Een Mac in een Windows-bedrijfsnetwerk: inloggen, netwerkschijven, printers en beheer

Steeds meer mensen krijgen op het werk een Mac, terwijl de IT-afdeling denkt in domeinen, Group Policy en BitLocker. In deze aflevering van de serie Mac en de rest van de wereld kijken we hoe een Mac zich thuis voelt in een Windows-georiënteerd netwerk: inloggen met je bedrijfsaccount, netwerkschijven, printers, VPN, wifi met certificaten, beveiliging en beheer. Aan het eind vind je een vertaaltabel van Windows naar Mac, een keuzehulp en een stappenplan.

Inloggen met je bedrijfsaccount: Platform SSO

Op Windows log je in met je bedrijfsaccount omdat de pc lid is van Entra ID of van het domein. Op de Mac heet het equivalent Platform SSO. Dat is een raamwerk van Apple waar Microsoft met de Enterprise SSO-extensie in de Company Portal-app op aansluit. De Mac wordt daarmee geregistreerd in Microsoft Entra ID en krijgt een Primary Refresh Token, net als een Windows-pc. Daarna vragen Outlook, Teams, OneDrive en websites via Entra ID niet steeds opnieuw om je wachtwoord.

Je kiest bij het inrichten uit drie methodes:

• Secure Enclave: een sleutel die vastzit in de beveiligingschip van de Mac. Microsoft raadt deze methode zelf aan en vergelijkt hem met Windows Hello for Business. Het is wachtwoordloos, phishingbestendig en de sleutel kan ook als passkey in de browser dienen. Je lokale Mac-wachtwoord blijft wel bestaan, omdat FileVault dat nodig heeft om de schijf na een herstart te ontgrendelen. Daarna kun je met Touch ID verder.
• Wachtwoord: je Entra ID-wachtwoord wordt gesynchroniseerd met je lokale account. Eén wachtwoord voor alles, wat gebruikers fijn vinden, maar niet wachtwoordloos.
• Smartcard: inloggen met een smartcard of een compatibele hardwaresleutel zoals een YubiKey met pincode. Vanaf macOS 14.

Wat je nodig hebt: een MDM-systeem zoals Microsoft Intune (andere MDM’s die Platform SSO ondersteunen kunnen ook), de Company Portal-app op de Mac en een configuratieprofiel met de Platform SSO-instellingen. Reken voor een serieuze uitrol op minimaal macOS 14. Met Automated Device Enrollment via Apple Business kan de registratie inmiddels al tijdens de Configuratie-assistent gebeuren, zodat een nieuwe Mac meteen klaar is als de gebruiker het bureaublad ziet. Smartcard werkt in die fase nog niet.

Hoe je Apple Business, Entra ID en Intune aan elkaar koppelt, lees je in Apple Business, Entra ID en Intune voor het mkb.

Het oude Active Directory-binden

Jarenlang koppelde je een Mac aan het domein via Directory Utility. Dat kan technisch nog steeds, maar ik raad het niet meer aan, en vrijwel elke beheerder en leverancier zegt hetzelfde. De redenen:

• Je werkt dan met zogenaamde mobiele accounts. Verander je je wachtwoord terwijl je niet op kantoor bent, dan raken het domeinwachtwoord, je lokale wachtwoord en het FileVault-wachtwoord makkelijk uit de pas.
• De Mac moet de domeincontroller kunnen zien. Thuis of onderweg zonder VPN gaat dat mis.
• Binden kent geen MFA en werkt niet met Entra ID of Conditional Access.
• Beveiligingsupdates aan de kant van Windows Server hebben binden in het verleden al eens gebroken, onder andere na de Kerberos-wijzigingen rond CVE-2021-42287.

Apple zegt in de eigen deploymentdocumentatie dat je voor Kerberos-toegang niet hoeft te binden en raadt lokale accounts aan. Heb je nog gebonden Macs, plan dan de overstap.

Kerberos voor je lokale servers

Veel Windows-bedrijven hebben nog een on-premises Active Directory met bestandsservers en interne webapps die Kerberos gebruiken. Daarvoor is de Kerberos SSO-extensie van Apple. Die haalt een Kerberos-ticket op bij je domein, zonder dat de Mac gebonden is. Je opent een share in de Finder of een intranetpagina in Safari en je komt binnen zonder wachtwoordvraag. De extensie kan ook je lokale wachtwoord synchroon houden met je AD-wachtwoord en waarschuwen als dat bijna verloopt.

In een hybride omgeving gaat het nog een stap verder. Entra ID kan via Platform SSO zowel een ticket voor je on-premises AD als een cloudticket uitgeven, en die worden doorgegeven aan de Kerberos-stack van macOS. Daarvoor moet Microsoft Entra Kerberos (Cloud Kerberos trust) zijn ingericht. Heb je Windows Hello for Business al met Cloud Kerberos trust, dan is dat waarschijnlijk al gebeurd. Je hebt minimaal macOS 14.6 nodig en een recente Company Portal.

Netwerkschijven

Een gekoppelde schijf met een stationsletter bestaat op de Mac niet. Je maakt verbinding via Finder > Ga > Verbind met server met een adres als smb://fileserver.bedrijf.local/afdeling. Met Kerberos werkend gaat dat zonder wachtwoord. Om de share bij elke login automatisch te koppelen kun je hem als inlogonderdeel toevoegen, of je beheerder zet het klaar met een script via Intune. Intune heeft geen ingebouwde instelling voor schijfkoppelingen zoals Group Policy die heeft, dus het blijft wat maatwerk.

Eerlijk advies: als je organisatie toch al naar Microsoft 365 gaat, zijn SharePoint en OneDrive op de Mac vaak prettiger dan een SMB-share via VPN. Meer over SMB, snelheid en veelvoorkomende problemen lees je in NAS en netwerkschijven op de Mac. Hoe Outlook, Teams en OneDrive zich op de Mac gedragen, staat in Outlook, Teams en Microsoft 365 op de Mac.

Alle details, van de juiste nsmb.conf tot signing, encryptie en de bekende problemen, staan in Netwerkschijven van Windows Server op de Mac.

Printers

Een Windows-printserver deelt printers meestal via SMB met Windows-drivers. Een Mac kan daar via SMB op printen, maar dan heb je wel een Mac-driver van de fabrikant nodig. Vaak is het simpeler om rechtstreeks via IPP of AirPrint naar de printer te sturen, als je beveiligingsbeleid dat toestaat.

Microsoft Universal Print werkt ook op de Mac. Je installeert de Universal Print-app uit de Mac App Store (macOS 14.6.1 of nieuwer), logt in met je Entra ID-account en kiest de printers. Een extra licentie is niet nodig. Twee kanttekeningen: gebruikers moeten de printers op dit moment nog zelf kiezen, centraal klaarzetten via MDM kan alleen voor de app. En standaard vraagt macOS beheerdersrechten om een printer toe te voegen; dat kun je met een profiel versoepelen. Niet elke printer wordt volledig ondersteund; Microsoft houdt een lijst bij.

VPN

Always On VPN van Windows bestaat niet op de Mac. De bekende leveranciers hebben wel Mac-clients: Palo Alto GlobalProtect, FortiClient, Cisco Secure Client (voorheen AnyConnect) en WireGuard uit de Mac App Store. Je beheerder installeert en configureert de client via MDM. macOS kent ook per-app VPN: alleen bepaalde apps of domeinen gaan door de tunnel. Dat werkt alleen als de VPN-client het ondersteunt, dus check dat bij je leverancier.

Wifi met certificaten (802.1X)

Op Windows rol je het bedrijfswifi meestal uit via Group Policy en een certificaat van de eigen CA. Op de Mac doe je hetzelfde met configuratieprofielen: een vertrouwd rootcertificaat, een SCEP- of PKCS-certificaatprofiel en een wifiprofiel met EAP-TLS. Intune Cloud PKI of je bestaande AD CS met de Intune Certificate Connector kunnen de certificaten leveren. Let op het verschil tussen het gebruikers- en apparaatkanaal: een apparaatcertificaat hoort in de systeemsleutelhanger, anders verbindt de Mac pas na het inloggen.

Beveiliging en compliance

Microsoft Defender for Endpoint draait op de Mac en ondersteunt de drie nieuwste macOS-versies, op dit moment macOS 27 Golden Gate, 26 Tahoe en 15 Sequoia. Zet de systeemextensies en schijftoegang vooraf klaar via MDM.

Het equivalent van BitLocker is FileVault. Intune kan FileVault afdwingen en de herstelsleutel bewaren (escrow), roteren en tonen aan beheerders voor apparaten die als zakelijk zijn gemarkeerd. Bij privé-apparaten ziet de beheerder de sleutel niet.

Voor Conditional Access moet de Mac in Intune zijn ingeschreven en geregistreerd in Entra ID. Een compliancebeleid controleert dan bijvoorbeeld macOS-versie, FileVault, firewall en Systeemintegriteitsbeveiliging. Is de Mac niet compliant, dan blokkeert Entra ID de toegang tot Microsoft 365.

Group Policy wordt configuratieprofielen

Wat op Windows Group Policy of een Intune-beleid is, heet op de Mac een configuratieprofiel. In Intune bouw je die via de settings catalog. Daarnaast is er Declarative Device Management, waarbij de Mac instellingen zelf toepast en zijn status terugmeldt. Voor macOS-updates is dat de aanbevolen route.

Lokale beheerdersrechten

Intune heeft voor de Mac een eigen variant van LAPS. Bij inschrijving via Automated Device Enrollment maakt Intune een lokaal beheerdersaccount aan met een willekeurig wachtwoord van 15 tekens. Dat wachtwoord wordt standaard elke zes maanden geroteerd, en beheerders met de juiste rol kunnen het opvragen of handmatig roteren. Het werkt alleen bij nieuwe inschrijvingen na een fabrieksreset, dus bestaande Macs moet je opnieuw inrichten. De gebruiker zelf krijgt dan een standaardaccount.

Hulp op afstand

Microsoft Remote Help werkt op de Mac, met volledige overname via de Mac-app of alleen meekijken via de webversie. Regel de rechten voor toegankelijkheid en schermopname vooraf via MDM. Alternatieven zijn TeamViewer of de ingebouwde Schermdeling van macOS.

Vertaaltabel: Windows naar Mac

Welke aanpak past bij jou?

• Je zit volledig in de cloud met Entra ID en Intune. Kies Platform SSO met Secure Enclave, FileVault via Intune, compliancebeleid en Conditional Access. Bestanden in SharePoint en OneDrive. Dit is de makkelijkste situatie.
• Hybride: Entra ID plus nog lokale bestandsservers. Platform SSO plus Kerberos SSO via Entra Kerberos. Bekijk welke shares je op termijn naar de cloud kunt verhuizen.
• Alleen on-premises AD, geen Entra ID. Gebruik lokale accounts met de Kerberos SSO-extensie van Apple en een MDM naar keuze. Niet binden.
• Een paar Macs zonder MDM. Dan mis je bijna alles uit dit stuk. Begin met Apple Business en een MDM, ook bij vijf Macs.

Stappenplan

1. Zet Apple Business op en koppel het aan Entra ID en je MDM.
2. Wijs de Macs toe aan je MDM, zodat ze bij het opstarten automatisch inschrijven.
3. Configureer in het inschrijvingsprofiel het lokale beheerdersaccount met LAPS en een standaardaccount voor de gebruiker.
4. Rol de Company Portal uit en een Platform SSO-profiel, bij voorkeur met Secure Enclave.
5. Voeg Kerberos SSO toe als je nog lokale servers hebt.
6. Zet FileVault aan met escrow van de herstelsleutel.
7. Verdeel certificaten en profielen voor wifi en VPN, plus de VPN-client zelf.
8. Installeer Defender for Endpoint met de bijbehorende profielen.
9. Regel printers via Universal Print of rechtstreeks via IPP en koppel netwerkschijven waar nodig.
10. Maak een compliancebeleid en zet Conditional Access eerst in rapportagemodus.
11. Test alles met een paar pilotgebruikers, inclusief een wachtwoordwijziging en een herstart thuis.

En met Apple?

Een Mac past in 2026 prima in een Windows-netwerk, zolang je hem niet behandelt als een Windows-pc. Platform SSO, Kerberos SSO en Declarative Device Management zijn technieken van Apple zelf, en Microsoft bouwt erop voort. Met Apple Business en Automated Device Enrollment krijg je de Mac net zo strak in beheer als een pc met Autopilot. De zwakke plekken zitten vooral bij oude gewoontes: gekoppelde stationsletters, printerdrivers via een printserver en Macs die nog aan het domein hangen. Ruim die op, dan merkt de gebruiker weinig verschil met zijn collega’s op Windows.

Deze whitepaper beschrijft de situatie in oktober 2026 met macOS Golden Gate (macOS 27), Apple Business en de huidige versies van Microsoft Intune, Entra ID en Defender. Microsoft past de ondersteuning voor macOS regelmatig aan. Controleer dus altijd de actuele documentatie van Microsoft en Apple voordat je grote wijzigingen doorvoert.

Hulp nodig bij de inrichting voor je organisatie? Mail naar frank@analystict.nl.

Dit artikel hoort bij de serie Mac en de rest van de wereld. Daar vind je alle delen op een rij.