Help, er staat een Mac op mijn netwerk (5): ik heb op Sta niet toe gedrukt

Aflevering 5 van de serie Help, er staat een Mac op mijn netwerk.

Wat er gebeurde

Het was niet bij Marieke gebleven. Karin van de receptie had een week eerder ook een MacBook gekregen, “want dan kan ik Marieke helpen als zij iets niet snapt”. Een nobel plan. Het probleem was alleen dat Karin nu zelf iets niet snapte, en dat ze op de eerste verdieping zat terwijl Ruud beneden zat.

Geen punt, dacht Ruud. Hij deed dit al twintig jaar zo. Karin kon TeamViewer installeren, ze las de code voor, Ruud tikte hem in en leunde achterover met zijn mok “Have you tried turning it off and on again?”.

Hij kreeg een bureaublad te zien. Een prachtige foto van een bergmeer. Verder niets. Geen vensters, geen Dock, geen Karin.

“Karin, zie jij je mail open staan?”

“Ja, gewoon. Zie jij hem niet?”

“Ik zie een meer.”

Na wat heen en weer kreeg Ruud wel beeld. Dat was winst. Maar klikken deed niets. Hij bewoog zijn muis, de cursor bleef bij Karin gewoon staan waar hij stond. Het voelde als een computer besturen door een etalageruit.

“Heb je toevallig ergens meldingen gezien toen je TeamViewer opstartte?”

Het bleef even stil aan de andere kant. “Er kwamen een paar schermpjes. Iets met opnemen en iets met toegankelijkheid. Ik dacht: ik ga echt niet toestaan dat iets mijn scherm opneemt. Dus ik heb overal op Sta niet toe gedrukt.”

Ruud zette zijn mok neer. Hij kon Karin niets kwalijk nemen. Hij had haar zelf drie jaar lang op het hart gedrukt om nooit zomaar op Toestaan te klikken.

“In Windows zat dat gewoon…” begon hij, maar Sam stond al in de deuropening. “Mag ik even? Ik loop wel even naar boven.”

Wat er echt aan de hand is

Karin deed precies wat ze moest doen. macOS vraagt per app toestemming voordat die iets gevoeligs mag, en zij zei nee. Het systeem erachter heet TCC (Transparency, Consent and Control). Het is ongeveer wat de privacyinstellingen voor camera en microfoon in Windows 11 zijn, maar dan veel breder en veel strenger. Ook als je beheerder bent op de Mac, moet elke app apart toestemming krijgen voor elke gevoelige functie.

Voor hulp op afstand zijn er drie die ertoe doen:

• Scherm- en systeemaudio-opname. Zonder deze toestemming mag een app het scherm niet uitlezen. TeamViewer, AnyDesk en Splashtop laten je dan alleen de bureaubladachtergrond zien, of een zwart scherm. Dat bergmeer van Ruud dus.
• Toegankelijkheid. Hiermee mag een app de muis en het toetsenbord besturen. Zonder dit kijk je mee, maar klik je in het luchtledige.
• Volledige schijftoegang. Niet nodig om mee te kijken, maar wel als je via de supporttool bestanden wilt overzetten of in mappen als Mail en Berichten wilt kunnen.

Een paar dingen die Windowsbeheerders vaak overvallen:

• Een keer Sta niet toe en de app vraagt het meestal niet nog eens. Het staat dan gewoon uit in Systeeminstellingen, en daar moet je het zelf weer aanzetten.
• Na het aanzetten van schermopname moet de app opnieuw starten. macOS biedt dat zelf aan met een knop als Stop en open opnieuw. Wie dat wegklikt, houdt een zwart scherm tot de volgende herstart van de app.
• Sinds macOS Sequoia (15) komt er bovendien periodiek een herinnering: apps die het scherm kunnen opnemen, moeten zo nu en dan opnieuw bevestigd worden, met een knop als Sta toe voor een maand. Tijdens de bèta was dat nog wekelijks, Apple heeft er maandelijks van gemaakt. Wie die melding wegklikt met de verkeerde knop, staat de volgende keer weer met een bergmeer.

Het is geen pesterij van Apple. Een app die je scherm kan zien en je muis kan besturen, kan alles wat jij kunt. Apple wil dat de gebruiker dat bewust weet. Dat Karin het eerst afwees, is eigenlijk het systeem dat werkt.

Zo los je het op

Op de Mac zelf

1. Open Systeeminstellingen > Privacy en beveiliging.
2. Ga naar Scherm- en systeemaudio-opname en zet de schakelaar aan bij TeamViewer (of de tool die je gebruikt). Staat de app er niet tussen, voeg hem dan toe met de plusknop.
3. Doe hetzelfde bij Toegankelijkheid.
4. Alleen als je bestanden wilt overzetten: ook bij Volledige schijftoegang.
5. Kies Stop en open opnieuw als macOS daarom vraagt, of start de app zelf opnieuw.

Let op: standaard vraagt macOS hierbij om een beheerderswachtwoord. Werkt Karin met een standaardaccount, dan heeft ze jou of Sam nodig. Tenzij je het vooraf regelt, en dat is het betere plan.

Vooraf regelen met Intune

Met een PPPC-profiel (Privacy Preferences Policy Control) kun je via de Settings catalog in Intune deze toestemmingen per app vastleggen. Er zit wel een Apple-regel in die je moet kennen:

• Toegankelijkheid en Volledige schijftoegang mag MDM gewoon op Allow zetten. De gebruiker merkt er niets van.
• Schermopname mag MDM nooit zelf aanzetten. Het maximale is Allow Standard User To Set System Service: de gebruiker moet dan nog steeds zelf de schakelaar omzetten, maar heeft er geen beheerderswachtwoord meer voor nodig.

Voor die maandelijkse herinnering kent macOS sinds 15.1 een beheersleutel, forceBypassScreenCaptureAlert, die de herhaalmelding onderdrukt op beheerde Macs. De eerste toestemming blijft nodig, alleen het maandelijkse geknik vervalt. Test hem eerst op een paar Macs, want hij was lang slecht gedocumenteerd.

Welke tool dan?

• Quick Assist kun je vergeten. Dat is een Windows-app, voor de Mac bestaat hij niet.
• Intune Remote Help werkt wel op de Mac, met een eigen app (Microsoft Remote Help) die zowel meekijken als overnemen kan. Er is ook een webversie, maar die kan alleen meekijken. Remote Help is een betaalde add-on (of onderdeel van de Intune Suite) en heeft dezelfde twee toestemmingen nodig. Microsoft publiceert in de documentatie precies het PPPC-profiel dat je ervoor nodig hebt.
• TeamViewer, AnyDesk en Splashtop werken prima op de Mac, als de toestemmingen goed staan. Ze leveren allemaal een handleiding met de juiste bundle ID’s voor je PPPC-profiel.
• Ingebouwd: onder Systeeminstellingen > Algemeen > Delen vind je Schermdeling en Extern beheer. Dat laatste is wat Apple Remote Desktop gebruikt. Handig voor Mac naar Mac op het eigen netwerk, minder handig voor een Windowsbeheerder thuis op de bank.

Boven bij Karin duurde het precies vier minuten. Sam liet haar zelf de schakelaars omzetten, “dan weet je het de volgende keer”, en legde uit dat Sta niet toe een prima reflex is, zolang je weet wie er vraagt. Toen Ruud weer verbinding maakte, zag hij geen bergmeer meer maar Karins mail. Hij klikte op een map. Het werkte. Sam had intussen op een geeltje geschreven: “PPPC-profiel maken voor TeamViewer. Vóór de volgende Mac.”

De les van Ruud

Op een Mac is Sta niet toe geen fout van de gebruiker, het is de beveiliging die doet waarvoor hij gebouwd is. Wil je niet elke keer een trap op, regel de toestemmingen dan vooraf met een profiel. En die ene die Apple je niet laat regelen, schermopname, die leg je gewoon uit. Karin snapt het. Ze snapte het eigenlijk al voordat ik belde.

Meer lezen: Apple Business, Entra ID en Intune en Mac in een Windows-netwerk.

Dit is aflevering 5 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.