Odchází ICT koordinátor: jak předat Apple School Manager a MDM, aby nic nepřestalo fungovat

Co se typicky stane

Koordinátor odchází a předává přístupy. Dvoufázové ověření ale chodí na jeho soukromý telefon, takže nástupce účet v Apple School Manageru resetuje a nastaví nové heslo a nové číslo. Rozumný krok. Jenže druhý den se nové iPady neobjevují v MDM a aplikace se nenasazují.

Příčina: oba tokeny, které propojují Apple School Manager s MDM, jsou svázané s účtem, který je stáhl:

• token MDM serveru (.p7m) pro automatický zápis nových zařízení,
• token pro obsah, v Hanus.ai VPP token (.vpptoken), pro aplikace a knihy.

Apple v dokumentaci uvádí, že když uživatel, který token stáhl, změní heslo svého spravovaného účtu, je potřeba token nahradit. Kořen problému bývá už v prvním nastavení: MDM je napojené pod osobní účet konkrétního člověka, třeba jan.novak@domenaskoly.cz.

Dobrá zpráva: zapsaná zařízení ze správy nevypadnou. Stačí oba tokeny stáhnout znovu a nahrát.

Když už se heslo změnilo: obnovte oba tokeny

1. Token MDM serveru. Na school.apple.com klikněte vlevo dole na své jméno → Preferences → Device Management Service Assignment → vyberte stávající MDM server Hanus.ai (nezakládejte nový) → Download Token.
2. V Hanus.ai: Nastavení → Enrollment → Automatický zápis (ADE) → Nový token → nahrajte .p7m. Pak na stránce ASM klikněte na Synchronizovat.
3. Token pro obsah. Na school.apple.com: své jméno → Preferences → Payments and Billing → v části Content Tokens stáhněte token pro svou lokaci.
4. V Hanus.ai: Nastavení → VPP token → Nahradit token. Nikdy ne Smazat token: smazání je určené pro odchod k jinému MDM a licence by v ASM zůstaly zablokované.

Tokeny nahrává jen správce s rolí Super admin.

Jak tomu předejít: samostatný účet pro správu

• V Apple School Manageru vytvořte spravovaný účet jen pro správu, například apple@domenaskoly.cz, s rolí Administrator. Nesmí patřit žádné konkrétní osobě. Apple sám doporučuje stahovat tokeny pod účtem vytvořeným jen k tomu účelu.
• Pod tímto účtem stáhněte oba tokeny (MDM server i obsah) a nahrajte je do MDM.
• Ověřovací telefon nastavte na školní číslo, ne na soukromý mobil.
• Přístupové údaje uložte tam, kam má přístup vedení školy, ne jen koordinátor.
• Mějte v Apple School Manageru aspoň dva správce, aby škola nikdy nezůstala bez přístupu.

Nezapomeňte na APNs certifikát

Třetí věc, kterou je potřeba předat: APNs certifikát, přes který MDM probouzí zařízení. Vystavuje se na portálu identity.apple.com pod konkrétním Apple účtem a každý rok se obnovuje tlačítkem Renew pod stejným účtem. Když škola k tomu účtu ztratí přístup a vytvoří certifikát nový, všechna zařízení se musí zapsat znovu. Proto i tento certifikát patří pod školní účet, ne soukromý, a heslo k němu musí nástupce převzít.

Kontrolní seznam při předání

1. Pod jakým účtem byly staženy token MDM serveru, VPP token a APNs certifikát?
2. Kam chodí dvoufázové ověření u každého z těch účtů?
3. Kdy který token a certifikát vyprší? V Hanus.ai to ukazuje Nastavení a Hanus na expiraci sám upozorní.
4. V konzoli Hanus.ai založte nástupci účet Super admin a odcházejícího koordinátora deaktivujte. Historie v audit logu zůstane.

Často kladené otázky

Vypadnou po změně hesla iPady ze správy?

Ne. Zapsaná zařízení zůstanou spravovaná. Přestane jen zápis nových zařízení a synchronizace aplikací, dokud nenahrajete nové tokeny.

Musím po obnově tokenů iPady mazat nebo znovu zapisovat?

Ne. Po nahrání nových tokenů stačí synchronizovat. Znovu zapisovat by se musela zařízení jen v případě, že škola ztratí účet, pod kterým je vystavený APNs certifikát.

Může se Hanuše zeptat, proč se aplikace neinstalují?

Ano. Hanuš v konzoli odpovídá lidskou řečí: zeptáte se „Proč se na nové iPady neinstalují aplikace?“ a vysvětlí, co se děje a co udělat dál.

Související: Jak přidat dalšího správce do MDM, iPad je v ASM, ale ne v MDM, Apple School Manager od A do Z.