Het grote kleine-SysOps-vragen topic deel 1

[Bl@ckbird]

AppLocker / Whitelisten van applicatie is een aardige quickfix, maar dat is makkelijk te omzeilen.

Arfman schreef op woensdag 12 december 2018 @ 14:07:
Jammer dat tegenwoordig alles HTTPS is, vroegah kwamen dat soort virussen niet eens door de firewall heen.

Yarisken schreef op donderdag 13 december 2018 @ 11:41:
[...]

Idd, gaat bedrijven een pak geld kosten en miserie met extra appliances van vendors met oplossingen hiervoor.

Geen idee wat betreft andere fabrikanten, maar als je bijvoorbeeld naar Meraki MX security appliances kijkt, dan doen die wel anti-malware op downloads, maar ze inspecteren HTTPS verkeer niet. (Want encrypted content..) Op iets als een ASA firewall kan je wel specificeren welk verkeer je wil inspecteren via HTTPS decryption, maar dit heeft ook grote nadelen:

• De trust tussen client en server wordt gebroken, want de ASA firewall moet er als "man-in-the-middel" tussen zitten.
• Het decrypten, inspecteren en weer encrypten van verkeer heeft een flinke impact op de performance / throughput van de box. Je moet vaak keuzes maken welk verkeer je wil inspecteren; Alles inspecteren heeft vaak een te grote performance hit.
• Om mobile workers / thuiswerkers te beschermen moet een always-on VPN sessie onderhouden worden met de ASA firewall die verkeer inspecteert. Dit backhaulen van verkeer naar een hoofdkantoor of centraal datacenter is verre van ideaal.

Veel ellende is op DNS niveau al te voorkomen. Met OpenDNS / Umbrella kan je bijvoorbeeld phishing linkjes in email voorkomen. (Ook als deze via Gmail binnen komen en niet via de corporate mailserver.) Malware payload wat automatisch gedownload wordt, wordt ook tegen gehouden. Als malware actief is en het doet een key-exchange om de disk te encrypten, dan wordt dit ook tegen gehouden. Verder krijg je inzichtelijk welke shadow-IT er door users gebruikt wordt. ( Bijvoorbeeld het gebruik van Dropbox waar dan geen corporate policies op staan.) Het zijn 2 IP adressen van de OpenDNS servers die je moet instellen en een user heeft dezelfde performance thuis, als dat hij op kantoor is. (Zonder verkeer te moeten backhaulen via VPN.)

Is malware toch op een endpoint device gekomen, dan heb je iets van een client op het apparaat nodig. Met iets als AMP for Endpoints heb je ook inzicht hoe malware op het apparaat zelf zich verspreid en welke system-calls het doet. Verder krijg je inzichtelijk welke vulnerabilities er voor software zijn en kan je proactief patchen.

[Yarisken]

Bedankt voor de uitleg Blackbird. Via https kan malware makkelijker tot bij de end user komen en dat is een spijtige zaak. Vele bedrijven hebben nu op hun firewall een man-in-the-middle maar dit blijft niet duren. Sites / apps gaan niet blijven werken zo en dit gaat moeten worden gewhitelist.
Een oplossing die ik zie is dat bestanden lokaal in een soort sandbox komen en na check antivirus / malware wordt deze file dan vrijgegeven.

[Yodocus]

Danielson schreef op woensdag 12 december 2018 @ 15:40:
Er is hier besloten dat OneDrive de vervanger wordt voor onze HomeDirectory's, maar iemand nog tips om de OneDrive wat makkelijker te benaderen? De Sync client is geen optie i.v.m. roaming profiles en het OneDriveMapper script is niet betrouwbaar genoeg...

Syncen kan best, ook bij roaming profiles. Wat je, terecht, niet wilt is dat de OneDrive folder in de profielmap naar de fileserver wordt gesynchroniseerd. Maar dat kun vrij eenvoudig voorkomen door een met een Group Policy een exclusion te maken, er zijn wel meer mappen in je profiel die je liever lokaal laat.

Combineer dat met het inschakelen van files on demand en redirect je default documentmappen via de client en je bent er. Voor dat laatste heb je wel een beetje recente build van Windows 10 nodig.

[Turdie]

Yarisken schreef op donderdag 13 december 2018 @ 16:58:
Bedankt voor de uitleg Blackbird. Via https kan malware makkelijker tot bij de end user komen en dat is een spijtige zaak. Vele bedrijven hebben nu op hun firewall een man-in-the-middle maar dit blijft niet duren. Sites / apps gaan niet blijven werken zo en dit gaat moeten worden gewhitelist.
Een oplossing die ik zie is dat bestanden lokaal in een soort sandbox komen en na check antivirus / malware wordt deze file dan vrijgegeven.

Lokaal in een sandbox wil je niet.

Wat RES/Ivanti doet volgens doet is de hele desktop in een soort sandbox, die leggen een soort schil over de desktop van de user heen, waar je als beheerder heel veel in kan bepalen wat wel/niet mag.

[ Voor 9% gewijzigd door Turdie op 16-12-2018 15:45 ]

[ThinkPad]

Weet iemand hoe je bij Office365 kan opvragen waarom een mail als spam gemarkeerd wordt?
Ik zie aan de headers dat hij een SCL van 5 krijgt, maar hoe bepaal ik waarom dat gebeurt, zodat ik aan de klant kan uitleggen waarom hun mails in de spam komen?

[Drardollan]

Volgens mij heb ik even een totale blackout vandaag, dus dan maar even hier vragen of ik het wel juist heb.

Ik heb een (gemankeerde) AD door problemen met replicatie. Dit heb ik ondertussen onder controle door zelf in de nacht de replicatie te doen tussen DC1 en DC2, ik repliceer de SYSVOL\Domain\Policies en SYSVOL\Domain\Scripts.

Nu wil ik wat GPO settings doen die in W10 zitten, maar blijkbaar heb ik in mijn central store nog W7 policies. Ik heb netjes een SYSVOL\Domain\Policies\PolicyDefinitions directory.

Als ik het juist heb kan ik gewoon de W10 1809 policies downloaden, uit te pakken en daar neerplempen toch? Eventueel even PolicyDefinitions renamen naar PolicyDefinitions.old en gaan?

Het ergste wat ik dacht ik kan gebeuren is dat de Group Policy Editor wat errors geeft als er files missen. De instellingen voor Domain GPO's en dergelijken wijzigt hier toch niet door?

Zoals gezegd, heb geloof ik een totale blackout. Dus ff zekerheidje inbouwen door het hier te vragen

[Turdie]

ThinkPadd schreef op maandag 17 december 2018 @ 15:46:
Weet iemand hoe je bij Office365 kan opvragen waarom een mail als spam gemarkeerd wordt?
Ik zie aan de headers dat hij een SCL van 5 krijgt, maar hoe bepaal ik waarom dat gebeurt, zodat ik aan de klant kan uitleggen waarom hun mails in de spam komen?

Ik zou even een blacklist check doen van hun MX records.
https://mxtoolbox.com/blacklists.aspx

MSFT is helaas niet erg open over hoe ze precies filteren.

[ Voor 10% gewijzigd door Turdie op 17-12-2018 16:22 ]

[ThinkPad]

@shadowman12 Dat is altijd stap één hier, geen blacklist vermelding helaas.

[Turdie]

ThinkPadd schreef op maandag 17 december 2018 @ 16:43:
@shadowman12 Dat is altijd stap één hier, geen blacklist vermelding helaas.

Je kunt de mails wel doorsturen naar [e-mail]

Zie hier:

https://docs.microsoft.co...have-been-allowed-through

[ndonkersloot]

Bl@ckbird schreef op donderdag 13 december 2018 @ 16:34:
AppLocker / Whitelisten van applicatie is een aardige quickfix, maar dat is makkelijk te omzeilen

Afhankelijk van hoe je applocker inricht en nog belangrijker, hoe dit toegepast kan worden in de omgeving is het echt wel meer dan een quickfix. Het whitelisten van paden is iets waar je gewoon niet aan moet willen beginnen.

Onze klanten werken enkel in een RDS omgeving die volledig is dichtgetimmerd, applocker blockt alles by default en enkel hashes van .exe files worden toegestaan. Wij doen al het beheer en zijn dus de enige die updates uitvoeren, applicaties waarbij de hash vervolgens geüpdatet moet worden is ver geautomatiseerd.

Sinds dit op die manier is geïmplementeerd nooit meer ellende gehad wat toch al enkele jaren geleden is gedaan ondanks er genoeg rommel door de meerdere andere lagen bescherming is gekomen én is uitgevoerd door gebruikers.

Maaar, alles valt of staat of de implementatie in je omgeving past.

[Equator]

Drardollan schreef op maandag 17 december 2018 @ 16:01:
Volgens mij heb ik even een totale blackout vandaag, dus dan maar even hier vragen of ik het wel juist heb.

Ik heb een (gemankeerde) AD door problemen met replicatie. Dit heb ik ondertussen onder controle door zelf in de nacht de replicatie te doen tussen DC1 en DC2, ik repliceer de SYSVOL\Domain\Policies en SYSVOL\Domain\Scripts.

Nu wil ik wat GPO settings doen die in W10 zitten, maar blijkbaar heb ik in mijn central store nog W7 policies. Ik heb netjes een SYSVOL\Domain\Policies\PolicyDefinitions directory.

Als ik het juist heb kan ik gewoon de W10 1809 policies downloaden, uit te pakken en daar neerplempen toch? Eventueel even PolicyDefinitions renamen naar PolicyDefinitions.old en gaan?

Het ergste wat ik dacht ik kan gebeuren is dat de Group Policy Editor wat errors geeft als er files missen. De instellingen voor Domain GPO's en dergelijken wijzigt hier toch niet door?

Zoals gezegd, heb geloof ik een totale blackout. Dus ff zekerheidje inbouwen door het hier te vragen

Niet om het een of ander: Maar zou je je replicatieproblemen niet eerst oplossen? En dan bedoel ik niet handmatig!

Waar zit je probleem met replicatie? Hoeveel DC's heb je? Hoe zijn deze gescheiden, zitten er firewalls tussen, wat zijn de foutmeldingen die je tegenkomt. Heb je MS Support er al eens bij betrokken?

Natuurlijk kan je handmatig het e.e.a. (al dan niet geautomatiseerd) kopieren, maar dat is natuurlijk geen houdbare oplossing.

[Drardollan]

Equator schreef op dinsdag 18 december 2018 @ 07:00:
[...]


Niet om het een of ander: Maar zou je je replicatieproblemen niet eerst oplossen? En dan bedoel ik niet handmatig!

Waar zit je probleem met replicatie? Hoeveel DC's heb je? Hoe zijn deze gescheiden, zitten er firewalls tussen, wat zijn de foutmeldingen die je tegenkomt. Heb je MS Support er al eens bij betrokken?

Natuurlijk kan je handmatig het e.e.a. (al dan niet geautomatiseerd) kopieren, maar dat is natuurlijk geen houdbare oplossing.

Ik zou graag willen, maar de tijd ontbreekt op dit moment om dit prioriteit te geven.

DFSR Migration is niet succesvol afgerond door mijn voorganger, en hangt in een status waarin ik niet voor of achteruit kan. Het enige wat ik ervan merk is dat de SYSVOL niet netjes gerepliceerd wordt, voor de rest werkt alles naar behoren. Het domein is gewoon gezond, op die paar mappen na.

Dat gaat wel opgelost worden, maar prioriteiten liggen elders. Ik vind laptop security (encryptie) belangrijker aangezien er met klantdata rondgelopen wordt bijvoorbeeld. En daar heb ik dan weer de GPO update voor nodig.

Een houdbare oplossing is het niet, maar het werkt naar behoren. Ik neem gewoon de taak van de DFRS even handmatig (natuurlijk gescript en scheduled elke 2 uur) over.

[ Voor 6% gewijzigd door Drardollan op 18-12-2018 08:45 ]

[Turdie]

Drardollan schreef op dinsdag 18 december 2018 @ 08:43:
[...]

Ik zou graag willen, maar de tijd ontbreekt op dit moment om dit prioriteit te geven.

DFSR Migration is niet succesvol afgerond door mijn voorganger, en hangt in een status waarin ik niet voor of achteruit kan. Het enige wat ik ervan merk is dat de SYSVOL niet netjes gerepliceerd wordt, voor de rest werkt alles naar behoren. Het domein is gewoon gezond, op die paar mappen na.

Dat gaat wel opgelost worden, maar prioriteiten liggen elders. Ik vind laptop security (encryptie) belangrijker aangezien er met klantdata rondgelopen wordt bijvoorbeeld. En daar heb ik dan weer de GPO update voor nodig.

Een houdbare oplossing is het niet, maar het werkt naar behoren. Ik neem gewoon de taak van de DFRS even handmatig (natuurlijk gescript en scheduled elke 2 uur) over.

Tegenwoordig heb alle laptops wel een een vorm van encryptie, Windows heeft Bitloxker, of vindt je dat onvoldoende?

[D_Jeff]

Ik zit even met een dingetje wat ik zo snel lastig kan verklaren:

1) HP Power 15 (i5 h-serie/256gb ssd/8 of 16 gb/extra gpu van groen of rood) doet ongeveer 1k euries
2) HP Probook 450 OF HP Elitebook 1050 G zit voor dezelfde config tegen de 2k euries

(Tuurlijk kan je de HP ook vervangen door een ander merk.. maar het gaat om even het voorbeeld)

Wat ik weet:
1) Business spul heeft vaak TPM + smartcard of finger (Bij de high-end consumentenmeuk is de TPM vaak virtueel)
2) Voor Business meuk worden onderdeel tot 5 jaar vastgehouden. Consumentenmeuk max 3 jaar

Wat mis ik nog om het verschil verder te verklaren? (Nee, next-day-on-site garantie is geen standaard. Dat is een optie / extra - just like satnav)

[Drardollan]

shadowman12 schreef op zondag 23 december 2018 @ 19:51:
[...]


Tegenwoordig heb alle laptops wel een een vorm van encryptie, Windows heeft Bitloxker, of vindt je dat onvoldoende?

Bitlocker is perfect en voldoet meer dan prima. Dat is ook wat ik ga gebruiken (via een Sophos Cloud oplossing voor het management). Maar wil wat settings tweaken van Bitlocker, en daar is de GPO voor nodig.

[ThinkPad]

@D_Jeff Zakelijk is vaak wat degelijker gebouwd, denk aan metalen scharnieren i.p.v. kunststof.
Vermoedelijk ook beter serviceable als je bij HDD/RAM moet?

[HKLM_]

Drardollan schreef op maandag 24 december 2018 @ 08:23:
[...]

Bitlocker is perfect en voldoet meer dan prima. Dat is ook wat ik ga gebruiken (via een Sophos Cloud oplossing voor het management). Maar wil wat settings tweaken van Bitlocker, en daar is de GPO voor nodig.

Zeg je nou dat je bitlocker kan managen met sophos Central?

[Drardollan]

HKLM_ schreef op maandag 24 december 2018 @ 08:39:
[...]


Zeg je nou dat je bitlocker kan managen met sophos Central?

Yep.

Sophos Device Encryption heet het losse product, wat in feite niets anders is dan een management shell om Bitlocker heen. Het belangrijkste wat ze doen is de encryptie sleutels verzamelen en bijhouden. Vroeger hadden ze Sophos Safeguard, maar met de komst van W10 was dat geen optie meer.

Sophos is overigens niet de enige. In mijn zoektocht naar een nieuw security product heb ik dit ook met Trend Micro en ESET werkend gehad. Om diverse redenen zijn die producten afgevallen.

[HKLM_]

Drardollan schreef op maandag 24 december 2018 @ 08:43:
[...]

Yep.

Sophos Device Encryption heet het losse product, wat in feite niets anders is dan een management shell om Bitlocker heen. Het belangrijkste wat ze doen is de encryptie sleutels verzamelen en bijhouden. Vroeger hadden ze Sophos Safeguard, maar met de komst van W10 was dat geen optie meer.

Sophos is overigens niet de enige. In mijn zoektocht naar een nieuw security product heb ik dit ook met Trend Micro en ESET werkend gehad. Om diverse redenen zijn die producten afgevallen.

Nice! Dan maar eens een demo module aanvragen bij die gasten

[Drardollan]

HKLM_ schreef op maandag 24 december 2018 @ 08:47:
[...]


Nice! Dan maar eens een demo module aanvragen bij die gasten

Je zal onder de indruk zijn. Het kost ook geen fluit in aanschaf omdat het grootste deel van de intelligentie door anderen is ontwikkelt. In tegenstelling tot Safeguard (al was dat ook niet absurd geprijsd).

[Kaalus]

D_Jeff schreef op maandag 24 december 2018 @ 00:28:
Ik zit even met een dingetje wat ik zo snel lastig kan verklaren:

1) HP Power 15 (i5 h-serie/256gb ssd/8 of 16 gb/extra gpu van groen of rood) doet ongeveer 1k euries
2) HP Probook 450 OF HP Elitebook 1050 G zit voor dezelfde config tegen de 2k euries

(Tuurlijk kan je de HP ook vervangen door een ander merk.. maar het gaat om even het voorbeeld)

Wat ik weet:
1) Business spul heeft vaak TPM + smartcard of finger (Bij de high-end consumentenmeuk is de TPM vaak virtueel)
2) Voor Business meuk worden onderdeel tot 5 jaar vastgehouden. Consumentenmeuk max 3 jaar

Wat mis ik nog om het verschil verder te verklaren? (Nee, next-day-on-site garantie is geen standaard. Dat is een optie / extra - just like satnav)

EliteBooks hebben in ieder geval standaard 3 jaar garantie voor zowel arbeid als onderdelen. Heb nog nooit een factuur gezien. Naar mijn ervaring ook een stuk sneller terug, doorlooptijd is doorgaans ~ 1 week t.o.v. 2-3 weken voor enen consumer model.
Bouwkwaliteit is vaak ook wat beter al viel me dat bij de laatste ProBooks wat tegen. En beide series hebben veel meer mogelijkheden in de UEFI voor met name beveiliging e.d.

Grootste deel hiervan gaat uiteraard even goed op voor Dell/Lenovo e.d. (behalve de garantie afhandeling dan, geen ervaring mee.)

[ Voor 5% gewijzigd door Kaalus op 24-12-2018 09:23 ]

[D_Jeff]

Met de Trend Micro Endpoint Encryption is het ook mogelijk om Bitlocker te managen

[Drardollan]

D_Jeff schreef op maandag 24 december 2018 @ 09:40:
Met de Trend Micro Endpoint Encryption is het ook mogelijk om Bitlocker te managen

Echt?

Drardollan schreef op maandag 24 december 2018 @ 08:43:
[...]
Sophos is overigens niet de enige. In mijn zoektocht naar een nieuw security product heb ik dit ook met Trend Micro en ESET werkend gehad. Om diverse redenen zijn die producten afgevallen.

[nextware]

Problemen met 2 RDS servers nadat die zijn uitgerust met de Windows December 2018 update. Ineens kan de AppV Client geen packages meer binnenhalen (foutcode 070000000B).

Servers zijn afgelopen maandag opnieuw ingericht via Azure Automation. Vanmorgen, uit voorzorg, nog maar eens opnieuw geïnstalleerd via Azure, maar de foutmelding blijft. Twee andere servers, zonder die december update, werken nog perfect. Verder kan ik totaal geen enkel verschil ontdekken..

Call maar bij Microsoft Support ingeschoten. Benieuwd wat de oorzaak hiervan is.

[nextware]

nextware schreef op donderdag 27 december 2018 @ 13:09:
Problemen met 2 RDS servers nadat die zijn uitgerust met de Windows December 2018 update. Ineens kan de AppV Client geen packages meer binnenhalen (foutcode 070000000B).

Servers zijn afgelopen maandag opnieuw ingericht via Azure Automation. Vanmorgen, uit voorzorg, nog maar eens opnieuw geïnstalleerd via Azure, maar de foutmelding blijft. Twee andere servers, zonder die december update, werken nog perfect. Verder kan ik totaal geen enkel verschil ontdekken..

Call maar bij Microsoft Support ingeschoten. Benieuwd wat de oorzaak hiervan is.

Bleek uiteindelijk 8dot3name te zijn. De laatste Windows update zet deze (terug) uit en AppV 5.x kan daar niet mee omgaan. Dus weer ingeschakeld via GPO en de AppV packages worden weer gedownload en zijn beschikbaar

[D_Jeff]

Over Windows gesproken:
Bij een grote olieboer in 2014 was het gebruikelijk dat wanneer een gebruiker van Win Vista naar Win7 wou, deze machine een format c: kreeg en daarna doorging naar de inspoellijn.

Met 75 rental back ups is dat geen probleem ofc.

Nu Windows 10 hip is en van red stone naar red stone springt, vraag ik mij af hoe een red stone update/upgrade bij jullie geregeld is?
---

@Drardollan had nog geen koffie gehad

[ Voor 0% gewijzigd door Equator op 29-12-2018 08:38 . Reden: Windhoos aangepast naar Windows ]

[Endpoint]

D_Jeff schreef op donderdag 27 december 2018 @ 23:15:
Over windhoos gesproken:
Bij een grote olieboer in 2014 was het gebruikelijk dat wanneer een gebruiker van Win Vista naar Win7 wou, deze machine een format c: kreeg en daarna doorging naar de inspoellijn.

Met 75 rental back ups is dat geen probleem ofc.

Nu Windows 10 hip is en van red stone naar red stone springt, vraag ik mij af hoe een red stone update/upgrade bij jullie geregeld is?
---

@Drardollan had nog geen koffie gehad

Kritische gebruikers doen we met de hand, rest gewoon met WSUS.

VDI doen we gewoon vanaf scratch, maar dat is een image bouwen en dan wil je geen ouwe meuk erin hebben

[HKLM_]

Endpoint schreef op vrijdag 28 december 2018 @ 08:14:
[...]


Kritische gebruikers doen we met de hand, rest gewoon met WSUS.

VDI doen we gewoon vanaf scratch, maar dat is een image bouwen en dan wil je geen ouwe meuk erin hebben

Beetje goede ervaringen met de uitrol via wsus? Ik niet... komt de gebruiker smorens op kantoor kan die een uur duimen draaien omdat Windows nog niet klaar is... ik doe dat tegenwoordig met een upgrade task vanuit MDT

[ Voor 5% gewijzigd door HKLM_ op 28-12-2018 08:45 ]

[Drardollan]

D_Jeff schreef op donderdag 27 december 2018 @ 23:15:
@Drardollan had nog geen koffie gehad

Het is je vergeven!

[Anoniem: 450810]

Bl@ckbird schreef op donderdag 13 december 2018 @ 16:34:
AppLocker / Whitelisten van applicatie is een aardige quickfix, maar dat is makkelijk te omzeilen.


[...]


[...]


Geen idee wat betreft andere fabrikanten, maar als je bijvoorbeeld naar Meraki MX security appliances kijkt, dan doen die wel anti-malware op downloads, maar ze inspecteren HTTPS verkeer niet. (Want encrypted content..) Op iets als een ASA firewall kan je wel specificeren welk verkeer je wil inspecteren via HTTPS decryption, maar dit heeft ook grote nadelen:

• De trust tussen client en server wordt gebroken, want de ASA firewall moet er als "man-in-the-middel" tussen zitten.
• Het decrypten, inspecteren en weer encrypten van verkeer heeft een flinke impact op de performance / throughput van de box. Je moet vaak keuzes maken welk verkeer je wil inspecteren; Alles inspecteren heeft vaak een te grote performance hit.
• Om mobile workers / thuiswerkers te beschermen moet een always-on VPN sessie onderhouden worden met de ASA firewall die verkeer inspecteert. Dit backhaulen van verkeer naar een hoofdkantoor of centraal datacenter is verre van ideaal.

Veel ellende is op DNS niveau al te voorkomen. Met OpenDNS / Umbrella kan je bijvoorbeeld phishing linkjes in email voorkomen. (Ook als deze via Gmail binnen komen en niet via de corporate mailserver.) Malware payload wat automatisch gedownload wordt, wordt ook tegen gehouden. Als malware actief is en het doet een key-exchange om de disk te encrypten, dan wordt dit ook tegen gehouden. Verder krijg je inzichtelijk welke shadow-IT er door users gebruikt wordt. ( Bijvoorbeeld het gebruik van Dropbox waar dan geen corporate policies op staan.) Het zijn 2 IP adressen van de OpenDNS servers die je moet instellen en een user heeft dezelfde performance thuis, als dat hij op kantoor is. (Zonder verkeer te moeten backhaulen via VPN.)

Is malware toch op een endpoint device gekomen, dan heb je iets van een client op het apparaat nodig. Met iets als AMP for Endpoints heb je ook inzicht hoe malware op het apparaat zelf zich verspreid en welke system-calls het doet. Verder krijg je inzichtelijk welke vulnerabilities er voor software zijn en kan je proactief patchen.

Met gratis 10 TAC Cases en bugs omdat het toch nog niet helemaal werkt zoals in de glossy folder staat. Dit is wel heel erg een Cisco verkooppraatje. Jammer

[Endpoint]

HKLM_ schreef op vrijdag 28 december 2018 @ 08:44:
[...]


Beetje goede ervaringen met de uitrol via wsus? Ik niet... komt de gebruiker smorens op kantoor kan die een uur duimen draaien omdat Windows nog niet klaar is... ik doe dat tegenwoordig met een upgrade task vanuit MDT

Tsja, mailtje eruit dat ze de pc herstarten voor ze naar huis gaan.

MDT kan ook, maar dan kan je elke keer alle pc's langs gaan. Met buitenlandse filialen wordt dat wat lastig

[Maverick_aios]

Feedback Ticket systemen,

Voor de samensmelting van enkele IT bedrijven, zijn we op zoek naar een duidelijk en overzichtelijk ticket systeem.
Enkele van de vereisten zijn,
- Time tracking
- app voor de smartphone (time tracking hier zou ook leuk zijn)
- rapportage van de gepresteerde uren van de systeem beheerders

Iemand van jullie tips en of ervaringen?

[nextware]

Maverick_aios schreef op zaterdag 29 december 2018 @ 11:47:
Feedback Ticket systemen,

Voor de samensmelting van enkele IT bedrijven, zijn we op zoek naar een duidelijk en overzichtelijk ticket systeem.
Enkele van de vereisten zijn,
- Time tracking
- app voor de smartphone (time tracking hier zou ook leuk zijn)
- rapportage van de gepresteerde uren van de systeem beheerders

Iemand van jullie tips en of ervaringen?

Servicenow

[Freee!!]

nextware schreef op zaterdag 29 december 2018 @ 12:48:
[...]
Servicenow

Mijn ervaringen daarmee zijn minder positief. En dat is nog even afgezien van het feit dat allerlei (mogelijk kritische) bedrijfsinformatie het bedrijf verlaat en naar een ander bedrijf gaat.

[HKLM_]

Maverick_aios schreef op zaterdag 29 december 2018 @ 11:47:
Feedback Ticket systemen,

Voor de samensmelting van enkele IT bedrijven, zijn we op zoek naar een duidelijk en overzichtelijk ticket systeem.
Enkele van de vereisten zijn,
- Time tracking
- app voor de smartphone (time tracking hier zou ook leuk zijn)
- rapportage van de gepresteerde uren van de systeem beheerders

Iemand van jullie tips en of ervaringen?

Topdesk kan dat.

[MrNGm]

Maverick_aios schreef op zaterdag 29 december 2018 @ 11:47:
Feedback Ticket systemen,

Voor de samensmelting van enkele IT bedrijven, zijn we op zoek naar een duidelijk en overzichtelijk ticket systeem.
Enkele van de vereisten zijn,
- Time tracking
- app voor de smartphone (time tracking hier zou ook leuk zijn)
- rapportage van de gepresteerde uren van de systeem beheerders

Iemand van jullie tips en of ervaringen?

Uh-oh

Zelf heb ik ervaring met Request Tracker. Duidelijk en overzichtelijk zou ik het niet in eerste instantie noemen; het bevat wel een time-tracking element ("Hours worked" als je een ticket bijwerkt) maar heb nog niet gezien waar je dat overzicht kan opvragen; smartphonegebruik durf ik niet te zeggen.

Misschien is het beter om (terugkerende) processen te beschrijven waar je ticketsysteem aan zou moeten voldoen? Voor wie is het ticketsysteem bedoeld: eindgebruikers, sysadmins, management? Op welke manier gaan de verschillende groepen gebruikers het ticketsysteem gebruiken?

Nogmaals kijkend naar de vereisten die je noemt valt Toggl precies binnen je eisen. Het enige wat je beschrijft is namelijk een timetracker (met rapportages). Precies dat doet Toggl.

[The Eagle]

@Maverick_aios maak een eigen topic. Dit is een topic voor technische vragen en niet voor pakketselectie. Dat laatste is ook meteen het antwoord op je vraag: verdiep je eens in hoe je een pakketselectie doet. Longlist, shortlist, vendors uitnodigen, evalueren, moscow criteria, etc. Wens je er veel succes mee en vergis jeniet in de hoeveelheid werk.
Dat is je deel 1. Deel twee is het aanpassen van de organisatie en het krijgen van draagkracht binnen het management. Die is nog veel moeilijker.

[Maverick_aios]

Bedankt voor de feedback, het zal niet evident worden aangezien we woensdag opstarten.

[Turdie]

Maverick_aios schreef op zaterdag 29 december 2018 @ 11:47:
Feedback Ticket systemen,

Voor de samensmelting van enkele IT bedrijven, zijn we op zoek naar een duidelijk en overzichtelijk ticket systeem.
Enkele van de vereisten zijn,
- Time tracking
- app voor de smartphone (time tracking hier zou ook leuk zijn)
- rapportage van de gepresteerde uren van de systeem beheerders

Iemand van jullie tips en of ervaringen?

Ik zeg Jira van Atlassian, heeft heel veel rapportage functies, en ook een time tracking widget. Moet je wel de scrum manier van werken willen/kunnen adopteren, maar ik heb systemen gezien, maar vind Jira echt het allerfijnste. Zeker met Jira Servicedesk kun je ook mooi rapporten op SLA's, en je kunt het dan zelf zo doen dat je per ticket kan zien aan de hand van de prioriteit hoeveel tijd er nog is om binnen de SLA te blijven, wat ook te zien is voor degene die het ticket afhandelt.

Andere systemen waar ik mee heb gewerkt ter beeldvorming:
Topdesk
HP Servicedesk
Servicenow
BMC Remedy

[ Voor 28% gewijzigd door Turdie op 02-01-2019 16:22 ]

[Thijs B]

Ik ben bezig met eerste stapjes om PRTG monitoring in te regelen dus nog beetje noob wat betreft PRTG.

Weet iemand hoe je een hp dl360 gen 10 ilo met prtg moet monitoren. Want als ik deze toevoeg in prtg krijg ik alleen de basis sensors zoals disks, nics etc. Dus geen monitoring van voeding, temperatuur of raid enz enz. ?!?

[HKLM_]

Thijs B schreef op zondag 6 januari 2019 @ 21:24:
Ik ben bezig met eerste stapjes om PRTG monitoring in te regelen dus nog beetje noob wat betreft PRTG.

Weet iemand hoe je een hp dl360 gen 10 ilo met prtg moet monitoren. Want als ik deze toevoeg in prtg krijg ik alleen de basis sensors zoals disks, nics etc. Dus geen monitoring van voeding, temperatuur of raid enz enz. ?!?

Scan je het ilo ip of het server ip? Ik pak altijd het ilo ip met snmp aan in ilo. Als je in prtg op HP zoekt in de sensors dan kom je de hardware modules ook tegen. (HP ProLiant System Health Sensor bijvoorbeeld)

[ Voor 3% gewijzigd door HKLM_ op 07-01-2019 07:52 ]

[HKLM_]

Heeft iemand een tip (als het al mogelijk is) hoe ik domain users een applicatie kan laten installeren zonder ze admin rechten te geven? Eigenlijk alleen voor die applicatie. Zit in mijn maag met een applicatie dit random updates ophaalt en dan bellen users ons om dat ding te installeren..... omdat de applicatie niet meer werkt.

(Leuk zo'n business applicatie met een ruk update functie )

[ Voor 13% gewijzigd door HKLM_ op 08-01-2019 10:29 ]

[Mantis]

Ik ben benieuwd hoe anderen Chrome beheren. Op zich is de google sync functionaliteit best handig wanneer users een nieuwe of tijdelijke computer krijgen. Maar we willen niet dat ze corporate passwords of creditcard gegevens naar de cloud kopieren. Via GPO is sync alleen volledig uit te schakelen.
Hoe is Chrome bij jullie ingesteld?

[Turdie]

HKLM_ schreef op dinsdag 8 januari 2019 @ 10:27:
Heeft iemand een tip (als het al mogelijk is) hoe ik domain users een applicatie kan laten installeren zonder ze admin rechten te geven? Eigenlijk alleen voor die applicatie. Zit in mijn maag met een applicatie dit random updates ophaalt en dan bellen users ons om dat ding te installeren..... omdat de applicatie niet meer werkt.

(Leuk zo'n business applicatie met een ruk update functie )

Als het een MSI zou je hem kunnen uitrollen via een GPO.

Staat hier goed beschreven hoe je dat doet.
https://thesolving.com/se...oftware-packages-via-gpo/

[Equator]

Mantis schreef op dinsdag 8 januari 2019 @ 12:05:
Ik ben benieuwd hoe anderen Chrome beheren. Op zich is de google sync functionaliteit best handig wanneer users een nieuwe of tijdelijke computer krijgen. Maar we willen niet dat ze corporate passwords of creditcard gegevens naar de cloud kopieren. Via GPO is sync alleen volledig uit te schakelen.
Hoe is Chrome bij jullie ingesteld?

Op de laptop van mijn werkgever: Geen sync. Gevolg is dat ik daar altijd loop te kloten.
Op de laptop van mijn opdrachtgever: wel sync. Gevolg is dat dit mijn primaire systeem is om mee te werken.

Ik snap de beslissing om geen uitgaande sync te hebben, maar eerder bewaarde zaken (favorieten en wachtwoorden) zijn wel fijn om binnen te krijgen. Jammer dat je daar geen fijnmaziger keuze in kunt maken.

[HKLM_]

shadowman12 schreef op dinsdag 8 januari 2019 @ 12:25:
[...]


Als het een MSI zou je hem kunnen uitrollen via een GPO.

Staat hier goed beschreven hoe je dat doet.
https://thesolving.com/se...oftware-packages-via-gpo/

Helaas het is een .exe welke gedownload wordt als je de applicatie opstart (en deze wil updaten) Zou mooi zijn als ik die kan vrijgeven. Heb al met applocker en softwarerestrictiebeleid zitten spelen maar nog geen succes.

[ Voor 13% gewijzigd door HKLM_ op 08-01-2019 12:46 ]

[Turdie]

HKLM_ schreef op dinsdag 8 januari 2019 @ 12:44:
[...]


Helaas het is een .exe welke gedownload wordt als je de applicatie opstart (en deze wil updaten) Zou mooi zijn als ik die kan vrijgeven. Heb al met applocker en softwarerestrictiebeleid zitten spelen maar nog geen succes.

Een snelkoppeling maken die een script aftrapt die een runas doet, en dan dat script hidden laten draaien? In dat runas zet je dan een algemeen admin account.

[ Voor 5% gewijzigd door Turdie op 08-01-2019 12:50 ]

[HKLM_]

shadowman12 schreef op dinsdag 8 januari 2019 @ 12:50:
[...]


Een snelkoppeling maken die een script aftrapt die een runas doet, en dan dat script hidden laten draaien? In dat runas zet je dan een algemeen admin account.

Dat is nog wel een optie inderdaad ga ik eens checken

[Turdie]

HKLM_ schreef op dinsdag 8 januari 2019 @ 12:52:
[...]


Dat is nog wel een optie inderdaad ga ik eens checken

Kan heel simpel met deze Powershell regel

PowerShell:

Start-Process -FilePath applicatie.exe -Credential "TestDomain\Me" -WindowStyle hidden

Ik heb windowstyle hidden meegegeven zodat gebruikers niet zien dat er eigenlijk een script wordt gestart, tijdens testen kun je dat natuurlijk weg laten.

[ Voor 18% gewijzigd door Turdie op 08-01-2019 12:56 ]

[HKLM_]

shadowman12 schreef op dinsdag 8 januari 2019 @ 12:55:
[...]


Kan heel simpel met deze Powershell regel

PowerShell:

Start-Process -FilePath applicatie.exe -Credential "TestDomain\Me" -WindowStyle hidden

Ik heb windowstyle hidden meegegeven zodat gebruikers niet zien dat er eigenlijk een script wordt gestart, tijdens testen kun je dat natuurlijk weg laten.

Thx hier kom ik zo te zien al verder mee

[Turdie]

HKLM_ schreef op dinsdag 8 januari 2019 @ 13:11:
[...]


Thx hier kom ik zo te zien al verder mee

Ik was iets vergeten zie ik nu, ook het wachtwoord moet meegegeven worden:

PowerShell:

$username = "username"

$password = "password"


$credentials = New-Object System.Management.Automation.PSCredential -ArgumentList @($username,(ConvertTo-SecureString -String $password -AsPlainText -Force))

Start-Process -FilePath applicatie.exe -Credential ($credentials) -WindowStyle hidden

[Jeroen V]

shadowman12 schreef op dinsdag 8 januari 2019 @ 13:35:
[...]


Ik was iets vergeten zie ik nu, ook het wachtwoord moet meegegeven worden:

PowerShell:

$username = "username"

$password = "password"


$credentials = New-Object System.Management.Automation.PSCredential -ArgumentList @($username,(ConvertTo-SecureString -String $password -AsPlainText -Force))

Start-Process -FilePath applicatie.exe -Credential ($credentials) -WindowStyle hidden

Sorry, maar dit is wel een paardenmiddel....

Ik zou eerder kijken of het mogelijk is om zelf een MSI te maken. (bv http://wixtoolset.org/)

[HKLM_]

shadowman12 schreef op dinsdag 8 januari 2019 @ 13:35:
[...]


Ik was iets vergeten zie ik nu, ook het wachtwoord moet meegegeven worden:

PowerShell:

$username = "username"

$password = "password"


$credentials = New-Object System.Management.Automation.PSCredential -ArgumentList @($username,(ConvertTo-SecureString -String $password -AsPlainText -Force))

Start-Process -FilePath applicatie.exe -Credential ($credentials) -WindowStyle hidden

Thx dit lijkt inderdaad wel te werken.

[Turdie]

Jeroen V schreef op dinsdag 8 januari 2019 @ 14:11:
[...]

Sorry, maar dit is wel een paardenmiddel....

Ik zou eerder kijken of het mogelijk is om zelf een MSI te maken. (bv http://wixtoolset.org/)

Die MSI zul je nog steeds als een admin moeten starten, dat gebeurt niet vanzelf he .

[Mantis]

Plain text passwords in scripts
Heeft de update executable silent parameters? Je zou dan via een scheduled tasks kunnen werken.

[Chnub]

HKLM_ schreef op dinsdag 8 januari 2019 @ 14:12:
[...]


Thx dit lijkt inderdaad wel te werken.

Kijk je wel uit dat de gebruiker het Powershell script niet kan inzien; ze hebben dan je admin password te pakken.
De gebruiker zou het script bijvoorbeeld kunnen openen vanuit een applicatie als Notepad.

[HKLM_]

Chnub schreef op dinsdag 8 januari 2019 @ 14:31:
[...]


Kijk je wel uit dat de gebruiker het Powershell script niet kan inzien; ze hebben dan je admin password te pakken.
De gebruiker zou het script bijvoorbeeld kunnen openen vanuit een applicatie als Notepad.

Ik heb ps2exe gebruikt die kan ik wel openen. Ik geef toe het is een beunhazen oplossing maar de applicatie is ook gewoon ruk...

[Turdie]

Mantis schreef op dinsdag 8 januari 2019 @ 14:29:
Plain text passwords in scripts
Heeft de update executable silent parameters? Je zou dan via een scheduled tasks kunnen werken.

Je zou het ook wel in een password file kunnen doen die op een secure locatie staat:

PowerShell:

$password = Get-Content [path to]passwd.txt | ConvertTo-SecureString
$user = [admin user]
$credentials = New-Object System.Management.Automation.PSCredential $user,$password

---

Chnub schreef op dinsdag 8 januari 2019 @ 14:31:
[...]


Kijk je wel uit dat de gebruiker het Powershell script niet kan inzien; ze hebben dan je admin password te pakken.
De gebruiker zou het script bijvoorbeeld kunnen openen vanuit een applicatie als Notepad.

Daarvoor geef ik o.a windowstyle=hidden mee dat de user het script niet kan zien.

[ Voor 27% gewijzigd door Turdie op 08-01-2019 14:47 ]

[ralpje]

shadowman12 schreef op dinsdag 8 januari 2019 @ 14:36:
[...]


Je zou het ook wel in een password file kunnen doen die op een secure locatie staat:

PowerShell:

$password = Get-Content [path to]passwd.txt | ConvertTo-SecureString
$user = [admin user]
$credentials = New-Object System.Management.Automation.PSCredential $user,$password

Dan moet die file (en dus het password wat er in staat) nog steeds leesbaar zijn voor het account waar het script onder draait. Is dus meer 'security by obscurity' dan echt security

shadowman12 schreef op dinsdag 8 januari 2019 @ 14:36:
Daarvoor geef ik o.a windowstyle=hidden mee dat de user het script niet kan zien.

Dan ziet de gebruiker niet dat het script gestart wordt, maar de scriptfile zelf is natuurlijk wel gewoon te lezen...

[ Voor 20% gewijzigd door ralpje op 08-01-2019 15:06 ]

[Turdie]

ralpje schreef op dinsdag 8 januari 2019 @ 15:05:
[...]


Dan moet die file (en dus het password wat er in staat) nog steeds leesbaar zijn voor het account waar het script onder draait. Is dus meer 'security by obscurity' dan echt security


[...]


Dan ziet de gebruiker niet dat het script gestart wordt, maar de scriptfile zelf is natuurlijk wel gewoon te lezen...

Ik heb toch nooit gezegd dat het security is, dat is wat anders, maar het maar een maatregel zodat het admin password minder snel zichtbaar is.

Dit zou je ook kunnen doen:
https://www.altaro.com/msp-dojo/encrypt-password-powershell/

[ Voor 62% gewijzigd door Turdie op 08-01-2019 15:17 ]

[Jeroen V]

shadowman12 schreef op dinsdag 8 januari 2019 @ 14:25:
[...]


Die MSI zul je nog steeds als een admin moeten starten, dat gebeurt niet vanzelf he .

Die MSI kan je prima dmv een GPO publishen...

[Turdie]

Jeroen V schreef op dinsdag 8 januari 2019 @ 15:30:
[...]

Die MSI kan je prima dmv een GPO publishen...

Ja dat weet ik ook wel,maar het is geen MSI., als je goed had gelezen had je dat kunnen lezen een paar posts terug.

[Jeroen V]

shadowman12 schreef op dinsdag 8 januari 2019 @ 15:32:
[...]


Ja dat weet ik ook wel,maar het is geen MSI., als je goed had gelezen had je dat kunnen lezen een paar posts terug.

Ik kan heel goed lezen, daarom geef ik ook het advies om van de exe installer een MSI te maken, ik geef zelfs een link naar een tool waarmee je dat kunt doen in mijn eerdere antwoord. En als je die MSI hebt gemaakt kan je die inderdaad prima met een GPO uitrollen of beschikbaar stellen.

kleine tip, als je opmerkingen geeft dat mensen goed moeten lezen is het handig dat eerst zelf te doen...

[Turdie]

Jeroen V schreef op dinsdag 8 januari 2019 @ 15:51:
[...]

Ik kan heel goed lezen, daarom geef ik ook het advies om van de exe installer een MSI te maken, ik geef zelfs een link naar een tool waarmee je dat kunt doen in mijn eerdere antwoord. En als je die MSI hebt gemaakt kan je die inderdaad prima met een GPO uitrollen of beschikbaar stellen.

kleine tip, als je opmerkingen geeft dat mensen goed moeten lezen is het handig dat eerst zelf te doen...

Dat heeft geen zin want de applicatie haalt een EXE op als de applicatie gestart wordt, waarom zou je er daan MSI van maken, als dat uberhaupt werkt.

[Danielson]

HKLM_ schreef op dinsdag 8 januari 2019 @ 10:27:
Heeft iemand een tip (als het al mogelijk is) hoe ik domain users een applicatie kan laten installeren zonder ze admin rechten te geven? Eigenlijk alleen voor die applicatie. Zit in mijn maag met een applicatie dit random updates ophaalt en dan bellen users ons om dat ding te installeren..... omdat de applicatie niet meer werkt.

(Leuk zo'n business applicatie met een ruk update functie )

Wij hebben ook zo'n lekker pakket, die installatie pushen we via SCCM, de updates kunnen gebruikers vervolgens zelf installeren omdat ik gebruikers rechten geef op de installatiemap en de registerkeys.

[Jeroen V]

shadowman12 schreef op dinsdag 8 januari 2019 @ 15:52:
[...]


Dat heeft geen zin want de applicatie haalt een EXE op als de applicatie gestart wordt, waarom zou je er daan MSI van maken, als dat uberhaupt werkt.

Admin haalt de exe op dmv een test-installatie, maakt MSI, publiceert MSI via GPO...

Valt of staat of de admin een MSI kan maken, maar zo heel moeilijk is het allemaal niet. (Maar alles beter dan een wachtwoord verstoppen in een script...)

[HKLM_]

Jeroen V schreef op dinsdag 8 januari 2019 @ 15:59:
[...]


Admin haalt de exe op dmv een test-installatie, maakt MSI, publiceert MSI via GPO...

Valt of staat of de admin een MSI kan maken, maar zo heel moeilijk is het allemaal niet. (Maar alles beter dan een wachtwoord verstoppen in een script...)

Dat is leuk maar als ik niet weet wanneer die applicatie gaat updaten dan is het wachten op het piep systeem die roept dat de applicatie niet meer werkt. Dan dus de exe pakken,MSI maken, deployen dat schiet ook niet op Dan hou ik het liever bij de SD die het scherm overnemen en hun credentials invoeren.

Eigenlijk is dat gewoon het hele punt helaas ik weet niet wanneer de client naar de sever van de leverancier connect om te vragen om een update. Laat staan wanneer er 1 klaar staat

[ Voor 12% gewijzigd door HKLM_ op 08-01-2019 16:04 ]

[Jeroen V]

HKLM_ schreef op dinsdag 8 januari 2019 @ 16:02:
[...]


Dat is leuk maar als ik niet weet wanneer die applicatie gaat updaten dan is het wachten op het piep systeem die roept dat de applicatie niet meer werkt. Dan dus de exe pakken,MSI maken, deployen dat schiet ook niet op Dan hou ik het liever bij de SD die het scherm overnemen en hun credentials invoeren.

Eigenlijk is dat gewoon het hele punt helaas ik weet niet wanneer de client naar de sever van de leverancier connect om te vragen om een update. Laat staan wanneer er 1 klaar staat

Kan je niet met de fabrikant van die applicatie in overleg? Deze manier van updaten (en dan met name dat de applicatie niet meer werkt) is wel heel... uhm... hoe zeg ik dat netjes

[HKLM_]

Jeroen V schreef op dinsdag 8 januari 2019 @ 16:06:
[...]

Kan je niet met de fabrikant van die applicatie in overleg? Deze manier van updaten (en dan met name dat de applicatie niet meer werkt) is wel heel... uhm... hoe zeg ik dat netjes

Hobby bob zo ziet de applicatie er ook uit eigenlijk haha. Zal het nog eens bij mijn manager dumpen....

[Jeroen V]

HKLM_ schreef op dinsdag 8 januari 2019 @ 16:08:
[...]


Hobby bob zo ziet de applicatie er ook uit eigenlijk haha. Zal het nog eens bij mijn manager dumpen....

Dan zou het zeker moeten lukken, lijkt me de beste oplossing...

[Ingegno]

Ivm system hardening hebben wij een scriptset die we uitvoeren bij elke Windows installatie. Wat houdt dit in? We koppelen een externe disk aan de desbetreffende Windows-bak (in geval van VM een ISO). Scriptset is echt tientallen GB's groot.

Anyhow, er staan heel wat scripts in en elke script heeft z'n eigen functie:

- Set Default settings;
- Turn off [insert whatever];
- Install Offline updates;
- Join domain;

etc. etc. Sommige scripts zijn mandatory, anderen dan weer optional. Sommigen vergen ook input van de gebruiken (domeinnaam, IP etc.) Willen de baseline die we hebben dus met elke Windows-installatie. Hebben jullie ervaringen met iets soortgelijks? Vind het bij vlagen nogal omslachtig en hoop dit nog verder te kunnen automatiseren en sneller te kunnen doen.

De Windows-machines mogen niet altijd aan het internet en zijn projectgebaseerd (andere omgevingen etc.).

[HKLM_]

Ingegno schreef op dinsdag 8 januari 2019 @ 19:57:
Ivm system hardening hebben wij een scriptset die we uitvoeren bij elke Windows installatie. Wat houdt dit in? We koppelen een externe disk aan de desbetreffende Windows-bak (in geval van VM een ISO). Scriptset is echt tientallen GB's groot.

Anyhow, er staan heel wat scripts in en elke script heeft z'n eigen functie:

- Set Default settings;
- Turn off [insert whatever];
- Install Offline updates;
- Join domain;

etc. etc. Sommige scripts zijn mandatory, anderen dan weer optional. Sommigen vergen ook input van de gebruiken (domeinnaam, IP etc.) Willen de baseline die we hebben dus met elke Windows-installatie. Hebben jullie ervaringen met iets soortgelijks? Vind het bij vlagen nogal omslachtig en hoop dit nog verder te kunnen automatiseren en sneller te kunnen doen.

De Windows-machines mogen niet altijd aan het internet en zijn projectgebaseerd (andere omgevingen etc.).

Gooi alles in mdt + wds installeert je Windows en trapt die daarna alle andere taken af die je hebt aangemaakt (zoals domain joint, OU move, install applicaties, run scripts voor settings etc) eventueel met keuze menu zodat je per project de items kan kiezen. Wacht je 20 minuten en ben je klaar.

[ Voor 4% gewijzigd door HKLM_ op 08-01-2019 20:02 ]

[Equator]

En Google anders eens op desired state configuration

[Ingegno]

Zal er even naar kijken, bedankt voor de snelle antwoorden

Is dat MDT trouwens ook geschikt voor offline sites (systemen die absoluut nooit een verbinding met internet mogen) en ook Windows Server deployments? Zie vooral Windows 10/Office info erover.

[kronolith]

Ingegno schreef op dinsdag 8 januari 2019 @ 21:48:
Zal er even naar kijken, bedankt voor de snelle antwoorden

Is dat MDT trouwens ook geschikt voor offline sites (systemen die absoluut nooit een verbinding met internet mogen) en ook Windows Server deployments? Zie vooral Windows 10/Office info erover.

Zeker, als die site jouw MDT maar kan bereiken. Icm bijvoorbeeld WSUS kun je dan zelfs tijdens de installatie alle updates er al overheen gooien

Windows Server deployen kan absoluut, durf alleen niet te zeggen hoe dat zit met optionele roles en features.

[Turdie]

kronolith schreef op dinsdag 8 januari 2019 @ 21:58:
[...]

Zeker, als die site jouw MDT maar kan bereiken. Icm bijvoorbeeld WSUS kun je dan zelfs tijdens de installatie alle updates er al overheen gooien

Windows Server deployen kan absoluut, durf alleen niet te zeggen hoe dat zit met optionele roles en features.

Kan ook, hier bijvoorbeeld hoe je dat doet met MDT en net framework.
https://www.vacuumbreathe...amework-offline-using-mdt

[ Voor 10% gewijzigd door Turdie op 08-01-2019 22:03 ]

[MrNGm]

Jeroen V schreef op dinsdag 8 januari 2019 @ 15:59:
Valt of staat of de admin een MSI kan maken, maar zo heel moeilijk is het allemaal niet. (Maar alles beter dan een wachtwoord verstoppen in een script...)

Of een batchscript dat via een of andere magische weg elevated privileges krijgt om een VM-disk te kunnen lezen en op te starten (zou op $lokatie een vervanger worden voor dualboot). Scriptje gekopieerd, sleep 600 toegevoegd nadat Virtualbox (of wat het ook was) klaar was met uitvoeren. Eigen VM gebouwd die die disk gebruikte, tadaaa root-access op de "afgeschermde" VM .

Die dualboot-vervanger is er niet gekomen

[Equator]

HKLM_ schreef op dinsdag 8 januari 2019 @ 16:08:
[...]


Hobby bob zo ziet de applicatie er ook uit eigenlijk haha. Zal het nog eens bij mijn manager dumpen....

Geen idee hoeveel mensen er gebruik maken van deze applicatie, en hoe belangrijk de applicatie is, maar je kan er over denken deze als een gepubliceerde applicatie aan te bieden. Dan hoef je maar 1 applicatie te upgraden.

Vereist wel enige infrastructuur, maar je bent er veel sneller mee klaar.

[Turdie]

Equator schreef op woensdag 9 januari 2019 @ 07:06:
[...]

Geen idee hoeveel mensen er gebruik maken van deze applicatie, en hoe belangrijk de applicatie is, maar je kan er over denken deze als een gepubliceerde applicatie aan te bieden. Dan hoef je maar 1 applicatie te upgraden.

Vereist wel enige infrastructuur, maar je bent er veel sneller mee klaar.

Of Intune o.i.d goed inrichten zodat je bij toekomstige applicaties een betrouwbare deployment oplossing hebt.

[Equator]

shadowman12 schreef op woensdag 9 januari 2019 @ 12:34:
[...]


Of Intune o.i.d goed inrichten zodat je bij toekomstige applicaties een betrouwbare deployment oplossing hebt.

Nou, de beschrijving van deze specifieke applicatie is dermate dat ik ervanuit ga dat je dit met alle deploymentoplossingen niet gaat fixen. Als de app zelf executables als upgrades binnenhaalt en zonder upgrade niet meer werkt, dan is het gewoon een baggerpakket. Vooral als je die upgrade met admin rechten moet installeren.

[HKLM_]

Equator schreef op woensdag 9 januari 2019 @ 13:22:
[...]

Nou, de beschrijving van deze specifieke applicatie is dermate dat ik ervanuit ga dat je dit met alle deploymentoplossingen niet gaat fixen. Als de app zelf executables als upgrades binnenhaalt en zonder upgrade niet meer werkt, dan is het gewoon een baggerpakket. Vooral als je die upgrade met admin rechten moet installeren.

Yes goed gezien naja werken nu ongeveer 15 mensen mee... maar mijn manager pakt het verder op met de leverancier omdat dit niet echt lekker werkt zo.

[Oogje]

Hmm een BSOD veroorzaken in Windows2016 is niet zo eenvoudig als in 2012 (wininit.exe killen).
Iemand een snelle suggestie?

[HKLM_]

Oogje schreef op donderdag 10 januari 2019 @ 12:25:
Hmm een BSOD veroorzaken in Windows2016 is niet zo eenvoudig als in 2012 (wininit.exe killen).
Iemand een snelle suggestie?

Werkt deze nog
https://www.windowscentra...e-screen-death-windows-10

Waarom heb je dit eigenlijk nodig ?

[ Voor 5% gewijzigd door HKLM_ op 10-01-2019 13:50 ]

[The Eagle]

Voorbereiding op een 1 april geintje met als target je infracollega's (of nog erger: de servicedesk want uitgerole op alle workstations) ? Via GPO pushen en 2x per dag at random laten executen lijkt me wel een leuk geintje
_{Kost je in de wat grotere organisaties overigens gewoon je baan (en terecht).}

Maar snelle suggestie: Simian Army tools (Chaosmonkey en co). Zie ook Wikipedia: Chaos engineering
Overkill voor een single target wellicht, wel leuk om mee te prutsen

[Equator]

Voor pranks pak je natuurlijk: http://fakeupdate.net/

[HKLM_]

Equator schreef op donderdag 10 januari 2019 @ 14:47:
Voor pranks pak je natuurlijk: http://fakeupdate.net/

Zodra de stagiaire naar de wc gaat is die de sjaak Voor die crypto locker zie ik wel meer slachtoffers binnen het bedrijf

[ Voor 14% gewijzigd door HKLM_ op 10-01-2019 14:58 ]

[Oogje]

HKLM_ schreef op donderdag 10 januari 2019 @ 13:49:
[...]


Werkt deze nog
https://www.windowscentra...e-screen-death-windows-10

Waarom heb je dit eigenlijk nodig ?

Het duurde ff voordat mn geheugen me weer hielp: NotMyFault, die zocht ik

Als je een DR test wil doen, dan wil ik ook een D

[ Voor 7% gewijzigd door Oogje op 10-01-2019 16:57 ]

[Turdie]

Equator schreef op donderdag 10 januari 2019 @ 14:47:
Voor pranks pak je natuurlijk: http://fakeupdate.net/

Die schermen zijn wel een beetje oud he.

[Equator]

shadowman12 schreef op donderdag 10 januari 2019 @ 17:19:
[...]


Die schermen zijn wel een beetje oud he.

Daar kan ik niets aan doen..

[asing]

Heren, dit is openlijk zichtbaar waardoor onze colle .. eh slachtoffers dit kunnen vinden .

[The Eagle]

Niet als je het goed doet

[Turdie]

asing schreef op donderdag 10 januari 2019 @ 20:47:
Heren, dit is openlijk zichtbaar waardoor onze colle .. eh slachtoffers dit kunnen vinden .

Die weten dit forum nog niet eens te vinden, ze weten nog net hoe ze in een browser google.nl moet intikken, maar dan houdt het bijna op

[? ?]

Een Cisco LLDP vraagje.

De VOIP telefoon en computer zitten op eenzelfde poort gi1/1.
De telefoon moet in het voice vlan 10 komen, de computer in het default vlan 1.

code:

lldp run
network-policy profile 1
voice vlan 10
voice-signaling vlan 10

int gi1/1
switchport mode access
switchport access vlan 1
network-policy 1

Zou dat voldoende moeten zijn? Als ik de documentatie lees precies wel... Ik kan het nu alleen niet testen. Iemand die wel weet hoe het moet of weet of dit juist is?

[winux]

? ? schreef op vrijdag 11 januari 2019 @ 14:40:
Een Cisco LLDP vraagje.

De VOIP telefoon en computer zitten op eenzelfde poort gi1/1.
De telefoon moet in het voice vlan 10 komen, de computer in het default vlan 1.

code:

lldp run
network-policy profile 1
voice vlan 10
voice-signaling vlan 10

int gi1/1
switchport mode access
switchport access vlan 1
network-policy 1

Zou dat voldoende moeten zijn? Als ik de documentatie lees precies wel... Ik kan het nu alleen niet testen. Iemand die wel weet hoe het moet of weet of dit juist is?

Wij maken gebruik van Cisco switch maar geen Cisco ip-phones.
Constructie zoals jij gebruiken wij niet met de policy maar gewoon per switchpoort
Access en voice vlan ingesteld en dat werkt prima.

code:

int gi1/1
switchport mode access
switchport access vlan 1
switchport voice vlan 10

.

[HKLM_]

? ? schreef op vrijdag 11 januari 2019 @ 14:40:
Een Cisco LLDP vraagje.

De VOIP telefoon en computer zitten op eenzelfde poort gi1/1.
De telefoon moet in het voice vlan 10 komen, de computer in het default vlan 1.

code:

lldp run
network-policy profile 1
voice vlan 10
voice-signaling vlan 10

int gi1/1
switchport mode access
switchport access vlan 1
network-policy 1

Zou dat voldoende moeten zijn? Als ik de documentatie lees precies wel... Ik kan het nu alleen niet testen. Iemand die wel weet hoe het moet of weet of dit juist is?

Wij maken gebruik van een cisco telefoon centrale, switches en phones waarbij de phone en pc op 1 poort zitten. Ik gebruik onderstaande config:

code:

switchport mode access
Switchport access vlan 1
switchport voice vlan 2
trust device cisco-phone
auto qos voip cisco-phone
spanning-tree portfast
service-policy input AutoQos-4.0-CiscoPhone-Input-Policy
service-policy output AutoQos-4.0-Output-Policy

[Anoniem: 135360]

Hoe houden jullie de Office 2016 installatie vanuit MDT up2date?
Overal op internet staat om je updates in de map updates te gooien. bestaat er een manier om dit te slipstreamen? ik ben hiervoor nog niks op internet tegen gekomen.

[nextware]

Anoniem: 135360 schreef op vrijdag 18 januari 2019 @ 10:45:
Hoe houden jullie de Office 2016 installatie vanuit MDT up2date?
Overal op internet staat om je updates in de map updates te gooien. bestaat er een manier om dit te slipstreamen? ik ben hiervoor nog niks op internet tegen gekomen.

Wij hebben in MDT een "check update step 1" stap staan. Hierin worden, vooral Windows updates binnengehaald. Daarna worden de applicaties geïnstalleerd (oa Office, etc). Dan volgt er een 2e stap waarin nogmaals naar updates worden gezocht. En meestal komt hierin de Office update mee.

Maar wat voor Office installatie is het ? Een C2R of een VL ?
Dit scheelt namelijk in het update proces. C2R update zichzelf (als de policy hiervoor goed is ingesteld).

[Anoniem: 135360]

nextware schreef op vrijdag 18 januari 2019 @ 11:51:
[...]


Wij hebben in MDT een "check update step 1" stap staan. Hierin worden, vooral Windows updates binnengehaald. Daarna worden de applicaties geïnstalleerd (oa Office, etc). Dan volgt er een 2e stap waarin nogmaals naar updates worden gezocht. En meestal komt hierin de Office update mee.

Maar wat voor Office installatie is het ? Een C2R of een VL ?
Dit scheelt namelijk in het update proces. C2R update zichzelf (als de policy hiervoor goed is ingesteld).

Wij hebben de VL.
In de map updates staan inmiddels 1,5 gb aan updates. De office installatie ansich is prima. zo klaar. alleen die updates daarna, die duren gewoon een tijd.

[nextware]

Anoniem: 135360 schreef op vrijdag 18 januari 2019 @ 11:52:
[...]


Wij hebben de VL.
In de map updates staan inmiddels 1,5 gb aan updates. De office installatie ansich is prima. zo klaar. alleen die updates daarna, die duren gewoon een tijd.

En als je de nieuwe versie van VL download en in MDT zet ?

[Anoniem: 135360]

nextware schreef op vrijdag 18 januari 2019 @ 12:01:
[...]


En als je de nieuwe versie van VL download en in MDT zet ?

Helaas niet. das steeds dezelfde versie. We halen onze software weg bij SLB ( onderwijs leverancier ) helaas geen directe toegang meer tot het MS Licentie centrum.