Mac v škole: Prihlásenie cez Office 365 v počítačovej učebni

Keď má školská počítačová učebňa 20 Macov a 150 žiakov, klasické prihlasovanie sa rozpadne. Založiť každému lokálny účet? Neúnosné. Zdieľať jedno heslo? Problém s GDPR. Navyše takto nefunguje jednotné prihlásenie do Office 365, ktoré škola aj tak potrebuje pre Word online, Outlook a OneDrive.

Ukážeme, ako sme to vyriešili na Základnej škole Valašské Meziříčí. Sprievodca funguje pre ktorúkoľvek školu v Česku aj na Slovensku, ktorá má Microsoft 365 tenant a chce zdieľané Macy v počítačovej učebni.

V kocke

• Situácia: Základní škola Valašské Meziříčí, Masarykova 291, okres Vsetín, příspěvková organizace. Počítačová učebňa s 21 Macmi a približne 150 žiakmi, ktorí sa v učebni striedajú.
• Cieľ: Žiak alebo učiteľ príde k ľubovoľnému Macu, prihlási sa svojím školským účtom Microsoft 365 a hneď pracuje. Bez IT správcu pri každom prihlásení. Bez ručne zakladaných účtov.
• Riešenie: Apple Platform SSO s Microsoft Entra ID, aplikácia Microsoft Company Portal, konfigurácia cez jednu skupinu „Mac učebňa" v Hanus.ai.
• Čas nasadenia: Zhruba 15 minút na celú skupinu 21 Macov. Ručne cez plisty by to zabralo dva pracovné dni.
• Bonus: Jedným kliknutím sa dá prepnúť medzi tromi režimami zdieľania (trvalé účty, dočasné relácie, osobný Mac 1:1), podľa toho, ako škola učebňu využíva.

Prečo je zdieľaný Mac v škole komplikovaný

Klasická počítačová učebňa má jednoduchú požiadavku: chodia sem žiaci zo všetkých tried, sadajú si k ľubovoľnému Macu, pracujú jednu vyučovaciu hodinu. Pred 15 rokmi by to znamenalo Active Directory bind (Mac sa pripojí do školskej domény, autentizuje sa cez AD), ktorý Apple postupne privádza ku koncu a od macOS 14 odporúča iné riešenie.

Alternatívy, ktoré sa v praxi skúšajú:

Zdieľané lokálne účty typu „student1", „student2". Rýchle, ale žiak nemá SSO do Office 365, nikto nevie, kto čo robil, a súlad s GDPR je otázka. Odpadá.

Ručné zakladanie lokálnych účtov pre každého žiaka. Funguje pre päť Macov a desať žiakov, ale škola s 21 Macmi a 150 žiakmi by potrebovala 3150 kombinácií účet–zariadenie. Nereálne.

Voľný Guest account bez hesla. Dáta sa po odhlásení zmažú, žiak však nemá prístup k svojim súborom, nemá SSO. Použiteľné len pre návštevy.

Apple predstavil Platform SSO v macOS 13 Ventura (2022) a v macOS 14 Sonoma (2023) ho rozšíril o password metódu a zdieľané kľúče zariadenia, čo je kľúčové práve pre školský scenár. Mac sa zaregistruje do Microsoft Entra ID (predtým Azure AD) a od tej chvíle sa doň môže prihlásiť ktokoľvek, kto má v tomto Entra tenante účet. To znamená každý žiak a učiteľ Vašej školy. Lokálny účet sa založí automaticky pri prvom prihlásení, heslo sa synchronizuje s Entra, a po prihlásení má používateľ k dispozícii SSO do všetkých služieb Microsoftu: Outlook, Word, Excel, OneDrive, Teams.

Zostáva jediné: dostať toto nastavenie na 21 Macov. Ručne napísať 20 kľúčov do PropertyList XML a preniesť ich na každé zariadenie? Presne preto vzniklo MDM. A Hanus.ai to urobí za 15 minút.

Kto je ZŠ Valašské Meziříčí

Základní škola Valašské Meziříčí, Masarykova 291, okres Vsetín, příspěvková organizace, je bežná česká základná škola v Zlínskom kraji. V auguste 2026 nasadila kompletnú správu Apple zariadení cez Hanus.ai. Aktuálne má 21 Macov v počítačovej učebni a 51 iPadov v triedach (dáta k 31. augustu 2026). Škola má licencie Microsoft 365 pre žiakov aj učiteľov a chcela, aby sa všetci do Macov prihlasovali svojím školským e-mailom.

Ide o nasadenie v českej škole, ale postup je identický pre školy na Slovensku: Microsoft 365 aj Apple ekosystém sa v oboch krajinách nijako nelíšia.

Enrollment prebehol 14. augusta, konfigurácia SSO a Prihlasovacieho okna bola dokončená 18. augusta. Za pár dní sme dostali od koordinátorky IT správu: „Funguje ako po masle, žiaci nemajú problém, učitelia sú nadšení."

Celý postup, ktorý teraz rozpíšeme, je 1 : 1 postup, ktorý sme urobili na Valmeze. Vy ho môžete urobiť u seba úplne rovnako.

Odpoveď v jednej vete

Zaregistrujete každý Mac do Microsoft Entra ID cez aplikáciu Microsoft Company Portal, priradíte v Hanus.ai do skupiny „Mac učebňa" tri profily (Platform SSO, Prihlasovacie okno, Obmedzenia) a jednu aplikáciu (Company Portal). Za 15 minút je počítačová učebňa pripravená na vyučovanie.

Krok 1: Registrácia zariadenia do Microsoft Entra ID

Čo to je: Microsoft Entra ID (predtým Azure Active Directory) je cloudová identita, ktorú Vaša škola už pravdepodobne používa pre Office 365. Registrácia zariadenia znamená, že sa Mac priradí do školského tenanta, a od tej chvíle sa doň môže prihlásiť ktokoľvek s účtom v tomto tenante.

Ako to funguje: Registráciu vykoná aplikácia Microsoft Company Portal (bundle ID com.microsoft.CompanyPortalMac). Túto aplikáciu na každý Mac dostane MDM (v našom prípade Hanus.ai), takže sa nemusí inštalovať ručne. Company Portal sa po inštalácii automaticky pripojí k Entra ID podľa konfiguračného profilu, ktorý tiež nastaví MDM. Žiadne klikanie pre správcu.

Čo potrebujete pripravené: Microsoft 365 tenant s licenciami pre žiakov a učiteľov (typicky Microsoft 365 A1 zadarmo pre školy alebo platené A3/A5). Prístup správcu k Entra ID na schválenie pripojenia. To je všetko.

Krok 2: Skupina „Mac učebňa" v Hanus.ai

Otvorte konzolu Hanus.ai, choďte do sekcie Skupiny, prepnite prepínač vľavo hore na macOS a kliknite na Nová skupina. Pomenujte ju „Mac učebňa" a pridajte do nej všetky Macy z počítačovej učebne. V našom prípade 21 kusov.

Skupina v Hanus.ai je jednoduchý koncept: sada zariadení, na ktoré sa hromadne aplikujú konfiguračné profily a aplikácie. Zmeníte nastavenie v profile a Hanus.ai ho automaticky rozošle na všetky zariadenia v skupine. Pridáte do skupiny nový Mac a ten dostane celý balík nastavení sám.

Na ľavom paneli skupiny uvidíte zoznam profilov, ktoré môžete pridať: Obmedzenia, Chrome, SSO, Zabezpečenie macOS, Prihlasovacie okno, Prostredie Macu, Active Directory, FileVault, Rozšírenia systému. Pre našu úlohu potrebujeme štyri z nich a jednu aplikáciu.

Krok 3: Microsoft Company Portal ako aplikácia

V sekcii Aplikácie a knihy vyhľadajte „Microsoft Company Portal". Aplikácia je v macOS katalógu Hanus.ai. Priraďte ju ku skupine „Mac učebňa". Hanus.ai zaistí, že sa na všetkých 21 Macov nainštaluje automaticky (typicky počas 5 až 15 minút od enrollmentu).

Aplikácia je zadarmo, dodáva ju Microsoft, minimálna verzia macOS je 11 (Big Sur). Nie je potrebný Volume Purchase Program, licencovanie ani manipulácia s App Storom. Inštalácia prebieha ticho, žiak o ničom nevie.

Krok 4: Jadro riešenia Platform SSO

Screenshot z reálnej prevádzky ZŠ Valašské Meziříčí. Zvýraznená predvoľba „Zdieľaná učebňa: trvalé účty (macOS 14+)" je aktuálne nasadená na 21 Macov v počítačovej učebni.

Tu sa dejú kúzla. V profiloch skupiny kliknite na SSO a Hanus.ai Vám otvorí stránku s názvom „Prihlásenie do macOS (Platform SSO)". Hlavička hovorí: „Umožní žiakom a učiteľom prihlásiť sa do Macu školským účtom. Vyžaduje macOS 14 a novší a nainštalovanú aplikáciu Company Portal."

Najlepšou funkciou tejto stránky sú tri predvoľby na hornej lište, ktoré za Vás rozhodnú podľa toho, aký typ učebne prevádzkujete:

Zdieľaná učebňa: trvalé účty (macOS 14+): každému žiakovi vznikne pri prvom prihlásení bežný miestny účet, ktorý na disku zostane. Keď sa žiak nabudúce vráti (napríklad o týždeň), nájde svoju prácu tam, kde ju nechal. Vhodné pre školy, kde má počítačová učebňa stabilné osadenstvo (napríklad 2 triedy, ktoré sa v nej striedajú).

Zdieľaná učebňa: dočasné relácie (macOS 26+): žiaci sa striedajú, po odhlásení sa ich dáta automaticky zmažú. Perfektné pre školy s vyšším prietokom používateľov a pre prípady, keď si k Macu sadne niekto bez Entra účtu (hosť, návšteva, zastupujúci učiteľ). Vyžaduje macOS 26 (Tahoe) alebo novší.

Osobný Mac 1:1: jeden používateľ, bezheslové prihlásenie kľúčom v Secure Enclave. Vhodné pre učiteľský MacBook, kde má zariadenie konkrétnu osobu a chce sa prihlasovať bez písania hesla.

Na ZŠ Valašské Meziříčí sme zvolili variant „Zdieľaná učebňa: trvalé účty", pretože škola má aktuálne na väčšine Macov macOS 14 (Sonoma) a chce žiakom zachovať ich rozpracovanú prácu medzi hodinami. Po upgrade na macOS 26 plánujeme prepnúť na režim „dočasné relácie", ktorý dá učebni väčšiu flexibilitu.

Predvoľba nastaví celú sekciu naraz. Ak si želáte, môžete jednotlivé polia doladiť ručne (sú pod predvoľbami rozpísané do sekcií Základ, Vznik a práva účtov a ďalších). Kľúčové nastavenia pre zdieľanú učebňu s trvalými účtami:

• Metóda overenia: Heslo. Company Portal podporuje aj kľúč v Secure Enclave (bezheslové prihlásenie) a čipovú kartu, ale pre zdieľaný scenár je heslo najlepší kompromis medzi bezpečnosťou a UX.
• Zdieľané kľúče zariadenia: Zapnuté. Kritické pre učebne, kde sa strieda viac používateľov.
• Založiť účet na prihlasovacej obrazovke: Zapnuté. Toto zaistí, že sa lokálny účet vytvorí automaticky pri prvom prihlásení nového žiaka. Žiak nemusí čakať na správcu.
• Práva novozaložených účtov: Bežný používateľ. Žiak nemá administrátorské práva.
• Práva pri každom prihlásení: Bežný používateľ. Ani pri ďalších prihláseniach žiak neeskaluje.

Pod všetkými predvoľbami je žltá výstraha: „Vždy nechajte na Macu aspoň jedného miestneho správcu mimo Platform SSO. Pri výpadku poskytovateľa identity je to jediná cesta späť." Toto je zásadné. Keby Microsoft Entra ID vypadlo alebo by Vaša škola stratila prístup, potrebujete lokálny admin účet, ktorým sa do Macu dostanete. Hanus.ai to pripomína, nezabúdajte na to.

Krok 5: Prihlasovacie okno

Reálna konfigurácia ZŠ Valašské Meziříčí. Kľúč „Zobraziť v zozname položku Iný…" na Zapnuté zabezpečuje tlačidlo na prihlásenie Entra účtom.

Druhý kľúčový profil je Prihlasovacie okno. Ovláda vzhľad login screenu: koho v ňom žiak uvidí, či smie Mac vypnúť alebo reštartovať, ako vyzerá tlačidlo na prihlásenie novým účtom.

Na Valmeze máme aktívne tieto tri kľúčové nastavenia:

• Namiesto zoznamu používateľov zobraziť pole pre meno a heslo: Vypnuté. Žiak vidí ikony existujúcich účtov plus tlačidlo „Iný…".
• Zobraziť v zozname položku „Iný…": Zapnuté. Toto je najdôležitejší kľúč celého setupu. Bez neho by sa nový žiak nemal kde prihlásiť svojím Entra účtom. Kliknutím na „Iný…" sa otvorí pole pre e-mail a heslo, kam žiak napíše napríklad jan.novak@skola.sk a svoje Entra heslo.
• Skryť miestne účty: Vypnuté. Lokálny administrátorský účet je stále viditeľný pre núdzový prístup (pozri varovanie v predchádzajúcom kroku).

Nastavenia, ktoré zámerne necháme na „Neriešime", znamenajú: neposielať do Macu žiadnu požiadavku a nechať Apple jeho predvolené správanie. Hanus.ai rozlišuje medzi „Vypnuté" (aktívne zakážeme) a „Neriešime" (neriadime). Tento rozdiel je dôležitý, pretože zbytočne prepísať Apple predvolbu môže škole komplikovať život.

Krok 6: Obmedzenia a Apple Classroom

Tretí profil pre Mac učebňu sú Obmedzenia. Nejde o reštriktívny zákaz všetkého, ale o vypnutie toho, čo v školskom kontexte nedáva zmysel a otvára pochybnosti.

Vypnuté funkcie na Valmeze:

• Game Center, Bookstore, Music Service (Apple Music, Apple Books, hry): nepatria do počítačovej učebne.
• Find My Device, Find My Friends: súkromie žiakov.
• Wallpaper Modification: jednotná tapeta učebne.
• Erase Content and Settings: žiak nesmie Mac vymazať.
• UI Configuration Profile Installation: žiak nesmie inštalovať vlastné konfiguračné profily.

Zapnuté funkcie (Apple Classroom):

• Force Classroom Automatically Join Classes: Mac sa automaticky prihlási do triedy, keď učiteľ na iPade spustí Apple Classroom.
• Force Classroom Unprompted Screen Observation: učiteľ vidí obrazovky žiackych Macov bez explicitného potvrdzovania žiakom.
• Force Classroom Unprompted App and Device Lock: učiteľ môže uzamknúť aplikáciu alebo celý Mac na diaľku.
• Force Classroom Request Permission to Leave: žiak musí požiadať o povolenie, keď chce z triedy odísť.

Apple Classroom funguje na iPadoch (ktoré v učebni na Valmeze tiež sú) aj na Macoch. Učiteľ má na iPade prehľad o obrazovkách všetkých 21 Macov, môže im na diaľku zamknúť Safari pri teste, otvoriť konkrétnu aplikáciu všetkým naraz alebo poslať žiakovi súkromnú správu.

Výsledok: ako vyzerá prihlásenie žiaka

Pozrime sa na to očami šiestaka Janka, ktorý chodí do počítačovej učebne prvý rok.

Janko si sadá k Macu, na ktorý nikdy nesiahol. Vidí login screen: uprostred dve ikony predchádzajúcich žiakov, dole tlačidlo „Iný…". Klikne naň. Otvorí sa dialóg s poľami E-mail a Heslo. Napíše jan.novak@skola.sk (jeho školský e-mail) a heslo, ktoré dostal na začiatku roka.

Za 5 až 15 sekúnd sa prihlási. Prvýkrát to trvá dlhšie, pretože macOS zakladá jeho lokálny účet, sťahuje profil a certifikáty. Nabudúce sa prihlási za 3 sekundy.

Janko otvorí Safari. Napíše outlook.office.com. Outlook sa otvorí bez ďalšieho prihlásenia. Otvorí word.office.com, kde je stránka, ktorú pred týždňom rozpracoval v inej učebni. Bez ďalšieho prihlásenia. Otvorí OneDrive a vidí svoje súbory z domáceho počítača. Bez ďalšieho prihlásenia.

Toto je Platform SSO v akcii. Prihlásenie do Macu automaticky prenieslo Jankovu identitu do každej webovej aplikácie Microsoftu. Nemusí si pamätať žiadne ďalšie heslo, nemusí nič nastavovať.

Po hodine Janko odchádza. Klikne na jablko vľavo hore, Odhlásiť sa. Za 2 sekundy je Mac späť na login screene, pripravený pre ďalšieho žiaka. Jankov účet a jeho dokumenty na disku zostávajú (režim „trvalé účty"). Keď nabudúce príde, znova klikne na „Iný…", napíše svoj e-mail a nájde veci tam, kde ich nechal.

Voliteľne: mazanie dát po odhlásení

Sú situácie, keď chcete, aby sa po odhlásení všetky dáta zmazali. Napríklad:

• Škola nemá dosť miesta na disku pre trvalé účty stoviek žiakov.
• V učebni sa točí veľký počet rôznych žiakov každý týždeň.
• Chcete, aby si k Macu mohol sadnúť hosť alebo návšteva a po jeho odchode po ňom nezostala žiadna stopa.
• Vyžadujete maximálnu bezpečnosť (žiadne dáta mimo OneDrive).

Pre tento scenár je predvoľba „Zdieľaná učebňa: dočasné relácie (macOS 26+)". Vyžaduje macOS 26 (Tahoe) alebo novší a Hanus.ai ju nastaví jedným kliknutím. Nemusíte riešiť žiadne plisty, sadu kľúčov com.apple.MCX ani mazacie skripty. Jednoducho prepnete predvoľbu, uložíte a všetkých 21 Macov sa prispôsobí.

Kombinácia Platform SSO + OneDrive + dočasné relácie je najsilnejšia pre školy, ktoré chcú maximálnu flexibilitu bez IT správcu každý deň. Žiak si otvorí Word online, jeho práca sa automaticky ukladá do OneDrive. Po odhlásení sa lokálne dáta zmažú. Keď nabudúce príde, nájde svoju prácu na OneDrive z ľubovoľného Macu.

Škola vo Valašskom Meziříčí zatiaľ zostáva pri trvalých účtoch, pretože macOS 26 nasadzuje postupne počas jesene 2026. Po dokončení upgradu predvoľbu prepneme na dočasné relácie a pridáme možnosť prihlásenia hosťa pre zastupujúcich učiteľov.

Často kladené otázky

Funguje to aj bez Microsoft 365?

Nie. Platform SSO potrebuje poskytovateľa identity. Microsoft Entra ID je najrozšírenejší, ale Apple podporuje aj Google (cez Google Cloud Identity, riešenie je však horšie než Microsoft) a federované identity od iných firiem. Pre školy v Česku aj na Slovensku je Microsoft Entra prakticky štandard.

Musia mať žiaci platené licencie Office 365?

Nemusia. Microsoft 365 A1 (základná verzia pre školy) je zadarmo pre všetkých žiakov a učiteľov. Obsahuje Word, Excel, PowerPoint online, OneDrive s 1 TB úložiska, Outlook a Teams. Pre Platform SSO na Macu je A1 dostačujúce.

Ako dlho trvá prihlásenie nového žiaka prvýkrát?

5 až 15 sekúnd pri prvom prihlásení, potom 2 až 5 sekúnd pri každom ďalšom prihlásení. Čas závisí od rýchlosti WiFi a veľkosti profilu.

Funguje SSO aj pre aplikáciu Word nainštalovanú na Macu (nielen pre web)?

Áno. Keď si škola nainštaluje aplikáciu Microsoft Word (cez VPP alebo priamo od Microsoftu), SSO funguje aj v nej. Žiak otvorí Word, aplikácia sa automaticky prihlási Entra tokenom, ktorý má z login screenu.

Čo ak má škola macOS starší než 14?

Minimum pre Platform SSO je macOS 13 Ventura, odporúčaný je macOS 14 Sonoma alebo novší (kvôli plnej podpore password metódy a zdieľaných kľúčov zariadenia, ktoré sú pre učebňu kľúčové). Pre macOS 12 a staršie je alternatívou Kerberos SSO Extension, má však obmedzenejšiu funkčnosť. Odporúčame upgrade na macOS 14+, ak to hardvér podporuje.

Čo ak žiak zabudne heslo?

Reset prebieha cez Microsoft Entra ID (samoobslužný reset hesla, ak ho má škola zapnutý, alebo cez IT správcu). Po resete sa nové heslo synchronizuje do lokálneho účtu na Macu pri ďalšom prihlásení. Žiak nemusí IT správcu navštíviť fyzicky.

Musí byť zariadenie pripojené na internet pri každom prihlásení?

Pri prvom prihlásení nového žiaka áno (musíme kontaktovať Entra ID kvôli validácii). Pri ďalších prihláseniach Mac ukladá offline cache hesla a povolí prihlásenie aj bez internetu (do vypršania cache, typicky 30 dní).

Ako dlho zaberie kompletné nasadenie pre školu s 20 Macmi?

Ak sú Macy už enrollnuté v Hanus.ai a Microsoft 365 tenant funguje: 15 až 30 minút. Ak začínate od nuly (enrollment cez Apple School Manager, registrácia tenanta, konfigurácia prvej skupiny): 3 až 4 hodiny s našou asistenciou.

Zdroje overenia

Dáta v článku pochádzajú z produkčného nasadenia ZŠ Valašské Meziříčí (Masarykova 291), overené v konzole Hanus.ai k 1. septembru 2026.

Technická špecifikácia Platform SSO od Apple: developer.apple.com/documentation/devicemanagement/extensiblesinglesignon

Microsoft Company Portal for Mac: learn.microsoft.com/en-us/mem/intune/user-help/enroll-your-device-in-intune-macos-cp

Dokumentácia Microsoft Entra ID Platform SSO: learn.microsoft.com/en-us/entra/identity/devices/macos-psso

Kalkulácia ceny konkurencie: Mosyle a Jamf uvádzajú ceny v USD, prepočítané sú fixným kurzom 0,8602 €/USD k 28. júnu 2026, vrátane slovenskej DPH 23 %. Mosyle pricing z school.mosyle.com/pricing, Jamf education pricing z jamf.com/pricing/education-pricing/.

Chcete to isté pre Vašu školu?

Ak máte v počítačovej učebni 10 a viac Macov a chcete prejsť na prihlásenie cez Microsoft 365, ozvite sa nám. Prvú Mac učebňu nastavíme spoločne počas jednej návštevy alebo online konzultácie. Napíšte na info@hanus.ai alebo si prečítajte prehľad na hanus.ai.

Za 6,60 € za zariadenie a rok dostanete kompletnú správu Apple zariadení, konzolu aj návody v slovenčine, podporu v slovenčine, prepojenie na školský informačný systém (napr. EduPage) a pokoj, že Vaša učebňa funguje bez toho, aby IT správca musel riešiť každé prihlásenie.