标书 27 项需求应答：在控制台里怎么做

Simplified Authentication (SSO)

控制台支持用 OIDC 对接教育主管部门或学校已在使用的身份系统（Microsoft Entra ID、Google Workspace 或其他 OIDC 服务商），本地账号同时保留。

1. 左侧菜单 →「系统管理」→「单点登录」（仅「管理员」角色可见）。
2. 点「回调地址」旁边的「复制」，把这个地址登记到身份服务商的应用里。
3. 填写「身份服务商地址」「客户端 ID」「客户端密钥」；「允许的邮箱域」和「用户名来源」按需填写。
4. 点「测试连接」，出现「连接正常，身份服务商配置已读到」后勾选「启用」并点「保存」。
5. 退出登录，确认登录页上出现「用学校账号登录」按钮。

说明与限制: 支持 OIDC / OAuth2。没有 SAML 2.0 连接器，也不直连 LDAP 或 Active Directory：LDAP 目录需要通过 OIDC 服务商（例如 Entra ID）对外提供。管理员始终保留本地账号入口，身份服务商宕机不会把学校挡在自己的控制台外面。

Kiosk Mode / Child-Friendly Interface

平板以 Kiosk 模式锁定在单个应用或一小组应用上，使用自带的桌面；退出需要输入学校设定的密码。适合低龄学生时可打开「儿童模式」：多应用桌面换成大图标、分区（学习、阅读、创作、工具）、名牌与放大的举手按钮，外观按年级分三档；锁定与退出规则不变。

1. 左侧菜单 →「策略管理」→「新建策略」，填一个名称。
2. 在「应用」分组里打开「Kiosk 模式（appKiosk）」，选「单应用」，在弹出的「选择应用」里勾选那个应用。
3. 退出方式由「显示退出 Kiosk 按钮（showQuitKey）」决定，它默认开着（策略里不加这一项就是开）。开着时：单应用模式下学生在锁定的应用里按返回或主页键离开，平板弹出退出密码框——点「取消」或 30 秒没人操作就回到该应用，输对密码才退出 Kiosk；多应用桌面的「退出」在右上角菜单里，同样要密码。关掉时（下发 0）：不弹密码框，单应用直接回到该应用，多应用桌面菜单里没有「退出」。
4. 选择设备组，点「保存并下发」。
5. 需要适合低龄学生的界面时：「Kiosk 模式（appKiosk）」选「多应用桌面」，再打开「儿童模式（大图标、分区、名牌，按年级换外观）（kioskChildMode）」并选年级，下方即显示平板上的样子；名牌上的名字取「学生名册」。
6. 退出密码在 左侧菜单 →「设备组」→「编辑」→「Kiosk 退出密码」里设置，一个组一个密码，由服务端核对。同一台平板连续输错 5 次锁定 10 分钟；组里没设密码时任何密码都退不出去。要长期取消 Kiosk，请在控制台撤销该策略。

说明与限制: 「儿童模式」需要平板客户端 4.2.4.2 及以上，只作用于多应用桌面。单应用模式下按返回弹出退出密码框需要平板客户端 4.2.5.1 及以上。

Complete hiding of OS / settings / browser / app store

Android 设置、浏览器和应用商店从学生桌面隐藏，状态栏里也不再能进入。

1. 左侧菜单 →「策略管理」→「新建策略」。策略项按用途分组列出，打开开关即加入这条策略。
2. 在「应用」分组里打开「隐藏系统应用（浏览器 / 应用商店）（hideSystemApps）」，按类别勾选「浏览器」与「应用商店」；需要点名某个应用时用「选择应用」。
3. 在「屏幕与界面」分组打开「禁止下拉状态栏（disableDropDownStatusBar）」开关；在「应用」分组打开「Kiosk 加固（关电源菜单与多任务、禁状态栏、去掉设置入口）（kioskHardening）」，表单里的「禁用状态栏」与「全屏沉浸」保持打开。
4. 添加「禁止未知来源安装（disableUnknownSources）」和「禁止安装应用（disallowInstallApps）」。
5. 选择设备组，点「保存并下发」。

说明与限制: 「隐藏系统应用」和「Kiosk 加固」需要平板客户端 4.1.3.8 及以上。组里若有版本更低的平板，保存时控制台会提示「有 N 台平板版本过低，部分设置不会生效」并列出受影响的设备：在这些设备上，这些项要等升级后才会起效。

Blocking of exit gestures / system buttons

平板固定在课堂应用上之后，主页键、返回键、多任务键、退出手势和电源菜单都不再能把学生带出这个应用。

1. 把第 2 条的策略（「Kiosk 模式（只能使用指定的应用）（appKiosk）」）下发给该设备组。
2. 在「应用」分组打开「Kiosk 加固（关电源菜单与多任务、禁状态栏、去掉设置入口）（kioskHardening）」，表单里的「禁用状态栏」保持打开；「禁用状态栏（disableNotifyBar）」与上一条「禁止下拉状态栏」是同一个动作，开一个即可。
3. 添加「禁止弹出窗口与悬浮窗（disableCreateWindows）」，避免任何应用遮挡课堂画面。
4. 点「保存并下发」，并在平板上确认按任何键、做任何手势都退不出这个应用。
5. 针对某一节课，用 左侧菜单 →「课堂管理」→「课堂」→「固定到应用」。

说明与限制: 「Kiosk 加固」和「禁止弹出窗口与悬浮窗」需要平板客户端 4.1.3.8 及以上。

Remote app launching

在控制台上把指定应用推到学生平板上打开：单台、多台或整个班级。

1. 单台：左侧菜单 →「设备清单」→ 打开这台设备 →「下发指令」→「启动应用」→ 选择应用 →「下发」。
2. 多台：在设备列表里勾选复选框，点「批量指令」。
3. 整班：左侧菜单 →「课堂管理」→「课堂」→「固定到应用」，它同时在指定时长内不允许退出该应用。
4. 在这台设备的「下发记录」页签里核对结果：「成功」「失败」或「未回执」。

说明与限制: Kiosk 模式下，不在 Kiosk 桌面清单里的应用会明确回报启动失败，而不是假装成功；请先把它加进「Kiosk 模式（appKiosk）」的应用清单。离线设备会在下一次心跳时执行这条指令。

Screen control and pinning

把平板固定到某个应用、远程截屏，以及上课期间实时查看学生画面。

1. 固定：左侧菜单 →「课堂管理」→「课堂」→「固定到应用」→ 选择应用和时长 →「固定」；「解除固定」可提前放开。
2. 单台截屏：左侧菜单 →「设备清单」→ 打开这台设备 →「屏幕」卡片里点「立即截屏」；图片拿到后**自动放大显示**，不必去别处找，同时存进「截屏与文件」页签。
3. 实时画面：在设备详情的「实时画面」页签 → 先下发「共享桌面」指令，再点「看屏幕」；「停止共享」可中断。
4. 整班：左侧菜单 →「课堂管理」→「课堂巡视」→「巡视一轮」或「每 30 秒自动巡视」。

说明与限制: 固定功能需要平板客户端 4.1.3.8 及以上。 【装机时要做一次，只做一次】在平板上开启「ClassPad 课堂巡视」无障碍服务。不做这一步，每次远程截屏、每次全班巡视，安卓都会要求学生点一次「开始」——这就是「为什么每次都弹框」的全部原因。 单台设备，在平板上操作： ① 打开「设置」 ② 进入「无障碍」 ③ 找到「已下载的应用」（有些机型叫「已安装的服务」或「已下载的服务」） ④ 点「ClassPad 课堂巡视」 ⑤ 打开开关，系统会弹一个确认框，点「允许」或「确定」 也可以从管理端引导：控制台 → 设备清单 → 选中平板 → 指令面板 → 选「引导完成装机：课堂巡视与使用时长（装机用）」→ 发送。平板上会弹出一页说明，点按钮直接跳到上面第②步；已经开好的设备不会被打扰。 批量装机时，USB 装机工具 1.3.0 起会顺带开好；之前装的平板，用 USB 接上电脑再运行一次装机工具即可补开（加 `-grant-usage` 只补开权限、不做别的）。它会把连着的设备一台台开过去，已开启的跳过，并且**只追加不覆盖**——平板上原有的读屏、放大手势等无障碍服务不会被关掉。 怎么确认开好了：下发一次「远程截屏」，平板上**不再出现任何授权框**，控制台上几秒内就能看到图。 ⚠️ 这一步不能由管理端静默完成：开启无障碍服务需要系统级权限（WRITE_SECURE_SETTINGS），安卓不授予普通应用，我们的客户端也没有。所以只有「在设备上点一次」或「用 USB 跑脚本」两条路。开启后学生无法自行关闭——受管桌面下进不了系统设置。 【不做会怎样】Android 14 起，系统要求每次采集屏幕都重新征得使用者同意。未开启该服务时，老师每次截屏、每次巡视一轮，学生平板都会弹出「要开始录制或投放吗？」并需要学生点「开始」，课堂巡视因此难以使用。开启后不再弹窗。 【没开无障碍时也不必每次点】平板客户端 4.1.8.0 起，未开启课堂巡视服务时，学生只需在本节课**第一次**被查看时点一次「开始」；在此后的 40 分钟内，无论老师截多少次图都不会再弹框（真机实测：第 1 次弹、第 2 至 4 次都不弹且都取到了当时的画面）。代价是这 40 分钟里平板状态栏会一直显示系统的投屏标志，学生始终看得见自己的屏幕处于可被查看的状态——这是刻意保留的，不去弱化。到期、或老师点「停止共享」后自动收回，下节课重新征得同意。开启课堂巡视服务则连第一次都不弹，也没有常驻的投屏标志，仍是推荐做法。 【学生仍然看得见】开启后由客户端自己给出提示：每次屏幕被查看，通知栏都会显示「老师看了你的屏幕」，点开可看到学校能看到什么、不能看到什么。这是对学生的透明度要求，不会省略。 实时画面和全班截屏只有在已开始上课时才可用；单台截屏在课外也可用于技术支持，并会记入审计。

Security, Hardware and Content Restrictions

九十多项策略项的目录覆盖安全、硬件、应用、网络和时段限制，按设备组下发。4.2.3.5 起新增：禁用开发者选项、禁止添加用户、禁止更换壁纸、禁用 WLAN 直连、禁止复制粘贴、设备水印（屏幕上平铺学校文字、序列号与时间）、系统更新的安装时段与冻结期、运行时权限的默认处理（询问、自动授予或自动拒绝），以及解锁口令的字符细则（字母、大小写、数字、符号各至少几个）。

1. 左侧菜单 →「策略管理」可以看到已有的策略、各自绑定的设备组，以及「启用」/「停用」开关。
2. 「新建策略」后按用途分组打开需要的项：开关类直接拨开，模式类（如 Kiosk、网址过滤）选一种模式，周期类填分钟数，有参数的项打开后就地展开表单。
3. 在设备组字段里选择设备组，点「保存并下发」。
4. 同一台设备被多条策略覆盖时，本校开放后可用「策略冲突时听谁的」切换「取最严」或「沿用最新」；切换前控制台会先列出哪些设备、哪些策略项会发生变化。
5. 要撤销某条限制，把那一项的开关关掉，或删除这条策略：控制台会把变更重新下发到设备。

说明与限制: 禁用开发者选项会连同 USB 调试一起关闭；撤销时，如果下发前 USB 调试是开着的，出厂预装版会自动恢复，可安装版需要在平板设置里手动打开。 禁止复制粘贴：安卓没有标准的禁用接口，系统做法是持续清空剪贴板，需要 Android 9 及以上。设备水印需要悬浮窗权限或开启课堂巡视无障碍服务。系统更新的时段与冻结期由安卓系统遵守；厂商自带的升级程序是否遵守，需要向平板厂商确认。

Complete blocking of open web browsing

浏览器被限制在网址白名单内，其他浏览器和应用商店一并隐藏，学生无法自由上网。

1. 左侧菜单 →「策略管理」→「新建策略」→「上网与网络」分组 → 打开「浏览器网址过滤（internetRestriction）」，选「白名单（只放行清单内）」。
2. 点「编辑网址清单」，选「白名单（只放行清单内）」，写入放行的域名；「批量导入」支持整段粘贴。
3. 点「检查写法」，若有提示就点「自动修正 N 条」（按钮上会写明会修正多少条），然后点「保存并下发」。
4. 再配合「隐藏系统应用（浏览器 / 应用商店）（hideSystemApps）」与「Kiosk 模式（appKiosk）」的多应用桌面，桌面上只放受管浏览器和教学应用。

说明与限制: 过滤通过应用托管配置同时作用于 Chrome 和 ClassPad 浏览器（4.2.3.6 起；之前只管 Chrome），两个浏览器按同一份清单、同样的写法规则拦截，可安装版客户端即可生效。其他应用内嵌的网页视图，以及这些应用自身的流量，不走这条路径；要做系统级过滤需要「网络域名过滤（需系统集成版）（networkRestriction）」，它要求厂商签名并集成进 ROM 的版本。若未安装该版本，平板会明确回报失败，不会让人误以为过滤已经生效。

Deactivation of In-App Purchases / ads / pop-ups

隐藏应用商店后，整台平板上的任何应用都发起不了应用内购买（商店的结算服务不在了，购买一律回报结算不可用）；家庭过滤 DNS 在所有浏览器和应用里拦广告域名；弹出窗口与悬浮窗可以禁止。

1. 左侧菜单 →「策略管理」→ 点开要用的策略（没有就点「新建策略」）→ 「上网与网络」分组 → 打开「隐藏系统应用（浏览器 / 应用商店）（hideSystemApps）」，勾选「应用商店」。商店被隐藏后，平板上任何应用都调不起购买。
2. 同一分组打开「家庭过滤 DNS（拦广告与成人网站，强制安全搜索）（familyDns）」：所有浏览器和应用里的广告域名都被拦下。
3. 左侧菜单 →「策略管理」→ 点开要用的策略（没有就点「新建策略」）→ 「屏幕与界面」分组 → 打开「禁止弹出窗口与悬浮窗（disableCreateWindows）」。
4. 添加「隐藏系统应用（浏览器 / 应用商店）（hideSystemApps）」和「禁止安装应用（disallowInstallApps）」。
5. 用白名单模式的「浏览器网址过滤（internetRestriction）」限制流量，把广告和支付域名挡在清单之外。
6. 在 左侧菜单 →「应用管理」→「应用商店」里只选无内购、无广告的教学应用，再到 左侧菜单 →「策略管理」用「Kiosk 模式（appKiosk）」的多应用桌面把学生能打开的范围限定在这些应用上。

说明与限制: 做法与边界：应用内购买走的是应用商店自己的结算服务，商店隐藏后它在整台平板上都解析不到（真机判据逐轮核对）。广告按域名拦截：个别把广告和正文放在同一个域名下的应用拦不干净；这类应用不要放进学校的应用目录。家庭过滤 DNS 要求学校网络放行 853 端口，连不上时平板如实回报失败，不会悄悄失效。

Hardware restriction: camera/mic/BT/USB

相机、麦克风、蓝牙、USB、外置存储、NFC 和热点都可以按策略关闭，并可在某项活动期间临时开放。

1. 左侧菜单 →「策略管理」→「新建策略」→「硬件与接口」分组 → 打开「禁用相机（disableCamera）」「禁用麦克风（disableMicrophone）」「禁用蓝牙（disableBtTransfer）」和「USB 仅充电（禁止文件传输）（onlyChargeUSB）」。
2. 按需再加「禁用外置存储卡（disableExternalStorage）」「禁用 NFC 传输（disableNFCMode）」和「禁用热点（disableHotspot）」。
3. 选择设备组，点「保存并下发」。
4. 临时例外：左侧菜单 →「课堂管理」→「课堂」→「临时开放硬件」→ 勾选「相机」「麦克风」「蓝牙」或「USB 文件传输与存储卡」，填写分钟数，点「开放」；「收回临时开放」可提前取消。
5. 按时段例外：添加「硬件按时段开放（时段外关闭）（hardwareSchedule）」。

说明与限制: 临时开放到期后限制会自动恢复，即使没人去收回。「硬件按时段开放」需要平板客户端 4.1.3.8 及以上。

Real-time location / traceability / geofencing

平板按需并周期性上报位置，也可以按时段定位：设定每天的起止时间与间隔，时段内自动上报（4.2.3.5 起）；服务端与该组的地理围栏比对，设备离开范围时记录一条告警。

1. 划定围栏：左侧菜单 →「告警&合规性」→「告警规则」→「添加围栏规则」，弹出带地图的对话框。
2. ① 选设备组：下方当场写明这个组的平板有没有在上报位置。平板只在上报位置时才判断进出；没有上报就点「为本组开启按时段定位」（每天 06:00–20:00 每 15 分钟定位一次，需要客户端 4.2.3.5 及以上）。
3. ② 定位置：在搜索框输入学校名称或地址后按回车，或直接在地图上点一下放圆心；也可以用本组平板的位置作圆心。拖绿色圆点挪位置。
4. ③ 定大小：拖圆边上的白点，或拉滑块改半径（建议 200 米以上，平板在室内定位会漂移）。地图上的虚线圈是本组已有的围栏，蓝点是本组平板最后上报的位置。
5. ④ 填名称，勾选「离开时」和／或「进入时」，点「保存」。已建的围栏在列表里点「编辑」即可修改。
6. 单次查询：左侧菜单 →「设备清单」→ 打开这台设备 →「下发指令」→「上报定位」或「持续定位」。
7. 进出记录出现在「告警日志」页签，类型为「越出地理围栏」或「进入地理围栏」，只在进出变化的那一刻记一条（在圈外时不会每次上报都重复记），也出现在 左侧菜单 →「报表」→「告警」里，可用「导出告警」导出 CSV。

说明与限制: 控制台还不能在地图上画出行进轨迹：历史位置通过设备编程接口和学校数据的完整导出获取。「禁用定位（需 Android 9 及以上）（disableGPS）」需要 Android 9 及以上。 取不到位置时不会显示成功：室内、地下室或有遮挡的地方收不到定位信号，这时「上报定位」会如实回报「取不到设备位置（来源 fused）：室内或遮挡处收不到信号，请让设备靠近窗边后重试」。控制台上不会出现一个成功却没有新位置的回执 —— 那会让人以为设备没动过。

Immediate remote lock and secure wipe

锁屏、解锁和恢复出厂设置，可对单台或多台执行，在线设备即时送达。

1. 单台：左侧菜单 →「设备清单」→ 打开这台设备 →「下发指令」→「锁定屏幕」；「解除锁定」可还原。
2. 整班：左侧菜单 →「课堂管理」→「课堂」→「锁定全班」和「解除锁定」。
3. 擦除：在设备详情里点「下发指令」→「恢复出厂设置」，并确认不可撤销的提示。
4. 多台：在设备列表里勾选复选框，用「批量指令」。
5. 在「下发记录」里核对送达情况：控制台会写明有多少台即时收到、哪些要等下一次心跳才能取到。

说明与限制: 如果使用「恢复出厂后可解锁的 Google 账号（FRP）（frpAdminEmails）」，这份名单不能留空：控制台会拒绝保存，因为空名单会让平板在擦除后再也无法解锁。要关闭这项保护请把「值」设为 0，而不是清空名单。

Control of concurrently open tabs

可以限制学生同时打开的标签页数量：ClassPad 浏览器到上限就开不出新标签页；Chrome 超过上限时被一层提示挡住，学生关掉多余的标签页后自动恢复。

1. 左侧菜单 →「策略管理」→ 点开要用的策略（没有就点「新建策略」）→ 「上网与网络」分组 → 打开「同时打开的标签页上限（browserTabLimit）」，填上限（例如 5）。关掉开关即撤销。
2. Chrome 这一半要求平板开着「ClassPad 课堂巡视」无障碍服务（装机时开一次）；ClassPad 浏览器不需要。
3. 要让限制无处可绕：同一分组打开「隐藏系统应用（浏览器 / 应用商店）（hideSystemApps）」并勾选「浏览器」—— 会隐藏 Chrome 等其它浏览器，但保留 ClassPad 浏览器。

说明与限制: 做法：Android 没有统计或关闭 Chrome 标签页的接口，Chrome 也没有限制标签页数的托管策略，所以 Chrome 一侧由课堂巡视无障碍读取工具栏上显示的标签页数（只读这个数字，不读网页内容），超过时盖一层提示；ClassPad 浏览器（我们基于开源浏览器 LineageOS Jelly 改造）直接按学校设的上限拦。两条路都有真机判据逐轮核对。ClassPad 浏览器的分发方式见第 15 条。

Screen recording at all times / on demand

可以录制学生平板的屏幕：整节课录（开课时勾选）或老师随时按需开始、停止；录像存在平板上，老师需要哪一段就调取哪一段，在控制台里直接播放，服务器保留 7 天。另有按需截屏、整班巡视与实时画面。

1. 整节课录屏：左侧菜单 →「课堂管理」→「课堂」→「开始上课」→ 勾选「本节课录屏（学生平板本机录到下课，需要时再调取）」。下课时自动停止；延长下课时录屏随之延长。
2. 按需录屏：左侧菜单 →「设备清单」→ 打开这台设备 →「录像」页签 → ① 选时长（15、45、90、240 分钟）→「开始录屏」，按钮旁边当场显示平板的回答（例如：正在录屏，录到 10:45）；「停止录屏」随时停。
3. 调取与回放：同一页签 → ② 选时间段（或点旁边最近 15、45、90 分钟的快捷按钮）→「调取录像」，按钮旁显示开始上传几段、多大、覆盖几点到几点；③ 传完的片段每 5 分钟一段出现在下方，点开直接播放，也可下载。
4. 按需、单台：左侧菜单 →「设备清单」→ 打开这台设备 →「屏幕」卡片 →「立即截屏」，图片当场显示。
5. 按需、整班：左侧菜单 →「课堂管理」→「课堂巡视」→「巡视一轮」。
6. 课堂期间持续观察：在设备详情的「实时画面」页签 → 下发「共享桌面」指令，设置「帧率（张/秒）」和「最长时长（分钟）」→ 点「看屏幕」。学生屏幕上会弹出安卓系统的授权框，其中的范围已默认选中整个屏幕（这是系统的弹框，不是控制台界面），学生点「开始」即可；若只想共享某一个应用，在指令的「高级」里勾选「只共享某个应用（学生自选）」。
7. 截到的图片留在这台设备的「截屏与文件」页签里，直到保留期到期。

说明与限制: 【前置：装机时开一次，只开一次】在平板上开启「ClassPad 课堂巡视」无障碍服务：平板上「设置」→「无障碍」→「已下载的应用」→「ClassPad 课堂巡视」→ 打开并确认。用电脑 USB 装机的，装机工具 1.3.0 起会自动开好；之前装的平板插上线再运行一次装机工具（或加 `-grant-usage` 只补开权限）即可补上；也可从控制台的指令面板发「引导完成装机：课堂巡视与使用时长（装机用）」，平板上会弹出引导页并直接跳到设置。 不开的后果：Android 14 起，每采集一次屏幕都要学生点一次「开始」，整班巡视没法进行 —— 客户反馈的「每次都弹提示」就是这一步没做。开启后连续截屏实测一次都不弹（第 6 条有完整说明与确认办法）。 做法与边界：没开课堂巡视无障碍时平板如实回报「录不了屏」并说明要开什么。录像留在学生平板上（最近 3 天、最多 1.5 GB），不占学校网络；只有老师调取的那一段才上传，服务器保留 7 天后自动删除。每 2 秒一帧、约 67 MB/小时，看得清学生在做什么，但不是流畅视频。屏幕熄灭期间不录（不为录屏点亮屏幕耗电），录像里显示「屏幕已熄灭」。单次最长 4 小时，到点平板自己停止，不依赖网络。录屏期间学生通知栏一直写着「老师正在录制本平板的屏幕」；每次开始、停止、调取都记在操作审计里。对未成年人屏幕的录制要有明确的教学理由，是否录、录多久由学校决定，建议写进学校的处理规则。 设备处于锁屏时：系统不允许授权框盖在锁屏之上，平板会点亮屏幕并如实回报「设备当前处于锁屏状态，屏幕采集授权框无法显示；请让学生解锁设备后重试」，不会一直停在「执行中」。学生点「取消」同样会如实回报，这是正常的产品路径。

Content control

可以按类别屏蔽网站（赌博、暴力、毒品、交友、游戏、社交、盗版、黑客等 11 类）、按关键词屏蔽网页，整台平板的上网还经家庭过滤 DNS 拦截成人、钓鱼与广告网站；同时管控能用哪些应用、能上哪些网、什么时段使用，并强制安全搜索。

1. 分发 ClassPad 浏览器（只做一次）：从下载页取 https://classpad.owly.cn/download/classpad-browser-latest.apk → 左侧菜单 →「应用管理」→「应用商店」→「添加应用」→「上传安装包」→ 在「分配到班级」里设为「必装」。平板装上后，学校设的标签页上限、关键词、类别自动生效。
2. 左侧菜单 →「策略管理」→ 点开要用的策略（没有就点「新建策略」）→ 「上网与网络」分组 → 打开「按类别屏蔽网站（ClassPad 浏览器）（browserCategories）」，勾选要屏蔽的类别。
3. 同一分组 → 打开「屏蔽关键词（ClassPad 浏览器）（browserKeywords）」，一行一个关键词：网址、搜索词、网页标题或正文出现任一个，整页被挡（提示页不显示是哪个词）。
4. 同一分组 → 打开「家庭过滤 DNS（拦广告与成人网站，强制安全搜索）（familyDns）」：对所有浏览器和应用生效。
5. 同一分组 → 打开「隐藏系统应用（浏览器 / 应用商店）（hideSystemApps）」并勾选「浏览器」：隐藏 Chrome 等其它浏览器、保留 ClassPad 浏览器，学生只能用受管的那一个。
6. 左侧菜单 →「策略管理」→「新建策略」→「应用」分组 → 打开「Kiosk 模式（appKiosk）」，选「多应用桌面」，在「选择应用」里勾选授权的应用。
7. 打开「浏览器网址过滤（internetRestriction）」，选「白名单（只放行清单内）」，再用「编辑网址清单」定义域名。
8. 添加「应用时间围栏（限定各应用可用时段）（apptimefence）」，让某些应用只在学校规定的时段可用。
9. 在 左侧菜单 →「应用管理」→「应用商店」里维护审定过的目录，并查看「应用分发」页签，看平板上实际装了什么。

说明与限制: 做法与边界：类别名单取自图卢兹第一大学的 UT1 黑名单（CC BY-SA 4.0，约 9.4 万个域名），服务器每次发布时更新，平板每天检查一次；名单按域名判断，会有少量漏判与误判。成人类名单太大装不进平板，由家庭过滤 DNS 在所有浏览器里拦。类别与关键词只在 ClassPad 浏览器里生效，所以完整的配法是「隐藏其它浏览器、只留 ClassPad 浏览器」（上面最后一步）。网址白名单、黑名单在 Chrome 和 ClassPad 浏览器里都生效（4.2.3.6 起），隐藏 Chrome 后照样管用。ClassPad 浏览器基于开源浏览器 LineageOS Jelly（Apache-2.0）改造，用我们自己的签名发布。各项都有真机判据逐轮核对。

WEB filtering

网址过滤支持白名单或黑名单两种模式，通过托管配置作用于平板浏览器，并内置写法检查。

1. 左侧菜单 →「策略管理」→ 点开要用的策略（没有就点「新建策略」）→ 「上网与网络」分组 → 打开「浏览器网址过滤（internetRestriction）」，在「白名单（只放行清单内）」与「黑名单（只拦清单内）」之间选一种；关掉开关即撤销。
2. 点「编辑网址清单」，选择模式并写入网址；用「批量导入」可以整段粘贴，一行一条。
3. 点「检查写法」：控制台会指出空行、通配符写法错误、非 ASCII 域名、重复项，以及 Chrome 的 1000 条上限；「自动修正 N 条」（按钮上会写明会修正多少条）能修掉可自动处理的问题。
4. 点「保存并下发」，并在平板上确认清单外的域名确实被拦截。

说明与限制: 作用范围是平板上的 Chrome 和 ClassPad 浏览器（4.2.3.6 起两个都管）。其他应用内嵌的网页视图，以及这些应用自身的流量，不经过这层过滤；要覆盖它们需要「网络域名过滤（需系统集成版）（networkRestriction）」，该项要求厂商签名并集成进 ROM 的版本。在可安装版上，这一项会回报失败，而不会被当作已生效。

Virtual security console (cloud-based)

全部管理都在一套多用户、多学校的 Web 控制台里完成，管理员本机不用装任何东西。

1. 用较新版本的 Chrome 或 Edge 打开交付的 HTTPS 地址，用自己的账号登录。
2. 左侧菜单 →「仪表盘」显示设备数、在线与离线、当天的下发与告警、最近连接时间，以及各设备组的设备数。
3. 左侧菜单 →「辖区总览」为教育主管部门提供所辖全部学校的汇总视图；每所学校只看得到自己的数据。
4. 左侧菜单 →「系统管理」→「品牌定制」可以给每所学校配置自己的「控制台域名」、名称和 Logo。

说明与限制: 可以部署成云服务，也可以部署在客户自己的数据中心，由教育主管部门决定。学校之间的隔离会在验收时验证：一所学校的账号看不到、也查不到另一所学校的设备和课堂。

Activity monitoring

平板上报各应用的使用时长、流量消耗、告警，以及每条指令的执行结果；这些都可以在控制台查询和导出。

1. 左侧菜单 →「报表」，用「开始」和「结束」选定时间区间，并选择设备组或「全部设备组」。
2. 查看「应用使用时长」「流量」和「告警」；用「导出应用使用」「导出流量」或「导出告警」导出。
3. 查看「超长离线」，找出长时间没有连上来的设备，从未连接过的排在最前面。
4. 按设备查：左侧菜单 →「设备清单」→ 打开这台设备 → 看「设备状态」「应用清单」和「下发记录」页签。

说明与限制: 使用数据由平板上报；关机或断网的设备会在恢复连接后补报。可以在设备详情里下发「采集应用使用时长」指令强制采集。

Device control

重启、关机、亮度、音量、设备名、解锁口令、壁纸、Wi-Fi 配置和时间同步，都在控制台上管理。4.2.3.5 起：Wi-Fi 一次下发多个网络，支持隐藏网络、手动代理或自动代理脚本、WPA3 与企业认证（PEAP、TTLS），并逐个核对系统是否接受；还可下发移动网络接入点（APN）、始终开启的 VPN，以及定时开机、定时关机与定时重启。

1. 左侧菜单 →「设备清单」→ 打开这台设备 →「下发指令」，选择「重启设备」「关机」「调节屏幕亮度」「调节音量」或「重置解锁口令」。
2. 按策略下发：左侧菜单 →「策略管理」→ 点开要用的策略（没有就点「新建策略」）→ 打开「壁纸（wallpaper）」「预置 Wi-Fi（wifiConfiguration）」或「自动同步日期与时间（synchronizeDateAndTime）」。
3. 锁屏口令的复杂度要求按策略下发：左侧菜单 →「策略管理」→ 点开要用的策略（没有就点「新建策略」）→ 「安全」分组 → 打开「锁屏口令策略（复杂度/最短长度/过期/自动锁屏）（passCode）」，设「口令类型」（「数字」/「字母」/「字母加数字」/「复杂（含符号）」）、「最短位数」和「无操作自动锁屏」。需要平板客户端 4.1.7.8 及以上。
4. 多台设备用设备列表里的「批量指令」，或者把策略绑定到整个设备组。
5. 每一次下发都在这台设备的「下发记录」页签里核对。

说明与限制: 定时关机与定时重启在出厂预装版上可用；定时开机还要求平板是联发科或展锐平台。可安装版上这三项会如实回报失败，不会显示成功。开关机动画和开关机音乐需要厂商系统配合，清单里已经标注「需系统集成版」。下发 APN 需要插着 SIM 卡且 Android 10 及以上。始终开启的 VPN 要指定一个已装的 VPN 应用，VPN 服务器地址等参数通过该应用的托管配置下发。 改平板在系统里的设备名这件事安卓不允许：设备所有者调用会被系统明确拒绝（device owners cannot update device_name）。控制台里给这台平板起名字请用设备详情页的「展示名」—— 那是控制台自己的名字，改了立刻生效，报表、设备列表、课堂巡视都按它显示。

Classroom management

有上课与下课、全班锁定、固定到应用、向全班发消息、推课件到全班（网址或 PDF，学生平板当场打开）、随堂选择题与实时统计、学生举手、显示学生画面的巡视墙，以及「屏幕广播与课堂会议」：把老师的屏幕和声音广播到全班平板、老师与平板互相通话、在局域网里发文件、看学生屏幕、请学生上台演示；没有教师端原生应用。老师的手机上可以把教师端装成应用：桌面上有图标，点开全屏使用，断网时也能打开并说明没联网。

1. 左侧菜单 →「课堂管理」→「课堂」→ 选择班级 →「开始上课」→ 填「上课时长」，按需勾选「锁定全班（下课自动解锁）」「固定到应用」和「临时开放硬件」。
2. 课中可以用「锁定全班」「解除锁定」「全班截屏」和「向全班发送」；点「全班截屏」后会直接跳到「课堂巡视」，在那里看全班的画面。
3. 推课件：课中点「推课件到全班」→ 选「网址」填一个 https 地址，或选「文件库」挑一份已上传的课件 →「立即推送」。学生平板会立刻打开它；PDF 按页显示，可以前后翻页。提示会指名说出推到了几台，离线的那几台不会被算成成功。
4. 随堂题与举手：课中在「课堂互动」里填题目、选 A/B/C/D 或对/错 →「出题给全班」，学生平板上立刻弹出题目，选完老师这边的柱状图实时变化；点「收题看结果」结束这道题，学生屏幕随之收起。学生在平板桌面右下角点「举手」，老师这边的举手名单里就会出现他，点「已点名」把他划掉。
5. 屏幕广播：开始上课后，课堂页下方的「屏幕广播与课堂会议」卡片 → 选「全屏锁定（学生只能看老师）」或「窗口（学生边看边做）」，要边讲边播时勾「同时广播我的声音（会用麦克风）」→「广播我的屏幕」→ 在浏览器弹出的窗口里选要分享的整个屏幕或某个窗口。卡片上写明这节课走的是「局域网组播」「局域网逐台发送」还是「服务器转发」，以及有几台平板在看；点「结束广播」停播，「下课」时也会自动停。
6. 只广播声音：选「只广播我的声音（不广播屏幕）」→「开始广播我的声音」。
7. 课堂会议：选「课堂会议（老师与平板互相通话）」，要露脸再勾「我也开摄像头」→「开始课堂会议」。学生平板上出现「课堂会议」页，学生点「麦克风：关（点一下说话）」才开麦；老师这边有「我的麦克风：开」「我的摄像头：开」和「全班静音」。
8. 课堂互动的全部功能都要老师电脑上运行着教师端助手（没检测到它时，卡片上「开始」是灰的，旁边有「下载教师端助手」和「已启动，重新检测」）：屏幕广播、老师的声音、课堂会议，以及在局域网里发文件（卡片上「选文件库里的文件」→「发给全班」）；看学生屏幕（学生名单里点「看屏幕」）；上台演示（点「上台演示」，全班平板看到的就是这位学生的屏幕，点「结束演示」收回；要先用「全屏锁定」或「窗口」开播）。只想用这些、不广播老师屏幕时，选「不广播，只连教师端助手（局域网看学生屏幕、请学生演示）」→「连接教师端助手」。
9. 安装教师端助手：卡片上点「下载教师端助手」→ 按老师电脑选 Windows、macOS（Apple 芯片）、macOS（Intel）或 Linux → 双击运行，上课期间别关它的窗口。装好后课堂页卡片会写「已找到本机的教师端助手」。
10. 左侧菜单 →「课堂管理」→「课堂巡视」→「巡视一轮」或「每 30 秒自动巡视」；点某个小图可以放大，点「查看设备」可以跳到那台设备。
11. 结束时点「下课」：锁定、固定和临时开放的硬件会一起收回；没人点下课，服务端也会在预定时间自动下课。
12. 教师用手机打开控制台的移动视图，选好班级后使用「巡视一轮」和「发消息」。
13. 装到手机桌面：用手机浏览器打开控制台的移动视图 → 页面顶部「安装到手机桌面」（Android 上点一下即装好）；iPhone 上按页面提示在 Safari 里点「分享」→「添加到主屏幕」。以后从手机桌面的「教师端」图标打开。

说明与限制: 【前置：装机时开一次，只开一次】在平板上开启「ClassPad 课堂巡视」无障碍服务：平板上「设置」→「无障碍」→「已下载的应用」→「ClassPad 课堂巡视」→ 打开并确认。用电脑 USB 装机的，装机工具 1.3.0 起会自动开好；之前装的平板插上线再运行一次装机工具（或加 `-grant-usage` 只补开权限）即可补上；也可从控制台的指令面板发「引导完成装机：课堂巡视与使用时长（装机用）」，平板上会弹出引导页并直接跳到设置。 不开的后果：Android 14 起，每采集一次屏幕都要学生点一次「开始」，整班巡视没法进行 —— 客户反馈的「每次都弹提示」就是这一步没做。开启后连续截屏实测一次都不弹（第 6 条有完整说明与确认办法）。 说明：教师端是可安装的网页应用（PWA）：装到手机桌面后有图标、全屏打开，不用经过应用商店，也不在 Google Play 或 App Store 上架；教师端助手只在局域网里转发，操作都在控制台里。课堂会议目前要用教师端助手，没装助手时经服务器开会的方式还在做。按设计，只有在已开始上课时才能看学生画面，下课即停止；此时巡视墙仍显示设备、在线状态和电量，但不再显示画面。 本模块以**课堂管控**为主。「推课件到全班」是其中唯一的教学动作：老师一次操作，学生平板当场打开指定的网页或 PDF，由客户端自带的课件视图显示，不需要平板上装阅读器，浏览器被隐藏时同样可用。学生可以点右上角关闭；要让学生停在课件上，配合「固定到应用」。 随堂选择题与举手同属课堂互动：题目与答案都挂在这一节课上，下课即归档；一节课同时只允许一道在答的题（两道并行会让统计对不上）。一台平板一题只算一票，学生改主意可以重选，覆盖自己那一票。 屏幕广播与课堂会议（客户端 4.2.2.4 起）：平板上由随 ClassPad 一起装好的「课堂互动」显示老师的画面、播放老师的声音，学生不用另装任何东西，也不用点任何按钮。「全屏锁定」时学生只能看老师，停播后平板自动恢复原样；「窗口」方式出画面后缩成画中画，学生可以边看边做。 传输方式由系统自己选，老师不用管：有教师端助手、平板与老师电脑在同一网段时画面在局域网里组播，一份数据全班同时收，不占学校出口带宽；不在同一网段但学校路由互通时，自动改为逐台发送；再连不通就改走服务器转发。没装助手也能广播屏幕，只是画面经服务器转发，人多时会占学校出口带宽。局域网发文件时，平板收不到的会自动改为普通下载，结果照常看下发记录。 教师端助手第一次运行：Windows 防火墙询问时选「允许（专用网络）」，提示「无法识别的应用」时点「更多信息 → 仍要运行」；macOS 提示「无法验证开发者」时右键点它 →「打开」，询问「允许查找本地网络上的设备」时点「允许」——不允许就发不出组播。给学校网管：老师电脑上放行 UDP 5640（组播）、UDP 5641（平板补包与要关键帧）、TCP 5642（学生屏幕）、UDP 5643（课堂会议），只需对校内网段开放。 学生端的入口：「举手」在平板桌面的右下角，看课件时也可以从课件顶栏点。答题界面在学生作答期间按不掉返回键 —— 中途退出去，老师那边这台会一直停在「未作答」；由老师收题来结束。 两条使用限制：课件地址必须是 https —— 平板出于安全禁止明文 http，填 http 地址控制台会当场拒收；Word 与 PPT 请先转成 PDF 或网页。本功能需要平板客户端 4.1.7.8 及以上，版本不够的平板控制台会在下发时逐台指出来。

Traceability (What and When)

每一次写操作都会记入审计，含操作者、动作、对象、结果、来源地址和时间；每台设备另外保留收到过的指令历史。

1. 左侧菜单 →「系统管理」→「操作审计」，按日期区间和「全部操作者」或某个具体用户筛选。
2. 点某一行的「详情」可以看到下发的内容；口令类字段会被隐去。
3. 按设备查：左侧菜单 →「设备清单」→ 打开这台设备 →「下发记录」页签，可看到「成功」「失败」或「未回执」以及回执时间。
4. 用「导出 CSV」导出，纳入学校的归档材料。

说明与限制: 只记录写操作（下发、修改和删除），查询不记录。默认保留 365 天。安装失败的详细原因由客户端较新的平板上报：早于该版本的记录只显示「失败」，没有原因，这部分数据无法事后补全。

Search management control

启用网址过滤后，平板同时收到强制的 Google 安全搜索、YouTube 限制模式，以及被关闭的无痕浏览。

1. 左侧菜单 →「策略管理」→「新建策略」→「上网与网络」分组 → 打开「浏览器网址过滤（internetRestriction）」，选白名单或黑名单。
2. 点「编辑网址清单」，定义域名，点「保存并下发」。
3. 这一项生效后，平板浏览器无需额外配置就会收到强制安全搜索、严格级别的 YouTube 限制模式，以及被关闭的无痕窗口。
4. 在平板上确认 Google 搜索显示安全搜索已开启，并且浏览器菜单里不再提供无痕窗口。

说明与限制: 这三项措施是随网址过滤一起下发的：该项的「值」为 0（「撤销（取值 0，清单不生效）」）时，安全搜索也不再强制。学校若只要安全搜索、不想限制域名，把这一项设成黑名单模式并只放一条最小清单即可。作用范围是 Chrome 和 ClassPad 浏览器（4.2.3.6 起）：ClassPad 浏览器里 Google 搜索同样被改成安全搜索、无痕标签页被挡；YouTube 限制模式只在 Chrome 里生效。

Sending notifications/messages in real time

可以给一台平板、选中的若干台或整个班级发消息，在线设备即时送达，形式为弹窗或悬浮提示。

1. 整班：左侧菜单 →「课堂管理」→「课堂」→「向全班发送」，写入内容。
2. 单台：左侧菜单 →「设备清单」→ 打开这台设备 →「下发指令」→「发送消息」→ 填「标题」「内容」和「形式」（「弹窗」或「悬浮」）→「下发」。
3. 多台：在设备列表里勾选复选框，用「批量指令」。
4. 控制台会回报有多少台平板收到了消息、其中多少台是即时送达；其余的在下一次心跳时收到。

Application Management and Administrative Policies

自有的应用目录与学生端应用市场，支持上传安装包（含 Google Play 拆分安装包）、静默安装、按班级分配为「必装」或「可选」（可一次给多个应用批量分配）、三语商品信息、白名单、托管配置，以及按应用的时段限制。4.2.3.5 起新增应用安装黑白名单（学生自行装上的不合规应用会被立即移除）与指定默认桌面。

1. 左侧菜单 →「应用管理」→「应用商店」→「添加应用」，先选来源。「从 Google Play 添加」：输入应用名、包名或粘贴 Google Play 链接，选中后名称、开发者、分类、中英西三语介绍和截图自动带上；安装方式默认「Google Play 链接」（不上传安装包，学生在平板上跳到 Google Play 自己装，平板要登录 Google 账号），也可选「再上传安装包，由学校托管」。「上传安装包」：APK 或 Google Play 拆分安装包打成的 zip，名称、包名、版本、图标和签名自动读出，Google Play 上有同一款时顺带取它的介绍和截图。点「添加到应用商店」后直接进入「分配到班级」。
2. 要修改时点应用卡片上的「商品信息」：分类、简介、介绍、截图都可改；名称与介绍可按「缺省」「English」「Español」分别填写，平板按自己的系统语言显示。
3. 「分配到班级」每个班选「必装」或「可选」：必装的平板保持装着它，之后新加入的平板会在下一次连接时补上；可选只在这些平板的「应用市场」里上架，学生点「安装」后静默装好。「推送」立即在所选设备组上装一次。
4. 在 左侧菜单 →「策略管理」→ 点开要用的策略（没有就点「新建策略」）→ 用「Kiosk 模式（appKiosk）」「应用托管配置（App Restrictions）（appPolicy）」和「应用时段规则（appSchedule）」限制使用。
5. 在「应用分发」页签里看平板自己上报的实际安装情况，并在 左侧菜单 →「OTA」→「客户端升级」里升级客户端。

说明与限制: 应用黑名单只是把应用停用（图标置灰、打不开），不会卸载：从名单里移除后立即恢复可用。应用安装黑白名单管的是新装的应用：不合规的装上即被移除；学校应用市场装的、ClassPad 自己和系统应用不受影响。取消分配同样不会卸载已经装上的应用。控制台会显示所上传安装包的签名证书指纹，并随安装指令一起下发。默认桌面与 Kiosk 模式不能同时设定；撤销默认桌面后，Home 键回到原来的桌面。

Branding management

产品名称、Logo、主色、专属域名和平板锁屏，都可以在控制台里按学校定制。

1. 左侧菜单 →「系统管理」→「品牌定制」，填写「产品名称」「主色」和「Logo」（「上传 PNG / JPEG（≤2MB）」或粘贴一个链接）。
2. 填写「锁屏文案」「客服电话」，用于平板的锁屏；「桌面壁纸」从文件库选一张图或点「上传新图」，作为平板的桌面壁纸；「预览」可以看到锁屏效果。
3. 填写本校的「控制台域名」：从这个地址进来时显示该校的名称和 Logo。
4. 点「保存并同步到全部设备」：控制台会回报有多少台设备即时收到。
5. 控制台自身的外观在 左侧菜单 →「系统管理」→「自定义主题」（字体、顶栏、导航栏样式、尺寸与圆角）。

说明与限制: Logo、文案、客服电话和桌面壁纸通过策略下发，标准客户端即可生效。要改平板上管理应用本身的名称和图标，需要为客户单独打一个包，另行约定。

Global/group/individual reports + Zero-touch

全局、分组和单台报表都可以导出 CSV。免接触装机通过序列号或 IMEI 的预导入名单实现；我们不使用 Google Zero-Touch 计划。

1. 全局与分组：左侧菜单 →「报表」→ 选择「全部设备组」或某个设备组，以及日期区间；用「导出应用使用」「导出流量」和「导出告警」导出。
2. 按设备：左侧菜单 →「设备清单」→ 打开这台设备 → 看「设备状态」「应用清单」和「下发记录」页签。
3. 免接触装机：左侧菜单 →「设备组」→ 选择设备组 →「预导入名单」→ 一行一台粘贴（序列号，或序列号加 IMEI）→「录入」。
4. 把全新的或刚恢复出厂的平板在有网络的环境下开机：它会自己加入该组，全程不用有人碰设备；名单状态从「待开机」变成「已到位」。
5. 辅助方案：左侧菜单 →「安卓注册」→「二维码注册」→ 选择设备组 →「二维码」，在平板开机向导里用摄像头扫码。

说明与限制: 还缺什么：Google Zero-Touch 计划要求授权经销商账号和通过该渠道采购的平板；本次交付不含这一项。我们的替代方案——按序列号或 IMEI 预导入名单——在本项目的平板上能达到同样的作业效果，并已在真机上验证，但它是我们的自有实现，标书中应当如此理解。报表页可以「打印 / 存为 PDF」：页眉带学校名称与 Logo、统计区间、范围和生成时间；明细也可以导出为 CSV。

User management capability

控制台账号可以完整管理，有四种角色（学校管理员、教师、全校运维、只读），教师只能管自己任教的班级，还可以按需自定义更小的角色；平板上不管理多个 Android 用户配置文件。

1. 左侧菜单 →「系统管理」→「用户管理」→「新建用户」→ 填「用户名」「口令」（至少 8 位）和「角色」：「学校管理员」「教师」「全校运维」或「只读」，选定后表单下方有一句话说明这个角色能做什么。
2. 「教师」必须勾选任教的年级或班级：只看得到、也只管得了这些平板；不能恢复出厂、解除绑定或清除本机策略（这三条无法撤回，只有学校管理员与全校运维能下发），也看不到全校装机记录和别班的策略。「只读」可以看全校，也可以只看几个班。
3. 「重置口令」「禁用」和「启用」覆盖账号的整个生命周期；任何账号都不能停用或降级自己。
4. 每个人在「账号」→「个人设置」里维护自己的资料和密码。
5. 可选：「用户管理」页的「自定义角色」→「新建角色」：在只读、全校运维、学校管理员三种底座上勾掉不需要的权限（如「只看报表的校长」），再在账号表的「自定义角色」列挂给人；自定义角色只会比底座小，不会更大。
6. 可选：在 左侧菜单 →「系统管理」→「单点登录」里把账号接入机构的目录服务（见第 1 条）。

说明与限制: 还缺什么：平板上不创建多个 Android 用户或配置文件；我们的模型是一名学生对应一台平板，登记在班级名单里。设备上的多用户依赖厂商固件，在本项目的平板上没有验证过，因此我们不做承诺。

学校管理员在一个页面里配好模型供应商、各能力档位用哪个模型、哪些功能开放给哪些角色，以及每日与每月花费上限。

1. 左侧菜单 →「系统管理」→「AI 设置」 →「① 模型供应商」：用 ClassPad 托管模型，或点「添加供应商」接入学校自己的供应商。
2. 「② 能力档位」：为每个档位选模型。下面的「跟随最新模型」默认开启：同一条产品线出了新版本，先用内置评测集考新旧两个，不退步才换上，旧的留作备用；换后变差自动退回，也可点「退回」。
3. 「③ 开关与范围」：打开「AI 总开关」，逐项打开要用的功能并选「开放给」哪些角色，填「每日花费上限（美元）」「每月花费上限（美元）」，点「保存开关与范围」。

说明与限制: 花费到上限自动暂停并说明原因，次日或次月自动恢复。每次调用的功能、模型、耗时与花费在同一页的用量表里可查。

用中文、英文或西语直接问平板的状态，结果列成表。

1. 左侧菜单 →「设备清单」，在页面上方的查询框里写问题（例如「三年级哪些平板超过一天没联网？」），点「问 AI」。
2. 点结果表的一行进入那台平板；需要留存时点「导出 CSV」。

说明与限制: 只能查当前账号有权看的班级。

看不懂的失败回执、告警或策略项，旁边有「这是什么意思」；一台平板的问题可以一键汇总成结论与下一步。

1. 在设备的下发记录、左侧菜单 →「告警&合规性」→「告警日志」的告警，或编辑策略时的策略项旁，点「这是什么意思？」。
2. 左侧菜单 →「设备清单」→ 点一台平板进入「设备详情」→ 点「AI 诊断这台平板」。

说明与限制: 回答注明由哪个模型生成、参考了哪些已知问题，仅供参考。

用一句话描述要管什么，AI 起草成策略表单；保存前自动检查风险，AI 可再复核一遍。

1. 左侧菜单 →「策略管理」→「用一句话生成」，写需求后点「生成草稿」，草稿填进下面的表单。
2. 逐项看过、改过后绑定班级；表单下方的「保存前检查」列出会作用到多少台平板和有哪些风险，可点「让 AI 再看一遍」。
3. 需要确认的风险逐条勾「我已了解」后才能保存。

说明与限制: 本校平板上没装的应用、会让平板失联的设置不会被起草，结果里逐条说明剔掉了什么、哪些做不到。

老师用一句话描述这节课，AI 起草锁定、固定到应用、临时开放硬件、录屏等安排。

1. 左侧菜单 →「课堂管理」→「课堂」→ 选班 →「开始上课」。
2. 对话框顶部「课堂助手」里写一句话（例如：全班做测验，只开问卷，20 分钟后收回），点「起草这节课」，表单被填好。
3. 看过后点「开始上课」才真正开课。

说明与限制: 只发这句话和本班平板上的应用名、包名，不发学生、班级名称和序列号；本班没装的应用不会被固定。

上架的应用自动检查权限、广告、统计跟踪、内购与目标版本，按学生平板的标准给出风险等级。

1. 左侧菜单 →「应用管理」→「应用商店」→ 应用卡片上的「体检」。
2. 需要时点「让 AI 说说适不适合学生」，AI 说明这是什么应用、要注意什么、适合几岁。

说明与限制: 只看安装包里写明的权限与代码里的组件名，不运行应用；从 Google Play 链接添加的应用没有安装包，无法体检。

每周汇总在线率、告警、指令成功率与应用使用，并列出需要处理的事；AI 写一段给校长看的小结。

1. 左侧菜单 →「报表」→「周报」→「AI 小结」。

说明与限制: AI 小结只用页面上的汇总数字，不含平板、学生和班级信息。

学校 IT 可以用 Claude、ChatGPT 等支持 MCP 的工具，凭 API 令牌查平板、看告警与合规、下发可撤回的指令。

1. 左侧菜单 →「系统管理」→「用户管理」→「API 令牌」→「新建令牌」，选角色、是否只读、限定哪些班级。
2. 建好后弹框里的「连到 AI 工具（MCP）」给出服务地址和可直接复制的连接命令。
3. AI 工具发起的恢复出厂、解除纳管、清除策略只会生成待确认请求：另一位管理员在顶栏「待确认」里点「确认执行」才执行。

说明与限制: AI 工具能看到、能做的与令牌完全一样；每次操作都记进操作审计，操作者显示为「mcp:令牌名」。查到的数据会交给学校选用的 AI 工具，由学校按自己与该工具的约定负责。