Je accounts en sleutels: de accountwizard

Lees dit eerst. Elke sleutel, elk wachtwoord en elk token dat je hieronder aanmaakt, zet je op precies één plek: in onze 1Password, het 1Password van Canoniek, in de kluis die wij voor jou hebben aangemaakt. Dus niet in je eigen 1Password, dat je in onderdeel 1 aanmaakt: dat vullen wij bij de installatie. En ook niet in een chat met een AI, in een mail of in een notitie: wat in een gesprek met een AI staat, komt bij de maker van dat model terecht en blijft daar staan.

Hoe het werkt

Je brengt je Mac-server langs: de Mac waarop je AI-systeem straks dag en nacht draait. Nieuw hoeft niet; refurbished mag ook. Je zit achter onze computer, in een venster dat niets onthoudt (incognito), en je loopt deze pagina van boven naar beneden af. Per onderdeel: klik hier, doe deze stappen, zet wat je krijgt in onze 1Password, zet een vinkje. Een van ons zit naast je en helpt. Alles bij elkaar duurt het een ochtend; de Google-stap is het langst.

Wat je aanmaakt gaat in de kluis van <klantnaam>: een aparte kluis in onze 1Password, alleen voor jouw bedrijf. Daarmee installeren wij jouw AI-systeem op je Mac-server. De inlog van je eigen 1Password gaat er niet in: die houd je zelf. Stopt de samenwerking, dan verwijderen wij de kluis van <klantnaam>.

De vinkjes op deze pagina zijn alleen voor jou. De pagina slaat niets op.

Vooraf, thuis

Drie dingen, en meer niet. De rest doen we samen.

Je Mac-server is er. Een Mac met 32 GB geheugen, nieuw of refurbished; welke precies staat in Het traject. Laat hem in de doos; het uitpakken doen we hier, dat is stap 0.

Je hebt de core gelezen: de basisregels voor al je agenten. Je krijgt hem van ons en leest hem één keer, zodat je weet hoe je agenten werken.

Als iemand anders je Google- of Microsoft-omgeving beheert: je hebt de mail aan je beheerder verstuurd. Die mail staat klaar in onderdeel 3 (Google) of 3c (Microsoft); wij vullen hem met je in. Je beheerder doet dan dat hele onderdeel. Beheer je het zelf, dan is dit vinkje niets.

Wat je meeneemt: je telefoon (voor verificatiecodes en twee apps: 1Password en Tailscale), een creditcard van je bedrijf (voor 1Password en Claude, en op Google ook voor Gemini), de inloggegevens van je Google- of Microsoft-omgeving, en je Plaud als je er een hebt. Het moet echt een creditcard zijn: met een debitcard of een bankpas lukt het afrekenen bij 1Password en Claude niet.

Liever thuis alvast beginnen?

Dat kan. Je loopt de onderdelen dan thuis af, zonder een van ons ernaast; wat niet lukt, doen we samen als je je Mac-server brengt. Alleen het jaartoken van Claude (onderdeel 2, stap 4) maken we altijd samen, op onze computer.

Thuis heb je onze 1Password niet. Waar een stap zegt dat iets in onze 1Password gaat, zet je het in één document met een wachtwoord erop, met de naam van het item erbij. Pages, Numbers en Word kunnen een document met een wachtwoord afsluiten. Bewaar dat document op een usb-stick, en niet in iCloud, op je bureaublad of in een mail. Neem de stick mee als je je Mac-server brengt: dan zetten we alles samen in onze 1Password en wissen we het document.

Stap 0. Je Mac-server uitpakken en je gebruiker aanmaken

Dit gebeurt op je Mac-server, niet in de browser. Een van ons zit ernaast.

Pak je Mac-server uit, sluit hem aan en zet hem aan. Kies taal en land, en verbind met het wifi-netwerk hier.
Apple-account. De Mac vraagt of je wilt inloggen met een Apple-account (ook wel iCloud). Heb je er een, log dan in. Heb je er geen, maak er dan nu een aan met je zakelijke mailadres: dat mailadres is ook het adres waarop je straks de uitnodiging voor de Canoniek-app ontvangt, dus kies het adres dat je dagelijks leest. Wat je ziet: het inlogscherm van Apple, met onderaan de optie om een account aan te maken.
Je gebruiker. Vul je naam in en kies een wachtwoord voor deze Mac. Dit is het wachtwoord waarmee jij, en wij bij het installeren en repareren, op deze machine inloggen. Wat je ziet: een scherm met je volledige naam, de accountnaam en twee wachtwoordvelden.
Zeg dat wachtwoord tegen ons, of typ het zelf in onze 1Password: kluis <klantnaam>, nieuw item, type Login, naam Mac – gebruiker <klantnaam>, met je accountnaam en het wachtwoord. Dit item blijft bij ons; daarmee kunnen wij op afstand inloggen als er iets te repareren is.
Loop de rest van de configuratie-assistent door; de standaardkeuzes zijn goed, op één na: zet FileVault niet aan. Met FileVault vraagt de Mac na elke herstart eerst om een wachtwoord, en tot iemand dat intypt, starten je agenten niet. Wat je ziet: een scherm over FileVault, met een vinkje om je schijf te versleutelen. Zet dat vinkje uit.
Op het bureaublad aangekomen: Systeeminstellingen → Algemeen → Delen → Schermdeling aan. Daarmee kunnen wij straks meekijken en helpen zonder naast je te zitten. Wat je ziet: de lijst met deelopties; de schakelaar bij Schermdeling staat aan.
Je Mac-server valt niet in slaap. Open Systeeminstellingen → Batterij (bij een Mac mini: Energie) en zet deze schakelaar aan: Schakel sluimerstand niet automatisch in als het beeldscherm is uitgeschakeld. Op een MacBook staat hij bij Lichtnetadapter, soms onder Opties…. Het scherm mag wel uit.
Is je Mac-server een MacBook? Dan legt dichtklappen hem toch stil. Laat de deksel open, of zet de sluimerstand helemaal uit in Terminal. Terminal vraagt daarbij het wachtwoord van deze Mac.
```
sudo pmset -a disablesleep 1
```
Controleer het daarna:
```
pmset -g
```
In de uitkomst staat SleepDisabled 1. Laat hem altijd aan de lader: zonder het commando valt hij op de accu alsnog in slaap, en met het commando blijft hij wakker tot de accu leeg is.

Staat in onze 1Password: het wachtwoord van mijn gebruiker op mijn Mac-server. Staat uit: FileVault. Staat aan: Schermdeling. Valt niet in slaap: mijn Mac-server, ook als het scherm uit is.

Zet je Mac-server nu opzij. De rest gebeurt op onze computer; je Mac-server gebruiken we pas weer bij de installatie.

De onderdelen, in deze volgorde

Alles wat je in deze onderdelen aanmaakt, gaat in onze 1Password, in de kluis van <klantnaam>. In onderdeel 1 maak je ook je eigen 1Password aan: dat komt straks op je Mac-server, en bij de installatie komen de sleutels erin. Google komt vroeg, omdat het het traagste is.

#	onderdeel	wat er in onze 1Password landt
1	1Password — je eigen 1Password voor je Mac-server, en de sleutel waarmee je agenten erin kunnen	de tokens van je twee dienst-accounts; de inlog van je eigen 1Password houd je zelf
2	Claude — het model waarop je agenten draaien	je Claude-account en het jaartoken
3	Google Workspace — mail, agenda, documenten	je Google-inlog, het sleutelbestand van je dienst-account, en de sleutel voor Gemini
3b	Gemini — één sleutel voor de verdeler en onderzoek	werk je op Google, dan maak je hem in onderdeel 3; anders maken wij hem voor je
3c	Microsoft 365 — als je niet op Google werkt, in plaats van 3	de kenmerken en de sleutel van je app-registratie
4	GitHub — waar jouw systeem als code staat	je account, je gebruikersnaam en de sleutel voor je Mac-server
5	Plaud — de opnames van je gesprekken	niets: je Plaud-inlog blijft bij jou
6	Tailscale — jouw apparaten in ons netwerk, zodat de app en wij bij je Mac-server kunnen	niets: je logt in met je zakelijke account

Elk onderdeel heeft een eigen pagina met de stappen; de koppen hieronder linken ernaartoe. Op elke pagina staat bij elke sleutel die op je scherm verschijnt dezelfde regel: deze waarde nu meteen in onze 1Password, daarna het venster dicht.

Wat er bij de installatie gebeurt, op je Mac-server

De installatie doen wij, en daar hoef je niet bij te zijn: alles wat we nodig hebben, staat dan in onze 1Password. Vraagt een dienst ons daarbij om een bevestiging op jouw telefoon, dan sturen we je eerst een berichtje; die bevestiging doe je waar je ook bent. Je leest het hieronder alvast, zodat je het herkent.

Je eigen 1Password. Met het dienst-account voor de installatie, uit onderdeel 1, zetten wij een kopie van alles uit de kluis van <klantnaam> in je eigen kluis Agents, met precies de namen die je agenten verwachten: eerst één proefitem, dan de rest. Je inlog hebben wij niet, en ons eigen account komt nooit op je Mac-server.
De sleutel tot je kluis. Het token van je dienst-account komt op je Mac-server in een bestand dat alleen jouw gebruiker kan lezen. Een kopie blijft bij ons; daarmee repareren wij, en het opent alleen de kluis Agents.
Het jaartoken. Dat maakten we al in onderdeel 2, terwijl je bij ons zat. Wij zetten het op je Mac-server, en inloggen bij Claude hoeft daar dan niet meer: je agenten draaien op het token.
Google Drive. Wij loggen op je Mac-server in bij Google, met je Google-inlog uit onze 1Password; het programma dat je documenten leest, bewaart die toegang daarna zelf.
GitHub. Met de sleutel uit onze 1Password nemen wij de uitnodiging voor de blauwdruk voor je aan en zetten we je eigen opslag neer. Inloggen hoeft daarvoor niet.
Tailscale. Wij zetten je Mac-server in ons netwerk, met een sleutel van ons en een label met jouw naam. De toegangsregels zorgen dat alleen jouw apparaten en wij erbij kunnen.
De sleutel van onze verdeler. Je Mac-server haalt zijn post op bij onze verdeler. Het adres en de sleutel daarvoor zetten wij bij de installatie in je kluis.
Microsoft, als dat jouw omgeving is: de client secret die je beheerder maakt, via een eenmalige deellink en nooit per mail.

WhatsApp koppel je zelf, zodra je AI-systeem draait: je krijgt dan een code, en die vul je op je telefoon in, in WhatsApp onder Gekoppelde apparaten. Dat kan waar je ook bent.

Plaud koppelt je System-agent na de installatie, samen met jou: je logt één keer zelf in, en je inlog komt niet bij ons. Je opnames zijn van jou alleen.

Klaar

Alle vinkjes gezet? Dan staat alles wat wij nodig hebben op één plek, in onze 1Password, en is er niets op onze computer achtergebleven: sluit het incognitovenster, en leeg de Downloads-map en de prullenbak. Daarna beginnen wij aan de installatie.