[[PageOutline]] = Tablets (iPads) am Kepler = Hier soll alles zur Verwaltung der iPads und zugehörigen Infrastruktur dokumentiert werden. == 1. JAMF == === 1.1 Geräte des Resellers ins System bringen === - in JAMF unter „automatische Geräteregistrierung“ die nicht zugewiesenen Seriennummern der Geräte einem Profil (z.B. „Koffergräte“) zuweisen - Über den Apple Configurator 2 Wlan Profil auf das Gerät pushen - Gerät meldet sich automatisch bei JAMF und pullen ihr Profil === 1.2 Andere Geräte (nicht-DEP) ins System bringen === (siehe auch: [https://it-training.apple.com/tutorials/deployment/dm060/]) - das Gerät jungfräulich an den adminMac hängen und AppleConfigurator2 starten - Gerät vorbereiten --> Manuelle Konfiguration --> "zu AppleSchool Manager hinzufügen" anhaken und "Aktivieren" NICHT anhaken --> dann sich weiter durchklicken - im ASM die Geräteliste nach "Verwaltung" - "AppleConfigurator" filtern --> es sollten die gerade hinzugefügten Geräte gelistet werden - diese Geräte markieren und bearbeiten --> dem MDM "Jamf" zuweisen - in JAMF auf dem Dashboard Synchronisieren --> die neuen Geräte sollten in JAMF „automatische Geräteregistrierung“ auftauchen - dann so wie mit DEP-Geräten fortfahren (siehe 1.1) === 1.3 JAMF School Lizenzen === - sind notwendig, damit ein Gerät über JAMF School von uns verwaltet werden kann - es gibt Abonnement-Lizenzen und unbefristete Lizenzen - Abo-Lizenzen werden per Mail an unseren Kundenbetreuer bei der GfdB bestellt und gelten ein akadamisches Jahr - unbefristete Lizenzen werden an ein Gerät gebunden und gelten, bis das Gerät entfernt wird (z.B. weil es defekt ist) - Können von einem Gerät entfernt werden, in dem man es "in den Papierkorb" verschiebt (Gerät auswählen; Option erscheint links unten) === 1.4 Payloads === WebClips:: Die Icons müssen anscheinend als PNG und exakt quadratisch hochgeladen werden. Am besten mit 144x144 Pixel Auflösung. Ansonsten wird das Profil mit einem Fehler nicht auf die Geräte gepusht. (''Quelle:'' [https://developer.apple.com/documentation/devicemanagement/webclip]) === 1.5 Profile für automatische Geräteregistrierung === * Das Feld "Gerätenamen festlegen" wirkt sich auch nachträglich auf die Geräte mit diesem Profil aus. '''Es müssen also für eine Änderung des Namen-Schemas nicht alle Geräte zurückgesetzt werden.''' === 1.6 Schülerleihgeräte einpflegen === #schuelerleihgeraete - Seriennummern der neuen Geräte herunterladen (JAMF - Geräte - Automatische Geräteregistrierung - Filter nach Lieferung - Exportieren als CSV) - User Liste aus dem Kepler-Login herunterladen - User Liste in Numbers öffnen und bearbeiten: - Liste der Nutzergruppen anpassen, z.B. "Kursstufe,J1" - Spalte "SerialNumber" hinzufügen und neue Seriennummern hinein kopieren - als CSV exportieren - CSV in JAMF importieren --> User werden erstellt und in der DEP-Liste wird den Geräten jeweils ein User zugeordnet - Synchronisierung mit ASM und Apple IDs für SuS erstellen === 1.7 BYOD-Geräte einpflegen === #byodgeraete - Gedanke: Auch Lehrer möchten evtl. eigene Geräte so registrieren? - —> alle betreuten Geräte per Regel in Gruppe „BYOD“ (enthält WLAN-Profil mit Zeitschaltung) - extra Gruppe „BYODSchüler“ für verwalteteSchülerGeräte —> per Hand einpflegen - dazu gibt es eine dynamische Gruppe, die in Abhängigkeit der IP und Mitgliedschaft in BYODSchüler alle anderen Profile schaltet, sobald das Gerät in unser WLAN kommt („BYODSchülerAnwesend“) === 1.8 Tokens erneuern === - Wird nach Erneuerung des Dienstttokens (Endung .vpptoken) verlangt, erhält man diesen im Apple School Manager Login. Dort unter '''''Einstellungen''''' —> '''Apps und Bücher''' —> unten '''Token laden''' und Datei ins entsprechende Feld im Jamf School Manager ziehen. Feld erscheint, wenn man oben links auf „Erneuerungs-Doppelpfeil“ klickt. (https://docs.jamf.com/de/jamf-school/documentation/Service_Token_Renewal.html#:~:text=Erneuern%20oder%20Ersetzen%20eines%20Diensttokens,Sie%20erneuern%20m%C3%B6chten%2C%20auf%20Herunterladen.) - Token mit der Endung .p7m erhält man im ASM. Pfad: '''Einstellungen''' >''' MDM-Server''' > '''Download Token''' > usw. (https://docs.jamf.com/de/jamf-school/documentation/Server_Token_Renewal.html) == 2. Apple School Manager (ASM) == === 2.1 Schul Apple-ID für neue Nutzer erstellen === Dafür in ASM einloggen, Benutzer auswählen und "Anmeldeinformation erstellen" auswählen --> per Mail senden (z.B.). === 2.2 Schul Apple-ID für bestehende Nutzer zurücksetzen === s. "Schul Apple-ID für neue Nutzer erstellen". Statt "Anmeldeinformationen erstellen" erscheint hier "Passwort zurücksetzen". === 2.3 Wofür eine Schul Apple-ID erstellen? === - Nutzung der 200 GB icloud Speicher - Teilen von Ordnern mit Kollegen über icloud - evtl. Zuordnung von Lizenzen auf User statt auf Geräte (falls benötigt) - schoolworks (auch wenn es beschränkt auf 16 LuL pro Klasse ist) funktioniert nur über die AIDs === 2.4 VPP Guthaben im App-Store vom ASM aufladen === Mail an den zuständigen Sachbearbeiter des Resellers (aktuell Brechensbauer, Stand 2.11.21). Darin Betrag, Organisations-ID, Profilname der Organisation mit Adresse (zum Abgleich). Es kommt eine Mail mit der Auftragsbestätigung und dem weiteren vorgehen. Im iTunes-Store muss man sich über den Link dann mit dem "allgemeinen" Profil tabletteam@appleid.kg-fds.de einloggen und dort den weiteren Anweisungen folgen. !Obacht! Es kann immer ein bis 2 Tage vergehen, bis Guthaben nutzbar, bzw. gekaufte Lizenzen für Nutzer nutzbar werden. !Obacht 2! Kommt es zu Problemen beim Einlösen des Guthabens liegt das in der Regel daran, dass keine Telefonnummer angegeben wurde (eventuell als erstes checken, bevor man sich beim zuständigen Reseller meldet). == 3. Nutzerverwaltung == === Grundidee === Die Nutzer leben im LDAP im Schulnetz. Von dort sollen sie in JAMF importiert werden (via LDAP oder cdv - TBD). Wiederum von dort kommen sie in den ASM, wo ihnen eine Verwaltete Apple-ID zugeordnet wird. Kurz: LDAP --> JAMF --> ASM '''Stand 23/24: Der import via LDAP hat leider zu viele Hindernisse --> muss per CSV erfolgen!''' === 3.1 Synchronisation === Änderungen an den Accounts sind nur nötig, wenn ein Kollege die Schule verlässt oder hinzukommt. In den Tabletjahrgängen (zur Zeit J1 und J2) wird immer der gesamte Jahrgang erstellt/gelöscht. ==== LDAP zu JAMF ==== '''Lehrer''' Die Anpassung zum neuen Schuljahr muss teilweise manuell erfolgen: - im Kepler-Login die aktuelle CSV der Lehrer herunterladen (JAMF.csv) - '''die neusten Nutzer stehen am Ende''' - nur diese neuen Einträge importieren um Fehler zu vermeiden - der Eintrag unter TeacherGroups muss angepasst werden - dies sind die durch den Lehrer verwaltbaren Gruppen bzw. Klassen; Stand 2024 muss das zweite LuL durch "KofferU3magenta;KofferU3lila" (mit Anführungszeichen!) ersetzt werden - da kein Passwort vergeben wird, muss jede Zeile mit einem Semikolon enden --> CSV Datei dann in JAMF für den Import hochladen Optional: - mit einer Tabellenkalkulation oder einem andern Tool ein diff der alten und neuen CSV-Datei erstellen (die alten CSVs müssen im TabletTeamTausch-Ordner hinterlegt bleiben) - die abgegangenen Kollegen per Hand löschen '''Schüler''' Die CSV Datei aus dem Kepler-Login nehmen und in einem Rutsch alle neuen Schüler der Stufe erstellen. (Darauf achten, dass sie einer eindeutigen Gruppe zugeordnet sind, so dass man sie nach dem Abitur auch als Gruppe löschen kann.) '''Wichtig: Gleich daran denken, auch die DEP-Liste der Geräte per JAMF zu aktualisieren, so dass beim Aufsetzen/Zurücksetzen der Leihgeräte sofort ein Nutzer zugeordnet wird. Dafür muss man nur beim Import in der CSV jedem User eine Seriennummer zuordnen (siehe [#schuelerleihgeraete]).''' ==== JAMF zu ASM ==== * Organisation --> Einstellungen --> Apple School Manager SFTP * "Zu Apple School Manager (SFTP)" hochladen anklicken ==== ASM zu JAMF ==== * Diese Rücksynchronisation schickt die in ASM erstellten Apple-IDs zurück an JAMF, wo sie bei den Nutzern eingetragen werden * Sie wird durch den Klick auf "Jetzt Synchronisieren" auf dem Dashboard ausgelöst ==== Details ==== Das zugehörige [comment:3:ticket:3781 Ticket] enthält weitere Details für die Konfiguration. == 4. Koffer == === Übersicht === * U1rot (16) * U1weiss (20) * U2blau (16) * U2orange (10) * U2schwarz (10) * U3magenta (20) * U3lila (10) * U4gruen (16) * U4grau (20) * U4hellblau (10) * Musik (16) * NaWi (16) * NwT (20) === 4.1 Shared i-Pads === Als shared i-Pads konfiguriert: ==2 GB Speicher pro Nutzer:== * U1rot * U1weiss * U2blau * U2schwarz * U4grau * U4gruen ==6 GB Speicher pro Nutzer:== * U4hellblau * Musik * NaWi ==4 GB Speicher pro Nutzer:== * NwT === 4.2 Ferien: Aus- und Anschalten === * Ausschalten: Strom an allen Koffern ausschalten; Über JAMF herunterfahren (dafür alle Geräte auswählen und oben im erweiterten Menü "herunterfahren") * Anschalten: Strom an allen Koffern anschalten == 5. Apple TVs == === 5.1 Aufsetzen der neuen ATVs ohne USB-Port === * geht nicht mehr über Apple Configurator * in JAMF DEP Profil zuweisen * zunächst "mit iPAD einrichten" --> schlägt fehl (aber: dabei wird trotzdem das WLAN-PW übertragen) * dann erst "manuell konfigurieren" klicken --> die Einrichtung läuft komplett durch == 6. Infrastruktur == === 6.1 WLANs und Geräte-Kommunikation === * Pushen von Profilen aus unterschiedlichen Wlans funktioniert === 6.2 AdminMac Konfiguration === * Die iPADs werden via JAMF auf Aktivität und Ladestand überprüft. Die Ergebnisse werden im CheckMK angezeigt. Dafür laufen auf dem adminMac folgende Dienste: * In der crontab von root wird ein Skript ausgeführt, das alle 5 Minuten über die JAMF API einen Refresh der Koffergeräte auslöst. * Der checkMK Agent ist installiert und führt als "lokalen" Check ein Skript aus das über die JAMF API für alle Koffergeräte den Up-Status (letzte Aktivität) und die Batterieladung zieht und an CheckMK weitergibt. * Anleitung checkMK-Agent-Installation: [[https://gist.github.com/catchdave/44c45e31951fcc9ee4fb8768f4d95f21]] * Die Skripte liegen im HOME von root auf dem AdminMac * Die jeweils aktive Version des CheckMK-Skripts liegt unter {{{ /usr/local/lib/check_mk_agent/local }}} * Die Skripte wurden von Stephan Richter erstellt und liegen in einem git-repository in seinem HOME-Verzeichnis. == 7. Apple Feedback == - Apple bearbeitet bevorzugt Feedback, das über den Webauftritt https://appleseed.apple.com/sp/welcome zugesendet wird. —> Anmeldung vorher notwendig —> Ebenso können hier vorab Beta-Versionen von neuen Updates getestet werden == 8. iPad-Wartung == === 8.1 iPad wird nicht im AppleConfigurator2 angezeigt === 1. Obere Taste und Lautsärtketasten gedrückt halten --> iPAD ausschalten 2. Obere Taste gedrückt halten, per USB an den Mac anschließen - und obere Taste weiter gedrückt halten, bis der "Recovery-Mode" geladen ist 2.1. Bei den Schüler-iPads (8. Generation): Obere Taster + Home-Taste gedrückt halten. NEU: Einmal Lauter Teste drücken, einmal Leiser Taste drücken und dann die Hometaste drücken bis der Recovery Mode erscheint. 3. Mit AppleConfigurator2 wie gewohnt zurücksetzen === 8.2 iPad kann nicht mehr gestartet werden === 1. Best Practice: in "recovery mode" setzen mit Gerät mit Mac verbinden, "einmal Lauter Teste drücken, einmal Leiser Taste drücken und dann die Hometaste drücken bis der Recovery Mode erscheint." (kann ein paar Sekunden dauern.) Und dann bei Bedarf zurücksetzen oder einfach Verbindung zum Mac trennen und wieder benutzen. Teilweise konnte das Problem aber auch so gelöst werden, ohne das Gerät zurückzusetzen. Wenn es zurückgesetzt werden muss/soll: vorher unbedingt verschlüsseltes Back-Up in AppleConfigurator2 erstellen (dann sind PWs auch mit gesichert) === 8.3 Verlorenes iPad suchen === 1. in JAMF die Mac-Adresse raus suchen; @bau oder @rich bitten, in Unifi-Controller (WLAN) zu suchen, an welchem AccessPoint das Gerät gerade hängt. --> schränkt die Suche ein 2. bei SuS-Geräten den Code löschen --> damit sich das Gerät nach einem Neustart wieder mit dem WLAN verbindet '''(bei LuL nicht, da dann FaceID deaktiviert wird!!!)''' 3. Lost-Mode aktivieren 4. Wenn Lost-Mode aktiv, taucht eine weitere Schnellaktion in JAMF auf: ''Melodie wiedergeben'' --> erleichtert die Suche === 8.4. iPad zurücksetzen und Daten löschen === --> Nur bei einzelnen Geräten möglich. Ein Koffer kann nicht als ganzes zurückgesetzt werden. Jamf --> Gerät auswählen --> unten links "Gerät löschen" --> Wiederaufnahme des Betriebs --> Plan Profil auswählen --> löschen ---- [[CC_BY_NC_SA]]