Sdílená Mac učebna: přihlášení školním účtem Microsoft nastavíte jednou kartou

Počítačová učebna s Macy má jednoduché zadání: kterýkoli žák nebo učitel si sedne ke kterémukoli Macu, přihlásí se školním účtem Microsoft a pracuje. Po hodině se odhlásí a Mac je připravený pro dalšího. Cesta k tomu ale dosud vedla přes desítky kroků: aplikaci Company Portal, profil Platform SSO s klíči opsanými z dokumentace, přihlašovací okno, výjimku pro místního správce a nakonec registraci každého Macu do Microsoft Entra ID.

V září jsme popsali, jak jsme takovou učebnu postavili na ZŠ Valašské Meziříčí. Z té zkušenosti vznikla novinka, o které je tento článek: karta Sdílená Mac učebna ve skupině Maců. Jedno tlačítko nastaví všechno, co jsme tehdy skládali po částech, a nový Mac z Apple School Manageru se může zaregistrovat už v průvodci nastavením.

V kostce

• Pro koho: školy se sdílenými Macy, kde se žáci a učitelé přihlašují školním účtem Microsoft (Platform SSO s Microsoft Entra ID).
• Co je nové: karta Sdílená Mac učebna v detailu macOS skupiny. Nastaví Company Portal, přihlášení do macOS, přihlašovací obrazovku, Office a třídní omezení najednou a jde vrátit jedním tlačítkem.
• Dvě varianty: macOS 26 a novější (účty se po odhlášení smažou) a macOS 14 a 15 (trvalé účty).
• Nový nebo vymazaný Mac: s ADE profilem, který založí skrytého místního správce a podrží Mac v průvodci, se na macOS 26 zaregistruje do Entra ještě v průvodci nastavením, bez pomocného účtu.
• Mac, který už ve škole je: dostane stejné nastavení, do Entra se zaregistruje jednou z pomocného účtu.

Co dřív znamenalo nastavit Mac učebnu

Na ZŠ Valašské Meziříčí jsme 21 Maců nastavili zhruba za 15 minut práce v konzoli. Jenže těch 15 minut předpokládalo, že správce přesně ví, co dělá. Ve skupině bylo potřeba ručně:

1. Přiřadit aplikaci Company Portal a počkat na instalaci. Bez ní Platform SSO nefunguje, protože právě Company Portal nese rozšíření pro jednotné přihlášení.
2. Nastavit profil SSO s předvolbou pro sdílenou učebnu.
3. Nastavit profil Přihlašovací okno: položku „Jiný…", skrytí správce, text na obrazovce.
4. Nastavit Omezení pro učebnu.
5. Volitelně Nastavení aplikací pro automatické přihlášení do Office.
6. Nezapomenout vyjmout místního správce z Platform SSO, aby ho systém nepřevzal.
7. Na každém Macu provést registraci do Entra: přihlásit se pomocným účtem, potvrdit výzvu, zadat heslo Microsoft a místní heslo, pomocný účet smazat.

Pořadí kroků a výjimky znal jen ten, kdo to dělal minule.

Podobně to vypadá v obecných návodech. Microsoft pro Intune popisuje politiku v katalogu nastavení, kam správce opisuje zhruba deset povinných hodnot (identifikátor rozšíření, identifikátor týmu, adresy, registrační token, metodu ověření a další), zvlášť nasazuje Company Portal a uživatel registraci dokončí z oznámení na ploše. Návod Jamf School uvádí, že profil se smí nasadit až na Macy s Company Portalem, a doporučuje k tomu chytrou skupinu. Oba postupy jsou správné, jen předpokládají správce, který Platform SSO zná do detailu. (Zdroje jsou na konci článku.)

Sdílená Mac učebna v Hanus.ai: jedna karta

Dialog Sdílená Mac učebna pro macOS 26 a novější. Nahoře stav skupiny, pod ním volby, krátká jména správců a text na přihlašovací obrazovce.

V konzoli otevřete Skupiny, vyberete skupinu Maců a v kartě Sdílená Mac učebna kliknete na jedno ze dvou tlačítek:

• macOS 26 a novější (účty se po odhlášení smažou): žák se přihlásí, pracuje a po odhlášení macOS jeho relaci smaže. Staví na režimu, kterému Apple říká Authenticated Guest Mode.
• macOS 14 a 15 (trvalé účty): žákovi při prvním přihlášení vznikne místní účet, který na Macu zůstane. Tuto variantu zatím nemáme živě ověřenou a dialog to říká; vyzkoušejte ji nejdřív na jednom Macu.

Stav skupiny

Než cokoli změníte, dialog ukáže, kolik je ve skupině Maců, jaké mají verze macOS, kolik z nich má Company Portal a kolik Bootstrap token, a u menších skupin i tabulku po jednotlivých Macích (Mac, macOS, Company Portal, Profil SSO). Když do varianty pro macOS 26 patří Mac se starším systémem, dialog to zablokuje a poradí variantu pro macOS 14 a 15.

Volby

• Automatické přihlášení do Office: Office se po přihlášení do Macu přihlásí sám. Funguje jen s licencí Office 365 (A3/A5); bez licence se nepřihlásí, ale nic nerozbije.
• Účet Host: na přihlašovací obrazovce přibude Host, který se přihlásí bez hesla a bez školního účtu. Hodí se pro suplující učitele nebo návštěvy.
• Třídní omezení: vypne Game Center a přátele, hry pro více hráčů, Apple Music, Knihy, změnu názvu Macu a mazání obsahu a nastavení.
• Registrace Platform SSO v průvodci nastavením (macOS 26): nový nebo vymazaný Mac se zaregistruje už v průvodci, bez pomocného účtu. Víc v další kapitole.
• Krátká jména místních správců: účty, které Platform SSO nesmí převzít. Když krátké jméno správce z ADE profilu v seznamu chybí, karta na to upozorní.
• Text na přihlašovací obrazovce: předvyplněný výchozí text, který můžete přepsat.

Pak kliknete na Použít a potvrdíte počet Maců. Hanus.ai udělá kroky ve správném pořadí: Company Portal nainstaluje jen Macům, kde chybí, profil SSO pošle hned jen Macům, které Company Portal už mají, a ostatním ho doručí automaticky po jeho instalaci. Profily, které se nemění, neposílá vůbec, takže druhé Použít se stejnými volbami nic neodešle.

Tlačítko Vrátit poslední použití vrátí profily skupiny do stavu před použitím. Company Portal zůstane a ručně změněné profily vrácení nepřepíše. Pokud skupina dřív profil SSO neměla, dialog předem upozorní, že vrácení zruší registraci Maců.

Výchozí text na přihlašovací obrazovce. Když vypnete Účet Host, výchozí text Hosta nezmiňuje.

Varianta pro macOS 26: na přihlašovací obrazovce jsou jen Jiný… (pro školní účet) a Host, místní správce je skrytý.

Nebo to za vás udělá Hanuš

Kartu nemusíte procházet sami. Stačí napsat asistentovi Hanušovi v konzoli, například „Nastav skupinu Mac učebna jako sdílenou učebnu s přihlášením přes Microsoft“. Hanuš nejdřív zkontroluje, jestli je skupina připravená: verze macOS, Company Portal, Bootstrap token a krátká jména správců. Řekne vám, co případně chybí, a připraví celé nastavení učebny jako jeden návrh. Vy ho jen schválíte a Hanuš provede všechny kroky ve správném pořadí. Jako u každé jiné akce i tady platí, že bez vašeho potvrzení nic nezmění a každá změna je zaznamenaná v auditu.

Stačí jedna věta. Hanuš zkontroluje skupinu Mac učebna, vysvětlí, co nastavení udělá, a po vašem schválení nastaví celou učebnu sám: Company Portal, přihlášení školním účtem Microsoft, přihlašovací okno, Office i třídní omezení. Správce nemusí otevřít jediný profil.

Kdo se ptá „Je Mac učebna připravená na sdílené přihlašování?“, dostane srozumitelnou odpověď místo tabulky profilů.

Nový Mac: hotovo už v průvodci

Nejvíc práce ušetří nové a vymazané Macy. Dřív se Mac musel projít průvodcem, založit správce, počkat na Company Portal a pak z pomocného účtu zaregistrovat. Teď to proběhne při prvním zapnutí.

Sekce Účet správce Macu a průvodce nastavením v ADE profilu pro macOS.

Postup je tento:

1. V Nastavení, části Enrollment, synchronizujete zařízení z Apple School Manageru. Nové Macy se objeví jako nezapsané.
2. V ADE profilu pro macOS zapnete Čekat na konfiguraci a v sekci Účet správce Macu a průvodce nastavením vyplníte Krátké jméno správce, Celé jméno správce a Heslo správce. Necháte zapnuté Skrýt správce na přihlašovací obrazovce a zapnete Podržet Mac v průvodci, dokud nedostane nastavení skupiny. Profil přiřadíte Macům.
3. Ve skupině Maců kliknete na Přidat zařízení a na záložce Neenrolovaná vyberete nové Macy. Dialog učebny je označí „čeká na zapnutí".
4. V kartě Sdílená Mac učebna zapnete Registrace Platform SSO v průvodci nastavením (macOS 26), krátké jméno správce z ADE profilu přidáte do Krátká jména místních správců a kliknete na Použít. Kartu jde použít i na skupinu, ve které zatím žádný zapsaný Mac není.
5. Zapnete Mac.

Při zápisu Hanus.ai vytvoří místního správce z ADE profilu, takže v průvodci nikdo žádný účet nezakládá. Heslo správce se neukládá, uchovává se jen zašifrovaný otisk. Mac pak v průvodci počká na Company Portal a profil SSO skupiny a nabídne registraci do Entra.

Registrace Platform SSO přímo v průvodci nastavením na macOS 26.

Po průvodci je na přihlašovací obrazovce Host a Jiný…, správce je skrytý. Žádný pomocný účet.

Pokud volbu v kartě nevidíte, napište nám. Registrace v průvodci potřebuje také Company Portal ve verzi 5.2604.0 nebo novější; pro běžné Platform SSO stačí 5.2404.0.

A co macOS 14 a 15? Registraci v průvodci Apple zavedl až v macOS 26. Starší Macy dostanou v průvodci skrytého správce a založí se v nich pomocný standardní účet, ze kterého se registrace udělá po průvodci.

Mac, který už ve škole je

Učebnu nemusíte vymazat. Karta funguje stejně pro Macy, které už jsou v Hanus.ai zapsané: dostanou Company Portal (pokud chybí), profil SSO, přihlašovací okno, Office a omezení. Jediný ruční krok je registrace do Entra, jednou na každém Macu:

1. Počkejte, až bude na Macu nainstalovaný Company Portal.
2. Založte pomocný standardní účet jen pro registraci a přihlaste se jím, nikdy účtem správce.
3. Na výzvu k registraci se v prvním okně přihlaste účtem Microsoft, ve druhém zadejte místní heslo pomocného účtu.
4. Odhlaste se a pomocný účet smažte. Registrace Macu zůstane.

Srovnání: ručně, nebo jednou kartou

Krok	Ručně podle veřejných návodů	V Hanus.ai
Company Portal	Přidat aplikaci, přiřadit stejné skupině jako politiku SSO, u registrace v průvodci verze 5.2604.0 jako LOB aplikace (Microsoft)	Karta přiřadí a nainstaluje jen tam, kde chybí
Pořadí Company Portal a SSO	Profil SSO nasadit až na Macy s Company Portalem, například chytrou skupinou (Jamf School)	SSO přijde samo po instalaci Company Portalu
Profil Platform SSO	Vybrat a opsat zhruba deset povinných hodnot (Microsoft)	Předvolba v kartě
Přihlašovací okno, Office, omezení	Samostatné profily	Volby v téže kartě
Výjimka pro místního správce	Ručně v profilu SSO	Pole Krátká jména místních správců a upozornění, když správce z ADE chybí
Registrace v průvodci (macOS 26)	Intune: tři politiky ve stejné statické skupině uživatelů, ADE s vazbou na uživatele a moderním ověřením (Microsoft)	ADE profil se skrytým správcem a podržením, jedna volba v kartě
Vrácení změn	Profil po profilu	Vrátit poslední použití

Proč tohle jinde nenajdete

Nastavení Mac učebny jednou kartou nebo jednou větou asistentovi jsme v žádném jiném MDM nenašli. Prošli jsme Microsoft Intune, Jamf School i Mosyle (k říjnu 2026) a nic takového tam není. Správce tam pořád skládá učebnu postaru: přidá aplikaci, vytvoří profil SSO a opíše do něj hodnoty z návodu, zvlášť nastaví přihlašovací okno, omezení a Office, pohlídá pořadí nasazení a nakonec každý Mac zaregistruje. Každý krok je jiné místo v konzoli a každá chyba se hledá zvlášť.

Ty nástroje jsou stavěné pro IT oddělení firem, kde se správou zařízení zabývá specialista na plný úvazek. Ve školách to tak obvykle není. iPady a Macy u nás typicky spravuje učitel, který má správu ICT jako jednu z mnoha povinností, často na pár hodin týdně mezi výukou. Nepotřebuje znát identifikátory rozšíření ani pořadí nasazení profilů. Potřebuje mít učebnu připravenou na pondělní hodinu.

Proto Hanus.ai vzniká jinak. Místo seznamu profilů nabízí hotová nastavení pro konkrétní školní situace, jako je Sdílená Mac učebna. Místo technických pojmů mluví jazykem školy. A když si správce neví rady, zeptá se Hanuše česky a dostane odpověď i hotový návrh řešení.

Jedna poznámka k férovosti: Microsoft i Apple registraci v průvodci popisují hlavně pro Mac jednoho uživatele, kde se první místní účet založí z identity toho, kdo Mac zapíná. Ve sdílené učebně takový uživatel není. Apple pro sdílené nasazení doporučuje vytvořit prvního správce přes MDM a Mac zaregistrovat bez zakládání uživatele. Přesně tuto kombinaci dělá Hanus.ai: správce vznikne z ADE profilu a první účet z identity Entra se v průvodci nezakládá.

Co je potřeba mít připravené

• Microsoft Entra ID s účty žáků a učitelů ve stejném tenantu. Každý nový účet musí mít hotové první přihlášení (změnu dočasného hesla), například v prohlížeči na portal.office.com. Přihlašovací obrazovka Macu změnu dočasného hesla nedokončí.
• Licence: samotné přihlášení do Macu licenci Microsoft 365 nevyžaduje. Pro automatické přihlášení do Office je potřeba licence Office 365 A3 nebo A5.
• Apple School Manager propojený s Hanus.ai a Macy přiřazené do Hanus.ai.
• ADE profil pro macOS s účtem správce a podržením v průvodci, pokud chcete registraci v průvodci u nových Maců.
• Macy zapsané s podporou Bootstrap tokenu. Dialog ukáže, kolik Maců ho má. Apple ho pro sdílené režimy vyžaduje.
• macOS 26 pro variantu s mazáním účtů a pro registraci v průvodci.

Na co si dát pozor

• Vícefázové ověření: na sdíleném Macu se přihlásí jen účty Entra bez povinného MFA. Admin účty s MFA se na přihlašovací obrazovce nepřihlásí. Zda MFA vyžaduje registrace Macu, řídí nastavení Entra „Require multifactor authentication to register or join devices with Microsoft Entra ID" (výchozí hodnota je Ne).
• Jeden tenant: Company Portal na Macu musí být přihlášený účtem stejného tenantu, do kterého Mac registrujete. Smíchané tenanty se projeví tím, že přihlášení padá i se správným heslem.
• Krátké jméno správce: patří do seznamu Krátká jména místních správců, jinak ho Platform SSO může převzít. Na macOS 14 se seznam neuplatní a výzvu k registraci na účtu správce ignorujte.
• Jedno heslo správce: všechny Macy jednoho ADE profilu dostanou stejné heslo správce. Změna hesla platí pro Macy zapsané potom.
• Přesun Macu do jiné skupiny se SSO: starý profil se odebere a Mac může chtít novou registraci. Počítejte s tím při přeskupování učeben.

Často kladené otázky

Jak přihlásit žáky na Mac školním účtem Microsoft?

Mac musí mít nastavené jednotné přihlášení Platform SSO s Microsoft Entra ID a nainstalovaný Company Portal. V Hanus.ai to nastavíte kartou Sdílená Mac učebna ve skupině Maců, nebo o to požádáte asistenta Hanuše. Žák pak na přihlašovací obrazovce zvolí Jiný… a zadá svůj školní e-mail a heslo Microsoft.

Kolik stojí nastavení Mac učebny v Hanus.ai?

Karta Sdílená Mac učebna je součástí Hanus.ai a nic navíc se za ni neplatí. Platí se jen licence 160 Kč za zařízení a rok včetně DPH, a to pouze za nejpočetnější typ zařízení ve škole. Na samotné přihlášení do Macu školním účtem Microsoft není potřeba placená licence Microsoft 365, pro automatické přihlášení do Office ano (A3 nebo A5).

Jak dlouho trvá nastavit Mac učebnu?

Samotné nastavení v konzoli je otázka minut: vyberete skupinu, zaškrtnete volby a kliknete na Použít. Nový Mac s macOS 26 se pak připraví sám při prvním zapnutí. U Maců, které už ve škole jsou, je navíc potřeba jednou na každém z nich udělat registraci do Microsoft Entra.

Můžou se na stejný Mac přihlásit žáci i učitelé?

Ano. Přihlásí se kdokoli, kdo má školní účet ve stejném Microsoft Entra ID. Na macOS 26 se účet po odhlášení smaže, takže Mac je hned připravený pro dalšího. Pozor na učitelské účty s povinným vícefázovým ověřením: na přihlašovací obrazovce sdíleného Macu se nepřihlásí.

Co když žák zapomene heslo k účtu Microsoft?

Heslo obnoví správce Microsoft 365 ve škole, případně si ho žák obnoví sám, pokud to škola v Microsoftu povolila. Na Mac se pak přihlásí novým heslem. Nový účet nebo dočasné heslo musí žák nejdřív jednou použít v prohlížeči, například na portal.office.com, protože přihlašovací obrazovka Macu změnu dočasného hesla nedokončí.

Musím učebnu, kterou mám nastavenou ručně, vymazat?

Ne. Karta pošle jen skutečné změny a registrace Macu při novém odeslání profilu SSO zůstane zachovaná.

Potřebují žáci Microsoft Authenticator?

Ne. Po dokončeném prvním přihlášení stačí na sdíleném Macu školní e-mail a heslo. Pokud má škola v Entra vynucené MFA nebo podmíněný přístup, řídí se jím i přihlášení.

Funguje registrace v průvodci i na macOS 15?

Ne. Registraci v průvodci přinesl macOS 26. Macy se systémem 14 a 15 se registrují z pomocného účtu; ostatní nastavení karty dostanou stejně.

Související

• Mac ve škole: přihlášení přes Office 365 v počítačové učebně (případová studie ZŠ Valašské Meziříčí)
• Jak spravovat Mac ve škole
• Jak propojit školu s Microsoftem
• Co je ADE, automatický zápis zařízení
• Co je federace účtů Apple
• Správa iPadů
• Funkce Hanus.ai

Zdroje

• Microsoft Learn: Configure Platform SSO for macOS devices in Microsoft Intune (povinná nastavení politiky, Company Portal 5.2404.0, registrace z oznámení; aktualizováno 22. 6. 2026)
• Microsoft Learn: Add Platform SSO policy to ADE Profile on macOS devices (registrace v průvodci: macOS 26, Company Portal 5.2604.0 jako LOB aplikace, tři politiky ve stejné statické skupině uživatelů, ADE s vazbou na uživatele)
• Apple Platform Deployment: Platform Single Sign-on for macOS (Platform SSO během ADE, Authenticated Guest Mode od macOS 26, požadavek Bootstrap tokenu a místního správce)
• Jamf Support: Configuring Entra ID for Platform SSO for macOS with Jamf School (profil až po instalaci Company Portalu, chytrá skupina; článek z 17. 3. 2026)
• Údaje o Hanus.ai: konzole a interní dokumentace Hanus.ai k 16. 10. 2026.