Help, er staat een Mac op mijn netwerk (7): waar is de image?

Aflevering 7 van de serie Help, er staat een Mac op mijn netwerk.

Wat er gebeurde

Marieke kwam maandagochtend het IT-hok binnen met een grote glimlach en een printje van een offerte. “Goed nieuws! De werkvoorbereiders krijgen ook een Mac. Vijf stuks. Ze hebben het bij mij gezien en nu willen ze allemaal.” Ze legde het printje op het toetsenbord van Ruud, precies over de spatiebalk, en was weer weg voordat hij iets kon zeggen.

Ruud nam een slok uit zijn mok en dacht na. Vijf apparaten. Dat had hij vaker gedaan. Je maakt één perfecte machine, je trekt er een image van en je zet die op de rest. Zo had hij twintig jaar lang laptops uitgerold, eerst met Ghost, daarna met MDT en later met SCCM. Hij pakte een notitieblok en schreef bovenaan: “Golden image Mac”.

Twee uur later stond er nog steeds alleen die titel. Hij had gezocht naar een Mac-versie van sysprep. Hij had gezocht naar een manier om een Mac via het netwerk te laten opstarten. Hij had een forum gevonden uit 2014 waar iemand heel blij was met een tool die al jaren niet meer werkte. “In Windows zat dat gewoon onder Deployment Services”, mompelde hij.

Sam kwam binnen met twee bekers koffie en keek over zijn schouder. “Golden image? Voor de Macs?”

“Ja. Eén goede maken, kopiëren, klaar.”

“Mag ik even?” Sam zette de koffie neer. “Dat doen we niet meer. Dat kan eigenlijk ook niet meer. Maar het goede nieuws is: je hoeft die vijf Macs niet eens uit de doos te halen.”

Ruud keek naar de offerte, toen naar Sam. “Ik luister.”

Wat er echt aan de hand is

Imagen was op de Mac lang heel normaal, met tools als DeployStudio. Maar op Macs met Apple silicon is het principe gewoon niet meer bruikbaar. Dat heeft drie redenen.

Het systeem is verzegeld. Sinds macOS Big Sur staat het besturingssysteem op een Signed System Volume. Dat volume is cryptografisch ondertekend door Apple en de Mac controleert bij het opstarten of er niets aan veranderd is. Een eigen macOS met voorgeïnstalleerde software erin bakken kan dus niet.

Elke Mac heeft zijn eigen sleutels. De Secure Enclave in de chip maakt per Mac unieke sleutels aan. De interne opslag is daarmee altijd versleuteld, ook zonder FileVault. Een gekopieerde schijf van de ene Mac betekent op een andere Mac dus niks.

Een Mac moet zich melden bij Apple. Een Mac met Apple silicon wordt na een herinstallatie geactiveerd via de servers van Apple. Daar wordt ook gecontroleerd of er Activation Lock op zit en of het apparaat bij een organisatie hoort. Die stap sla je niet over met een kopie.

Wat komt ervoor in de plaats? Iets wat je als Windows-beheerder eigenlijk al kent: Autopilot. Bij Apple heet het Automated Device Enrollment, kortweg ADE. De Mac komt fabrieksnieuw uit de doos, maakt verbinding met internet, Apple ziet het serienummer en zegt: “Jij hoort bij Bolderman, meld je bij hun Intune.” Daarna regelt Intune de instellingen, de apps en het account. Je bouwt dus geen image meer, je bouwt een recept. De Mac kookt zelf.

Zo los je het op

1. Laat de Macs automatisch in Apple Business landen

Koop de Macs bij Apple of bij een Apple Authorized Reseller en geef je Apple Business-organisatie-ID door. De reseller koppelt de serienummers dan aan jouw organisatie. Die Macs verschijnen vanzelf in Apple Business onder Apparaten. Daar wijs je ze toe aan je Intune-server, of je stelt in dat alle nieuwe Macs standaard naar Intune gaan.

2. Maak een inschrijvingsprofiel in Intune

In het Intune-beheercentrum ga je naar Apparaten, Onboarding van apparaten, Inschrijving, tabblad Apple. Daar maak je een ADE-profiel voor macOS. Microsoft raadt aan:

• Gebruikersaffiniteit: inschrijven met gebruikersaffiniteit.
• Verificatie: Setup Assistant met moderne verificatie. De gebruiker logt dan tijdens de installatie in met zijn Microsoft 365-account.
• Await final configuration: Ja. De Mac blijft dan op een wachtscherm staan tot de belangrijkste beleidsregels binnen zijn. Microsoft noemt in de documentatie dat dit in hun tests meestal binnen vijftien minuten klaar was.
• Locked enrollment: Ja, zodat een gebruiker het beheer niet zelf kan verwijderen.

In hetzelfde profiel bepaal je welke schermen van de Setup Assistant de gebruiker te zien krijgt. Siri, Schermtijd en Apple Pay kun je allemaal verbergen. Wil je dat mensen al bij Entra ID zijn ingelogd als ze op het bureaublad komen, dan kan Platform SSO zich tijdens de installatie registreren. Daarvoor moet de Company Portal mee als app. Test dat stukje rustig.

3. Apps via Intune, niet via een image

Alles wat je vroeger in je image bakte, zet je nu in Intune:

• Microsoft 365-apps: Intune heeft een kant-en-klaar type voor Office op macOS.
• PKG- en DMG-bestanden: eigen installatiepakketten upload je gewoon, net als een Win32-app.
• App Store-apps: die koop je via Apps en boeken in Apple Business, ook als ze gratis zijn. Met een content-token koppel je dat aan Intune, en daarna wijs je de licenties toe aan apparaten. Geen Apple Account van de gebruiker nodig.

4. En Blueprints dan?

Apple Business heeft sinds dit voorjaar ook Blueprints: een bundel van apps en configuraties die je aan gebruikers, groepen of apparaten toewijst. Die horen bij het ingebouwde apparaatbeheer van Apple Business zelf. Gebruikt je bedrijf Intune, zoals Bolderman, dan regel je alles in Intune. Twee kapiteins op één schip, daar wordt niemand blij van.

5. Een Mac resetten: Wis alle inhoud en instellingen

Vertrekt er iemand, dan hoeft er niks herinstalleerd te worden. Kies in Intune voor Wissen, of gebruik op de Mac zelf Systeeminstellingen, Algemeen, Zet over of stel opnieuw in, Wis alle inhoud en instellingen. Omdat alles al versleuteld is, gooit de Mac gewoon de sleutels weg. Binnen een paar minuten is hij weer fabrieksnieuw en meldt hij zich opnieuw bij Intune.

6. Macs die je ergens anders hebt gekocht

Heeft iemand een Mac bij de MediaMarkt gehaald? Met de app Apple Configurator op een iPhone kun je die alsnog in Apple Business zetten. Zet de Mac aan en laat hem staan op het scherm voor land of regio. Daarna scan je met de iPhone het patroon op het scherm. De Mac moet Apple silicon of een T2-chip hebben, en hij moet gewist zijn. Let op: de eerste dertig dagen na inschrijving kan de gebruiker het apparaat nog losmaken.

7. Activation Lock onder controle

Activation Lock is de diefstalbeveiliging die een Mac koppelt aan een Apple Account. Vervelend als een vertrokken collega zijn privéaccount op een bedrijfs-Mac had staan. Staat de Mac in Apple Business, dan zet je Activation Lock daar uit, ook als de gebruiker het zelf aanzette. Nog een reden om elke Mac via Apple Business te laten lopen.

Op vrijdag stonden er vijf dozen bij de receptie. Karin vroeg of Ruud ze niet eerst wilde uitpakken. “Nee hoor”, zei Ruud, met een gezicht alsof hij dit al jaren zo deed. “Geef ze maar gewoon mee.” Om half elf zaten vijf werkvoorbereiders in Teams. Sam keek vanuit de deuropening toe en zei niks. Dat was zijn moment, en hij wist het.

De les van Ruud

Twintig jaar lang was ik trots op mijn perfecte image. Nu blijkt dat het mooiste image er een is dat je niet hoeft te maken. Je beschrijft hoe een Mac eruit moet zien en de Mac regelt de rest zelf. Het notitieblok met “Golden image Mac” heb ik bewaard. Als herinnering. Naast het certificaat van Windows 2000.

Lees verder: Apple Business, Entra ID en Intune voor het mkb en Mac in een Windows-netwerk.

Dit is aflevering 7 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.