Zo vergrendel je het Dock op een bibliotheek- of publieke Mac

Een publieke Mac faalt anders

Een Mac in een klaslokaal heeft dertig mensen die je kunt vertellen iets niet te doen. Een Mac in een bibliotheek of voor inloop heeft dat niet, en dat verandert waar je je eigenlijk tegen beschermt.

• Niemand meldt het. Een student zegt dat het Dock er raar uitziet. Iemand van het publiek die een Dock op halve grootte aantreft, neemt aan dat de computer nu eenmaal zo is, gebruikt hem toch, en vertrekt. Het wegdriften stapelt zich maandenlang stilletjes op.
• Het Dock is de hele interface. Iemand die nog nooit een Mac heeft gebruikt, heeft geen Launchpad-gewoonte, geen Spotlight-gewoonte en geen idee waar de menubalk voor dient. Is de app die diegene nodig heeft van het Dock gesleept, dan bestaat die niet meer.
• Sessies zijn kort en anoniem. Niemand is genoeg betrokken om het terug te zetten, en niemand is identificeerbaar genoeg om het te vragen.
• Het is bijna nooit kwade opzet. Het is een hand die op de scheidingslijn rust, een pictogram dat twee pixels te ver wordt gesleept, een verdwaalde knijpbeweging op het trackpad.

De ene plek waar een publieke Mac makkelijker is

Publieke apparaten draaien meestal op één account dat permanent is aangemeld en nooit uitlogt. Dat maakt de gewone defaults-route hier duurzamer dan in een klaslokaal met accounts per leerling, omdat er maar één account is waar de instellingen in kunnen staan.

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

Elk daarvan grijst het bijbehorende bedieningselement in Systeeminstellingen uit, zodat het helemaal niet vanuit de interface kan worden gewijzigd. Ze overleven een herstart, een slaapstand en een macOS-update. De volledige lijst met het type van elke sleutel staat in alle defaults-commando's voor het Mac Dock.

De sectie met recente apps, die hier een privacyprobleem is

macOS voegt rechts van het Dock een sectie toe met recent gebruikte apps. Op je eigen Mac is dat handig. Op een inloop-Mac is het een lijst van wat de vorige persoon opende, getoond aan de volgende persoon die gaat zitten.

defaults write com.apple.dock show-recents -bool false
killall Dock

De vier vergrendelingen hierboven verwijderen dit niet, want het is een aparte instelling. Schakel hem bewust uit. Meer hierover in hoe je voorkomt dat recente apps in het Dock verschijnen.

De valkuil van het herstelimage

Veel publieke Macs zijn ingesteld om terug te keren naar een bekende toestand, via imaging-software of door bij het herstarten een schijfsnapshot te herstellen. Dat is de juiste manier om zo'n apparaat te beheren, en het heeft één gevolg dat mensen op de harde manier tegenkomen:

Alles wat je configureert nadat de basisimage is vastgelegd, wordt de volgende keer dat de machine wordt hersteld ongedaan gemaakt. Je Dock-vergrendelingen zijn configuratie. Stel ze in, bevestig ze, en leg pas dan de image vast. Is de Mac al in gebruik, dan hoort de wijziging in de basisimage, niet in de lopende sessie, anders stel je het elke ochtend opnieuw in en vraag je je af waarom.

Hetzelfde geldt voor de instelling voor recente apps en voor de daadwerkelijke inhoud van het Dock. Richt het Dock precies zo in als het publiek het zou moeten aantreffen, en leg dan pas de image vast.

Wie kan wat ongedaan maken

Het loont om precies te zijn, want de drie mechanismen zijn niet onderling verwisselbaar.

• Een defaults-commando wordt ongedaan gemaakt door een ander defaults-commando. Iedereen die Terminal kan openen, heft alle vier binnen een minuut op.
• Een configuratieprofiel dat je handmatig installeert blijft standhouden na Terminal, na een herstart en na het verwijderen van wat het ook heeft aangemaakt. Het geldt voor de login die het heeft geïnstalleerd, en het kan altijd bewust worden verwijderd via Systeeminstellingen, Algemeen, Apparaatbeheer. Dat is opzettelijk: niemand mag vastzitten met een Dock dat hij niet kan ontgrendelen.
• Een configuratieprofiel dat door een MDM wordt gepusht is het enige soort dat echt onverwijderbaar gemaakt kan worden en gericht kan worden op elk account op het apparaat. Als de bibliotheek deze Macs al centraal beheert, hoort dit daar thuis.

Voor een openbare machine zonder Terminal-toegang in handen van het publiek zijn de gewone vergrendelingen meestal genoeg. Voor een machine waar Terminal bereikbaar is, zijn ze dat niet.

Een verstandige opzet voor een inloop-Mac

1. Zet het Dock precies zo neer als het publiek het zou moeten aantreffen, en verwijder alles wat ze niet nodig hebben.
2. Schakel recente apps uit, zodat het gedeelte stopt met het tonen van het werk van de laatste persoon.
3. Pas alle vier de vergrendelingen toe.
4. Als Terminal bereikbaar is, lever de vergrendelingen dan via een configuratieprofiel in plaats van via een commando.
5. Leg het herstelimage nu vast, niet eerder.
6. Noteer wat je instelt, en waar. Een vergrendeling zonder verslag is een raadsel voor wie de machine erft.

Veelgestelde vragen

Voorkomt dit dat iemand apps opent die diegene niet zou moeten openen?

Nee. Het voorkomt dat het Dock verandert. Beperken welke apps mogen draaien is een aparte kwestie, en dat hoort thuis bij Schermtijd of je beheertool. De twee gaan prima samen en lossen verschillende problemen op.

De Mac wist zichzelf toch al bij een herstart. Heb ik dit dan nog nodig?

Alleen als de herstart vaak genoeg gebeurt. Een machine die elke nacht wordt hersteld, drijft toch een hele dag lang af, en de afwijking is het grootst in de middag, wanneer de meeste mensen hem hebben gebruikt.

Overleven de vergrendelingen een macOS-update?

Ja. Ze staan in de voorkeuren van het account en niet in het systeem, dus een update laat ze met rust. Een herstelimage vervangt ze daarentegen door wat de basisinstelling voorschrijft.

Wat als er een apart gast- of bezoekersaccount is?

Voorkeuren worden per account opgeslagen, dus alles wat in de ene login is ingesteld, verschijnt niet in een andere. Stel de vergrendelingen in op het account dat het publiek daadwerkelijk gebruikt. Als dat account er een is dat macOS tussen sessies wist, verdwijnen de instellingen daarmee mee, en is een apparaatgebonden profiel van een beheertool het antwoord, in plaats van een commando.

Is dit anders dan een klaslokaal- of receptie-Mac?

De commando's zijn identiek. De situaties niet: een klaslokaal heeft accounts, toezicht en iemand om het aan te vertellen, en een receptiebalie heeft een tweede scherm dat een klant kan zien. Zie het Dock vergrendelen op een school-Mac, op een receptie- of showroom-Mac, op een gezins-Mac, of de handleiding voor een gedeelde Mac voor het algemene geval.