Zakládání stovek školních účtů bez ručního klikání

Je začátek září. Škola má 120 nových prvňáků, 30 přestupů a 15 nových zaměstnanců. Každý z nich potřebuje účet do Google Workspace nebo Microsoft 365, e-mail, heslo a zařazení do správné třídy.

Když se to dělá ručně, je to víkend práce. A v každém desátém jménu chyba: Nováková bez háčku, Jan Novák podruhé, protože už jeden je, prvňák ve skupině deváťáků.

Takhle to děláme my, aby to trvalo odpoledne a sedělo napoprvé.

Začíná to v matrice, ne v cloudu

Zdroj pravdy o žácích je školní matrika: Bakaláři, Edookit, Škola OnLine nebo jiný systém. Nikdy nezačínáme tím, že by někdo přepisoval jména z papíru.

Z matriky se vyexportuje seznam žáků s třídou. Před importem ho projdeme:

• duplicitní jména (dva Jan Novák v jedné škole jsou běžná věc),
• diakritika a překlepy, protože z nich vzniká přihlašovací jméno,
• žáci, kteří odešli, ale v exportu ještě jsou,
• třídy a ročníky, které musí odpovídat skupinám v cloudu.

Tahle kontrola zabere nejvíc času a je to nejlépe strávený čas celého procesu. Chyba opravená v tabulce stojí vteřinu. Chyba opravená v 120 účtech stojí hodinu.

Jmenná konvence rozhoduje na roky dopředu

Dřív, než vznikne první účet, musí být jasné, jak se bude jmenovat. A to pro zaměstnance i pro žáky zvlášť.

Rok nástupu v žákovském jménu má jednu velkou výhodu: za devět let víte, kdo odchází, podle jména.

Hromadný import: jedna tabulka, stovky účtů

Google Workspace i Microsoft 365 umí účty založit hromadně z CSV. Tabulka má sloupce jméno, příjmení, přihlašovací jméno, organizační jednotka nebo skupina, prvotní heslo.

U Google Workspace se import dělá v administraci v sekci Uživatelé, u Microsoft 365 v centru pro správu nebo skriptem přes PowerShell. U větších škol používáme skript, který tabulku z matriky převede rovnou do formátu pro import, aby se jména nepřepisovala dvakrát.

Výsledek: 120 účtů za deset minut, všechny se stejným tvarem jména, ve správné třídě.

Žáci a zaměstnanci musí být oddělení

Tohle je nejdůležitější bezpečnostní rozhodnutí celého nastavení. Žáci patří do vlastní organizační jednotky s omezenějšími pravidly:

• nemohou posílat e-maily mimo školu, pokud to škola nechce,
• nemohou instalovat rozšíření a aplikace,
• nemají přístup k disku sborovny a dokumentům zaměstnanců,
• sdílení dokumentů je omezené na doménu školy.

Zaměstnanci mají pravidla jiná a hlavně vícefaktorové ověřování. Účet učitele s přístupem ke známkám a kontaktům na rodiče bez druhého faktoru je zbytečné riziko.

Stejné oddělení platí pro Wi-Fi a síť. Žákovská zařízení nemají vidět na tiskárny sborovny ani na server s matrikou. O tom, co se stane, když to tak není, je naše případová studie z brněnské školy.

Prvotní hesla a první přihlášení

Heslo do účtu nesmí být rodné číslo ani datum narození. Oboje je uhodnutelné kýmkoli ze třídy.

Osvědčilo se generovat náhodné prvotní heslo, vytisknout ho na kartičku s přihlašovacím jménem a při prvním přihlášení vynutit změnu. U prvňáků se první přihlášení dělá s učitelem v hodině, u starších žáků samostatně.

Zaměstnanci dostanou heslo osobně, ne e-mailem na soukromou adresu.

Konec roku: odchody a archivace

V červnu odchází celý ročník. Účty se neruší hned:

1. V den odchodu se zablokují. Žák se nepřihlásí, data zůstávají.
2. Po lhůtě podle směrnice školy (často 60 až 90 dnů) se smažou včetně dat.
3. Účty zaměstnanců se před smazáním převedou: schránka a dokumenty na nástupce nebo do archivu.

Mazání napevno hned v červnu se nevyplácí. Vždycky se někdo ozve, že potřebuje práci, která v účtu zůstala.

Co z toho plyne

Zakládání účtů není klikání. Je to pravidlo, které se napíše jednou, a export z matriky, který se zkontroluje pořádně. Zbytek udělá import.

A pokud si u svých účtů nejste jistí, kdo všechno má přístup kam, je to otázka na začátek, ne na konec školního roku.

Víte dnes, kolik účtů bývalých žáků a učitelů je u vás stále aktivních?