Help, er staat een Mac op mijn netwerk (6): de Mac die nooit uitgaat

Aflevering 6 van de serie Help, er staat een Mac op mijn netwerk.

Wat er gebeurde

Het begon onschuldig. Marieke kwam langs bij Ruud met haar MacBook Air onder de arm. “Teams doet een beetje raar. Het geluid hapert bij het delen van mijn scherm.”

Ruud zette zijn koffie neer. Op de mok stond, zoals al vijftien jaar, in grote letters: “Have you tried turning it off and on again?”. Hij hoefde niet eens iets te zeggen. Hij wees alleen naar de mok.

“Uitzetten?” vroeg Marieke. “Dat doe ik nooit. Ik klap hem gewoon dicht. Dan doet hij het de volgende ochtend meteen weer.”

Ruud opende Terminal, wat hij inmiddels zonder zuchten kon, en typte uptime. Het antwoord: 47 days. Hij las het twee keer. Zevenenveertig dagen. Zijn eigen laptop had in die tijd ongeveer twintig keer een herstart gehad, waarvan zeker vijf om half negen ’s ochtends, precies als hij een vergadering had.

“Zevenenveertig dagen,” zei hij. “Daar zou een Windows-laptop een eigen persoonlijkheid van krijgen.”

Sam, die bij het koffieapparaat stond, liep naar het bureau. “Mag ik even?” Hij klikte op het Apple-menu, opende Systeeminstellingen en ging naar Software-update. “Kijk, hier staat een update klaar. Die wacht al twee weken op een herstart. Dat is je eigenlijke probleem, niet die 47 dagen.”

“Dus ik moet hem wel uitzetten,” zei Marieke.

“Herstarten,” zei Sam. “Eén keer. En daarna mag je hem weer gewoon dichtklappen.”

Ruud keek naar zijn mok. De mok keek terug. Voor het eerst in jaren voelde hij zich een beetje onbegrepen door zijn eigen servies.

Wat er echt aan de hand is

Als Windows-beheerder heb je een gezonde argwaan tegen lange uptime. Geheugenlekken, drivers die vastlopen, Windows Update die halverwege blijft hangen: herstarten lost veel op. Die reflex is niet fout, maar op een Mac met Apple silicon ligt het iets anders.

Slaapstand is op een Mac echt slapen

Een MacBook met een M-chip is gebouwd op dezelfde manier als een iPhone. Klep dicht betekent slaapstand: het geheugen blijft onder spanning, de rest gaat zo goed als uit, en het stroomverbruik is minimaal. Je iPhone zet je ook nooit uit, en die doet het prima. De Mac kan tijdens het slapen nog wat kleine dingen doen, zoals mail en iCloud bijwerken, en wordt direct wakker als je de klep opent. De oude instelling Power Nap zul je op een Apple silicon Mac trouwens niet vinden: die bestaat alleen nog op Intel-Macs. Op Apple silicon is dat gedrag gewoon ingebouwd.

Een uptime van weken is op een Mac dus niet vreemd en ook niet ongezond. macOS ruimt zelf geheugen op, comprimeert wat niet actief gebruikt wordt en houdt het systeem prima overeind.

Maar updates willen wel een herstart

Hier zit het echte risico. Een macOS-update downloadt keurig op de achtergrond en zet zich klaar, maar voor de installatie is een herstart nodig. Een gebruiker die nooit herstart, draait dus wekenlang op een oude versie met bekende lekken, terwijl de update er al ligt. Dat is precies wat er bij Marieke aan de hand was.

Apple heeft daar wel iets op bedacht voor kleine, dringende fixes. Sinds macOS Tahoe 26.1 heten die beveiligingsverbeteringen op de achtergrond (Background Security Improvements), de opvolger van de oude Rapid Security Responses. Die patchen onderdelen als Safari en WebKit tussen de grote updates door, zonder dat er een volledige macOS-update nodig is, en staan standaard op automatisch installeren. Je vindt ze in Systeeminstellingen onder Privacy en beveiliging. Maar voor de normale updates, zoals 27.0.1 of 27.1, blijft een herstart nodig.

Afdwingen gaat via DDM

In Windows regel je dit met update rings en deadlines in Intune. Op de Mac heet het mechanisme declaratief apparaatbeheer (DDM). Je stuurt de Mac een software-update declaratie: deze versie, voor deze datum en tijd. De Mac regelt de rest zelf. Hij downloadt de update, zet hem klaar, laat de gebruiker steeds vaker een melding zien naarmate de deadline nadert, en installeert eventueel al eerder als hij een rustig moment vindt. Is de deadline bereikt en heeft de gebruiker nog steeds niets gedaan? Dan volgt een korte aftelmelding en installeert en herstart de Mac zelf. Staat de Mac uit op het moment van de deadline, dan krijgt de gebruiker na het aanzetten nog een uur, daarna gebeurt het alsnog.

De oude MDM-updatebeleidsregels zijn door Apple afgeschaft en Microsoft raadt ze ook af. Voor macOS 14 en nieuwer gebruik je dus DDM.

Zo los je het op

Updates afdwingen in Intune

1. Ga in het Intune-beheercentrum naar Apparaten, Configuratie, en maak een nieuw beleid met de instellingencatalogus voor macOS.
2. Kies onder Declarative Device Management voor Software Update Enforce Latest als je altijd de nieuwste versie wilt. Je geeft een aantal dagen uitstel op en een installatietijd, bijvoorbeeld 12:30 tijdens de lunch.
3. Wil je meer controle, gebruik dan Software Update met een doelversie (Target OS Version) en een vaste deadline (Target Date Time). Handig voor een gefaseerde uitrol: eerst IT, dan de rest.
4. Gebruik daarnaast Software Update Settings om te bepalen of gebruikers updates mogen uitstellen, hoe lang updates verborgen blijven en of de beveiligingsverbeteringen op de achtergrond automatisch installeren.
5. Controleer daarna niet alleen of het beleid “geslaagd” is, maar kijk naar de macOS-versie van de apparaten in de update-rapporten. Een geslaagd beleid betekent alleen dat de Mac het ontvangen heeft.

Wanneer herstarten wel helpt

Herstarten is op een Mac geen standaardritueel, maar soms is het precies het goede antwoord. Bijvoorbeeld als:

• de geheugendruk in Activiteitenweergave langere tijd geel of rood is;
• een proces vastzit en ook na een geforceerde stop niet normaal terugkomt;
• Bluetooth, wifi of een externe monitor raar doet en uit- en aanzetten van die functie niet helpt;
• er een update klaarstaat.

Begin bij één app. Druk op Option+Cmd+Esc voor het venster Forceer stop, het Mac-antwoord op Ctrl+Alt+Del. Kies de app die hangt en klik op Forceer stop. Wil je dieper kijken, open dan Activiteitenweergave (Programma’s, Hulpprogramma’s, of zoek via Cmd+spatie). Dat is Taakbeheer, maar dan met een tabblad Geheugen waar onderaan de grafiek Geheugendruk staat. Groen is prima, ook als het geheugen “vol” lijkt. Pas bij geel of rood moet je iets doen.

En ja, een tip voor de gebruiker: bij Herstart staat een vinkje “Open vensters opnieuw bij opnieuw inloggen”. Dan staat alles daarna weer waar het stond. Dat scheelt een hoop gemopper.

De les van Ruud

Zevenenveertig dagen uptime is geen probleem. Een update die zevenenveertig dagen ligt te wachten wel. Ruud stuurt de Macs nu een deadline en laat ze verder lekker slapen. De mok staat nog steeds op zijn bureau. Hij heeft er alleen met een stift onder geschreven: “…als er een update klaarstaat.”

Meer lezen: Apple Business, Entra ID en Intune voor het mkb en een Mac in een Windows-netwerk.

Dit is aflevering 6 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.