iPad課堂管理, 讓老師拿自己的 iPad 進行課堂教學

iPad 課堂管理,其實可以在老師自己的 iPad 上進行。也就是說老師自己已經有 iPad 了,可能螢幕或是容量比較大,不想用學校的 iPad 可以嗎?會被學校把自己的資料看光光嗎?為了要能夠管控學生的設備,就一定要先給學校管理嗎?

學校的經費很有限,大多時候只能採購最低金額的 iPad。如果老師自己已經有 iPad 了,可能螢幕或是容量比較大,不想用學校的 iPad 可以嗎?或是說,如果老師想拿自己的 iPad 在課堂使用,為了要能夠取得學校購買的 App,或是為了要能夠管控學生的設備,就一定要先給學校管理嗎,如果給學校管理的話,我自己還有隱私嗎?

學校可以對老師自帶設備做什麼?

這種拿自己的 iPad 用在教學或是工作上,我們稱為 BYOD(Bring Your Own Device)設備。蘋果在管理設備時規劃成兩種模式,一種為監管模式、另一種就是 BYOD 模式,又稱為 User Enrollment 模式,簡單來說可以用表格這樣說明:

監管模式User Enrollment 模式
常用於設備學校採購的學生設備老師自帶設備
加入管理方式需透過 Apple School Manager在 iPad 上用網址加入
退出管理方式不允許隨時可退出
取得學校資源
(如 App、書籍等)
全自動安裝,無需輸入 Apple ID安裝前會提示,無需輸入 Apple ID
限制 App 使用可由老師設備或 Jamf School 控制無法限制此類設備
限制網站允許名單可由老師設備或 Jamf School 控制無法限制此類設備
設定主畫面佈局可由 Jamf School 控制無法限制此類設備
管理員可遠端重置可以不行

學校會收集老師的 iPad 使用資訊嗎?

另一方面是資料收集,很多人也會誤以為加入了管理就等同把設備上所有的資料交出去,其實不然:

監管模式BYOD 模式
收集網站瀏覽紀錄無法無法
收集 App 使用紀錄無法無法
收集 App 安裝紀錄可以無法
收集啟用鎖密鑰可以無法
收集個人操作資料無法無法

就算是監管模式,我們一樣沒有辦法看到學生的瀏覽紀錄或使用紀錄,因為這些都是屬於隱私的一部分。

任何一家 MDM 廠商都無法透過任何方式取得蘋果不允許收集的隱私資料

。只不過監管模式下的設備,能夠拜訪的網站,以及能使用的 App 都已經受到學校或老師的控管,因此也就無需擔心小朋友可能碰觸到不適齡的內容。

利用 Jamf School 邀請老師使用自帶設備教學

Jamf School 支援完整的 User Enrollment 方法。首先到 Jamf School 裡面的 Settings > Enrollment > On Device Enrollment Authentication > 打勾 Automatically make the logged in user the owner of device。

未來資訊組長會需要在 Jamf School 上面產生帳號/密碼給老師。然後前往 Jamf School 裡面的 Device > Enroll Devices > Send enroll link by email > 並且填入老師的電子郵件,並把產生好的帳號密碼寄給老師,老師只需要在自己的 iPad 上跟著電子郵件完成步驟就可以了。

如果老師不想再使用自己的 iPad 進行教學,也可以隨時退出。老師只要到 iPad 上面的設定 > 一般 > 描述檔 > 移除 MDM Profile 就完成。

Read more

Apple 生態系的真實威脅—我們都可能是目標

Apple 生態系的真實威脅—我們都可能是目標

從一場分享開始的警醒 前陣子在 Jamf Nation Live Taipei 分享了 2024-2025 年 Apple 裝置威脅報告,深入探討了全球 Apple 生態系正面臨的資訊安全威脅。 許多人對 Apple 產品有一種根深蒂固的信心—拿著 Mac 或 iPhone,就像拿到了數位世界的「免死金牌」。說實話,Apple 在軟硬體整合上的安全設計確實領先業界,這不是誇大其詞。但也正因為這份信心,我開始想更深入地了解真實情況。 從 Jamf Security 360 報告開始,我觀察了全球情報機構(如 Citizen Lab、Google TAG、Kaspersky)揭露的真實案例。那時我才意識到一個有點殘酷的事實,也正好對應了同事最常對我說的那句話:Apple 設備並非堅不可摧,使用者自身往往才是最大的弱點。 為什麼 Apple 用戶成了高價值目標

By Glee Tsai

從 Jamf Pro 自定義註冊畫面帶使用者資訊至 Jamf Connect 失敗的處理方式

Jamf Pro 在設定裡面的 Enrollment Customization,本來可以設定在使用者完成設備註冊的當下,同步把 SAML 裡的資訊帶給後面的 Jamf Connect Login,這樣就可以減少一步使用者還需要登入的步驟。但在撰文的當下,Jamf Pro 11.1 仍在這個功能上有問題,在跟 Jamf Support Team 了解後,大概能用一種 Workaround 來解決,只是要特別留意以下事情: 1. 在 Jamf Pro 裡的 Enrollment Customization 不要再打勾 Enable Jamf Pro to pass user information to Jamf Connect 了(因為勾了也沒有用) 2. 確保

By Glee Tsai

在 Apple 零接觸部署下僅允許某個群組啟動設備

在 Jamf Pro 有整合 Single Sign On 的情況下,可以前往 Settings > Enrollment Customization 設定僅允許一個群組中的成員啟用設備。如果這個成員沒有在這個群組裡面的話,就不能夠開箱設備。如果以 Entra ID 為例,需要把 Object ID 填在下方的欄位即可。 對照到我在 Entra ID 上的群組設置: 至於如果不是 Entra ID,而是其它的 SSO Provider 的話,最好可以用 SAML Tracer 這一套 Google Chrome 外掛去看一下自己的 SAML 文件是如何表達群組的,例如下圖能看到這個使用者屬於以下五個群組。 接著有另外一個很重要的事情要提醒,如果你要阻擋註冊的成員,可以登入到 Jamf Pro

By Glee Tsai

在 Conditional Access 條件下設置 Jamf Connect Login 的 MFA 挑戰

Mac 世界的零接觸話題,每年都可以有新的話題出現。圍繞著使用者體驗,讓用戶在拿到電腦的那一刻,就能自動化配置所有公司要求的設定,不需 IT 人員幫忙。這不僅是節省 IT 人員的時間而已,更是讓整個出機流程變得更為流暢。 除了軟體與設定可以全自動化部署以外,使用者帳號當然也可以自助化的設定在電腦裡,而且完全按照公司的規範。所以如果公司正在使用 Entra ID 這樣的目錄服務時,當然也可以把 Entra ID 上面的帳密同步化成電腦本機電腦上的帳密,減少人員帳密疲疺的風險。然而,要求更高等級的公司,可能會要求人員在登入 Entra ID 時必須通過兩階段驗證,而這可能就為同步密碼帶來挑戰。 以 Jamf Connect 來說,這一套軟體可以在 Mac 設備開箱時自動就安裝在電腦上,並且出現一個可客製化的登入視窗給用戶登入 Entra ID。剖析這套軟體,事實上是由兩個 OIDC 授權類別完成的,一個是 Authorization Code Grant,

By Glee Tsai