Formalizar serviço Windows diário e assinatura de produção

[emersonbusson]

Contexto

O caminho físico em Windows Test Mode passou três campanhas frescas no host RTX 2060, mas dois limites impedem chamar essa instalação de produto Windows normal/autônomo:

1. o pacote ainda usa assinatura de teste; Test Mode não é compatível com a reivindicação de Secure Boot/anti-cheat;
2. o serviço SCM exige um broker em 127.0.0.1:7700, que ainda não é empacotado e supervisionado como dependência Windows.

Evidência fechada

• exhaustive-20260724-224946: PASS;
• exhaustive-20260724-225047: PASS;
• exhaustive-20260724-225124: PASS;
• nove SHA matches, três medições diretas, três teardowns graciosos;
• zero LUN/Win32/PnP residual e zero minidump.

Critérios de fechamento

• pacote com Microsoft attestation ou assinatura confiável de produção;
• InfVerif e SignTool verify /pa /all com Test Mode desligado;
• broker/control plane empacotado e supervisionado;
• ordem de boot/start/stop/recovery documentada;
• três cold boots com Online, integridade, lease release, CUDA restoration e terminal limpo.