«Outro administrador tem de aprovar esta alteração.» (second_administrator_required)

Sintoma

Uma alteração fica à espera ou é recusada com «Outro administrador tem de aprovar esta alteração.», ou, no acesso privilegiado, «Enviada para aprovação: um segundo administrador tem de aprovar esta alteração em PAM, Controlo a dois.» A API responde 403 second_administrator_required ou 202 com o pedido pendente.

Causa

A alteração está sob o princípio dos quatro olhos:

• reposições de autenticadores com «Exigir a aprovação de um segundo administrador» ligado (e a desativação desta opção);
• alterações protegidas pelo «Controlo a dois» do acesso privilegiado;
• operações que são sempre a quatro olhos: definir o grupo de acesso de emergência, registar a chave de custódia, levantar uma retenção legal.

Solução

1. Peça a outro administrador (que não seja quem pediu nem a pessoa visada) que abra a lista de pedidos pendentes:
   • reposições: «Gerir» › «Pessoas» › «Reposições de autenticadores» › «Aprovar»;
   • acesso privilegiado: «PAM» › «Controlo a dois» › «Aprovar e aplicar».
2. O segundo administrador confirma com uma confirmação recente.

As reposições esperam uma hora; as alterações de acesso privilegiado esperam 24 horas. Depois expiram e têm de ser pedidas de novo.

Quando escalar

Se não há outro administrador disponível, a alteração não pode ser feita. Em emergência, contacte o fornecedor; não tente contornar o controlo.