Mac ve škole: Přihlášení přes Office 365 v počítačové učebně

Když má školní počítačová učebna 20 Maců a 150 žáků, klasické přihlašování se rozpadne. Založit každému lokální účet? Neúnosné. Sdílet jedno heslo? GDPR problém. Aktivně navíc nefunguje jednotné přihlášení do Office 365, které škola stejně potřebuje pro Word online, Outlook a OneDrive.

Ukážeme, jak jsme to vyřešili na Základní škole Valašské Meziříčí. Průvodce funguje pro jakoukoli českou nebo slovenskou školu, která má Microsoft 365 tenant a chce sdílené Macy v počítačové učebně.

V kostce

• Situace: Základní škola Valašské Meziříčí, Masarykova 291, okres Vsetín, příspěvková organizace. Počítačová učebna s 21 Maci a přibližně 150 žáky, kteří se v učebně střídají.
• Cíl: Žák nebo učitel přijde k libovolnému Macu, přihlásí se svým školním Microsoft 365 účtem a hned pracuje. Bez správce IT při každém přihlášení. Bez ručně zakládaných účtů.
• Řešení: Apple Platform SSO s Microsoft Entra ID, aplikace Microsoft Company Portal, konfigurace přes jednu skupinu „Mac učebna" v Hanus.ai.
• Doba nasazení: Zhruba 15 minut na celou skupinu 21 Maců. Manuálně přes plisty by to zabralo dva pracovní dny.
• Bonus: Jedním kliknutím jde přepnout mezi třemi režimy sdílení (trvalé účty, dočasné relace, osobní Mac 1:1), podle toho, jak škola učebnu využívá.

Proč je sdílený Mac ve škole komplikovaný

Klasická počítačová učebna má jednoduchý požadavek: chodí sem žáci ze všech tříd, sedají si k libovolnému Macu, pracují jednu vyučovací hodinu. Před 15 lety by to znamenalo Active Directory bind (Mac se připojí do školní domény, autentizuje přes AD), který Apple postupně dovádí ke konci a od macOS 14 doporučuje jiné řešení.

Alternativy, které se v praxi zkoušejí:

Sdílené lokální účty typu „student1", „student2". Rychlé, ale žák nemá SSO do Office 365, nikdo neví, kdo co dělal, a GDPR compliance je otázka. Odpadá.

Ruční zakládání lokálních účtů pro každého žáka. Funguje pro pět Maců a deset žáků, ale škola s 21 Maci a 150 žáky by potřebovala 3150 kombinací účet-zařízení. Nereálné.

Volný Guest account bez hesla. Data se po odhlášení smažou, žák ale nemá přístup ke svým souborům, nemá SSO. Použitelné jen pro návštěvy.

Apple představil Platform SSO v macOS 13 Ventura (2022) a v macOS 14 Sonoma (2023) ho rozšířil o password metodu a sdílené klíče zařízení, což je klíčové právě pro školní scénář. Mac se zaregistruje do Microsoft Entra ID (dřívější Azure AD), a od té chvíle se do něj může přihlásit kdokoli, kdo má v tomto Entra tenantu účet. To znamená každý žák a učitel Vaší školy. Lokální účet se založí automaticky při prvním přihlášení, heslo se synchronizuje s Entra, a po přihlášení má uživatel k dispozici SSO do všech Microsoft služeb: Outlook, Word, Excel, OneDrive, Teams.

Zbývá jediné: dostat to nastavení na 21 Maců. Ručně napsat 20 klíčů do PropertyList XML a přenést je na každé zařízení? Přesně proto vznikl MDM. A Hanus.ai to udělá za 15 minut.

Kdo je ZŠ Valašské Meziříčí

Základní škola Valašské Meziříčí, Masarykova 291, okres Vsetín, příspěvková organizace, je běžná česká základní škola v Zlínském kraji. V srpnu 2026 nasadila kompletní správu Apple zařízení přes Hanus.ai. Aktuálně má 21 Maců v počítačové učebně a 51 iPadů ve třídách (data k 31. srpnu 2026). Škola má Microsoft 365 licence pro žáky i učitele a chtěla, aby se všichni do Maců přihlašovali svým školním e-mailem.

Enrollment proběhl 14. srpna, konfigurace SSO a Přihlašovacího okna byla dokončena 18. srpna. Za pár dní jsme dostali od koordinátorky IT zprávu: „Funguje jako z partesu, žáci nemají problém, učitelé jsou nadšení."

Celý postup, který teď rozepíšeme, je 1:1 postup, který jsme udělali na Valmez. Vy jej můžete udělat u sebe úplně stejně.

Odpověď v jedné větě

Zaregistrujete každý Mac do Microsoft Entra ID přes aplikaci Microsoft Company Portal, přiřadíte v Hanus.ai do skupiny „Mac učebna" tři profily (Platform SSO, Přihlašovací okno, Omezení) a jednu aplikaci (Company Portal). Za 15 minut je počítačová učebna připravena k výuce.

Krok 1: Registrace zařízení do Microsoft Entra ID

Co to je: Microsoft Entra ID (dřívější Azure Active Directory) je cloudová identita, kterou Vaše škola už pravděpodobně používá pro Office 365. Registrace zařízení znamená, že se Mac přiřadí do školního tenantu, a od té chvíle se do něj může přihlásit kdokoli s účtem v tomto tenantu.

Jak to funguje: Registraci provede aplikace Microsoft Company Portal (bundle ID com.microsoft.CompanyPortalMac). Tuto aplikaci na každý Mac dostane MDM (v našem případě Hanus.ai), takže se nemusí instalovat ručně. Company Portal se po instalaci automaticky připojí k Entra ID podle konfiguračního profilu, který také nastaví MDM. Žádné klikání pro správce.

Co potřebujete připravené: Microsoft 365 tenant s licencemi pro žáky a učitele (typicky Microsoft 365 A1 zdarma pro školy nebo A3/A5 placené). Přístup správce k Entra ID pro schválení připojení. To je vše.

Krok 2: Skupina „Mac učebna" v Hanus.ai

Otevřete Hanus.ai konzoli, jděte do sekce Skupiny, přepněte přepínač vlevo nahoře na macOS a klikněte na Nová skupina. Pojmenujte ji „Mac učebna" a přidejte do ní všechny Macy z počítačové učebny. V našem případě 21 kusů.

Skupina v Hanus.ai je jednoduchý koncept: sada zařízení, na která se hromadně aplikují konfigurační profily a aplikace. Změníte nastavení v profilu, a Hanus.ai ho automaticky rozešle na všechna zařízení ve skupině. Přidáte do skupiny nový Mac, a ten dostane celý balíček nastavení sám.

Na levém panelu skupiny uvidíte seznam profilů, které můžete přidat: Omezení, Chrome, SSO, Zabezpečení macOS, Přihlašovací okno, Prostředí Macu, Active Directory, FileVault, Rozšíření systému. Pro naši úlohu potřebujeme čtyři z nich a jednu aplikaci.

Krok 3: Microsoft Company Portal jako aplikace

V sekci Aplikace a knihy vyhledejte „Microsoft Company Portal". Aplikace je v macOS katalogu Hanus.ai. Přiřaďte ji ke skupině „Mac učebna". Hanus.ai zajistí, že se na všech 21 Maců nainstaluje automaticky (typicky během 5 až 15 minut od enrollmentu).

Aplikace je zdarma, dodává ji Microsoft, minimální macOS verze 11 (Big Sur). Není třeba Volume Purchase Program, licencování, ani App Store manipulace. Instalace probíhá tiše, žák o ničem neví.

Krok 4: Jádro řešení Platform SSO

Screenshot z reálné produkce ZŠ Valašské Meziříčí. Zvýrazněná předvolba „Sdílená učebna: trvalé účty (macOS 14+)" je aktuálně nasazená na 21 Maců v počítačové učebně.

Zde se dějí kouzla. V profilech skupiny klikněte na SSO a Hanus.ai Vám otevře stránku s názvem „Přihlášení do macOS (Platform SSO)". Hlavička říká: „Umožní žákům a učitelům přihlásit se do Macu školním účtem. Vyžaduje macOS 14 a novější a nainstalovanou aplikaci Company Portal."

Nejlepší funkcí této stránky jsou tři předvolby na horní liště, které rozhodují za Vás, jaký typ učebny provozujete:

Sdílená učebna: trvalé účty (macOS 14+): každému žákovi vznikne při prvním přihlášení běžný místní účet, který na disku zůstane. Když se žák příště vrátí (třeba za týden), najde svou práci tam, kde ji nechal. Vhodné pro školy, kde má počítačová učebna stabilní osazenstvo (například 2 třídy, které se v ní střídají).

Sdílená učebna: dočasné relace (macOS 26+): žáci se střídají, po odhlášení se jejich data automaticky smažou. Perfektní pro školy s vyšším průchodem uživatelů a pro případy, kdy k Macu sedne někdo bez Entra účtu (host, návštěva, suplující učitel). Vyžaduje macOS 26 (Tahoe) nebo novější.

Osobní Mac 1:1: jeden uživatel, bezheslové přihlášení klíčem v Secure Enclave. Vhodné pro učitelský MacBook, kde má zařízení konkrétní osobu a chce se přihlašovat bez psaní hesla.

Na ZŠ Valašské Meziříčí jsme zvolili variantu „Sdílená učebna: trvalé účty", protože škola má aktuálně macOS 14 (Sonoma) na většině Maců a chce zachovat žákům jejich rozpracovanou práci mezi hodinami. Po upgradu na macOS 26 plánujeme přepnout na režim „dočasné relace", který dá učebně větší flexibilitu.

Předvolba nastaví celou sekci najednou. Když si přejete, můžete jednotlivá pole doladit ručně (jsou pod předvolbami rozepsaná do sekcí Základ, Vznik a práva účtů, další). Klíčová nastavení pro sdílenou učebnu s trvalými účty:

• Metoda ověření: Heslo. Company Portal podporuje i klíč v Secure Enclave (bezheslové přihlášení) a čipovou kartu, ale pro sdílený scénář je heslo nejlepší kompromis mezi bezpečností a UX.
• Sdílené klíče zařízení: Zapnuto. Kritické pro učebny, kde se střídá více uživatelů.
• Založit účet na přihlašovací obrazovce: Zapnuto. Toto zajistí, že se lokální účet vytvoří automaticky při prvním přihlášení nového žáka. Žák nemusí čekat na správce.
• Práva nově založených účtů: Běžný uživatel. Žák nemá administrátorské práva.
• Práva při každém přihlášení: Běžný uživatel. Ani při dalších přihlášeních žák neeskaluje.

Pod všemi předvolbami je žlutá výstraha: „Vždy nechte na Macu aspoň jednoho místního správce mimo Platform SSO. Při výpadku poskytovatele identity je to jediná cesta zpátky." Toto je zásadní. Kdyby Microsoft Entra ID vypadlo nebo Vaše škola ztratila přístup, potřebujete lokální admin účet, kterým se do Macu dostanete. Hanus.ai to připomíná, nezapomínejte na to.

Krok 5: Přihlašovací okno

Reálná konfigurace ZŠ Valašské Meziříčí. Klíč „Zobrazit v seznamu položku Jiný…" na Zapnuto zajišťuje tlačítko pro přihlášení Entra účtem.

Druhý klíčový profil je Přihlašovací okno. Ovládá vzhled login screenu: koho v něm žák uvidí, jestli smí Mac vypnout nebo restartovat, jak vypadá tlačítko pro přihlášení novým účtem.

Na Valmez máme aktivní tato tři klíčová nastavení:

• Místo seznamu uživatelů zobrazit pole pro jméno a heslo: Vypnuto. Žák vidí ikony existujících účtů plus tlačítko „Jiný…".
• Zobrazit v seznamu položku „Jiný…": Zapnuto. Tohle je nejdůležitější klíč celého setupu. Bez něj by se nový žák neměl kde přihlásit svým Entra účtem. Kliknutím na „Jiný…" se otevře pole pro e-mail a heslo, kam žák napíše například jan.novak@skola.cz a své Entra heslo.
• Skrýt místní účty: Vypnuto. Lokální administrátorský účet je stále viditelný pro nouzový přístup (viz varování v předchozím kroku).

Nastavení, která schválně necháváme na „Neřešíme", znamenají: neposílat do Macu žádný požadavek a nechat Applu jeho výchozí chování. Hanus.ai rozlišuje mezi „Vypnuto" (aktivně zakážeme) a „Neřešíme" (neřídíme). Tento rozdíl je důležitý, protože přepsat Applovský default zbytečně může škole komplikovat život.

Krok 6: Omezení a Apple Classroom

Třetí profil pro Mac učebnu jsou Omezení. Nejde o restriktivní zákaz všeho, ale o vypnutí toho, co ve školním kontextu nemá smysl a otevírá pochyby.

Vypnuté funkce na Valmez:

• Game Center, Bookstore, Music Service (Apple Music, Apple Books, hry): nepatří do počítačové učebny.
• Find My Device, Find My Friends: soukromí žáků.
• Wallpaper Modification: jednotná tapeta učebny.
• Erase Content and Settings: žák nesmí Mac vymazat.
• UI Configuration Profile Installation: žák nesmí instalovat vlastní konfigurační profily.

Zapnuté funkce (Apple Classroom):

• Force Classroom Automatically Join Classes: Mac se automaticky přihlásí do třídy, když učitel na iPadu spustí Apple Classroom.
• Force Classroom Unprompted Screen Observation: učitel vidí obrazovky žákovských Maců bez explicitního potvrzování žákem.
• Force Classroom Unprompted App and Device Lock: učitel může uzamknout aplikaci nebo celý Mac vzdáleně.
• Force Classroom Request Permission to Leave: žák musí požádat o povolení, když chce ze třídy odejít.

Apple Classroom funguje jak na iPadech (které v učebně Valmez také jsou), tak na Macích. Učitel má na iPadu přehled o obrazovkách všech 21 Maců, může jim vzdáleně zamknout Safari při testu, otevřít konkrétní aplikaci všem najednou, nebo poslat žákovi soukromou zprávu.

Výsledek: jak vypadá přihlášení žáka

Podívejme se na to očima šesťáka Honzy, který chodí do počítačové učebny první rok.

Honza si sedá k Macu, na který nikdy nesahal. Vidí login screen: uprostřed dvě ikony předchozích žáků, dole tlačítko „Jiný…". Klikne na něj. Otevře se dialog s poli E-mail a Heslo. Napíše jan.novak@skola.cz (jeho školní e-mail) a heslo, které dostal na začátku roku.

Za 5 až 15 sekund se přihlásí. Poprvé to trvá déle, protože macOS zakládá jeho lokální účet, stahuje profil a certifikáty. Příště se přihlásí za 3 sekundy.

Honza otevře Safari. Napíše outlook.office.com. Outlook se otevře bez dalšího přihlášení. Otevře word.office.com, kde je stránka, kterou před týdnem rozpracoval v jiné učebně. Bez dalšího přihlášení. Otevře OneDrive a vidí své soubory z domácího počítače. Bez dalšího přihlášení.

Toto je Platform SSO v akci. Přihlášení do Macu automaticky přeneslo Honzovu identitu do každé Microsoft webové aplikace. Nemusí si pamatovat žádné další heslo, nemusí nic nastavovat.

Po hodině Honza odchází. Klikne na jablko vlevo nahoře, Odhlásit se. Za 2 sekundy je Mac zpět na login screenu, připraven pro dalšího žáka. Honzův účet a jeho dokumenty na disku zůstávají (režim „trvalé účty"). Když příště přijde, znovu klikne na „Jiný…", napíše svůj e-mail, a najde věci, kde je nechal.

Volitelně: mazání dat po odhlášení

Jsou situace, kdy chcete, aby se po odhlášení všechna data smazala. Například:

• Škola nemá dost místa na disku pro trvalé účty stovky žáků.
• V učebně se točí velký počet různých žáků každý týden.
• Chcete, aby k Macu mohl sednout host nebo návštěva a po jeho odchodu po něm nezůstala žádná stopa.
• Vyžadujete maximální bezpečnost (žádná data mimo OneDrive).

Pro tento scénář je předvolba „Sdílená učebna: dočasné relace (macOS 26+)". Vyžaduje macOS 26 (Tahoe) nebo novější a Hanus.ai ji nastaví jedním kliknutím. Nemusíte řešit žádné plisty, sadu klíčů com.apple.MCX nebo mazací skripty. Prostě přepnete předvolbu, uložíte, a všech 21 Maců se přizpůsobí.

Kombinace Platform SSO + OneDrive + dočasné relace je nejsilnější pro školy, které chtějí maximální flexibilitu bez správce IT každý den. Žák si otevře Word online, jeho práce se automaticky ukládá do OneDrive. Po odhlášení se lokální data smažou. Když příště přijde, najde svou práci na OneDrive z libovolného Macu.

Škola ve Valašském Meziříčí zatím zůstává u trvalých účtů, protože macOS 26 nasazuje postupně během podzimu 2026. Po dokončení upgradu předvolbu přepneme na dočasné relace a přidáme možnost host přihlášení pro suplující učitele.

Časté dotazy

Funguje to i bez Microsoft 365? Ne. Platform SSO potřebuje poskytovatele identity. Microsoft Entra ID je nejrozšířenější, ale Apple podporuje i Google (přes Google Cloud Identity, ale řešení je horší než Microsoft) a fedidentity od jiných firem. Pro školy v ČR a SR je Microsoft Entra prakticky standard.

Musí mít žáci placené licence Office 365? Nemusí. Microsoft 365 A1 (základní verze pro školy) je zdarma pro všechny žáky a učitele. Obsahuje Word, Excel, PowerPoint online, OneDrive s 1 TB úložiště, Outlook, Teams. Pro Platform SSO na Macu je A1 dostačující.

Jak dlouho trvá přihlášení nového žáka poprvé? 5 až 15 sekund při prvním přihlášení, poté 2 až 5 sekund při každém dalším přihlášení. Doba závisí na rychlosti WiFi a velikosti profilu.

Funguje SSO i pro Word aplikaci nainstalovanou na Macu (ne jen web)? Ano. Když si škola nainstaluje aplikaci Microsoft Word (přes VPP nebo přímo z Microsoftu), SSO funguje i v ní. Žák otevře Word, aplikace se automaticky přihlásí Entra tokenem, který má z login screenu.

Co když má škola macOS starší než 14? Minimum pro Platform SSO je macOS 13 Ventura, doporučené je macOS 14 Sonoma nebo novější (kvůli plné podpoře password metody a sdílených klíčů zařízení, které jsou pro učebnu klíčové). Pro macOS 12 a starší je alternativa Kerberos SSO Extension, ale má omezenější funkčnost. Doporučujeme upgrade na macOS 14+, pokud hardware podporuje.

Co když žák zapomene heslo? Reset probíhá přes Microsoft Entra ID (samoobslužný reset hesla, pokud má škola zapnutý, nebo přes IT správce). Po resetu se nové heslo synchronizuje do lokálního účtu na Macu při dalším přihlášení. Žák nemusí IT správce chodit fyzicky navštívit.

Musí být zařízení připojené k internetu při každém přihlášení? Při prvním přihlášení nového žáka ano (musíme kontaktovat Entra ID pro validaci). Při dalších přihlášeních Mac ukládá offline cache hesla a povolí přihlášení i bez internetu (do vypršení cache, typicky 30 dní).

Jak dlouho zabere kompletní nasazení pro školu s 20 Maci? Pokud jsou Macy už enrolled v Hanus.ai a Microsoft 365 tenant funguje: 15 až 30 minut. Pokud začínáte od nuly (enrollment přes Apple School Manager, registrace tenantu, konfigurace první skupiny): 3 až 4 hodiny s naší asistencí.

Zdroje ověření

Data v článku pocházejí z produkčního nasazení ZŠ Valašské Meziříčí (Masarykova 291), ověřeno v Hanus.ai konzoli k 1. září 2026.

Technická specifikace Platform SSO od Apple: developer.apple.com/documentation/devicemanagement/extensiblesinglesignon

Microsoft Company Portal for Mac: learn.microsoft.com/en-us/mem/intune/user-help/enroll-your-device-in-intune-macos-cp

Microsoft Entra ID Platform SSO dokumentace: learn.microsoft.com/en-us/entra/identity/devices/macos-psso

Kalkulace ceny konkurence: fixní kurz 21,36 Kč/USD (ČNB, 28. června 2026), Mosyle pricing z school.mosyle.com/pricing, Jamf education pricing z jamf.com/pricing/education-pricing/.

Chcete stejné pro Vaši školu?

Pokud máte v počítačové učebně 10 a více Maců a chcete přejít na přihlášení přes Microsoft 365, ozvěte se nám. První Mac učebnu nastavíme společně během jedné návštěvy nebo online konzultace. Napište na info@hanus.ai nebo si přečtěte přehled na hanus.ai.

Za 160 Kč na zařízení a rok dostanete kompletní správu Apple zařízení, českou podporu, integraci s Bakaláři a Škola OnLine, a klid, že vaše učebna funguje bez toho, aby správce IT musel řešit každé přihlášení.