บทนำ
คู่มือฉบับนี้อธิบายการทำงานของระบบ MDM ที่ใช้จัดการ iPad ขององค์กร (Workspace ONE UEM โดย Omnissa) ตั้งแต่การตรวจสอบและแก้ปัญหาเครื่อง ไปจนถึงการติดตั้งแอปให้เครื่องหรือกลุ่มเครื่องที่ต้องการ
เนื้อหาแบ่งเป็น 2 ส่วน: ส่วนที่ 1 ว่าด้วยการตรวจสอบและแก้ปัญหาเครื่อง (Query, Sync, App Status, Compromised, Re-enroll) และ ส่วนที่ 2 ว่าด้วยขั้นตอนติดตั้งแอปจริง คือเลือกแอปใน Apple School Manager → sync เข้า Workspace ONE UEM → เลือกเครื่องหรือกลุ่มปลายทาง → assign แล้ว sync ลงเครื่อง
สำหรับครู หัวข้อ 1.4–1.9 มีขั้นตอนแก้ปัญหาเบื้องต้นที่ทำได้เอง สำหรับ IT ทุกหัวข้อมีรายละเอียดเชิงเทคนิคเพิ่มเติมสำหรับดูแลระบบ
ส่วนที่ 1 — ระบบ MDM: Workspace ONE UEM
1.1 ภาพรวม
Workspace ONE UEM (เดิมชื่อ VMware Workspace ONE ปัจจุบันอยู่ภายใต้ Omnissa) เป็นระบบ Mobile Device Management (MDM) ที่ใช้ลงทะเบียน ตรวจสอบ และควบคุม iPad ทุกเครื่องในองค์กรจากคอนโซลส่วนกลาง ผู้ดูแลสามารถดูสถานะเครื่อง สั่งติดตั้ง/ถอนแอป ตั้งค่านโยบายความปลอดภัย และสั่งคำสั่งระยะไกล เช่น ล็อกเครื่องหรือล้างข้อมูล ได้จากที่เดียว
1.2 หน้า Device Dashboard
หลังล็อกอินเข้าคอนโซล (จากลิงก์ในหัวข้อ 1.1) หน้าแรกที่เจอคือ Devices > Device Dashboard ซึ่งเป็นหน้าสรุปภาพรวมสุขภาพของ iPad ทั้งฟลีตในมุมมองเดียว ก่อนจะไปไล่ดูทีละเครื่อง ควรเข้าใจว่าแต่ละกล่องในหน้านี้บอกอะไรบ้าง
| วิดเจ็ต | บอกอะไร | ใช้ทำอะไรต่อ |
|---|---|---|
| Security | สัดส่วนเครื่องที่ Compromised, ไม่มี Passcode, และไม่ได้เข้ารหัสข้อมูล (Not Encrypted) พร้อมจำนวนเครื่อง | เครื่อง Compromised ควรเป็น 0 เสมอ ส่วน No Passcode / Not Encrypted ที่ขึ้นเป็น % สูง ควรไล่รายชื่อไปตั้งค่าความปลอดภัยเพิ่ม |
| Ownership | จำนวนเครื่องแยกตาม Corporate-Dedicated และ Corporate-Shared | ใช้เทียบสัดส่วนเครื่องประจำตัวกับเครื่องแชร์ใช้งานร่วมกัน (ดูรายละเอียดในหัวข้อ 2.6) |
| Last Seen Overview / Breakdown | จำนวนและ % เครื่องที่เช็คอินภายใน 24 ชั่วโมงล่าสุด และกราฟแจกแจงว่าเครื่องไม่เช็คอินมานานแค่ไหน (0-3, 4-7, 8-15, 16-30, ≥31 วัน) | เครื่องที่ตกอยู่ในกลุ่ม 16-30 หรือ ≥31 วัน คือเครื่องที่น่าจะออฟไลน์/มีปัญหา ควรไล่เช็คและกด Sync Device ตามหัวข้อ 1.4 |
| Platforms / Enrollment | จำนวนเครื่องแยกตามแพลตฟอร์ม (เช่น Apple iOS) และจำนวนที่ลงทะเบียน (Enrolled) สำเร็จ | ใช้เทียบว่าจำนวนเครื่องที่มีจริงกับที่ enroll เข้าระบบแล้วตรงกันหรือไม่ |
| Operating System Breakdown | สัดส่วนเครื่องแยกตามเวอร์ชัน iOS ที่ใช้อยู่ | ใช้ประเมินว่ามีเครื่องเวอร์ชันเก่าค้างอยู่เท่าไหร่ ก่อนวางแผนบังคับอัปเดต iOS |
1.3 Query คืออะไร
Query คือคำสั่งที่คอนโซล MDM ส่งไปยังอุปกรณ์เพื่อ "ขอข้อมูลสถานะปัจจุบัน" กลับมาอัปเดตในระบบ (เป็นการดึงข้อมูล ไม่ใช่การสั่งเปลี่ยนแปลงอะไรบนเครื่อง) แบ่งเป็น 3 ประเภทหลัก
| ประเภท Query | ข้อมูลที่ได้ | ใช้เมื่อไหร่ |
|---|---|---|
| Device Information | รุ่นเครื่อง, Serial/UDID, เวอร์ชัน iOS, แบตเตอรี่, พื้นที่เก็บข้อมูลคงเหลือ, เครือข่าย | ตรวจสภาพเครื่องทั่วไป เช่น เช็คว่าพื้นที่เต็มก่อนสรุปว่าแอปทำไม Pending |
| Security | สถานะ Passcode, Activation Lock, Find My, Compromised/Jailbreak status | ตรวจสอบความปลอดภัย หรือไล่ปัญหา Compromised: Unknown |
| Apps | รายชื่อแอปที่ถูก assign พร้อมสถานะ Installed / Pending / Failed ของแต่ละแอป | ไล่ดูแอปที่ติดไม่ครบ (เช่น Apps Ratio 9/25) หรือแอปที่ค้าง |
1.4 Sync Device — บังคับ Check In ทันที
ตามปกติ iPad จะเชื่อมต่อกับ MDM server เป็นระยะตามรอบที่ตั้งไว้ หรือเมื่อได้รับสัญญาณ push แจ้งเตือนผ่าน Apple Push Notification service (APNs) การกด Sync Device คือการบังคับให้เครื่องเชื่อมต่อกับเซิร์ฟเวอร์ทันที เพื่อรับคำสั่งที่ค้างอยู่ (โปรไฟล์ใหม่ แอปที่รอติดตั้ง) และส่งสถานะล่าสุดกลับมา
ข้อแตกต่างระหว่าง Query กับ Sync
- Query = ขอ "ข้อมูล" อัปเดตจากเครื่อง (อ่านอย่างเดียว)
- Sync = บังคับเครื่อง "เชื่อมต่อ" ใหม่ทั้งหมด เพื่อรับงานค้าง (โปรไฟล์/แอป/คำสั่ง) แล้วดำเนินการทันทีที่เครื่องพร้อม
- ทำได้ทีละเครื่องเท่านั้น ไม่มีคำสั่งบังคับ Sync พร้อมกันหลายเครื่อง
1.5 การวิเคราะห์ App Status
ในแท็บ Apps ของหน้า Device Details จะแสดงสถานะการติดตั้งของแอปแต่ละตัวที่ถูก assign ให้เครื่องนั้น มี 3 สถานะหลัก
| สถานะ | ความหมาย | สาเหตุที่พบบ่อย / วิธีแก้ |
|---|---|---|
| Installed | แอปติดตั้งสำเร็จและพร้อมใช้งานแล้ว | ไม่ต้องดำเนินการใด ๆ |
| Pending | คำสั่งติดตั้งถูกส่งไปแล้ว แต่เครื่องยังไม่รายงานผลว่าสำเร็จ | เครื่อง offline / ไม่ได้เชื่อม Wi-Fi, ยังไม่ได้ลงชื่อเข้า Apple ID (VPP), พื้นที่เก็บข้อมูลเต็ม → กด Sync Device เพื่อบังคับให้เครื่องเช็คอินและดึงงานค้างมาทำต่อ |
| Failed | ระบบพยายามติดตั้งแล้วแต่ไม่สำเร็จ | License/VPP หมดโควตา, ถูก Restriction บล็อกไว้, เครือข่ายหลุดระหว่างดาวน์โหลด, พื้นที่ไม่พอ → ตรวจสอบ License ใน ASM แล้วสั่งติดตั้งซ้ำ |
1.6 Compromised: Unknown หมายความว่าอะไร
Compromised คือค่าที่บอกว่าเครื่องถูกเจลเบรก (jailbreak) หรือถูกดัดแปลงระบบความปลอดภัยหรือไม่ ระบบตรวจสอบผ่านกลไก Compromised / Health Attestation Detection ซึ่งต้องอาศัยข้อมูลที่ส่งกลับมาจากเครื่องระหว่างการเช็คอิน
เมื่อสถานะแสดงเป็น "Unknown" หมายความว่า MDM ยังไม่ได้รับผลตรวจสอบล่าสุดจากเครื่อง จึงไม่สามารถยืนยันได้ว่าปลอดภัยหรือไม่ (ไม่ได้แปลว่าเครื่องมีปัญหาแน่นอน)
สาเหตุที่พบบ่อย
- เครื่อง offline นานเกินไป ยังไม่ได้เช็คอินตั้งแต่ enroll หรือตั้งแต่รีสตาร์ทเครื่อง
- แอป/เอเจนต์ที่ทำหน้าที่ตรวจสอบยังไม่ได้เปิดทำงานในพื้นหลัง
- เวอร์ชัน iOS เก่าเกินไปจนไม่รองรับกลไกตรวจสอบ
วิธีแก้
- กด Sync Device เพื่อบังคับเช็คอินใหม่
- ตรวจสอบว่าเครื่องต่ออินเทอร์เน็ต (Wi-Fi) อยู่จริง
- อัปเดต iOS ให้เป็นเวอร์ชันล่าสุดที่รองรับ
- หากยัง Unknown ค้างนานผิดปกติ ให้แจ้ง IT เพื่อตรวจสอบเพิ่มเติมหรือพิจารณา Re-enroll
1.7 การอ่านค่า Apps Ratio (เช่น 9/25)
Apps Ratio แสดงเป็นเศษส่วน "จำนวนแอปที่ติดตั้งสำเร็จ / จำนวนแอปทั้งหมดที่ถูก assign" เช่น 9/25 หมายความว่าเครื่องนี้ถูกกำหนดให้ต้องมีแอปทั้งหมด 25 รายการ แต่ติดตั้งสำเร็จแล้วเพียง 9 รายการ ส่วนที่เหลืออีก 16 รายการอยู่ในสถานะ Pending หรือ Failed
ค่า Ratio ที่ต่ำผิดปกติ (ต่ำกว่า 70–80%) เป็นสัญญาณว่าเครื่องมีปัญหาการเชื่อมต่อบ่อย, พื้นที่เก็บข้อมูลใกล้เต็ม, หรือ License/VPP ไม่พอสำหรับแอปบางตัว ควรเข้าไปดูแท็บ Apps เพื่อไล่ดูว่าแอปตัวไหนติดอยู่ในสถานะใด แล้วแก้ตามตารางในหัวข้อ 1.5
1.8 เมื่อไหร่ต้อง Re-enroll
Re-enroll คือการถอน iPad ออกจากการจัดการเดิม (unenroll) แล้วลงทะเบียนเข้าสู่ระบบ MDM ใหม่ทั้งหมด ควรทำเมื่อ
- กด Sync Device ซ้ำหลายครั้งแล้วเครื่องยังไม่ตอบสนอง หรือสถานะ Pending / Compromised: Unknown ค้างนานผิดปกติ
- โปรไฟล์การจัดการ (MDM profile) เสียหายหรือเครื่องหลุดสถานะ Managed
- มีการเปลี่ยนเจ้าของเครื่อง หรือมีการ Wipe/รีเซ็ตเครื่องใหม่
- ย้ายเครื่องข้ามหน่วยงาน/องค์กร หรือย้าย MDM server
1.9 สรุปขั้นตอนแก้ปัญหาเบื้องต้น สำหรับครู
เมื่อพบ iPad ออฟไลน์หรือแอปไม่ติดตั้ง ให้ลองตามลำดับนี้ก่อนแจ้ง IT
- ตรวจสอบว่าเครื่องต่อ Wi-Fi และมีแบตเตอรี่เพียงพอ
- เข้าหน้า Device Details แล้วกด Sync Device เพื่อบังคับเช็คอิน
- ดูแท็บ Apps ว่าแอปที่หายอยู่ในสถานะ Pending หรือ Failed แล้วเทียบกับตารางหัวข้อ 1.5
- ถ้า Security แสดง Compromised: Unknown ให้รอ Sync เสร็จแล้วตรวจซ้ำอีกครั้ง
- หากลองครบแล้วยังไม่หาย หรือ Apps Ratio ต่ำผิดปกติต่อเนื่องหลายวัน ให้แจ้ง IT พร้อมแจ้งค่า Apps Ratio และสถานะ Compromised ที่เห็น เพื่อพิจารณา Re-enroll
ส่วนที่ 2 — จัดการแอปบน MDM: เลือกแอป เลือกเครื่อง แล้ว Sync
2.1 เลือกแอปใน Apple School Manager (Apps and Books)
แอปทุกตัวที่จะแจกจ่ายผ่าน MDM ต้อง "ขอไลเซนส์" จาก Apple School Manager ก่อน โดยไม่เกี่ยวกับว่าแอปฟรีหรือเสียเงิน วิธีทำ
- เข้า school.apple.com → Apps and Books ด้วยบัญชีผู้ดูแล ASM
- ค้นหาแอปที่ต้องการจากช่องค้นหา แล้วเลือก Location (สถานที่/หน่วยงาน) ที่จะขอไลเซนส์ให้ — Location นี้ต้องเป็นตัวเดียวกับที่ผูก Content Token ไว้กับ Workspace ONE UEM
- กด Get แล้วใส่จำนวนไลเซนส์ที่ต้องการ (แอปฟรีก็ต้องกด Get เพื่อสร้างสิทธิ์แบบ Managed Distribution ให้ MDM แจกจ่ายได้ ไม่ใช่แค่ดาวน์โหลดจาก App Store ตรง ๆ)
2.2 Sync แอปเข้า Workspace ONE UEM
Workspace ONE UEM เชื่อมกับ ASM ผ่าน Content Token (เดิมเรียก VPP Token / sToken) ที่ตั้งค่าไว้ล่วงหน้าแล้วที่ Groups & Settings > All Settings > Devices & Users > Apple > VPP Managed Distribution
โดยปกติระบบจะ sync ไลเซนส์ที่ขอใหม่จาก ASM ให้อัตโนมัติทุกวัน แต่ถ้าเพิ่งกด Get แอปใน ASM มาแล้วอยากใช้ได้เลยไม่ต้องรอ ให้เข้าไปที่หน้า VPP Managed Distribution แล้วกด Sync ที่ token ของ Location นั้นเพื่อบังคับดึงข้อมูลใหม่ทันที
เมื่อ sync สำเร็จ แอปจะไปปรากฏอยู่ที่ Resources > Apps > Native > Purchased ในคอนโซล UEM พร้อมจำนวนไลเซนส์ที่มี ถึงจุดนี้จึงเริ่มขั้นตอน 2.3–2.4 เพื่อ assign แอปให้เครื่องได้
2.3 สร้างกลุ่มผู้ใช้ (User Group)
User Group ช่วยให้ assign แอปตาม "บทบาทของคน" (เช่น ครูวิชาวิทย์, นักเรียนชั้น ป.4) แทนที่จะไล่เลือกทีละเครื่อง ทำให้ตอนสร้าง Smart Group ในขั้นถัดไปสะดวกและดูแลง่ายกว่ามาก
- ไปที่เมนู Accounts > User Groups แล้วกด Add > Add User Group
- เลือกประเภทกลุ่ม
- Directory — ดึงกลุ่มมาจากระบบไดเรกทอรีที่เชื่อมไว้ (AD / Azure AD / LDAP) ค้นหาชื่อกลุ่ม เช่น "Teachers-Grade4" แล้วเลือกเข้ามา สมาชิกจะอัปเดตอัตโนมัติตามไดเรกทอรีต้นทาง
- Custom — สร้างกลุ่มเองแล้วเพิ่มผู้ใช้ทีละคนด้วยมือ เหมาะกับกรณีเฉพาะกิจ ไม่มีไดเรกทอรีรองรับ
- บันทึก — จากนี้ User Group จะเป็นหนึ่งในเงื่อนไขที่เลือกได้ตอนสร้าง Smart Group แบบ Criteria ในหัวข้อ 2.4
2.4 เลือกเครื่องหรือกลุ่มปลายทาง (Smart Group)
ก่อนกำหนดว่าแอปจะไปลงเครื่องไหน ต้องมี "กลุ่มเป้าหมาย" หรือ Smart Group ไว้ก่อน ไปที่ Groups & Settings > Groups > Assignment Groups > Add Smart Group แล้วเลือกวิธีจัดกลุ่มแบบใดแบบหนึ่ง
| วิธีเลือก | เหมาะกับ | ตัวอย่าง |
|---|---|---|
| Criteria (กำหนดเงื่อนไข) | กลุ่มใหญ่ (มากกว่า 500 เครื่อง) ที่อยากให้ระบบจัดกลุ่มอัตโนมัติ | รุ่นเครื่อง, เวอร์ชัน iOS, Organization Group, User Group (จากหัวข้อ 2.3), Ownership |
| Devices / Users (เลือกเอง) | กลุ่มเล็ก (500 เครื่องลงมา) ที่ต้องการความละเอียด เจาะจงรายเครื่อง | เลือก iPad เฉพาะห้องเรียน หรือเฉพาะครูบางคน |
ตั้งชื่อ Smart Group ให้สื่อความหมาย เช่น "iPad-ป.4-หมู่1" หรือ "iPad-ครูวิทยาศาสตร์" เพื่อให้หาและนำกลับมาใช้ซ้ำได้ง่ายในครั้งถัดไป
2.5 Assign แล้ว Sync ลงเครื่อง
เมื่อมีทั้งแอปที่ sync เข้ามาแล้ว (2.1–2.2) และ Smart Group (2.3–2.4) แล้ว ให้เข้าไปที่แอปนั้นในหน้า Purchased Apps แล้วกด Save & Assign
- เลือก Smart Group ที่สร้างไว้เป็นปลายทาง
- ตั้งค่า Deployment เป็น Auto (ติดตั้งอัตโนมัติทันทีที่เครื่องเช็คอิน) หรือ On-Demand (ให้ผู้ใช้เลือกติดตั้งเองผ่านหน้า Catalog บนเครื่อง)
- กด Save เพื่อยืนยันการ assign — จากจุดนี้ระบบจะรอส่งคำสั่งติดตั้งไปเมื่อเครื่องเช็คอินตามรอบปกติ
- ถ้าอยากให้ติดตั้งทันทีไม่ต้องรอรอบ ให้เข้าไปที่เครื่องเป้าหมายแล้วกด Sync Device (ดูวิธีในหัวข้อ 1.4) เพื่อบังคับเช็คอินและดึงแอปมาติดตั้งทันที
- ตรวจผลได้ที่แท็บ Apps ของเครื่องนั้น ถ้าสถานะยังไม่ขึ้น Installed ให้ไล่เช็คตามตารางหัวข้อ 1.5
2.6 ความแตกต่างของ Ownership: Corporate-Dedicated vs Corporate-Shared
Ownership คือค่าที่บอกว่าอุปกรณ์เครื่องนั้น "เป็นของใคร/ใช้งานแบบไหน" ซึ่งมีผลต่อการตั้งค่าและการล็อกฟีเจอร์บนเครื่อง และยังใช้เป็นเงื่อนไข (criteria) ตอนสร้าง Smart Group ได้ด้วย (ตามหัวข้อ 2.4)
| Ownership | ความหมาย | ลักษณะการใช้งาน |
|---|---|---|
| Corporate-Dedicated | อุปกรณ์ขององค์กร ผูกกับผู้ใช้คนเดียวเป็นหลัก (1:1) | ผู้ใช้คนเดียวถือเครื่องประจำตัว ตั้งค่า/แอปคงที่ ควบคุมได้ละเอียด เหมาะกับครูหรือบุคลากรที่มีเครื่องประจำตัว |
| Corporate-Shared | อุปกรณ์ขององค์กร ใช้งานร่วมกันหลายคนหมุนเวียนกัน | มักใช้คู่กับฟีเจอร์ Shared iPad + Managed Apple ID ให้แต่ละคน login แยก partition ข้อมูลของตัวเอง เหมาะกับ iPad ที่แชร์กันในห้องเรียนหลายคาบ/หลายนักเรียนต่อเครื่อง |
แหล่งอ้างอิง
- Omnissa — Compromised Device Detection with Health Attestation (docs.omnissa.com)
- Omnissa — Device Actions: Query vs Sync (docs.omnissa.com)
- Omnissa Knowledge Base — Unenrolling and Reenrolling devices, KB 81947 (kb.omnissa.com)
- Omnissa — Deploy Public Applications on your Devices (docs.vmware.com / docs.omnissa.com)
- Omnissa — Smart Groups, Console Basics (docs.omnissa.com)
- Omnissa — Volume Purchase Program (VPP) Application Management (docs.vmware.com)
- Apple School Manager — Apps and Books (school.apple.com/#/main/appsandbooks)
- Omnissa — User Groups, Console Basics (docs.omnissa.com)
- Omnissa — Shared iPads for Business / Device Ownership Types (docs.vmware.com / docs.omnissa.com)