Apple Classroom nejde časti žiakov? Chyba býva v spravovaných účtoch

TL;DR pre ponáhľajúcich sa: Keď v Apple Classroom „nejde“ len časť ľudí, príčina býva v účtoch, nie v iPadoch. Najčastejšie: osobný Apple účet na školskej adrese, kvôli ktorému ASM pridal k spravovanému účtu číslo; účet, ktorý sa nikdy neprihlásil; zmazaní ľudia v synchronizácii; a federácia, ktorá nesedí s typom kódu alebo s dvojfázovým overením. Predídete im zamknutím domény, aktiváciou účtov hneď pri odovzdaní iPadu, mazaním na jednom mieste a rozhodnutím o federácii skôr, než vzniknú účty.

Tri vety, ktoré počujeme po každom spustení

Pri zavádzaní Apple Classroom v školách sa nám opakuje niekoľko situácií. Učiteľ otvorí aplikáciu a niektorých žiakov v triede nevidí, hoci sedia vedľa tých, ktorých vidí. Žiak sa neprihlási na zdieľaný iPad, aj keď kód z papiera odpísal správne. Učiteľ chce žiakovi v aplikácii Classroom obnoviť heslo a dostane hlášku, že jeho Apple ID nie je na resetovanie hesla tohto študenta autorizované.

Prvý reflex je hľadať chybu v iPadoch alebo v sieti. Ak však nefunguje len časť ľudí, zatiaľ čo ich spolužiaci na rovnakých iPadoch v tej istej učebni fungujú bez problémov, nastavenie zariadení je takmer isto v poriadku. Príčina je v účtoch.

Tento článok je návod pre IT koordinátora a správcu MDM: ako problém rýchlo zaradiť, kde ho v Apple School Manageri overiť, ako ho opraviť a hlavne čo robiť od začiatku, aby k nemu vôbec nedošlo.

Rýchla diagnostika

Skôr než začnete čokoľvek meniť, otvorte Apple School Manager (ďalej len ASM) a v zozname používateľov (Users) nájdite jedného žiaka alebo učiteľa, u ktorého to nefunguje. Väčšinu odpovedí uvidíte priamo v jeho detaile: stav účtu, spravovaný účet Apple, typ overenia a pravidlo pre heslo.

Príznak	Najčastejšia príčina	Kde overiť	Oprava
Učiteľ žiaka v Classroom nevidí, alebo sa žiak na zdieľanom iPade hlási do iného účtu	Spravovaný účet má v ASM číslo navyše (napríklad jan.novak1@skola.sk), ale MDM počíta s adresou bez čísla	ASM: Users, stĺpec Managed Apple Account; porovnať s adresou v MDM	Zjednotiť adresu v MDM so spravovaným účtom v ASM, konflikt s osobným účtom vyriešiť cez doménu
Reset hesla v Classroom hlási, že Apple ID nie je autorizované	Účet v stave New, žiak sa nikdy neprihlásil; alebo učiteľ a žiak nie sú v rovnakom mieste; alebo ide o federovaný účet	ASM: stav účtu, miesto (Location), typ overenia	Vytvoriť prihlasovacie údaje (Create Sign-in), zjednotiť miesto, pri federácii resetovať u poskytovateľa
Učiteľ sa do Classroom neprihlási svojím školským účtom	Učiteľský účet v stave New, bez vlastného hesla a dvojfázového overenia	ASM: stav účtu učiteľa	Aktivovať účet: prvé prihlásenie, vlastné heslo, overovací kód
V ASM pribúdajú duplicity, synchronizácia hlási chyby alebo stojí	Do synchronizácie sa dostávajú zmazaní ľudia, alebo sa maže na dvoch miestach	ASM: aktivita synchronizácie, deaktivované účty	Posielať len platný stav zo zdroja, mazať len v zdroji
Federovaný žiak nemôže na zdieľanom iPade zadať heslo od Googlu či Microsoftu	Na prihlasovacej obrazovke je pole pre číselný kód namiesto poľa pre heslo	MDM: typ kódu žiaka pre zdieľaný iPad	Prepnúť žiakom typ kódu na heslo
Federovaný učiteľ sa pri prihlásení zasekne na dvojfázovom overení	Poskytovateľ vynucuje len bezpečnostný kľúč	Správa Google Workspace alebo Microsoft Entra	Povoliť učiteľom bežné metódy dvojfázového overenia

Príčina 1: osobný Apple účet na školskej adrese

Čo sa stalo

Žiak alebo učiteľ si kedysi, napríklad na domácom iPhone, založil osobný Apple účet na školskej e-mailovej adrese. Apple na to nič nepotreboval, adresa bola voľná. Keď potom škola zakladá spravované účty, je táto adresa obsadená. Apple výslovne uvádza, že každý spravovaný účet musí byť jedinečný a nesmie byť rovnaký ako Apple účet, ktorý už má niekto iný.

ASM preto vytvorí spravovaný účet s inou adresou. V praxi to vyzerá tak, že k menu pridá číslo, napríklad meno.priezvisko1@skola.sk. Rovnaké správanie Apple opisuje aj pri zmene formátu spravovaných účtov: keď je výsledná adresa už použitá, na koniec sa pridá číslo.

Problém je v tom, že ostatné systémy o čísle nevedia. EduPage, MDM aj papier rozdaný žiakom počítajú s adresou bez čísla. Profil Apple Classroom na iPade potom odkazuje na účet, ktorý v ASM neexistuje, a nič nesedí.

Ako to spoznáte

V ASM otvorte zoznam používateľov a pozrite sa na stĺpec spravovaného účtu (Managed Apple Account). Hľadajte adresy, ktoré končia číslicou pred zavináčom. Potom ich porovnajte s adresou, ktorú má ten istý človek v MDM. V Hanus.ai je to stĺpec Apple ID / e-mail na stránke Učitelia a žiaci. Kde sa adresy líšia, máte vinníka.

Ako to opraviť

1. Spíšte dotknutých ľudí. Zoznam z ASM s číslami v adrese je východiskový podklad.
2. Zjednoťte adresu v MDM. Do profilov pre Apple Classroom musí ísť presne ten spravovaný účet, ktorý je v ASM, vrátane čísla. Ak vaše MDM vie spravované účty z ASM prevziať, použite to. Ak nie, opravte adresu pri dotknutých ľuďoch. Býva ich len niekoľko.
3. Riešte príčinu, nielen následok. Osobné účty na školskej doméne vyrieši zachytenie domény (Capture a domain), o ktorom píšeme nižšie v prevencii.

Čomu sa vyhnúť

• Nemeňte hromadne formát spravovaných účtov len kvôli niekoľkým konfliktom. Zmena formátu pre existujúcich používateľov zmení adresu všetkým a Apple používateľov neupozorní.
• Nemažte a znova nezakladajte účet v nádeji, že tentoraz vznikne bez čísla. Kým osobný účet adresu drží, číslo sa objaví znova.
• Neupravujte údaje ručne v ASM, ak do neho dáta posiela školský systém alebo MDM. Apple upozorňuje, že taký účet sa stane lokálnym a stratí väzbu na zdroj.

Príčina 2: účty, ktoré sa nikdy neprihlásili

Čo sa stalo

Každý účet v ASM má stav. New znamená, že účet je nový a používateľ sa ešte neprihlásil. Active znamená, že sa prihlásil aspoň raz. Stav New teda v praxi hovorí, že účet ešte nemá heslo, ktoré by si používateľ sám nastavil.

Pre taký účet ASM neponúka reset hesla, ale vytvorenie prihlasovacích údajov (Create Sign-in). Reset hesla (Reset Password) je určený pre používateľov, ktorí heslo zabudli. A v praxi vidíme, že reset z aplikácie Classroom pri účte, ktorý sa nikdy neprihlásil, zlyhá s hláškou o autorizácii, a to aj pod účtom správcu. Týka sa to žiakov aj učiteľských účtov.

Ako to spoznáte

V ASM v zozname používateľov vyfiltrujte stav New. Ak v ňom nájdete žiakov, ktorým nejde reset, alebo učiteľov, ktorí sa neprihlásia do Classroom, máte odpoveď.

Skôr než budete hľadať ďalej, skontrolujte aj ďalšie podmienky, ktoré Apple pre reset z aplikácie uvádza:

• učiteľ a žiak sú v rovnakom mieste (Location) v ASM,
• učiteľ má v ASM oprávnenie spravovať účty žiakov,
• žiak nemá federovaný účet; federovaným žiakom sa heslo resetuje u poskytovateľa identity, nie v Classroom,
• žiak je v triede toho učiteľa, cudziemu žiakovi učiteľ heslo neresetuje.

Učiteľ sa pri resete overuje svojím spravovaným účtom a dvojfázovým overením. Ak si účet sám nikdy neaktivoval, reset nevykoná.

Ako to opraviť

1. V ASM vyberte účty v stave New. Postupujte po triedach, nech vám vytlačené kódy sedia na rozdávanie.
2. Pri vybraných účtoch zvoľte vytvorenie prihlasovacích údajov (Create Sign-ins).
3. Zvoľte spôsob odovzdania. PDF s ôsmimi ľuďmi na stranu (8-up PDF) sa hodí na rozstrihanie a rozdanie v triede, CSV si nechajte na evidenciu.
4. Súbor uložte hneď. Dočasné heslo ASM po zmene už nikdy neukáže.
5. Žiaci sa s dočasným kódom prihlásia na zdieľaný iPad a pri prvom prihlásení si nastavia vlastný. Tým účet prejde do stavu Active a reset z aplikácie Classroom začne fungovať.

Pozor na lehotu: dočasné heslá z ASM platia 90 dní. Kódy vytlačené v septembri a nepoužité do decembra už nepomôžu a musíte vydať nové.

Štvormiestne kódy vyžadujú najprv pravidlo pre heslá pri mieste v ASM, Apple ho uplatní len na novo vytvorené údaje. V Hanus.ai je celý postup ako zoznam na odškrtnutie v kroku Kódy žiakov na stránke Apple trieda.

Čomu sa vyhnúť

• Neskúšajte reset z Classroom opakovane pri účte v stave New. Výsledok bude stále rovnaký.
• Nerozdávajte kódy bez dátumu. Napíšte na papier, kedy vypršia.

Príčina 3: zmazaní ľudia, ktorí z ASM nikdy nezmiznú

Čo sa stalo

Ak škola posiela dáta do ASM cez SFTP, teda nahrávaním CSV súborov, ASM berie obsah súborov ako platný stav. Apple pri SFTP navyše očakáva, že každá aktualizácia obsahuje všetky súbory, aj tie, v ktorých sa nič nezmenilo. Šablóna žiakov pritom nemá žiadny stĺpec pre stav: kto je v súbore, ten je pre ASM platný človek.

Keď sa do exportu dostanú aj zmazaní alebo odídení ľudia, ASM ich ďalej vedie ako aktívnych. Z našej praxe: časom k nim pribudnú noví ľudia s rovnakým menom, vzniknú duplicity a synchronizácia začne končiť chybami, až úplne stojí.

Ako to spoznáte

• V ASM sú ako aktívni vedení ľudia, ktorí zo školy odišli.
• Vo výpise používateľov nájdete dvojice s rovnakým menom, často jednu s číslom v adrese.
• Synchronizácia v ASM hlási chyby, alebo sa dáta dlhší čas nemenia.

Ako to opraviť

1. Opravte zdroj, nie ASM. Upravte export tak, aby obsahoval len aktívnych ľudí a ich aktuálne zápisy do tried.
2. Odchádzajúcich deaktivujte, nemažte ich ručne uprostred synchronizácie. Apple pri účtoch zo SIS a SFTP ponúka deaktiváciu. Deaktivovaný účet sa odhlási zo zariadení, nedá sa ním prihlásiť, a ak sa do 120 dní znova nesynchronizuje, Apple ho sám odstráni.
3. Duplicity riešte po jednej a až po oprave zdroja. Inak ich ďalšia synchronizácia vráti.

Ako to funguje v Hanus.ai

V Hanus.ai škola do ASM nič nenahráva cez SFTP. Hanus.ai je pre ASM školský informačný systém a ASM si roster sťahuje cez OneRoster. Do ASM teda ide to, čo je v rosteri Hanus.ai. EduPage ASM priamo nevidí: export z EduPage je vstup do Hanus.ai, nie do ASM. Postup opisuje návod Import žiakov z EduPage.

Import zo školského systému je zrkadlo úplného exportu, nie prírastok: kto v nahranom súbore chýba, toho import navrhne odobrať a ukáže ho v prehľade zmien. Zmazanie účtu na stránke Učitelia a žiaci je riadené: účet sa označí na zmazanie, deaktivuje sa prihlásenie a v ASM sa odoberie pri ďalšej synchronizácii. Zmazaný účet zostane v záložke Zmazané, odkiaľ sa dá obnoviť.

Z toho pre vás plynie jedno pravidlo: mažte len na jednom mieste, v Hanus.ai, a nechajte synchronizáciu, nech zmenu prepíše.

Čomu sa vyhnúť

• Neposielajte čiastkové exporty s jednou triedou alebo hŕstkou nových žiakov. Pri zrkadlovom importe to znamená, že ostatní zmiznú.
• Nemažte ručne v ASM, keď dáta riadi zdroj.
• Neodpájajte a znova nepripájajte synchronizáciu kvôli upratovaniu. Apple výslovne varuje, že po takom postupe má ASM pri zmenených účtoch nesprávne údaje.

Príčina 4: federácia s Googlom alebo Microsoftom

Federácia znamená, že sa žiaci a učitelia prihlasujú do Apple služieb účtom od Googlu alebo Microsoftu a heslo drží tento poskytovateľ, nie Apple. Je to pohodlné, ale má dve pasce, ktoré sa prejavia až v triede. Čo je federácia, vysvetľujeme v návode Čo je federácia účtov Apple.

Žiak: číselný kód namiesto hesla

Federovaný žiak sa na zdieľaný iPad prvýkrát prihlási menom a heslom od Googlu alebo Microsoftu a pri tom si vytvorí kód pre zdieľaný iPad. Nabudúce sa už hlási menom a týmto kódom.

Ak je však žiak v MDM nastavený na štvormiestny alebo šesťmiestny kód, prihlasovacia obrazovka zdieľaného iPadu ukáže pole pre číselný PIN. Heslo od Googlu doň napísať nejde a žiak sa neprihlási. Overili sme to v prevádzke so školou na Googli.

Oprava: federovaným žiakom nastavte typ kódu na heslo. V Hanus.ai je to Formát kódu pre Apple pri žiakovi na stránke Učitelia a žiaci. Viacerým žiakom naraz ho zmeníte tlačidlom Zmeniť formát kódu v lište výberu a voľbou Heslo (8 znakov). Pri novo zakladaných žiakoch federovanej školy je heslo predvolená hodnota. Zdieľané iPady dostanú nový profil samy, alebo hneď tlačidlom Odoslať nastavenia Zdieľaného iPadu.

Pamätajte tiež, že pri federovanom žiakovi nefunguje reset hesla v aplikácii Classroom a dočasné kódy z ASM na federovanom účte nepomôžu. ASM vie federovanému používateľovi resetovať len kód pre zdieľaný iPad a jeho heslo u poskytovateľa tým nemení.

Učiteľ: dvojfázové overenie len s bezpečnostným kľúčom

Pri učiteľoch je pasca inde. Ak má škola v Google Workspace vynútené dvojfázové overenie v režime len bezpečnostný kľúč (Only security key), Google v tomto režime nedovolí používateľom vytvoriť si vlastné záložné kódy. Záložný kód musí vygenerovať správca. Z našej praxe: na prihlasovacej stránke Applu sa potom učiteľ nedostane ďalej inak než so záložným kódom od správcu, a to každý deň znova.

Oprava: v správe Google povoľte učiteľom bežné metódy dvojfázového overenia, nie len bezpečnostný kľúč. Najčistejšie je urobiť to pre organizačnú jednotku učiteľov, aby sa nezmenili pravidlá pre správcov.

Poradie, ktoré sa nedá vrátiť

Pri federovanej škole rozhoduje poradie: najprv overená a zamknutá doména, potom zapnutá federácia a až potom synchronizácia účtov zo školského systému. Apple pre federáciu vyžaduje zamknutú doménu so spusteným zachytením domény a nesmú existovať konflikty spravovaných účtov. V inom poradí vzniknú účty bez federácie.

Ak sa to napriek tomu stalo, účty nemažte a synchronizáciu neprepájajte. Apple po zapnutí federácie prevedie účty s adresou vo federovanej doméne sám (Automatic changes).

E-mail v rosteri musí byť presne prihlasovacie meno u poskytovateľa. Pri Microsofte Apple vyžaduje, aby sa UPN zhodovalo s e-mailovou adresou, a aliasy nepodporuje. Ako na Microsoft, opisuje návod Ako prepojiť školu s Microsoftom.

Čomu sa vyhnúť

• Nedávajte federovaným žiakom číselný PIN v MDM len preto, že je pre deti pohodlnejší. Najprv sa musia prihlásiť heslom.
• Nesľubujte učiteľom reset hesla v Classroom, ak máte federáciu. Ten sa robí u Googlu alebo Microsoftu.

Správny postup od začiatku

Toto je poradie, v ktorom odporúčame Apple Classroom zavádzať, aby vyššie opísané problémy vôbec nevznikli.

1. Overte doménu v ASM. Bez overenej domény spravované účty na školskej adrese nevzniknú.
2. Zistite, koľko osobných účtov doménu používa. V detaile domény uvidíte počty. Zoznam si stiahnite (Download a list of unmanaged Apple Accounts). Pozor, zoznam obsahuje len účty, ktoré sa nedávno prihlásili do niektorých webových služieb Applu, takže môže byť kratší než skutočnosť.
3. Zamknite doménu (Lock a domain). Odvtedy na nej nikto nezaloží nový osobný účet. Zámok je trvalý a zrušiť sa dá len odobratím domény.
4. Zachyťte doménu (Capture a domain). Majitelia osobných účtov dostanú výzvu a majú 30 dní na rozhodnutie: buď si účet prevedú na inú adresu a nechajú si ho ako osobný, alebo ho prevedú škole. Keď neurobia nič, Apple ich osobný účet premenuje na dočasnú adresu a škola môže školskú adresu použiť. Zachytenie sa nedá vziať späť, preto ľudí vopred informujte.
5. Rozhodnite o federácii. Zvlášť pre žiakov a zvlášť pre učiteľov si ujasnite, kto bude držať heslá, aký typ kódu budú mať žiaci na zdieľanom iPade a aké metódy dvojfázového overenia budú mať učitelia.
6. Pripravte dáta. Úplný export z EduPage, len aktívni ľudia, každá trieda s učiteľom.
7. Napojte synchronizáciu do ASM. Až teraz vzniknú účty.
8. Nastavte pravidlo pre heslá žiakov pri mieste a vydajte prihlasovacie údaje po triedach.
9. Aktivujte učiteľské účty hneď pri odovzdaní iPadu. Prvé prihlásenie, vlastné heslo, dvojfázové overenie. Učiteľ odchádza s funkčným účtom, nie s papierom.
10. Prihláste žiakov aspoň raz na prvej hodine s dočasným kódom z ASM. Odvtedy funguje reset z aplikácie Classroom.
11. Skontrolujte stav New v ASM po prvom týždni a doberte, kto chýbal.

Čo nerobiť

• Nezakladajte spravované účty skôr, než zamknete doménu a vyriešite osobné účty.
• Neupravujte a nemažte účty ručne v ASM, keď ich riadi školský systém alebo MDM. Jeden zdroj pravdy, jedna cesta zmazania.
• Nenahrávajte čiastkové exporty a neodpájajte synchronizáciu kvôli upratovaniu.
• Nezapínajte federáciu až po vytvorení účtov.
• Nedávajte federovaným žiakom číselný PIN a nevynucujte učiteľom len bezpečnostný kľúč.
• Nenechávajte dočasné kódy ležať dlhšie než 90 dní.

Ako s tým pomáha Hanus.ai

Napojenie na ASM je v konzole Hanus.ai na jednej stránke Apple trieda a kroky sa odomykajú postupne, takže poradie z predchádzajúcej kapitoly sa nedá ľahko preskočiť.

• Doména pred synchronizáciou. Bez potvrdenia, že je doména v ASM overená, formulár pre nového človeka žiadnu adresu neponúkne.
• Federácia pred žiakmi. Pri federovanej škole je napojenie ASM zamknuté, kým škola neodškrtne prepojenie poskytovateľa, testovacie prihlásenie a zapnutie federácie. Dovtedy ide do ASM len štruktúra školy a učitelia.
• Kódy žiakov ako zoznam na odškrtnutie v poradí, ktoré zaistí štvormiestne kódy.
• Jeden zdroj pravdy. Roster cez OneRoster, import ako zrkadlo úplného exportu, riadené zmazanie s možnosťou obnovy.
• Heslo ako predvolený typ kódu pre nových žiakov federovanej školy, existujúcim hromadne.

Párovanie spravovaných účtov z ASM do profilov Apple Classroom, aby iPad pracoval s adresou vrátane čísla od Applu, v Hanus.ai postupne zapíname školám. Kým ho vaša škola nemá, platí to, čo odporúčame v príčine 1: adresa v rosteri musí zodpovedať spravovanému účtu v ASM.

A ak sa do toho nechcete púšťať sami, nastavenie Apple Classroom je v cene Hanus.ai: doménu, účty, roster aj zariadenia prejdeme s vami.

Často kladené otázky

Prečo učiteľ vidí v Apple Classroom len niektorých žiakov?

Ak nefunguje celá trieda, hľadajte príčinu v sieti. Ak len niektorí žiaci, porovnajte ich spravovaný účet v ASM s adresou v MDM. Najčastejšou príčinou je číslo, ktoré ASM pridal kvôli osobnému Apple účtu na rovnakej adrese.

Čo znamená hláška, že Apple ID nie je autorizované na reset hesla žiaka?

Najčastejšie to, že sa žiak ešte nikdy neprihlásil a jeho účet je v ASM v stave New. Skontrolujte aj to, či sú učiteľ a žiak v rovnakom mieste, či má učiteľ oprávnenie spravovať účty a či žiak nemá federovaný účet.

Môže správca resetovať heslo žiakovi, ktorý sa nikdy neprihlásil?

V ASM áno, ale nie resetom. Pre taký účet sa vytvárajú prihlasovacie údaje (Create Sign-in). Žiak sa s dočasným kódom prihlási, nastaví si vlastný a odvtedy funguje aj reset z aplikácie Classroom.

Ako dlho platia dočasné kódy z ASM?

Dočasné heslá z ASM platia 90 dní. Ak ich žiak dovtedy nepoužije, musíte vydať nové. Viac o zabudnutých heslách nájdete v návode Žiak zabudol heslo.

Môžeme federovaným žiakom nechať štvormiestny PIN?

Až po prvom prihlásení heslom od poskytovateľa. Ak je žiak v MDM nastavený na číselný kód skôr, prihlasovacia obrazovka zdieľaného iPadu mu neponúkne pole pre heslo. Preto federovaným žiakom nastavujeme typ kódu na heslo.

Súvisiace

• Apple Classroom v škole: ako učiteľ riadi hodinu s iPadmi
• Zdieľaný iPad v triede
• Apple School Manager od A po Z
• Čo je spravovaný účet Apple
• Čo je federácia účtov Apple
• Čo je OneRoster
• Ako nastaviť zdieľaný iPad
• Odchádza IT koordinátor
• Workshop Apple Classroom pre pedagógov a správa iPadov v Hanus.ai

Apple Classroom je skvelý nástroj. Či funguje od prvého dňa, sa však rozhoduje už pri zakladaní účtov, nie až v triede. Ak si nie ste istí, ako je na tom vaša škola, napíšte nám a prejdeme to s vami.

Zdroje

• Apple: Intro to users in Apple School Manager
• Apple: Intro to Managed Apple Accounts in Apple School Manager
• Apple: Edit Managed Apple Accounts in Apple School Manager
• Apple: View account totals using your domain
• Apple: Lock a domain in Apple School Manager
• Apple: Download a list of unmanaged Apple Accounts
• Apple: Capture a domain in Apple School Manager
• Apple: Create or reset user passwords in Apple School Manager
• Apple: Set password policies in Apple School Manager
• Apple: Create Shared iPad passcodes in Apple School Manager
• Apple: Sign in to Shared iPad
• Apple: Intro to federated authentication with Apple School Manager
• Apple: Integrate Apple School Manager with your SIS
• Apple: Upload Student Information System data
• Apple: Reset a Managed Apple ID password in Classroom
• Apple: Problems signing in and using accounts in Schoolwork
• Google: Deploy 2-Step Verification
• Vlastná prax: zavádzanie Apple Classroom v školách spravovaných platformou Hanus.ai, stav k 13. októbru 2026