositivo e vá até o controle MDM relacionado para verificar sua configuração. Em seguida, reenvie o perfil para esse dispositivo: na seção Controles MDM da gaveta, clique em Reenviar perfil na linha do controle. O dispositivo instala o perfil em sua próxima verificação. Um iPhone ou iPad o instala assim que desbloqueado.

O cockpit recusa um reenvio quando nenhum perfil de configuração aplica o controle, quando o perfil é uma declaração, quando não está atribuído a este dispositivo, ou quando ainda está sendo entregue. Neste último caso, aguarde o dispositivo verificar.

Acesso Remoto (RustDesk)

Ao contrário dos controles entregues por perfil, a regra de Acesso Remoto rastreia uma instalação de software, não um perfil de configuração.

INSTALADO é o status de conformidade. Um PENDENTE persistente geralmente significa que o dispositivo está offline ou a instalação ainda está na fila — verifique o status da instalação do software no painel do dispositivo, então deixe a próxima sincronização resolver o problema.

Resolver qualquer problema: o loop geral

1. Abra a gaveta do dispositivo. Clique na linha do problema em Conformidade > Problemas de conformidade. Revise o status completo do dispositivo em cada regra — vários problemas em um dispositivo costumam compartilhar uma única causa raiz (offline, agente ausente, perfil removido).
2. Separe obsoleto do real. Verifique quando o dispositivo sincronizou pela última vez. Se ele estiver offline, resolva a conectividade antes de qualquer coisa.
3. Corrija a causa raiz. Use as seções acima. Ações de remediação (enviar perfil, bloquear, limpar) estão disponíveis na gaveta do dispositivo — veja Gerenciar seus dispositivos.
4. Deixe o problema se resolver sozinho. Os problemas se resolvem automaticamente na próxima sincronização do dispositivo assim que o status melhora. Se um problema nunca deveria ter ocorrido, defina esse status como Desligado em Conformidade > Configurações de problemas de conformidade em vez disso.

Permissões