Apple School Manager：學校大量部署 iPad 的後台

門市最常碰到的場景是這樣：學校資訊組老師抱著一箱新 iPad 來問，「這四十台要怎麼設定，我們三個人弄得完嗎？」如果他們打算一台台開機、手動點過開機精靈、再各自登 Apple ID 裝 App，那答案是弄不完，而且弄完也會一團亂。真正的解法不在裝置上，而在一個叫 Apple School Manager 的後台。

老實說，只要 iPad 數量超過二十台，沒串 ASM 就是在浪費 IT 人力。它是蘋果專門給學校的免費 Web 後台，網址是 school.apple.com，重點是你完全不用碰到裝置本身，就能把設定和 App 推下去。搭配一套 MDM（像 Jamf School、Mosyle、Kandji），整條流程會變成：iPad 開箱、連上 Wi-Fi、幾分鐘後就是一台準備好上課的機器。

ASM 到底管什麼，學校要先備齊什麼

ASM 把三件事整合在一起，這三件事缺一不可，先搞懂分別在幹嘛比較不會迷路。

第一是裝置登記（DEP），把採購來的 iPad 序號綁到學校帳號，開機時就會自動套上 MDM 的設定描述檔。第二是Apple 大量採購（VPP），以授權（License）為單位買 App 或書籍，再指派給裝置或使用者，整個過程不需要任何 Apple ID 去付款。第三是受管 Apple ID（Managed Apple ID），由學校自建、格式長得像 studentname@appleid.school.edu.tw，完全受 IT 控管，學生登出後資料還是留在學校的 iCloud 裡，不會跟著人走。

台灣的學校要申請，門檻其實不高，但有幾樣文件要先準備好。你得是合法立案的學校（教育部或縣市政府核准），送件時要附學校統編或教育機構證明文件。流程就是上 school.apple.com，點「立即開始申請」，填學校資訊，然後等蘋果審核，通常一到五個工作天會過。

這裡提醒一個很多人卡住的時間點：申請 ASM 不必透過 Apple 經銷商，自己線上送件就好。但如果你走的是政府採購案，務必提早申請，因為審核那幾天是不算在你的部署時程裡的，等案子都簽完才想到要開帳號，時間就很尷尬。

DEP 綁定：讓 iPad 開機就乖乖受管

DEP（Device Enrollment Program）是 ASM 裡最關鍵的自動化機制，也是「零接觸部署」能成立的根本。它厲害在哪？只要 iPad 序號掛在 ASM 後台，這台機器無論被重置幾次，開機都會自動回到學校的 MDM 管理底下。學生想自己洗掉重來逃出管控？洗了還是回到原點。

要讓這件事生效，後台有三步要做。

先在 ASM 裡接上你的 MDM 伺服器。 路徑是「設定 → 裝置管理整合 → 新增 MDM 伺服器」。把 MDM 廠商給你的 MDM URL 填進去（例如 Jamf School 會是 yourschool.jamfcloud.com 這種），接著下載一個 .p7m 的 Token 憑證檔，再回到 MDM 後台把這個 Token 上傳，雙向信任就建立完成了。這一步是把蘋果那邊跟學校那邊牽起來。

再來把裝置指派給這台 MDM 伺服器。 路徑是「設定 → 裝置 → 選取多台 → 指派至 MDM 伺服器」。新採購的 iPad 序號通常會在訂單完成後 24 小時內自動冒出來，但前提是經銷商在出貨時有把你學校 ASM 的 DEP 憑證填進訂單，這點一定要先跟授權經銷商確認，不然序號就是不會自己出現，很多人在這裡白等。

如果是舊機、或是當初沒走 DEP 的機器，可以用 Apple Configurator 2 手動補進去。準備一台 Mac、一個 USB Hub 跟 iPad，打開 Configurator 2，選取 iPad，走「進階 → 指派至組織」，選你的 ASM 帳號（要先在 Configurator 2 裡登入 ASM）。整個操作都是圖形介面，但它底層做的就是把序號補登到 DEP。

# Apple Configurator 2 只需要 GUI 操作，但底層走這條 API：
# 準備 Mac + USB Hub + iPad，打開 Configurator 2
# 選取 iPad → 進階 → 指派至組織
# 選擇 ASM 帳號（需先在 Configurator 2 登入 ASM）

最後在 MDM 設定開機精靈要跳過哪些步驟。 在 MDM 後台建一個「登記描述檔（Enrollment Profile）」，決定開機精靈（Setup Assistant）跳過什麼。我們實際幫學校設下來，建議的跳法大致是這樣：

VPP 大量分發：別再讓每台 iPad 共用一個 Apple ID

先講一個一定要戒掉的舊習慣。很多學校早期是讓每台 iPad 都登同一個共用 Apple ID 去裝 App，這條路現在走不通了，蘋果會直接封掉那個帳號，而且 iOS 17 之後，這些共用同一帳號的機器，FaceTime 和 iMessage 的通知會互相亂竄，一台收到簡訊全班都響，場面很難看。

正確做法是用 VPP 授權分發，買的是「授權」而不是綁帳號。

買授權的流程很單純：登入 ASM 後台進「App 與書籍」，搜尋你要的 App 名稱，輸入採購數量（30 台 iPad 就買 30 個授權），選付款方式（採購令或信用卡），確認購買。順帶一提，不少教育類 App 在 ASM 裡有專屬的「大量授權價」，有些甚至直接免費，所以採購前先在 ASM 後台搜一次，常常比你跑去 App Store 看到的便宜。

買完之後從 MDM 推下去。以 Jamf School 為例，走「設定 → App → 新增 App → 從 VPP 匯入 → 選取目標裝置群組 → 推送」。推完 iPad 會在背景靜默安裝，使用者不用按確認、也不用輸入任何 Apple ID 密碼。這就是零接觸部署最有感的一刻：一台 iPad 開箱、連上 Wi-Fi，五到十分鐘後該裝的 App 就都好了。

授權也是可以回收的。學生畢業、或機器要汰換時，到 ASM 後台「設定 → App 與書籍 → 選取 App → 管理授權 → 解除指派」，把授權收回來再給新裝置用，不會浪費。

設定描述檔：把 Wi-Fi、限制、Policy 一次推到位

描述檔（Configuration Profile）說穿了，就是蘋果把一堆設定打包成一個 .mobileconfig 檔，再透過 MDM 大量推送的機制。你可以用 Apple Configurator 2 做，也可以直接在 MDM 後台的圖形介面拉出來，後者對大多數學校比較省事。

實務上最該優先統一推的，是這幾類。

Wi-Fi 設定檔大概是回報最直接的一項。把校內無線網路的描述檔推下去，學生開箱後機器就自動連上校園 Wi-Fi，不必一台台手動敲密碼，密碼也不會外流給學生。關鍵欄位長這樣：

<!-- Wi-Fi 描述檔關鍵欄位（PayloadType = com.apple.wifi.managed） -->
<key>SSID_STR</key>
<string>SchoolWiFi</string>
<key>EncryptionType</key>
<string>WPA2</string>
<key>Password</key>
<string><!-- 密碼加密在 MDM 傳輸時保護 --></string>

**限制描述檔（Restriction Profile）**則是看學校怎麼管。常見會用到的限制項目包括：停用 App Store（避免學生自己亂裝）、停用 Safari（改用學校指定的管控版瀏覽器）、考試時停用螢幕截圖、依年級彈性開關 AirDrop、以及鎖定螢幕使用時間上限。這些都在 MDM 後台勾選對應項目就好。

如果你還要用 Apple 課堂（Classroom App），讓教師能看學生螢幕、遠端鎖機、發連結，那就得確認教育設定有設對。裝置上的位置在「設定 → 一般 → 裝置管理 → 教育設定」，而 MDM 這端要推一份包含教室配對資訊的「Education Profile」，教師 iPad 才認得出哪些是自己班的學生機。

兩個門市最常被追問的問題

「iPad 已經被學生自己開箱設定過了，還救得回 DEP 嗎？」 救得回，但前提是要重置，因為 DEP 流程只在開機精靈那一刻觸發。兩條路：一是遠端清除，在 MDM 後台對裝置下 Erase 指令，iPad 重開機就會進 DEP；二是手動到機器上走「設定 → 一般 → 轉移或重置 → 清除所有內容和設定」，重開機一樣會觸發。動手前記得提醒學生先備份個人照片，因為受監督模式開啟後，iTunes 備份有部分功能會受限。

「ASM 後台和 MDM 後台到底誰管什麼？」 這是最多人搞混的一點。簡單分：ASM 是「蘋果那邊的後台」，管裝置所有權、App 授權的購買、Managed Apple ID 帳號；MDM 是「學校自己的後台」，管實際的描述檔推送、限制政策、App 部署排程跟裝置狀態監控。一句話記住——ASM 管「擁有」，MDM 管「控制」，兩個缺一個整套就跑不起來。

寫到這裡你應該也看出來了，學校 iPad 部署真正的工夫不在開機那幾分鐘，而在前面 ASM 與 MDM 的串接邏輯。如果你正在評估校內導入、或卡在序號沒進 DEP、經銷商憑證沒填這類細節，iLab 是 Apple 授權的校園體驗門市，這些坑我們幫不少學校趟過。想先看看適合學校的機型與配置，可以到 /choose 用選機小幫手抓方向，或直接來店跟我們聊你們的規模與需求。