Apple třída nejde části žáků? Chyba bývá ve spravovaných účtech

TL;DR pro spěchající: Když v Apple třídě „nejde“ jen část lidí, příčina bývá v účtech, ne v iPadech. Nejčastěji: osobní Apple účet na školní adrese, kvůli kterému ASM přidal ke spravovanému účtu číslo; účet, který se nikdy nepřihlásil; smazaní lidé v synchronizaci; a federace, která nesedí s typem kódu nebo s dvoufázovým ověřením. Předejdete jim zamčením domény, aktivací účtů hned při předání iPadu, mazáním na jednom místě a rozhodnutím o federaci dřív, než vzniknou účty.

Tři věty, které slyšíme po každém spuštění

Při zavádění Apple třídy ve školách se nám opakuje pár situací. Učitel otevře aplikaci a některé žáky v třídě nevidí, i když sedí vedle těch, které vidí. Žák se nepřihlásí na sdílený iPad, přestože kód opsal z papíru správně. Učitel chce žákovi v aplikaci Třída obnovit heslo a dostane hlášku „Vaše Apple ID není pro resetování hesla tohoto studenta autorizováno“.

První reflex je hledat chybu v iPadech nebo v síti. Pokud ale nefunguje jen část lidí, zatímco jejich spolužáci na stejných iPadech ve stejné učebně jedou bez potíží, je nastavení zařízení skoro jistě v pořádku. Příčina je v účtech.

Tenhle článek je návod pro ICT koordinátora a správce MDM: jak problém rychle zařadit, kde ho v Apple School Manageru ověřit, jak ho opravit a hlavně co dělat od začátku, aby k němu vůbec nedošlo.

Rychlá diagnostika

Než začnete cokoli měnit, otevřete Apple School Manager (dál jen ASM) a najděte v seznamu uživatelů (Users) jednoho žáka nebo učitele, u kterého to nefunguje. Většinu odpovědí uvidíte přímo v jeho detailu: stav účtu, spravovaný účet Apple, typ ověření a pravidlo pro heslo.

Příznak	Nejčastější příčina	Kde ověřit	Oprava
Učitel žáka v Třídě nevidí, nebo se žák na sdíleném iPadu hlásí do jiného účtu	Spravovaný účet má v ASM číslo navíc (například jan.novak1@skola.cz), ale MDM počítá s adresou bez čísla	ASM: Users, sloupec Managed Apple Account; porovnat s adresou v MDM	Sjednotit adresu v MDM se spravovaným účtem v ASM, konflikt s osobním účtem vyřešit přes doménu
Reset hesla v Třídě hlásí, že Apple ID není autorizováno	Účet ve stavu New, žák se nikdy nepřihlásil; nebo učitel a žák nejsou ve stejném místě; nebo jde o federovaný účet	ASM: stav účtu, místo (Location), typ ověření	Vytvořit přihlašovací údaje (Create Sign-in), sjednotit místo, u federace resetovat u poskytovatele
Učitel se do Třídy nepřihlásí svým školním účtem	Učitelský účet ve stavu New, bez vlastního hesla a dvoufázového ověření	ASM: stav účtu učitele	Aktivovat účet: první přihlášení, vlastní heslo, ověřovací kód
V ASM přibývají duplicity, synchronizace hlásí chyby nebo stojí	Do synchronizace se dostávají smazaní lidé, nebo se maže na dvou místech	ASM: aktivita synchronizace, deaktivované účty	Posílat jen platný stav ze zdroje, mazat jen ve zdroji
Federovaný žák nemůže na sdíleném iPadu zadat heslo od Googlu či Microsoftu	Na přihlašovací obrazovce je pole pro číselný kód místo pole pro heslo	MDM: typ kódu žáka pro sdílený iPad	Přepnout žákům typ kódu na heslo
Federovaný učitel se při přihlášení zasekne na dvoufázovém ověření	Poskytovatel vynucuje jen bezpečnostní klíč	Správa Google Workspace nebo Microsoft Entra	Povolit učitelům běžné metody dvoufázového ověření

Příčina 1: osobní Apple účet na školní adrese

Co se stalo

Žák nebo učitel si kdysi, třeba na domácím iPhonu, založil osobní Apple účet na školní e-mailové adrese. Apple k tomu nic nepotřeboval, adresa byla volná. Když pak škola zakládá spravované účty, je tahle adresa obsazená. Apple výslovně píše, že každý spravovaný účet musí být jedinečný a nesmí být stejný jako Apple účet, který už někdo jiný má.

ASM proto vytvoří spravovaný účet s jinou adresou. V praxi to vypadá tak, že k jménu přidá číslo, například jmeno.prijmeni1@skola.cz. Stejné chování Apple popisuje i u změny formátu spravovaných účtů: když je výsledná adresa už použitá, na konec se přidá číslo.

Potíž je v tom, že ostatní systémy o čísle nevědí. Školní systém, MDM i papír rozdaný žákům počítají s adresou bez čísla. Profil Apple třídy na iPadu pak odkazuje na účet, který v ASM neexistuje, a nic nesedí.

Jak to poznáte

V ASM otevřete seznam uživatelů a podívejte se na sloupec spravovaného účtu (Managed Apple Account). Hledejte adresy, které končí číslicí před zavináčem. Pak je porovnejte s adresou, kterou má stejný člověk v MDM. V Hanus.ai je to sloupec Apple ID / e-mail na stránce Učitelé a žáci. Kde se adresy liší, máte viníka.

Jak to opravit

1. Sepište dotčené lidi. Seznam z ASM s čísly v adrese je výchozí podklad.
2. Sjednoťte adresu v MDM. Do profilů pro Apple třídu musí jít přesně ten spravovaný účet, který je v ASM, včetně čísla. Pokud vaše MDM umí spravované účty z ASM převzít, použijte to. Pokud ne, opravte adresu u dotčených lidí. Bývá jich jen pár.
3. Řešte příčinu, ne jen následek. Osobní účty na školní doméně vyřeší zachycení domény (Capture a domain), o kterém píšeme níž v prevenci.

Čemu se vyhnout

• Neměňte hromadně formát spravovaných účtů jen kvůli několika konfliktům. Změna formátu pro existující uživatele změní adresu všem a Apple uživatele neupozorní.
• Nemažte a znovu nezakládejte účet v naději, že tentokrát vznikne bez čísla. Dokud osobní účet adresu drží, číslo se objeví znovu.
• Neupravujte údaje ručně v ASM, pokud do něj data posílá školní systém nebo MDM. Apple upozorňuje, že takový účet se stane lokálním a ztratí vazbu na zdroj.

Příčina 2: účty, které se nikdy nepřihlásily

Co se stalo

Každý účet v ASM má stav. New znamená, že účet je nový a uživatel se ještě nepřihlásil. Active znamená, že se přihlásil aspoň jednou. Stav New tedy v praxi říká, že účet ještě nemá heslo, které by si uživatel sám nastavil.

Pro takový účet ASM nenabízí reset hesla, ale vytvoření přihlašovacích údajů (Create Sign-in). Reset hesla (Reset Password) je určený pro uživatele, kteří heslo zapomněli. A v praxi vidíme, že reset z aplikace Třída u účtu, který se nikdy nepřihlásil, selže s hláškou o autorizaci, a to i pod účtem správce. Týká se to žáků i učitelských účtů.

Jak to poznáte

V ASM v seznamu uživatelů vyfiltrujte stav New. Pokud v něm najdete žáky, kterým nejde reset, nebo učitele, kteří se nepřihlásí do Třídy, máte odpověď.

Než ale budete hledat dál, zkontrolujte i další podmínky, které Apple pro reset z aplikace uvádí:

• učitel a žák jsou ve stejném místě (Location) v ASM,
• učitel má v ASM oprávnění spravovat účty žáků,
• žák nemá federovaný účet; federovaným žákům se heslo resetuje u poskytovatele identity, ne v Třídě,
• žák je ve třídě toho učitele, cizímu žákovi učitel heslo neresetuje.

Učitel se při resetu ověřuje svým spravovaným účtem a dvoufázovým ověřením. Pokud sám účet nikdy neaktivoval, reset neprovede.

Jak to opravit

1. V ASM vyberte účty ve stavu New. Postupujte po třídách, ať vám vytištěné kódy sedí na rozdávání.
2. U vybraných účtů zvolte vytvoření přihlašovacích údajů (Create Sign-ins).
3. Zvolte způsob předání. PDF s osmi lidmi na stránku (8-up PDF) se hodí na rozstříhání a rozdání ve třídě, CSV si nechte pro evidenci.
4. Uložte soubor hned. Dočasné heslo ASM po změně už nikdy neukáže.
5. Žáci se s dočasným kódem přihlásí na sdílený iPad a při prvním přihlášení si nastaví vlastní. Tím účet přejde do stavu Active a reset z aplikace Třída začne fungovat.

Pozor na lhůtu: dočasná hesla z ASM platí 90 dní. Kódy vytištěné v září a nepoužité do prosince už nepomohou a musíte vydat nové.

Čtyřmístné kódy vyžadují nejdřív pravidlo pro hesla u místa v ASM, Apple ho uplatní jen na nově vytvořené údaje. V Hanus.ai je celý postup jako odškrtávací seznam v kroku Kódy žáků na stránce Apple třída.

Čemu se vyhnout

• Nezkoušejte reset z Třídy opakovaně u účtu ve stavu New. Výsledek bude pořád stejný.
• Nerozdávejte kódy bez data. Napište na papír, kdy vypršejí.

Příčina 3: smazaní lidé, kteří v ASM nikdy nezmizí

Co se stalo

Pokud škola posílá data do ASM přes SFTP, tedy nahráváním CSV souborů, ASM bere obsah souborů jako platný stav. Apple u SFTP navíc očekává, že každá aktualizace obsahuje všechny soubory, i ty, ve kterých se nic nezměnilo. Šablona žáků přitom nemá žádný sloupec pro stav: kdo je v souboru, ten je pro ASM platný člověk.

Když se do exportu dostanou i smazaní nebo odešlí lidé, ASM je dál vede jako aktivní. Z naší praxe: časem se k nim přidají noví lidé se stejným jménem, vzniknou duplicity a synchronizace začne končit chybami, až úplně stojí.

Jak to poznáte

• V ASM jsou jako aktivní vedení lidé, kteří ze školy odešli.
• Ve výpisu uživatelů najdete dvojice se stejným jménem, často jednu s číslem v adrese.
• Synchronizace v ASM hlásí chyby, nebo se data delší dobu nemění.

Jak to opravit

1. Opravte zdroj, ne ASM. Upravte export tak, aby obsahoval jen aktivní lidi a jejich aktuální zápisy do tříd.
2. Odchozí deaktivujte, nemažte je ručně uprostřed synchronizace. Apple u účtů ze SIS a SFTP nabízí deaktivaci. Deaktivovaný účet se odhlásí ze zařízení, nejde se jím přihlásit, a pokud se do 120 dní znovu nesynchronizuje, Apple ho sám odstraní.
3. Duplicity řešte po jedné a až po opravě zdroje. Jinak je další synchronizace vrátí.

Jak to funguje v Hanus.ai

V Hanus.ai škola do ASM nic nenahrává přes SFTP. Hanus.ai je pro ASM školní informační systém a ASM si roster stahuje přes OneRoster. Do ASM tedy jde to, co je v rosteru Hanus.ai.

Import ze školního systému je zrcadlo úplného exportu, ne přírůstek: kdo v nahraném souboru chybí, toho import navrhne odebrat a ukáže ho v přehledu změn. Smazání účtu na stránce Učitelé a žáci je řízené: účet se označí ke smazání, deaktivuje se přihlášení a v ASM se odebere při další synchronizaci. Smazaný účet zůstane v záložce Smazané, odkud jde obnovit.

Jedno pravidlo z toho plyne pro vás: mažte jen na jednom místě, v Hanus.ai, a nechte synchronizaci, ať změnu propíše.

Čemu se vyhnout

• Neposílejte dílčí exporty s jednou třídou nebo hrstkou nových žáků. U zrcadlového importu to znamená, že ostatní zmizí.
• Nemažte ručně v ASM, když data řídí zdroj.
• Neodpojujte a znovu nepřipojujte synchronizaci kvůli úklidu. Apple výslovně varuje, že po takovém postupu má ASM u změněných účtů nesprávné údaje.

Příčina 4: federace s Googlem nebo Microsoftem

Federace znamená, že se žáci a učitelé přihlašují do Apple služeb účtem od Googlu nebo Microsoftu a heslo drží tento poskytovatel, ne Apple. Je to pohodlné, ale má dvě pasti, které se projeví až ve třídě. Co federace je, vysvětlujeme v návodu Co je federace účtů Apple.

Žák: číselný kód místo hesla

Federovaný žák se na sdílený iPad poprvé přihlásí jménem a heslem od Googlu nebo Microsoftu a při tom si vytvoří kód pro sdílený iPad. Příště už se hlásí jménem a tímto kódem.

Pokud je ale žák v MDM nastavený na čtyřmístný nebo šestimístný kód, přihlašovací obrazovka sdíleného iPadu ukáže pole pro číselný PIN. Heslo od Googlu do něj napsat nejde a žák se nepřihlásí. Ověřili jsme to v provozu se školou na Googlu.

Oprava: federovaným žákům nastavte typ kódu na heslo. V Hanus.ai je to Formát kódu pro Apple u žáka na stránce Učitelé a žáci. Více žákům najednou ho změníte tlačítkem Změnit formát kódu v liště výběru a volbou Heslo (8 znaků). U nově zakládaných žáků federované školy je heslo výchozí hodnota. Sdílené iPady dostanou nový profil samy, nebo hned tlačítkem Odeslat nastavení Sdíleného iPadu.

Pamatujte také, že u federovaného žáka nefunguje reset hesla v aplikaci Třída a dočasné kódy z ASM na federovaném účtu nepomohou. ASM umí federovanému uživateli resetovat jen kód pro sdílený iPad a jeho heslo u poskytovatele tím nemění.

Učitel: dvoufázové ověření jen s bezpečnostním klíčem

U učitelů je past jinde. Pokud má škola v Google Workspace vynucené dvoufázové ověření v režimu jen bezpečnostní klíč (Only security key), Google v tomto režimu nedovolí uživatelům vytvořit si vlastní záložní kódy. Záložní kód musí vygenerovat správce. Z naší praxe: na přihlašovací stránce Applu se pak učitel nedostane dál jinak než se záložním kódem od správce, a to každý den znovu.

Oprava: ve správě Google povolte učitelům běžné metody dvoufázového ověření, ne jen bezpečnostní klíč. Nejčistší je to udělat pro organizační jednotku učitelů, aby se nezměnila pravidla pro správce.

Pořadí, které nejde vrátit

U federované školy rozhoduje pořadí: nejdřív ověřená a zamčená doména, pak zapnutá federace a teprve potom synchronizace účtů ze školního systému. Apple pro federaci vyžaduje zamčenou doménu se zahájeným zachycením domény a nesmí existovat konflikty spravovaných účtů. V jiném pořadí vzniknou účty bez federace.

Pokud se to přesto stalo, účty nemažte a synchronizaci nepřepojujte. Apple po zapnutí federace převede účty s adresou ve federované doméně sám (Automatic changes).

E-mail v rosteru musí být přesně přihlašovací jméno u poskytovatele. U Microsoftu Apple vyžaduje, aby se UPN shodovalo s e-mailovou adresou, a aliasy nepodporuje.

Čemu se vyhnout

• Nedávejte federovaným žákům číselný PIN v MDM jen proto, že je pro děti pohodlnější. Nejdřív se musí přihlásit heslem.
• Neslibujte učitelům reset hesla v Třídě, pokud máte federaci. Ten se dělá u Googlu nebo Microsoftu.

Správný postup od začátku

Tohle je pořadí, ve kterém doporučujeme Apple třídu zavádět, aby výše popsané problémy vůbec nevznikly.

1. Ověřte doménu v ASM. Bez ověřené domény spravované účty na školní adrese nevzniknou.
2. Zjistěte, kolik osobních účtů doménu používá. V detailu domény uvidíte počty. Seznam si stáhněte (Download a list of unmanaged Apple Accounts). Pozor, seznam obsahuje jen účty, které se nedávno přihlásily do některých webových služeb Applu, takže může být kratší než skutečnost.
3. Zamkněte doménu (Lock a domain). Od té chvíle na ní nikdo nezaloží nový osobní účet. Zámek je trvalý a zrušit ho jde jen odebráním domény.
4. Zachyťte doménu (Capture a domain). Majitelé osobních účtů dostanou výzvu a mají 30 dní na rozhodnutí: buď si účet převedou na jinou adresu a nechají si ho jako osobní, nebo ho převedou škole. Když neudělají nic, Apple jejich osobní účet přejmenuje na dočasnou adresu a škola může školní adresu použít. Zachycení nejde vzít zpět, proto lidi předem informujte.
5. Rozhodněte o federaci. Zvlášť pro žáky a zvlášť pro učitele si ujasněte, kdo bude držet hesla, jaký typ kódu budou mít žáci na sdíleném iPadu a jaké metody dvoufázového ověření budou mít učitelé.
6. Připravte data. Úplný export ze školního systému, jen aktivní lidé, každá třída s učitelem.
7. Napojte synchronizaci do ASM. Teprve teď vzniknou účty.
8. Nastavte pravidlo pro hesla žáků u místa a vydejte přihlašovací údaje po třídách.
9. Aktivujte učitelské účty hned při předání iPadu. První přihlášení, vlastní heslo, dvoufázové ověření. Učitel odchází s funkčním účtem, ne s papírem.
10. Přihlaste žáky aspoň jednou v první hodině s dočasným kódem z ASM. Od té chvíle funguje reset z aplikace Třída.
11. Zkontrolujte stav New v ASM po prvním týdnu a doberte, kdo chyběl.

Co nedělat

• Nezakládejte spravované účty dřív, než zamknete doménu a vyřešíte osobní účty.
• Neupravujte a nemažte účty ručně v ASM, když je řídí školní systém nebo MDM. Jeden zdroj pravdy, jedna cesta smazání.
• Nenahrávejte dílčí exporty a neodpojujte synchronizaci kvůli úklidu.
• Nezapínejte federaci až po vytvoření účtů.
• Nedávejte federovaným žákům číselný PIN a nevynucujte učitelům jen bezpečnostní klíč.
• Nenechávejte dočasné kódy ležet přes 90 dní.

Jak s tím pomáhá Hanus.ai

Napojení na ASM je v konzoli Hanus.ai na jedné stránce Apple třída a kroky se odemykají postupně, takže pořadí z předchozí kapitoly nejde snadno přeskočit.

• Doména před synchronizací. Bez potvrzení, že je doména v ASM ověřená, formulář pro nového člověka žádnou adresu nenabídne.
• Federace před žáky. U federované školy je napojení ASM zamčené, dokud škola neodškrtne propojení poskytovatele, testovací přihlášení a zapnutí federace. Do té doby jde do ASM jen struktura školy a učitelé.
• Kódy žáků jako odškrtávací seznam v pořadí, které zajistí čtyřmístné kódy.
• Jeden zdroj pravdy. Roster přes OneRoster, import jako zrcadlo úplného exportu, řízené smazání s možností obnovy.
• Heslo jako výchozí typ kódu pro nové žáky federované školy, existujícím hromadně.

Párování spravovaných účtů z ASM do profilů Apple třídy, aby iPad pracoval s adresou včetně čísla od Applu, v Hanus.ai postupně zapínáme školám. Dokud ho vaše škola nemá, platí to, co doporučujeme v příčině 1: adresa v rosteru musí odpovídat spravovanému účtu v ASM.

A pokud se do toho nechcete pouštět sami, nastavení Apple třídy je v ceně Hanus.ai: doménu, účty, roster i zařízení projdeme s vámi.

Často kladené otázky

Proč učitel vidí v Apple třídě jen některé žáky?

Pokud nefunguje celá třída, hledejte příčinu v síti. Pokud jen někteří žáci, porovnejte jejich spravovaný účet v ASM s adresou v MDM. Nejčastější příčinou je číslo, které ASM přidal kvůli osobnímu Apple účtu na stejné adrese.

Co znamená hláška „Vaše Apple ID není pro resetování hesla tohoto studenta autorizováno“?

Nejčastěji to, že se žák ještě nikdy nepřihlásil a jeho účet je v ASM ve stavu New. Zkontrolujte také, že učitel a žák jsou ve stejném místě, že učitel má oprávnění spravovat účty a že žák nemá federovaný účet.

Může správce resetovat heslo žákovi, který se nikdy nepřihlásil?

V ASM ano, ale ne resetem. Pro takový účet se vytvářejí přihlašovací údaje (Create Sign-in). Žák se s dočasným kódem přihlásí, nastaví si vlastní a od té chvíle funguje i reset z aplikace Třída.

Jak dlouho platí dočasné kódy z ASM?

Dočasná hesla z ASM platí 90 dní. Pokud je žák do té doby nepoužije, musíte vydat nové. Více o zapomenutých heslech najdete v návodu Žák zapomněl heslo.

Můžeme federovaným žákům nechat čtyřmístný PIN?

Až po prvním přihlášení heslem od poskytovatele. Pokud je žák v MDM nastavený na číselný kód dřív, přihlašovací obrazovka sdíleného iPadu mu nenabídne pole pro heslo. Proto federovaným žákům nastavujeme typ kódu na heslo.

Související

• Apple třída ve škole: jak učitel řídí hodinu s iPady
• Sdílený iPad ve třídě
• Apple School Manager od A do Z
• Co je spravovaný účet Apple
• Co je federace účtů Apple
• Co je OneRoster
• Jak nastavit sdílený iPad
• Jak propojit školu s Microsoftem
• Odchází ICT koordinátor
• Workshop Apple třída pro pedagogy a správa iPadů v Hanus.ai

Apple třída je skvělý nástroj. Zda funguje od prvního dne, se ale rozhoduje už při zakládání účtů, ne až ve třídě. Pokud si nejste jistí, jak na tom vaše škola je, napište nám a projdeme to s vámi.

Zdroje

• Apple: Intro to users in Apple School Manager
• Apple: Intro to Managed Apple Accounts in Apple School Manager
• Apple: Edit Managed Apple Accounts in Apple School Manager
• Apple: View account totals using your domain
• Apple: Lock a domain in Apple School Manager
• Apple: Download a list of unmanaged Apple Accounts
• Apple: Capture a domain in Apple School Manager
• Apple: Create or reset user passwords in Apple School Manager
• Apple: Set password policies in Apple School Manager
• Apple: Create Shared iPad passcodes in Apple School Manager
• Apple: Sign in to Shared iPad
• Apple: Intro to federated authentication with Apple School Manager
• Apple: Integrate Apple School Manager with your SIS
• Apple: Upload Student Information System data
• Apple: Reset a Managed Apple ID password in Classroom
• Apple: Problems signing in and using accounts in Schoolwork
• Google: Deploy 2-Step Verification
• Vlastní praxe: zavádění Apple třídy ve školách spravovaných platformou Hanus.ai, stav k 13. říjnu 2026