Office 365 SCA token validatie problemen

[McWolf82]

Voor meerdere klanten maken we gebruik van Office 365 ProPlus Shared Computer Activation (SCA), versie 1801 (Build 9001.2138) is van 1 februari jl.
De omgeving is voor elke klant vrijwel hetzelfde, er wordt gebruik gemaakt van User Profile Disks, RD Connection Broker met twee of meerdere RDS servers.

De gebruiker start een Office applicatie, logt in met gebruikersnaam en wachtwoord en op basis daarvan wordt bij Microsoft gecontroleerd of je een licentie hebt, vervolgens wordt Office geactiveerd.

Er wordt voor elke gebruiker een token geplaatst in de %localappdata%\Microsoft\Office\16.0\Licensing op de betreffende RDS server, het pad zit verwerkt in de UPD.

Nu is het probleem dat bij meerdere klanten de gebruikers ineens een melding in Office krijgen dat hun account niet gecontroleerd kan worden, daardoor ook niet geactiveerd is en vrijwel alle functionaliteit verloren gaat.

Voorbeeld:

Gebruiker logt in op de RDS1, activeert Office met Office365 account, werkt allemaal prima.
Een dag later loggen ze bijvoorbeeld in en komen uit op de RDS2, ze starten Office, krijgen een melding dat account niet gevalideerd kan worden, dit gebeurt heel willekeurig. Kan een dag later zijn, maar ook een paar dagen later.

Het token wat aangemaakt is op de RDS01 zit verwerkt in de UPD, dus je zou verwachten dat de RDS2 die locatie aanhoudt om te controleren of het token nog geldig is.
In het token (tekstbestand) zelf staat aangegeven hoe lang het token geldig is, dit is ca. 8 dagen.

Ik heb inmiddels al tientallen fora's doorgespit en lees dat veel mensen deze problemen erkennen en ook UPD's gebruiken.


Wat we nu doen als tijdelijke workaround is dagelijks bij het inloggen de map %localappdata%\Microsoft\Office\16.0\Licensing leeggooien via een Group Policy Preference, zodoende staan er geen token meer, de gebruiker start Office applicatie, nieuw token wordt aangemaakt en hoeft ook niet opnieuw te activeren.
Het activeren is namelijk ook weer gekoppeld aan je credentials in Referentiebeheer, zolang die gegevens actueel zijn hoef je niet opnieuw te activeren.

Zijn er mensen hier die deze problemen ook ervaren bij het gebruik van UPD's en meerdere RDS servers?

[Question Mark]

Is de GPO setting "Specify the location to save the licensing token used by shared computer activation" wel enabled?

Da's nl de officiele manier om roaming van de license token te enablen.

[MAX3400]

Worden de gegevens op de UPD en (gedeelten) van het profile wel tijdug geladen? Niet dat de RDS nig bezig is om HKCU te laden, toe te passen en eventuele GPO's af te handelen terwijl een user al een Office-applicatie start?

Simpele test; is het euvel ook aanwezig als je aanlogt, dan een kwartier of half uur niks doet en dan pas Office start?

[McWolf82]

Question Mark schreef op maandag 12 februari 2018 @ 12:54:
Is de GPO setting "Specify the location to save the licensing token used by shared computer activation" wel enabled?

Da's nl de officiele manier om roaming van de license token te enablen.

Nee, aangezien de template met o.a. die instelling nog niet werd gebruikt. Die heb ik nu wel toegevoegd om mee te gaan testen, wellicht dat gebruik van UPD vs een share waar het token wordt opgeslagen verschil uitmaakt.

Moet je dan een share aanmaken en dan voor elke gebruiker een map zoals aangegeven? Stel ik maak \\servernaam\token aan, moet ik dan in de map token een map aanmaken per gebruiker of is dat een best practice, zodat niet alle tokens los in de map 'token' staan?

@MAX3400

Ja, het maakt niet uit of je langer wacht en dan pas Office start. Alles zit in de UPD, het gaat dagen achter elkaar goed en dan ineens weer niet, meteen alles starten of een kwartier wachten maakt geen verschil.

[ Voor 14% gewijzigd door McWolf82 op 13-02-2018 10:24 ]

[MAX3400]

@McWolf82 Domme opmerking maar de licensing-files in %localappdata% gebeuren per user en per shared computer. Ik kan me voorstellen dat in sommige gevallen de communicatie van <user+server> naar internet niet snel genoeg plaatsvindt, je een token hebt voor <user+andere server> en daardoor raakt Office niet geactiveerd.

Sowieso even controle: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\Configuration\SharedComputerLicensing = 1?

Verder ook even controleren/bewaken of HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity\Identities wel correct is en meekomt in de UPD alsmede dat de gebruikte/vermelde accounts hetzelfde zijn als het primary ProxyAddress in Active Directory.

[Ewoudb]

Wij herkennen dit probleem ook, alleen wij gebruiken geen UPD en geen ADConnect.
Wel hebben wij roaming licence token enabled.

Bij ons moeten de medewerkers opnieuw inloggen om een nieuwe token activatie code te krijgen.
Ook krijgen de medewerkers sporadisch de melding dat de token gaat verlopen.

I.o.m. Microsoft ga ik AD connect met passtrough authenticatie instellen wat volgens hun euvel bij ons zou moeten verhelpen.

[Question Mark]

Ewoudb schreef op dinsdag 13 februari 2018 @ 15:11:
I.o.m. Microsoft ga ik AD connect met passtrough authenticatie instellen wat volgens hun euvel bij ons zou moeten verhelpen.

Wat bedoel je hiermee? In Azure AD connect kun je alleen opgeven of je ADFS of password hash sync wilt gaan gebruiken voor authenticatie.

[Jazzy]

Nieuw: https://docs.microsoft.co...ss-through-authentication

Zelf zou ik altijd eerst een duidelijke uitleg willen van wat het probleem nu precies is en waarom PTA dat op gaat lossen. Niet van "probeer PTA eens, dat is nieuw en werkt misschien beter".

[Ewoudb]

De motivatie in ons geval was dat onze klant er geen AD Connect en geen ADFS geïmplementeerd was.
Ook gebruikte onze klant een non routable domein.
Medewerkers moesten handmatig hun account instellen en Office activeren.
Wat ik zag gebeuren dat er bij activatie problemen elke keer teruggeschakeld werd naar de lokale non routable UPN in het Office activatieveld, het leek er dus op dat hij probeerde een nieuwe token te vragen met het non routable domein.
De vraag naar de oorzaak staat overigens nog open bij MS.

In elk geval heb ik nu ADConnect geïnstalleerd met PTA, met mijn test account gaat auth. prima. Bij het starten van outlook worden er geen credentials gevraagd en office automatisch geactiveerd. De komende periode ga ik de overige accounts syncen.
Dit werkt uiteindelijk ook gebruiksvriendelijker.

[Jazzy]

Ah, dat verklaart veel. Ik dacht dat je al ADFS of password hash sync had.