News
Help, er staat een Mac op mijn netwerk (1): de directeur heeft een MacBook
Aflevering 1 van de serie Help, er staat een Mac op mijn netwerk.
Wat er gebeurde
Maandagochtend, kwart over acht. Ruud zat net met zijn mok (“Have you tried turning it off and on again?”) achter zijn scherm toen Marieke binnenkwam. Onder haar arm: een witte doos. Op haar gezicht: de blik van iemand die op een congres is geweest.
“Ruud, ik heb een MacBook Air gekocht. Iedereen had er een. Ik heb er een goed gevoel over. Kan hij vandaag op het netwerk? En in Outlook? En Teams?”
Ruud zette zijn koffie neer. Twintig jaar Windows. Hij had NT4 overleefd, Vista, en de dag dat iemand de printserver herstartte tijdens de loonstrook. Hij kon dit ook.
Tien minuten later zat hij naar een scherm te kijken zonder Startknop. “Waar is de rechtermuisknop?” Hij klikte nog eens. Er gebeurde niets bijzonders. Hij sloot een venster met het rode rondje linksboven en zag tot zijn verbazing dat Safari gewoon bleef draaien, met een stipje onder het icoon onderin. “In Windows zat dat gewoon onder het kruisje…”
Sam kwam langs met een broodje. Keek even over zijn schouder. “Mag ik even?” Twee vingers op het trackpad, tik. Een menu. “Zo. En Command is je Ctrl, grotendeels.”
Marieke stond er stralend naast. “Zie je, het is makkelijk.”
“Heb je hem al ingesteld?” vroeg Ruud voorzichtig.
“Ja, gisteravond thuis. Met mijn eigen Apple-account. Mijn foto’s staan er al op.”
Ruud keek naar Sam. Sam keek naar Ruud. Er viel een stilte van het soort dat je alleen kent als iemand zegt dat hij “even zelf iets heeft aangepast in de firewall”.
Wat er echt aan de hand is
Er spelen hier twee dingen. Het eerste is onwennigheid, en die is na een middag weg. Een Mac werkt niet moeilijker dan Windows, alleen anders. De menubalk zit altijd bovenaan het scherm en hoort bij de app die op dat moment actief is, niet bij het venster. Het Dock onderin is je taakbalk en snelstarter in één. De Finder is je Verkenner. Systeeminstellingen is je Configuratiescherm plus Instellingen, maar dan op één plek. En met Command+Spatie open je Spotlight, waarmee je apps, bestanden en instellingen vindt zonder te weten waar ze staan. Het idee dat een app blijft draaien als je het laatste venster sluit, is even wennen, maar logisch: je sluit een document, niet het programma. Echt stoppen doe je met Command+Q.
Het tweede is het echte probleem. Deze MacBook is van het bedrijf, maar hij is ingesteld als privéapparaat. Er zit geen beheer op, geen FileVault-sleutel in je beheeromgeving, geen compliance, geen manier om hem op afstand te wissen als hij in de trein blijft liggen. In Windows-termen: iemand heeft een laptop uit de doos gehaald, een lokaal account aangemaakt en vraagt nu of hij “even in het domein” kan. Dat kun je doen, maar je wilt het goed doen.
Op de Mac heet de nette route Automated Device Enrollment (ADE). Is de Mac via een reseller gekocht die gekoppeld is aan jouw Apple Business-account, dan staat hij daar automatisch in. Je wijst hem toe aan Intune, en zodra iemand de Mac aanzet doorloopt de Setup Assistant (de installatie-assistent bij de eerste start) meteen jullie inschrijving. Vergelijk het met Autopilot: uit de doos, inloggen, klaar, en beheerd.
Daarnaast is er het verschil tussen accounts. Een Beheerd Apple-account (Managed Apple Account) is van de organisatie, aangemaakt in Apple Business en eventueel gekoppeld aan Microsoft Entra ID, zodat mensen inloggen met hun werkgegevens. Een privé Apple-account is van Marieke zelf, met haar foto’s en haar iCloud. Die twee mag je niet door elkaar laten lopen. Werkdata hoort niet in een privé-iCloud, en vakantiefoto’s horen niet in jouw beheeromgeving.
Zo los je het op
Eerst de basis: zo bedien je hem
| In Windows | Op de Mac |
|---|---|
| Rechtermuisknop | Tik met twee vingers op het trackpad, of Control+klik |
| Ctrl+C, Ctrl+V, Ctrl+Z | Command+C, Command+V, Command+Z |
| Kruisje rechtsboven sluit het programma | Rood rondje linksboven sluit het venster, Command+Q stopt de app |
| Taakbalk en Startmenu | Dock onderin, menubalk bovenin |
| Verkenner | Finder |
| Instellingen en Configuratiescherm | Systeeminstellingen |
| Windows-toets en typen | Command+Spatie (Spotlight) |
| Alt+Tab | Command+Tab |
| Ctrl+Alt+Del, Taakbeheer | Command+Option+Esc (Forceer stop), of Activiteitenweergave |
Dan het echte werk: inschrijven
- Zoek uit waar de Mac gekocht is. Via een Apple Authorised Reseller of bij Apple zelf op naam van het bedrijf, met jullie Apple Business-klantnummer erbij? Kijk dan in Apple Business of het serienummer er staat. Staat hij er, wijs hem toe aan je Intune-MDM-server en zorg dat er in Intune een ADE-inschrijvingsprofiel klaarstaat.
- Niet via een gekoppelde reseller gekocht? Dan kun je hem met Apple Configurator voor iPhone alsnog aan Apple Business toevoegen. Voorwaarden volgens Apple: een Mac met Apple silicon of T2-chip, macOS 12.0.1 of nieuwer, iOS 16 of nieuwer op de iPhone, en een Mac die nog in de Setup Assistant staat. Je stopt bij het scherm Kies je land of regio, scant met de iPhone de animatie op het scherm (of koppelt handmatig met een zescijferige code) en de Mac verschijnt in Apple Business. Apple geeft daarna een voorlopige periode van 30 dagen waarin de gebruiker de Mac zelf uit beheer kan halen. Wijs hem pas toe aan Intune en ga dan pas verder met de installatie.
- Maar Marieke heeft hem al ingesteld. Precies. Voor ADE en Configurator moet de Mac terug naar de Setup Assistant, dus eerst wissen. Laat haar thuis haar foto’s veilig in iCloud zetten, en kies dan in Systeeminstellingen > Algemeen > Zet over of stel opnieuw in de optie Wis alle inhoud en instellingen. Dat is een kwartiertje, geen herinstallatie van een hele middag.
- Kan wissen echt niet vandaag? Dan is er de route zonder wissen: door de gebruiker gestarte inschrijving via de Intune Bedrijfsportal (Company Portal). Marieke installeert het pakket, logt in met haar werkaccount, installeert het beheerprofiel en keurt het goed in Systeeminstellingen. Let op: Microsoft raadt dit af voor apparaten die van de organisatie zijn, en het apparaat wordt standaard als persoonlijk gemarkeerd. Je kunt het serienummer wel als bedrijfsapparaat opgeven, maar je mist supervisie en het profiel is minder stevig vastgezet. Zie het als tijdelijke pleister, en plan de nette herinschrijving.
- Regel de accounts. Werk gaat via haar Microsoft 365-account en, waar Apple-diensten nodig zijn, een Beheerd Apple-account. Haar privé Apple-account mag ze gebruiken voor de App Store en haar eigen spullen, maar spreek af dat werkbestanden in OneDrive of SharePoint staan, niet in iCloud Drive.
Checklist voor dag 1
- Serienummer gecontroleerd in Apple Business, toegewezen aan Intune.
- Inschrijving gelukt, apparaat zichtbaar als bedrijfsapparaat in Intune.
- FileVault aan, herstelsleutel opgeslagen in Intune.
- Bedrijfs-wifi via een profiel uit Intune, niet met het wachtwoord op een geeltje.
- Microsoft 365-apps, Teams en Bedrijfsportal uitgerold, gebruiker ingelogd.
- Gebruiker is standaardgebruiker, of je hebt bewust gekozen voor een beheerdersaccount.
- Updates via een Intune-beleid geregeld, zodat de directeur niet drie versies achterloopt.
- Vijf minuten uitleg: rechtsklik, Command+Q, Spotlight. Scheelt je vijf telefoontjes.
De les van Ruud
Een Mac is net een nieuwe collega: na een middag weet je waar de koffie staat, maar je laat hem niet zonder pasje het gebouw in. Leer de knoppen in een uur, en neem voor de inschrijving gewoon een dag. Dat is geen wantrouwen. Dat is beheer.
Verder lezen: Apple Business, Entra ID en Intune voor het mkb, Outlook, Teams en Microsoft 365 op de Mac en Switch to Mac.
Dit is aflevering 1 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.