Opções de inicialização do macOS para administradores: Recuperação, Utilitário de Segurança de Inicialização e Primeiros Socorros do Utilitário de Disco

Objetivo

Iniciar um Mac em modo de recuperação ou de diagnóstico e verificar ou reparar o disco de inicialização, usando somente as ferramentas nativas da Apple e com o console físico diante do administrador.

Pré-requisitos

Acesso físico ao Mac (ou um equivalente de KVM remoto capaz de enviar as sequências de teclas e botões necessárias ao ligar o equipamento); uma conta de administrador e sua senha, para os passos que exigem autenticação.

Passos

1. Inicie pela Recuperação do macOS. Apple silicon: desligue o Mac e mantenha o botão de ligar pressionado até aparecer "Loading startup options" (carregando opções de inicialização); clique em Options (Opções), depois em Continue (Continuar) e, se solicitado, autentique-se como administrador. Intel: pressione o botão de ligar e segure imediatamente Command (⌘)-R (Option-Command-R ou Shift-Option-Command-R iniciam a Recuperação pela internet). A Recuperação oferece Restore from Time Machine, Reinstall macOS, Utilitário de Disco e, na barra de menus, Terminal e Utilitário de Segurança de Inicialização.
2. O Utilitário de Segurança de Inicialização define a política do disco de inicialização. Em Macs Intel com chip T2, os níveis são Full Security (o padrão: o sistema operacional precisa ser um que a Apple considere confiável no momento), Medium Security (qualquer macOS assinado pela Apple, sem verificação online) e No Security; uma configuração separada permite ou proíbe a inicialização por mídia externa. Em Apple silicon, ele define Full ou Reduced Security por volume do macOS. Reduza o nível apenas como medida deliberada e temporária, e restaure-o depois.
3. Modo de Segurança: em Apple silicon, abra as opções de inicialização como no passo 1, selecione o disco de inicialização, segure Shift e clique em "Continue in Safe Mode"; em Intel, segure Shift logo após ligar, até a janela de login. Ele inicia apenas com as extensões de kernel indispensáveis e sem alguns itens de inicialização, o que ajuda a distinguir problemas de software de terceiros dos do macOS ou do hardware. Para desfazer, reinicie normalmente.
4. Verifique o disco com os Primeiros Socorros (First Aid) do Utilitário de Disco ou, no Terminal, com diskutil verifyVolume <volume> (apenas verifica) e diskutil repairVolume <volume>, que executam o fsck apropriado ao sistema de arquivos. fsck_apfs -n /dev/<diskXsY> verifica um volume APFS sem repará-lo; execute-o em um volume desmontado (por exemplo, a partir da Recuperação). Reparos fora da Recuperação exigem sudo. Se o FileVault estiver ativado, desbloqueie antes o volume no Utilitário de Disco (Mount/Montar) com a senha de um usuário ou a chave de recuperação.
5. A Proteção da Integridade do Sistema (SIP) "restricts the root user account and limits the actions that the root user can perform on protected parts of" macOS (restringe a conta root e limita as ações que ela pode executar em partes protegidas do macOS), como /System, /usr, /bin e /sbin; por isso nem o sudo consegue gravar ali. csrutil status mostra o estado da SIP. Leia nvram boot-args antes de alterar qualquer coisa; defini-lo exige sudo, e muitos argumentos de inicialização são recusados ou ignorados sob SIP ou Full Security.
6. Em um Mac Intel, redefina a NVRAM mantendo Option-Command-P-R pressionadas ao ligar; o Apple silicon não tem essa combinação de teclas.

Resultado esperado

O Mac chega à Recuperação, ao Modo de Segurança ou aos Primeiros Socorros como pretendido; diskutil verifyVolume / fsck_apfs -n indicam que o volume está íntegro, ou os Primeiros Socorros informam o que foi reparado.

Limites e base de verificação

As combinações de teclas e a redação dos menus variam entre Macs com Apple silicon e Intel e entre versões do macOS; confirme o procedimento para o modelo específico. O modo de usuário único (Command-S) está desativado no macOS Mojave e posteriores. A lista de caminhos protegidos pela SIP e a forma como ela é aplicada dependem da versão; trate-a como "presuma que ela bloqueia gravações em caminhos do sistema", e não como uma lista fixa.