Help, er staat een Mac op mijn netwerk (3): op zoek naar Group Policy

Aflevering 3 van de serie Help, er staat een Mac op mijn netwerk.

Wat er gebeurde

Maandagochtend, kwart over acht. Marieke stond al bij Ruuds bureau voordat zijn koffie de kans had gehad om af te koelen. Ze had drie wensen, netjes genummerd op een geeltje. Eén: haar MacBook Air moest na vijf minuten op slot, want vrijdag had hij een half uur open in de kantine gestaan. Twee: het bedrijfslogo als achtergrond, “net als op de Windows-laptops”. Drie: geen USB-sticks meer, sinds Karin van een beurs een gratis stick had meegenomen waar volgens de verpakking “1000 GB” op paste.

“Geen probleem,” zei Ruud. Op Windows was dit een rustige ochtend: drie instellingen in een GPO, koppelen aan de juiste OU, klaar voor de lunch.

Hij liep met Marieke’s Mac naar zijn bureau, drukte op Command en spatie en typte vol vertrouwen gpedit.msc. Spotlight dacht even na en bood hem vervolgens aan om op het web te zoeken. Hij probeerde “Group Policy”. Spotlight vond een pdf uit 2019 in Marieke’s Downloads-map. Hij probeerde “beleid”. Spotlight opende Pages.

“In Windows zat dat gewoon onder Computerconfiguratie,” mompelde Ruud tegen zijn mok. De mok vroeg of hij het al had geprobeerd met uit- en weer aanzetten. Dat had hij niet, maar hij overwoog het serieus.

Sam kwam langs met een rol ontbijtkoek. “Mag ik even?” Hij opende Systeeminstellingen, klikte op Algemeen en scrolde naar Apparaatbeheer. Daar stond één profiel: Management Profile, van Microsoft Intune. “Dit is je Group Policy,” zei Sam. “Alleen woont hij niet op de Mac. Hij woont in Intune, en de Mac krijgt een briefje.”

Ruud keek naar het scherm, toen naar Sam, toen naar de ontbijtkoek. “Hoeveel briefjes kan zo’n Mac hebben?”

“Zoveel als je wilt,” zei Sam. “Maar test ze eerst op één.”

Wat er echt aan de hand is

Een Mac kent geen Group Policy en geen Active Directory-GPO’s. Er is geen gpedit, geen lokale beleidseditor en geen domeincontroller die bij het opstarten even langskomt. Apple heeft beheer vanaf het begin anders ingericht: alles loopt via MDM, mobile device management. Bij Bolderman is dat Intune, dat Ruud al gebruikt voor de Windows-laptops.

Er zijn drie smaken die je moet kennen.

• Configuratieprofielen. Dit is het oude, vertrouwde mechanisme. Een profiel is een .mobileconfig-bestand (gewoon XML) met daarin een of meer payloads: eentje voor de wachtwoordregels, eentje voor wifi, eentje voor de firewall. De MDM-server stuurt het profiel naar de Mac en macOS dwingt het af. Zie het als een GPO die als pakketje wordt bezorgd.
• Declarative Device Management (DDM). De nieuwere aanpak. In plaats van dat de server steeds commando’s stuurt en navraagt of alles nog klopt, krijgt de Mac een declaratie (“dit is hoe ik je wil hebben”) en past hij dat zelf toe. Via het statuskanaal meldt de Mac uit zichzelf wanneer er iets verandert. Softwareupdates lopen tegenwoordig ook via DDM: je zegt welke macOS-versie er uiterlijk op welke datum moet staan, en de Mac regelt de rest, inclusief herinneringen aan de gebruiker. De oude MDM-commando’s voor updates zijn door Apple afgeschreven, dus begin daar niet meer aan.
• Scripts via de Intune-agent. Voor alles wat Apple niet als instelling aanbiedt, kun je in Intune shell-scripts uitrollen. Die draaien als root of als de ingelogde gebruiker, eenmalig of met een vaste frequentie. Daarnaast heb je custom attributes: kleine scripts die iets uitlezen (bijvoorbeeld de batterijconditie of een versienummer) en het resultaat terugmelden in Intune.

In Intune maak je het meeste aan via de Settings catalog voor macOS. Daar staan de MDM-payloads en de DDM-configuraties gewoon naast elkaar, en zoek je op naam, zoals je in de GPO-editor door de mappen bladert. Wat je Mac moet doen om toegang te krijgen tot Microsoft 365 regel je los daarvan met een compliance policy: minimale macOS-versie, FileVault aan, firewall aan, wachtwoord verplicht. Voldoet de Mac niet, dan kan Conditional Access hem de deur wijzen.

En dan het stuk dat Ruud even liet zuchten: supervisie. Een Mac die via Apple Business is gekocht en met Automated Device Enrollment in Intune komt, is supervised. Dan mag je als organisatie meer. Een Mac die iemand zelf heeft ingeschreven via Bedrijfsportal, zoals Marieke’s conferentie-Mac, is niet supervised. Die mag je beheren, maar een aantal dingen kun je dan simpelweg niet afdwingen. Het blokkeren van USB-opslag is daar een goed voorbeeld van: die declaratie werkt alleen op supervised Macs vanaf macOS 15. Op een BYOD-Mac kan de gebruiker bovendien het beheerprofiel gewoon verwijderen. Apple doet dat bewust: op een privé-Mac is de eigenaar de baas, niet de werkgever.

Zo los je het op

De drie wensen van Marieke

1. Schermvergrendeling. Maak in Intune een Settings catalog-profiel voor macOS en zoek op de wachtwoordinstellingen (Passcode) en de schermbeveiliging. Stel de maximale inactiviteit in op 5 minuten en vereis direct een wachtwoord na de schermbeveiliging. Let op: wachtwoordregels wijzigen kan betekenen dat de gebruiker bij de volgende aanmelding een nieuw wachtwoord moet kiezen. Vertel Marieke dat vooraf.
2. Achtergrond. Hier is geen nette knop voor. De gangbare route: een shell-script in Intune zet de afbeelding lokaal neer, bijvoorbeeld in /Library/Desktop/, en een profiel met de instelling Override Picture Path wijst ernaar. Eerst het bestand, dan het profiel, anders kijkt de Mac naar een lege plek.
3. USB-sticks. Gebruik de DDM-configuratie Disk Management en zet External storage op Disallowed (of Read-only, als cd’s en dvd’s nog mogen). Dit werkt alleen op supervised Macs. Voor Marieke’s Mac betekent dat: eerst toevoegen aan Apple Business (met Apple Configurator op een iPhone, waarbij de Mac opnieuw wordt ingesteld) en daarna opnieuw inschrijven via Automated Device Enrollment. Plan dat samen met haar, met een back-up erbij.

Altijd eerst op één Mac

Maak in Entra ID een groep “Mac-test” met één Mac erin, het liefst niet die van de directeur. Wijs elk nieuw profiel eerst daaraan toe. Controleer op die Mac via Systeeminstellingen > Algemeen > Apparaatbeheer of het profiel er staat, en in Terminal met sudo profiles show wat er precies in zit. Pas als het werkt, zet je de toewijzing breder. Een verkeerd profiel op zestig apparaten tegelijk is geen leermoment meer, dat is een vrije dag die je niet krijgt.

Wat je op een BYOD-Mac niet moet beloven

Op een Mac die niet supervised is, kun je wachtwoordregels, FileVault, wifi, certificaten, apps en compliance prima regelen. Wat je niet kunt garanderen: USB-opslag blokkeren, voorkomen dat iemand het beheerprofiel verwijdert, en een flink deel van de restricties die Apple alleen voor supervised apparaten toestaat. Zeg dat eerlijk tegen de directie, en maak er een inkoopregel van: zakelijke Macs koop je via een leverancier die ze in Apple Business zet.

De les van Ruud

Ruud zocht een editor en vond een postbode. Group Policy is een plek waar je instellingen maakt; op de Mac is het een pakketje dat Intune bezorgt en macOS zelf uitpakt. Zodra je dat doorhebt, voelt de Settings catalog verdacht bekend. En die gratis USB-stick van de beurs? Die ligt inmiddels in de serverkast, naast de dweil. Daar kan hij weinig kwaad.

Verder lezen: Apple Business, Entra ID en Intune voor het mkb en De Mac in een Windows-netwerk.

Dit is aflevering 3 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.