Help, er staat een Mac op mijn netwerk (4): twee wachtwoorden, één gebruiker

Aflevering 4 van de serie Help, er staat een Mac op mijn netwerk.

Wat er gebeurde

Het was maandagochtend en het wachtwoordbeleid had weer toegeslagen. Elke 90 dagen een nieuw Microsoft 365-wachtwoord, zo had Ruud het ooit ingesteld, in een tijd dat dat nog als verstandig gold. Marieke had braaf een nieuw wachtwoord gekozen op haar telefoon. Daarna klapte ze haar MacBook Air open.

“Ruud, hij pakt mijn wachtwoord niet.”

Ruud zette zijn mok neer, die met “Have you tried turning it off and on again?”, en liep naar haar kamer. De Mac accepteerde alleen het oude wachtwoord. Het nieuwe? Schudden met het invoerveld, alsof hij nee zei.

“Dat is raar,” zei Ruud. “Bij Windows log je gewoon in met je werkaccount.” Hij dacht even na en loste het op zoals hij het kende: met het beheerdersaccount het wachtwoord van Mariekes Mac-account opnieuw instellen, op het nieuwe Microsoft-wachtwoord. Eén wachtwoord, klaar.

Niet klaar. Na het inloggen verscheen een venster: een app wilde de sleutelhanger gebruiken en vroeg om het wachtwoord. Marieke typte het nieuwe. Fout. Het oude. Goed. Twee minuten later wilde iets anders de sleutelhanger. Outlook meldde intussen dat ze opnieuw moest inloggen, en Teams sloot zich daar solidair bij aan.

“Ik heb nu drie wachtwoorden,” zei Marieke. “Volgens mij had ik er gisteren nog één.”

Sam kwam langs met een kop thee, keek over Ruuds schouder en zei: “Mag ik even?”

Wat er echt aan de hand is

Op een Windows-laptop die aan Entra ID gekoppeld is, ben je bij het inloggen al meteen je werkaccount. Er is één identiteit. Op Mariekes Mac zijn het er twee, en ze weten niets van elkaar.

• Het lokale macOS-account. Dat is het account dat Marieke zelf aanmaakte toen ze de Mac uitpakte. Het wachtwoord daarvan doet drie dingen tegelijk: inloggen, de schijf ontgrendelen (FileVault gebruikt het lokale wachtwoord als sleutel) en de inlogsleutelhanger openen.
• Haar Entra ID-identiteit. Dat is haar Microsoft 365-account. Dat gebruikt ze in Outlook, Teams en de browser.

Zonder extra configuratie lopen die twee los van elkaar. Wijzig je het Microsoft-wachtwoord, dan merkt de Mac daar niets van. Wel vervallen bij een wachtwoordwijziging de oude aanmeldtokens, dus Outlook en Teams willen opnieuw dat je inlogt. Dat is normaal en eenmalig.

Het sleutelhangerprobleem heeft Ruud zelf veroorzaakt, met de beste bedoelingen. Als je je wachtwoord wijzigt in Systeeminstellingen, en je het oude dus kent, werkt macOS de inlogsleutelhanger netjes mee bij. Als een beheerder het wachtwoord opnieuw instelt, gebeurt dat niet. De sleutelhanger blijft dan op slot met het oude wachtwoord, en elke app die erin wil kijken, vraagt daarom.

Platform SSO: één identiteit op de Mac

Microsoft en Apple hebben hier een echte oplossing voor: Platform SSO. Die zit in de Microsoft Enterprise SSO plug-in, die wordt meegeleverd met de Company Portal-app. Je configureert het met een Intune-beleid uit de settings catalog. Er zijn drie methodes:

• Wachtwoord (password sync). Het Entra ID-wachtwoord vervangt het lokale wachtwoord en ze blijven synchroon. Wijzig je het in Microsoft 365, dan vraagt de Mac binnen een paar uur om het nieuwe wachtwoord. Daarna is er weer één. Dit is het dichtst bij wat Windows-gebruikers gewend zijn.
• Secure Enclave-sleutel. Microsofts aanbeveling. De Mac maakt een sleutel aan in de beveiligingschip, vergelijkbaar met Windows Hello for Business. Inloggen bij Microsoft-diensten gaat dan zonder wachtwoord en is phishingbestendig. Het lokale wachtwoord blijft wel bestaan en verandert niet mee: dat is het wachtwoord voor je Mac en FileVault, niet meer voor Microsoft.
• Smartcard. Inloggen met een smartcard of een compatibele hardwaresleutel en een pincode. Voor de meeste mkb-bedrijven niet nodig.

Bij alle drie werkt Touch ID om te ontgrendelen. Alleen na een herstart moet je eerst een keer het wachtwoord typen, omdat FileVault dan de schijf moet openen.

Zo los je het op

Vandaag: de sleutelhanger weer laten kloppen

1. Log uit en weer in met het nieuwe wachtwoord. Merkt macOS dat de sleutelhanger een ander wachtwoord heeft, dan krijg je een melding met de keuze om het sleutelhangerwachtwoord bij te werken (“Update Keychain Password”).
2. Kies bijwerken en vul het oude wachtwoord in. Vanaf nu opent de sleutelhanger met het nieuwe.
3. Oude wachtwoord echt kwijt? Dan kun je een nieuwe sleutelhanger aanmaken. Opgeslagen wachtwoorden in de oude lokale sleutelhanger ben je dan kwijt, alles in iCloud-sleutelhanger niet.
4. Laat Outlook en Teams één keer opnieuw inloggen. Daarna is het rustig.

Les voor de volgende keer: laat de gebruiker het wachtwoord zelf wijzigen in Systeeminstellingen > Gebruikers en groepen. Een beheerdersreset is voor als iemand het echt kwijt is.

Structureel: Platform SSO uitrollen

1. Zorg dat de Mac in Intune zit, liefst via Apple Business en automatische apparaatinschrijving.
2. Rol Company Portal uit als verplichte app. Daar zit de SSO-extensie in.
3. Maak in Intune een settings catalog-beleid aan: Authentication > Extensible Single Sign On (SSO). Kies bij Platform SSO de methode (Password, UserSecureEnclaveKey of SmartCard) en neem de overige waarden over uit de handleiding van Microsoft Learn.
4. Wijs het toe aan een gebruikersgroep. De gebruiker krijgt een melding “Registratie vereist”, logt in met het werkaccount, doet MFA en bevestigt met het Mac-wachtwoord. Daarna is de Mac Entra-joined.
5. Controleer in Terminal met app-sso platform -s of de registratie gelukt is.

Kies je password sync, zorg dan dat het lokale wachtwoordbeleid in Intune niet strenger is dan dat in Entra ID. Anders mislukt de synchronisatie. En nu we het er toch over hebben: Microsoft raadt zelf af om wachtwoorden periodiek te laten verlopen. Een sterk wachtwoord met MFA is beter dan elke drie maanden “Voorjaar2026!” gevolgd door “Zomer2026!”.

Sam had de sleutelhanger binnen een minuut bijgewerkt. “Op mijn vorige stage hadden ze Platform SSO,” zei hij. “Daar wist niemand meer dat de Mac een eigen wachtwoord had.” Ruud mompelde dat dat in Windows gewoon onder Accounts zat, en schreef “Platform SSO” op een geeltje.

De les van Ruud

Een Mac heeft een eigen geheugen voor wie jij bent, en dat vergeet hij niet zomaar omdat Microsoft iets anders zegt. Je kunt die twee met de hand gelijk houden, of je laat Platform SSO het doen. Ruud kiest voortaan het tweede. Het geeltje hangt naast het Windows 2000-certificaat.

Meer lezen: Apple Business, Entra ID en Intune in het mkb, Outlook, Teams en Microsoft 365 op de Mac en Wachtwoorden van Google naar Apple.

Dit is aflevering 4 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.