So sperrst du das Dock auf einem Bibliotheks- oder Publikums-Mac

Ein öffentlicher Mac versagt anders

Ein Klassenzimmer-Mac hat dreißig Leute, denen man sagen kann, etwas nicht zu tun. Ein Bibliotheks- oder Publikums-Mac hat davon nichts, und das ändert, wogegen du dich eigentlich verteidigst.

• Niemand meldet es. Ein Schüler sagt, das Dock sehe komisch aus. Ein Besucher, der ein Dock in halber Größe vorfindet, nimmt an, dass es so gehört, benutzt es trotzdem und geht wieder. Die Abweichung sammelt sich monatelang im Stillen an.
• Das Dock ist die ganze Oberfläche. Wer noch nie einen Mac genutzt hat, hat keine Launchpad-Gewohnheit, keine Spotlight-Gewohnheit und keine Ahnung, wofür die Menüleiste ist. Wurde die App, die er braucht, aus dem Dock gezogen, existiert sie nicht.
• Sitzungen sind kurz und anonym. Niemand ist genug investiert, um es zurückzustellen, und niemand ist identifizierbar genug, um zu fragen.
• Es ist fast nie Absicht. Es ist eine Hand, die auf der Trennlinie ruht, ein Symbol, das zwei Pixel zu weit gezogen wurde, ein versehentliches Zusammenziehen auf dem Trackpad.

Der eine Punkt, wo ein öffentlicher Mac einfacher ist

Öffentliche Geräte laufen meist mit einem einzigen Account, der dauerhaft angemeldet ist und sich nie abmeldet. Das macht den gewöhnlichen defaults-Weg hier haltbarer als in einem Klassenzimmer mit Logins pro Schüler, denn es gibt nur einen Account, in dem die Einstellungen liegen.

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

Jede davon graut das passende Bedienelement in den Systemeinstellungen aus, es kann also über die Oberfläche gar nicht geändert werden. Sie überstehen einen Neustart, einen Ruhezustand und ein macOS-Update. Die vollständige Liste mit dem Typ jedes Schlüssels steht unter jeder Mac-Dock-defaults-Befehl.

Der Bereich der zuletzt genutzten Apps, der hier ein Datenschutzproblem ist

macOS fügt rechts im Dock einen Bereich mit zuletzt genutzten Anwendungen hinzu. Auf deinem eigenen Mac ist das praktisch. Auf einem Publikums-Mac ist es eine Liste dessen, was die vorherige Person geöffnet hat, gezeigt der nächsten Person, die sich hinsetzt.

defaults write com.apple.dock show-recents -bool false
killall Dock

Die vier Sperren oben entfernen es nicht, denn es ist eine eigene Einstellung. Schalt es absichtlich aus. Mehr dazu unter wie du verhinderst, dass zuletzt genutzte Apps im Dock erscheinen.

Die Wiederherstellungsimage-Falle

Viele öffentliche Macs sind so eingestellt, dass sie zu einem bekannten Zustand zurückkehren, entweder durch Imaging-Software oder durch das Wiederherstellen eines Festplatten-Snapshots beim Neustart. Das ist der richtige Weg, ein solches Gerät zu betreiben, und es hat eine Konsequenz, die Leute auf die harte Tour lernen:

Alles, was du nach der Erfassung der Grundeinrichtung einstellst, wird beim nächsten Zurücksetzen des Geräts rückgängig gemacht. Deine Dock-Sperren sind Konfiguration. Stell sie ein, bestätige sie, und erst dann erfasse das Image. Ist der Mac bereits im Einsatz, gehört die Änderung in die Grundeinrichtung, nicht in die laufende Sitzung, sonst stellst du sie jeden Morgen erneut ein und fragst dich, warum.

Dasselbe gilt für die Einstellung der zuletzt genutzten Apps und für den tatsächlichen Inhalt des Docks. Ordne das Dock genau so an, wie die Öffentlichkeit es vorfinden soll, und erfasse dann.

Wer was rückgängig machen kann

Es lohnt sich, präzise zu sein, denn die drei Mechanismen sind nicht austauschbar.

• Ein defaults-Befehl wird durch einen anderen defaults-Befehl rückgängig gemacht. Jeder, der das Terminal öffnen kann, hebt alle vier in einer Minute auf.
• Ein von Hand installiertes Konfigurationsprofil hält durch das Terminal, durch einen Neustart, und durch das Löschen dessen, was es erstellt hat, hindurch. Es gilt für die Anmeldung, die es installiert hat, und lässt sich unter Systemeinstellungen, Allgemein, Geräteverwaltung trotzdem absichtlich entfernen. Das ist Absicht: Niemand sollte mit einem Dock zurückbleiben, das er nicht entsperren kann.
• Ein von einem MDM ausgerolltes Konfigurationsprofil ist die einzige Variante, die wirklich unentfernbar gemacht und auf jeden Account des Geräts bezogen werden kann. Verwaltet die Bibliothek diese Macs bereits zentral, gehört es genau dorthin.

Für ein öffentliches Gerät ohne Terminal-Zugriff in den Händen der Öffentlichkeit reichen die gewöhnlichen Sperren meist aus. Bei einem, wo das Terminal erreichbar ist, reichen sie nicht.

Eine sinnvolle Einrichtung für einen Publikums-Mac

1. Ordne das Dock genau so an, wie die Öffentlichkeit es vorfinden soll, und entferne alles, was sie nicht braucht.
2. Schalte die zuletzt genutzten Apps aus, damit der Bereich nicht mehr die Arbeit der letzten Person zeigt.
3. Wende alle vier Sperren an.
4. Wenn das Terminal erreichbar ist, liefere die Sperren per Konfigurationsprofil statt per Befehl aus.
5. Erfasse das Wiederherstellungsimage jetzt, nicht vorher.
6. Schreib auf, was du eingestellt hast, und wo. Eine Sperre ohne Notiz ist ein Rätsel für jeden, der das Gerät übernimmt.

Häufige Fragen

Verhindert das, dass jemand Apps öffnet, die er nicht sollte?

Nein. Sie verhindert, dass sich das Dock ändert. Einzuschränken, welche Apps laufen dürfen, ist eine eigene Angelegenheit, dafür sind die Bildschirmzeit oder dein Verwaltungswerkzeug zuständig. Beide vertragen sich gut und lösen unterschiedliche Probleme.

Der Mac setzt sich beim Neustart ohnehin zurück. Brauche ich das trotzdem?

Nur wenn der Neustart oft genug passiert. Ein Gerät, das sich jede Nacht zurücksetzt, driftet trotzdem einen ganzen Tag lang, und am Nachmittag, wenn die meisten Leute es benutzt haben, ist die Abweichung am größten.

Überstehen die Sperren ein macOS-Update?

Ja. Sie liegen in den Einstellungen des Accounts statt im System, ein Update lässt sie also in Ruhe. Ein Wiederherstellungsimage dagegen ersetzt sie durch das, was die Grundeinrichtung enthält.

Was, wenn es einen eigenen Gast- oder Besucheraccount gibt?

Einstellungen werden pro Account gespeichert, alles, was in einer Anmeldung eingestellt wird, erscheint also nicht in einer anderen. Stell die Sperren in dem Account ein, den die Öffentlichkeit tatsächlich nutzt. Ist dieser Account einer, den macOS zwischen Sitzungen leert, gehen die Einstellungen mit ihm verloren, und die Antwort ist ein geräteweites Profil von einem Verwaltungswerkzeug statt ein Befehl.

Ist das anders als bei einem Klassenzimmer- oder Empfangs-Mac?

Die Befehle sind identisch. Die Situationen nicht: Ein Klassenzimmer hat Accounts, Aufsicht und jemanden, den man informieren kann, und ein Empfang hat einen zweiten Bildschirm, den ein Kunde sehen kann. Siehe das Dock auf einem Klassenzimmer-Mac sperren, auf einem Empfangs- oder Vorführ-Mac, auf einem Familien-Mac, oder die Anleitung zu gemeinsam genutzten Macs für den allgemeinen Fall.