Chromebook beheer info

[swartmans]

Mijn zoon is met begonnen aan het middelbaar onderwijs. Ze gebruiken daar chromebooks en we mochten er zelf een aanschaffen.

Dus ik een leuk model uitgezocht (HP Chromebook X2) om ook nog wat mee te kunnen naast schoolwerk.

Echter is dat ding nu in beheer gezet van school en eigenlijk alles disabled… (geen apps meer te installeren en geen accounts aan te maken e.d.)

Nu snap ik dat opzich wel, is natuurlijk makkelijk, veilig en behapbaarder voor ICT beheer. Maar we kunnen verder niks meer met de chromebook.

Iemand ideeën om toch wat meer met de chromebook te kunnen? Kan school alles vragen hoor, maar ik (ver)denk dat ze er daar minder van weten dan sommigen hier.

Bijvoorbeeld:
- toestaan van USB boot zodat ik mijn eigen image kan booten?
- Een (admin) account voor mij op de chromebook?

[MAX3400]

Ik zou het eens omdraaien; waarom denkt dat school 100% beheer mag voeren over een machine die niet door hun betaald of meegebracht is?

Mijn mening: laat ze de machine maar in originele staat terugbrengen en duidelijk uitleggen welke instellingen er wel/niet nodig zijn voor op school te kunnen werken. Allicht kan je dan 2 accounts maken op de laptop bijvoorbeeld "Opleiding" en "Prive" en dan de specifieke instellingen voor WiFi of een Office-account koppelen in het "Opleiding" account.

Ben niet 100% op de hoogte van Chrome OS maar je zou eens kunnen rondsnuffelen of er specifiek "work accounts" mogelijk zijn en of dat ook op school een werkbare situatie oplevert.

[Craven]

Eens met @MAX3400. Ze hebben op het onderwijs altijd de neiging om alles dicht te timmeren. Wat opzich te verantwoorden is als het hun spul is maar niet als het van jou is.

Het idee van afzonderlijke accounts zou een compromis kunnen zijn. Ik zal echter starten met de insteek dat ze van jouw chromebook af moeten blijven.

[aawe mwan]

Op een Chromebook kan je gewoon met elk bestaand Google account inloggen. Het is niet nodig om een account aan te maken op het Chromebook zelf. Ik heb zelf privé een HP Chromebook x360 maar ik heb daar nog nooit een beheeraccount op gezien (of zelfs maar de behoefte gehad om er een aan te maken).

Inloggen als gast zou altijd moeten kunnen, ook als hij op slot gezet is.

[Tys]

Je kan inderdaad gewoon ernaast inloggen met je privé Google account. Ingelogd onder het account van de school zal het een en ander afgeschermd zijn of krijg je apps toegestuurd. Log je in met een ander account dan heb je dat probleem niet. Dat kan prima op hetzelfde apparaat!

[swartmans]

Ik weet er dus te weinig van daarom vraag ik hier voordat ik in conclaaf met school ga.
Ik ben dus eigenlijk opzoek naar iemand die ook zo het beheer doet of zo een chromebook heeft gehad die beheerd werd.
Hier een andere school met hetzelfde systeem: https://www.merletcollege...uit_beheer_halen_v101.pdf

Maar een account aanmaken kan iig niet meer, ze hebben een powerwash gedaan en nu dus beheer genomen over de chromebook. Je kunt er alleen met accounts van het school domein op inloggen.

Ik denk dat een school best kan zeggen of wij hebben ‘m in beheer of je komt niet op ons netwerk. Hoe kort door de bocht dat ook klinkt. Maar mij helemaal uitsluiten van gebruik van mijn chromebook gaat me wel te ver 😅

[De Nelis]

Je kunt zelf ook geen powerwash meer doen om het weer ongedaan te maken?

[HUW]

Ik zou als eerste gewoon aanbevelen om de mentor o.i.d. gewoon appen/mailen of dit inderdaad 'verplicht' is of dat ze er sowieso geen problemen mee hebben om het er af te halen.

[MAX3400]

HUW schreef op zaterdag 10 september 2022 @ 19:24:
Ik zou als eerste gewoon aanbevelen om de mentor o.i.d. gewoon appen/mailen of dit inderdaad 'verplicht' is of dat ze er sowieso geen problemen mee hebben om het er af te halen.

Maar vind je het normaal dan dat de enige manier om eraf te komen (uiteindelijk) is een volledige factory-reset en alleen na overleg/toestemming/medewerking van school? En dat alleen omdat de school vind/vond even wat extra beheer te moeten doen?

Want dat is dan ook nog wel een goede discussie; zorgt school er ook voor dat de firmware up to date blijft? Dat er ook buiten school een update-beleid voor (bijvoooorbeeeeld) virusscanner, apps, etc plaatsvindt? Er een continue backup is van de belangrijke data? Dat als je apparaat op vakantie gejat wordt, dat ze 24/7/365 bereikbaar zijn om het device te locken/wipen?

Gok: het antwoord is op veel/alle vragen gewoon nee (zeker niet omdat een school meer dan 20% van het jaar helemaal niet geopend is want vakantie enzo).

[HUW]

MAX3400 schreef op zaterdag 10 september 2022 @ 21:48:
[...]
Maar vind je het normaal dan dat de enige manier om eraf te komen (uiteindelijk) is een volledige factory-reset en alleen na overleg/toestemming/medewerking van school? En dat alleen omdat de school vind/vond even wat extra beheer te moeten doen?

Ik vind het niet normaal dat dit de enige manier om eraf te komen is, echter lijkt het me wel verstandig om er niet een onnodig groot heisa van te maken. Je kunt eerst gewoon vriendelijk communiceren, mocht dat geen effect hebben kun je er dan altijd nog wetteksten en eventuele jurisprudentie bijhalen.

[kodak]

@swartmans het lijkt misschien handig om een tussenoplossing te willen, maar zolang jij niet weet wat je precies wil en je feitelijk geen controle hebt over wat de school met al hun rechten over jou apparatuur en gegevens doet (zelfs als jij diezelfde rechten hebt), klinkt het verstandiger om geen tussenoplossing te willen en te kiezen om of die chromebook alleen maar voor en door school te laten gebruiken, of volledig in eigen controle te hebben.

Je stelt zelf er te weinig van te weten, Dat is precies waarom het verboden is dat anderen ongevraagd controle over je systeem nemen met bijvoorbeeld dit soort beheer tools. Het gebeurt te vaak dat bedrijven en personen menen rechten over andermans spullen te kunnen claimen omdat het feitelijk vooral voor zichzelf handig en goedkoop is en de onwetende of te langzame eigenaar niet in de gaten heeft dat die vooral met de ongewenste gevolgen zit. Zelfs al krijg jij evenveel rechten, dan kun je er vanuit gaan dat je daarmee niet zomaar doet wat de school wil en andersom, en er zaken gebeuren die jij of de school moeilijk of niet meer kan terugdraaien.

Je doel lijkt dat iedereen tevreden is, dan lijkt de meest zekere en makkelijke oplossing dat je juist niet voor een tussenoplossing gaat. Want in die gevallen weet je waar je aan toe bent, terwijl je dat bij die tussenoplossingen nog maar moet zien.

[MAX3400]

HUW schreef op zondag 11 september 2022 @ 00:30:
[...]


Ik vind het niet normaal dat dit de enige manier om eraf te komen is, echter lijkt het me wel verstandig om er niet een onnodig groot heisa van te maken. Je kunt eerst gewoon vriendelijk communiceren, mocht dat geen effect hebben kun je er dan altijd nog wetteksten en eventuele jurisprudentie bijhalen.

Je hoeft mijn niet al te veel te vertellen over wat er wel & niet mag met devices; ik zit tussen 3 vuren want ik beheer devices voor organisaties, mijn eigen werkgever beheert (gedeeltelijk) mijn devices en er is een continue "dunne lijn" wie / wat / waarom / wanneer een device mag beheren, locken, remote wipe geven, eigenaar is van data op devices, etcetera. Zelfs iets simpels als een pincode resetten voor een device, gaat middels leidinggevende(n) en enkel schriftelijk (want telefonisch kan iedereen wel zeggen dat hij Pietje is en een nieuwe pincode voor het device van Pietje wil hebben).

Het is uitermate slordig van de school in kwestie om de leerling (al dan niet in het bijzijn van een onwetende ouder) een device aan te melden op het beheerde/afgeschermde gedeelte van school en daarmee functioneel en technisch eigenaar te worden van een apparaat waar school wettelijk geen eigenaar is (niet betaald). Dat @swartmans hier dan vragen over stelt, lijkt me normaal. Dat 1 (of meerdere antwoorden) dan is: niet accepteren, eerst terugdraaien, dan pas weer overleggen, dat kan ook.

Zoals @kodak ook aangeeft; mogelijk is een tussenoplossing (al dan niet vriendelijk gecommuniceerd) ook geen goed idee. Je weet niet of een tussenoplossing, afgesproken in 2022, over 2 jaar ongemerkt strakker of minder strak wordt gezet door de updates in de beheer-software. Of dat door een misconfiguratie, de Drive-backups van alle Chromebooks kruiselings worden gesynchroniseerd (als stom voorbeeld) waardoor leerling A de documenten van leerling B te zien krijgt.

Het gaat dus niet over of/wanneer je met wetteksten naar school gaat om het issue bespreekbaar te maken; het is absoluut de voorkeur om school eerst het device vrij te geven en daarna pas de (vriendelijke) discussie aan te gaan waarom ze denken er alles op te mogen. Wie weer heeft de school een mooi document van 12 pagina's waarin niet alleen simpel maar ook wettelijk staat uitgelegd aan ouders waarom ze iets willen. Helemaal top. Dan denk ik dat we daar even op moeten wachten alvorens een verdere mening / suggestie te vormen of de school dat wel mag.

[Jazzy]

Modbreak:

Deze discussie gaat meer over het werken met een beheerde laptop dan over beveiliging an sich. Ik verplaats het topic daarom even naar Linux en overige clients.

[Rhannie]

Ik zie dat hier behoorlijk wat aannames over Chrome OS worden gedaan die niet allemaal waar zijn. Ik zal het een en ander proberen te verduidelijken.

- toestaan van USB boot zodat ik mijn eigen image kan booten?

Dit is geen optie op Chromebooks. Er zijn bepaalde modellen die je via een omweg kan voorzien van een ander OS, maar dan gaat het daarna niet meer lukken om Chrome OS er weer op te krijgen. Een ander OS installeren op een Chromebook is geen standaard functionaliteit in ieder geval.

- Een (admin) account voor mij op de chromebook?

Chrome OS kent geen admin users. Als de optie voor accounts toevoegen niet uitgeschakeld is, heb je linksonderin op het loginscherm de optie om een account toe te voegen of in te loggen als gast. Als de optie wel uitgeschakeld is kan je eventueel met de school contact opnemen om te vragen of ze een tweede account toe kunnen staan.

Mijn mening: laat ze de machine maar in originele staat terugbrengen en duidelijk uitleggen welke instellingen er wel/niet nodig zijn voor op school te kunnen werken. Allicht kan je dan 2 accounts maken op de laptop bijvoorbeeld "Opleiding" en "Prive" en dan de specifieke instellingen voor WiFi of een Office-account koppelen in het "Opleiding" account.

Je kan geen lokale accounts aanmaken op Chrome OS. Bij de eerste keer opstarten log je in met een Google Workspace account (of een Gmail account) en daarna krijg je de instellingen en applicaties gepushed die door de beheerders ingesteld zijn in de Google Workspace omgeving.

Je kunt zelf ook geen powerwash meer doen om het weer ongedaan te maken?

Een powerwash uitvoeren kan altijd door middel van een toetsencombinatie op het loginscherm. Zie ook: https://chromeunboxed.com...k-powerwash-factory-reset

Want dat is dan ook nog wel een goede discussie; zorgt school er ook voor dat de firmware up to date blijft?

Ja. Zie ook: https://support.google.com/chrome/a/answer/6025002?hl=en

Dat er ook buiten school een update-beleid voor (bijvoooorbeeeeld) virusscanner, apps, etc plaatsvindt?

Ja. Dit is namelijk geen issue op Chrome OS. Apps kunnen gepushed worden vanuit de Play Store en die apps worden dan ook automatisch geupdate vanuit de Play Store. De overige apps die je gebruikt zijn webapps en die worden geupdate op de webservers waar ze op draaien. Virusscanners zijn geen ding op Chrome OS, omdat je als user met geen mogelijkheid iets kan veranderen aan het onderliggende OS en alles wat je kan draaien in een sandbox draait.

Er een continue backup is van de belangrijke data?

Ja. Je hebt op Chromebooks 2 mogelijkheden voor het opslaan van bestanden: Lokaal en op Google Drive. Als je je bestanden opslaat op Google Drive, worden ze ook online bij Google opgeslagen. Als je apparaat dan in de hens vliegt, kan je zo een nieuwe Chromebook pakken, inloggen en dan heb je al je data en instellingen weer terug. Als je dingen lokaal op slaat, ben je ze wel kwijt als het apparaat stuk gaat of een powerwash krijgt.

Hiernaast zijn er ook nog diverse andere instellingen, zoals bookmarks, extensions, passwords, achtergrond, applicaties, etc die gebackupt worden. Als je op een andere Chromebook (of na een powerwash) inlogt, krijg je al deze instellingen ook weer terug

Overigens heeft Google Drive ook versioning, dus als je per ongeluk een bestand overschrijft of weggooit, kan je via https://drive.google.com een vorige versie terug zetten.

Dat als je apparaat op vakantie gejat wordt, dat ze 24/7/365 bereikbaar zijn om het device te locken/wipen?

Uiteraard ligt dat aan de school, maar Chromebooks hebben best wel wat security opties. Er zit een vertraging op foutieve inlogpogingen, waardoor bruteforcen van wachtwoorden geen optie is. Daarnaast is de disk van Chromebooks volledig versleuteld, waardoor de opslag aan een andere machine knopen om de bestanden te lezen ook geen optie is.

Het is uitermate slordig van de school in kwestie om de leerling (al dan niet in het bijzijn van een onwetende ouder) een device aan te melden op het beheerde/afgeschermde gedeelte van school en daarmee functioneel en technisch eigenaar te worden van een apparaat waar school wettelijk geen eigenaar is (niet betaald).

Dat is niet slordig. Dat is gewoon hoe Chrome OS in combinatie met Google Workspace werkt en dat is in die zin niet anders dan een Microsoft 365 omgeving met Intune of een AD omgeving met GPO's/SCCM. Je meldt je aan bij de omgeving van de school (in dit geval met een Google Workspace account) en de policies worden daarna gepushed via Google Workspace naar de Chromebook. Het lijkt me niet meer dan logisch dat de school policies heeft om hun eigen netwerk te beschermen. Of je het wel of niet eens bent met hoever de policies gaan is een ander verhaal.

Je kan sowieso op elk moment een powerwash uitvoeren en daarna met een ander account inloggen dat niet bij de school hoort. Dat kost je 2 a 3 minuten en dan zijn alle policies weer weg.

---

Ik heb overigens zelf een Google Workspace omgeving, dus als er nog vragen zijn over hoe bepaalde dingen werken, kan ik wellicht even kijken. Ik heb alleen niet de duurdere licenties, waardoor ik niet alle management opties van Chrome OS kan zien.

[swartmans]

@Rhannie super uitleg, bedankt!

Ik heb de vraag uitstaan naar de ICTer op school, of het verplicht is. Misschien dat hij ook al met opties komt straks, misschien gewoon even afwachten.

Ik zou het in ieder geval fijn vinden als ik gewoon ook zelf in kan loggen met mijn eigen Google account.

Als ik ‘m nou powerwash en dan inlog met mijn eigen account dan werkt hij normaal?
En als ik ‘m dan weer powerwash en inlog met het school account gaat ie automatisch weer in beheer?
Zou opzich wel vreemd zijn, dan heeft het hele beheer van eigen machines niet zoveel betekenis. Het zou logischer zijn dat de chromebook zodra hij online is weer in beheer is (ongeacht welk account er probeert in te loggen)

[Jazzy]

Rhannie schreef op maandag 12 september 2022 @ 20:47:
Ja. Dit is namelijk geen issue op Chrome OS. [...] Virusscanners zijn geen ding op Chrome OS, omdat je als user met geen mogelijkheid iets kan veranderen aan het onderliggende OS en alles wat je kan draaien in een sandbox draait.

Ik herinner me die uitspraken ook over Linux en MacOS. De realiteit is dat Linux al jaren de vulnerability-lijstjes aanvoert en ook Macs geplaagd worden door allerlei malware. Voor ChromeOS zijn er wel degelijk virusscanners. Of je die wilt installeren moet je zelf weten maar met statements dat malware niet buiten de sandbox kan komen zou ik erg terughoudend zijn.

[Crxtreem]

Ik zou juist de mogelijkheid hebben dat alleen get school account gebruikt kan worden.

Onze puber maakt om de haverklap een nieuw Gmail account aan om zo te kunnen gamen.

Toch maar eens kijken of ze dit via school dit kunnen uitvinken.