Het grote kleine-SysOps-vragen topic deel 1

[Danielson]

Grvy schreef op dinsdag 4 augustus 2020 @ 22:29:


Goed, op naar het issue. @Danielson misschien lees ik eroverheen maar waarom zou je als je ook al gebruikt maakt van de main profile feature (de container zelf) een Office container willen? Ik begrijp dat je het profiel klein wilt houden maar het complexer maken dan nodig is (door de eerste container te splitsen) is wat mij betreft niet echt beheersvriendelijk.

Het klein houden van het profiel doe je dan ook met exclusions in je FSLogix profiel en niet door e.a. te splitsen.

Wellicht dat je een hele goede use case hebt, maar ik ben wel benieuwd.

De bedoeling was om alle Office gerelateerde data in een aparte container te zetten die eventueel op iets "langzamere" storage geplaatst kon worden, maar het lijkt erop wat ik wil niet mogelijk is.

Het probleem waar ik tegenaan loop met OneDrive en Teams is dat als het in een Office container geplaatst wordt is dat er onderwater een link wordt gemaakt naar de Office cointainer waar dus de Teams en OneDrive data in staat. Vervolgens meld je je op een 2e plek aan en begint hij dus met een tweede schone Office container, vervolgens wil je b.v. Teams starten en die map is dan ineens leeg wat op zich ook logisch is.

De documentatie van FSLogix laat soms wel wat te wensen over als het mij vraagt, dus wat nu precies de best practice is...

Momenteel heb ik alleen de Outlook cache in een Office container staan om deze op andere storage kwijt te kunnen en ik ben nu bezig met de redirection list om het profiel zo klein mogelijk te houden.

[Renegade666]

Danielson schreef op woensdag 5 augustus 2020 @ 12:54:
[...]


Gebruikers wel lid van de FSLogix Profile Include List groep?

Jups, was een policy ding wat niet mee werkte.
Het werkt nu wel iig

Nu de office container nog even regelen

[Danielson]

Renegade666 schreef op woensdag 5 augustus 2020 @ 13:06:
[...]


Jups, was een policy ding wat niet mee werkte.
Het werkt nu wel iig

Nu de office container nog even regelen

Ga je voor single of multi session?

[Grvy]

@Danielson ik zou die opzet sowieso niet gebruiken.

Het plaatsen O365 data op langzamere storage is vragen om problemen. I/O is ook voor Outlook nuttig en gezien wat sommige met Outlook doen..

Daarnaast is het logisch dat hij een link maakt, de main profielen zijn multi usage; die van O365 (voor zover ik weet niet).

Denk dat je dus terug moet naar de tekentafel.

[Danielson]

Voor iedereen hier die ook FSLogix gebruikt, kunnen jullie kort jullie inrichting schetsen?

[asing]

Danielson schreef op woensdag 5 augustus 2020 @ 13:01:
[...]


De bedoeling was om alle Office gerelateerde data in een aparte container te zetten die eventueel op iets "langzamere" storage geplaatst kon worden, maar het lijkt erop wat ik wil niet mogelijk is.

Het probleem waar ik tegenaan loop met OneDrive en Teams is dat als het in een Office container geplaatst wordt is dat er onderwater een link wordt gemaakt naar de Office cointainer waar dus de Teams en OneDrive data in staat. Vervolgens meld je je op een 2e plek aan en begint hij dus met een tweede schone Office container, vervolgens wil je b.v. Teams starten en die map is dan ineens leeg wat op zich ook logisch is.

De documentatie van FSLogix laat soms wel wat te wensen over als het mij vraagt, dus wat nu precies de best practice is...

Momenteel heb ik alleen de Outlook cache in een Office container staan om deze op andere storage kwijt te kunnen en ik ben nu bezig met de redirection list om het profiel zo klein mogelijk te houden.

Ik weet het niet hoor... Ik snap je punt, een VHDX voor je normale profiel en een VHDX met je Office meuk, wat voornamelijk OST zal zijn. Dat dat niet helemaal jofel werkt had je log al duidelijk gemaakt. Nu werk ik niet met FSLogix maar dat viel meteen op.

De OST wordt niet voor de lol aangemaakt. Zodra iemand iets in zijn mail zoekt wordt de Search Service van Windows gebruikt. Om überhaupt iets te kunnen vinden is het dus van belang dat die OST gemaakt wordt en bewaard wordt. Hence FSLogix . De RDS host zal die OST bestanden constant idexeren om te zorgen dat gebruikers iets in hun mail kunnen vinden. Dus om dat op tragere storage te zetten ... risicootje.

Daarnaast is het natuurlijk een gevecht met de gebruikers. Hoe korter de termijn van lokale mailopslag, hoe kleiner de OST. Hoe langer de termijn, hoe groter. En met al die multimedia meuk en onbeperkte mail grootte van tegenwoordig is dat een drama in wording... Anyway, alles wat NIET lokaal gecached is kan niet gevonden worden. Dus een dilemma.

Ik denk dat je idee om die 2 uit elkaar te trekken meer werk en ellende oplevert dan alles in één vhdx dumpen. En linksom of rechtsom, die storage ben je toch kwijt.

[DennusF]

Wij hadden eerst bij een klant alleen de office disk, maar zijn op advies van Microsoft overgestapt op de volledige profile disk, MS heeft geholpen met de configuratie en troubleshooting omdat het inloggen bizar traag was. Terwijl inprincipe het inloggen max 10 seconde moet duren.

[Renegade666]

Zijn er hier ook wat mensen die ervaringen met Autodesk Revit/Autocad hebben?

Deze week een klant blij gemaakt met dikke werkstations (4/8 Xeon, 64GB RAM, RTX4000, NVME SSD (HP Z4)). Maar die pakketen zijn niet of nauwelijks sneller dan de met hun oude pc.

NU las ik hier en daar dat ze nog voornamelijk singlecore threaded zijn, maar dat kan toch niet meer in deze tijd met zulke cpu/s en gpu's??

Gelukkig is de boost nog wel 4.5 ghz, dus scheelt, maar nog steeds bijzonder dat het niet meer voordelen van de cpu/gpu kan pakken.

[HKLM_]

Is er hier iemand die mij kan helpen met spf records? ik wil vanuit een ander domein kunnen mailen. Wij hebben twee organisaties waarbij A en B beide op een eigen Office365 Tenant zitten. A wil kunnen mailen uit naam van B.

Is dit alleen mogelijk doormiddel van spf records of moet er ook wat gebeuren in office365?

A heeft nu SPF record: v=spf1 include:spf.protection.outlook.com include:hklm.nl -all
B heeft nu SPF record v=spf1 a:hklm.nl include:spf.protection.outlook.com -all

ik zie iets over het hoofd maar zie nog niet wat iemand die mij hier mee kan helpen?

[Duinkonijn]

Renegade666 schreef op woensdag 12 augustus 2020 @ 10:04:
Zijn er hier ook wat mensen die ervaringen met Autodesk Revit/Autocad hebben?

Deze week een klant blij gemaakt met dikke werkstations (4/8 Xeon, 64GB RAM, RTX4000, NVME SSD (HP Z4)). Maar die pakketen zijn niet of nauwelijks sneller dan de met hun oude pc.

NU las ik hier en daar dat ze nog voornamelijk singlecore threaded zijn, maar dat kan toch niet meer in deze tijd met zulke cpu/s en gpu's??

Gelukkig is de boost nog wel 4.5 ghz, dus scheelt, maar nog steeds bijzonder dat het niet meer voordelen van de cpu/gpu kan pakken.

https://knowledge.autodes...cessors-with-AutoCAD.html

[Duinkonijn]

HKLM_ schreef op woensdag 12 augustus 2020 @ 14:48:
Is er hier iemand die mij kan helpen met spf records? ik wil vanuit een ander domein kunnen mailen. Wij hebben twee organisaties waarbij A en B beide op een eigen Office365 Tenant zitten. A wil kunnen mailen uit naam van B.

Is dit alleen mogelijk doormiddel van spf records of moet er ook wat gebeuren in office365?

A heeft nu SPF record: v=spf1 include:spf.protection.outlook.com include:hklm.nl -all
B heeft nu SPF record v=spf1 a:hklm.nl include:spf.protection.outlook.com -all

ik zie iets over het hoofd maar zie nog niet wat iemand die mij hier mee kan helpen?

Als a uit naam van b naar b mailt, zal b ingesteld moeten worden dat hij niet de enige houder is van dat domein
Oh a moet gewhitelist worden

[HKLM_]

Duinkonijn schreef op woensdag 12 augustus 2020 @ 14:53:
[...]

Als a uit naam van b naar b mailt, zal b ingesteld moeten worden dat hij niet de enige houder is van dat domein
Oh a moet gewhitelist worden

A moet ook via het domein van B naar buiten kunnen mailen.

[Renegade666]

Duinkonijn schreef op woensdag 12 augustus 2020 @ 14:49:
[...]

https://knowledge.autodes...cessors-with-AutoCAD.html

Die had ik nog niet gevonden.
Bedankt.

Tijd voor een andere pakket die het wel kan..

[Duinkonijn]

HKLM_ schreef op woensdag 12 augustus 2020 @ 14:55:
[...]


A moet ook via het domein van B naar buiten kunnen mailen.

Dan zou je met send connectors kunnen werken, maar binnen `meerdere tenants weet ik dit niet 100 %

[ Voor 11% gewijzigd door Duinkonijn op 12-08-2020 15:19 ]

[new_guy]

Iemand toevallig een powershell dingetje liggen om de verbindingen naar Azure / Microsoft 365 te testen? Denk aan de URLs / poorten.

Online deze al tegenkomen: https://github.com/ThomasKur/ModernWorkplaceClientCenter Echter is ie al 2 jaar niet geupdate en krijg ik inderdaad resultaten die niet lijken te kloppen.

Reden: werken in een omgeving waar ik firewall / proxy niet in beheer heb en het een en ander nog niet geheel open lijkt te staan...

[Duinkonijn]

Renegade666 schreef op woensdag 12 augustus 2020 @ 14:55:
[...]


Die had ik nog niet gevonden.
Bedankt.

Tijd voor een andere pakket die het wel kan..

Misschien is https://www.bentley.com/e...ion-software/microstation wat,

[Turdie]

new_guy schreef op woensdag 12 augustus 2020 @ 15:27:
Iemand toevallig een powershell dingetje liggen om de verbindingen naar Azure / Microsoft 365 te testen? Denk aan de URLs / poorten.

Online deze al tegenkomen: https://github.com/ThomasKur/ModernWorkplaceClientCenter Echter is ie al 2 jaar niet geupdate en krijg ik inderdaad resultaten die niet lijken te kloppen.

Reden: werken in een omgeving waar ik firewall / proxy niet in beheer heb en het een en ander nog niet geheel open lijkt te staan...

azurespeed.com

[ Voor 19% gewijzigd door Turdie op 12-08-2020 15:35 ]

[Renegade666]

Duinkonijn schreef op woensdag 12 augustus 2020 @ 15:29:
[...]

Misschien is https://www.bentley.com/e...ion-software/microstation wat,

Toevallig ervaring mee?

[Duinkonijn]

Renegade666 schreef op woensdag 12 augustus 2020 @ 15:33:
[...]


Toevallig ervaring mee?

Ik zelf niet, een maat van me die in de marinesector ontwerper is

[Renegade666]

@Duinkonijn

Oke, ziet er wel sneller uit

Zal het eens bij de klant neer leggen.

[Duinkonijn]

Renegade666 schreef op woensdag 12 augustus 2020 @ 15:36:
@Duinkonijn

Oke, ziet er wel sneller uit

Zal het eens bij de klant neer leggen.

Het schijnt hoofdzakelijk bij overheid en hun sector gebruikt te worden.
Add-ons kent het niet zoals autocad dat wel kent.

[Renegade666]

De LT varianten die ze nu gebruiken, hebben geen Addin ondersteuning, dus dat is geen ramp.

[Duinkonijn]

succes

[thieske1]

new_guy schreef op woensdag 12 augustus 2020 @ 15:27:
Iemand toevallig een powershell dingetje liggen om de verbindingen naar Azure / Microsoft 365 te testen? Denk aan de URLs / poorten.

Online deze al tegenkomen: https://github.com/ThomasKur/ModernWorkplaceClientCenter Echter is ie al 2 jaar niet geupdate en krijg ik inderdaad resultaten die niet lijken te kloppen.

Reden: werken in een omgeving waar ik firewall / proxy niet in beheer heb en het een en ander nog niet geheel open lijkt te staan...

microsoft heeft zelf een tool hiervoor

https://connectivity.office.com/

en als het geld mag kosten beveel ik GSX monitoring software aan

[ Voor 5% gewijzigd door thieske1 op 12-08-2020 15:55 ]

[new_guy]

Turdie schreef op woensdag 12 augustus 2020 @ 15:33:
[...]


azurespeed.com

Lijkt alleen een speedtest te doen en geen check op poorten..

thieske1 schreef op woensdag 12 augustus 2020 @ 15:54:
[...]

microsoft heeft zelf een tool hiervoor

https://connectivity.office.com/

en als het geld mag kosten beveel ik GSX monitoring software aan

Die was ik nog niet tegenkomen... Thanks!

[Paul]

HKLM_ schreef op woensdag 12 augustus 2020 @ 14:48:
Is er hier iemand die mij kan helpen met spf records?

Als beide op Office 365 zitten dan is de "include:spf.protection.outlook.com" genoeg; die is voor beide hetzelfde.

Echter, SPF is om te zorgen dat de ontvanger het niet als spam ziet; waarschijnlijk loop je nu tegen het probleem aan dat Exchange (Office 365) de hele mail niet wil sturen omdat het denkt dat jij, A, helemaal geen B bent. Je krijgt dan als verzender een mailtje terug met daarin een foutcode; die krijg je (over het algemeen, ivm backscatter) niet als de ontvanger je mail weigert.

Binnen een tenant los je dat op met Send As rechten (of Send on behalf). Hierbij moet je ook goed opletten in welke "Sent Items" het bericht komt; wil je die in de "Sent Items" van A, of van B?

Over tenants heen weet ik het niet. Gaat het om één persoon of om een hele organisatie die er (ieder een eigen) adres bij krijgt? Wil je tenant B laten blijven bestaan of kun je ze samenvoegen?

[HKLM_]

Paul schreef op donderdag 13 augustus 2020 @ 09:56:
[...]
Als beide op Office 365 zitten dan is de "include:spf.protection.outlook.com" genoeg; die is voor beide hetzelfde.

Echter, SPF is om te zorgen dat de ontvanger het niet als spam ziet; waarschijnlijk loop je nu tegen het probleem aan dat Exchange (Office 365) de hele mail niet wil sturen omdat het denkt dat jij, A, helemaal geen B bent. Je krijgt dan als verzender een mailtje terug met daarin een foutcode; die krijg je (over het algemeen, ivm backscatter) niet als de ontvanger je mail weigert.

Binnen een tenant los je dat op met Send As rechten (of Send on behalf). Hierbij moet je ook goed opletten in welke "Sent Items" het bericht komt; wil je die in de "Sent Items" van A, of van B?

Over tenants heen weet ik het niet. Gaat het om één persoon of om een hele organisatie die er (ieder een eigen) adres bij krijgt? Wil je tenant B laten blijven bestaan of kun je ze samenvoegen?

Dat klopt Exchange (Office365) wil de hele mail niet versturen. omdat hij inderdaad denkt dat ik A ben en geen B. Ik krijg inderdaad een mailtje terug dat ik geen rechten heb. Uiteindelijk gaat het om één mailadres die dit moet kunnen. Tussen twee office 365 tenants we gaan juist van 1 tenant naar 2 wegens bedrijfs scheiding.

[Duinkonijn]

Dan moet je dus de boel gaan vrijwaarden en aangeven dat elke tenant niet de primaire holder is van dat domeinnaam

[asing]

HKLM_ schreef op donderdag 13 augustus 2020 @ 10:22:
[...]

Tussen twee office 365 tenants we gaan juist van 1 tenant naar 2 wegens bedrijfs scheiding.

Ik weet dat samenvoegen niet echt een issue is maar het uit elkaar trekken van een Tennant om iedereen bereikbaar te houden op het oude adres wordt uitdagend.

Je kan heel eenvoudig met forward rules gaan werken maar dan loopt hun mail over jouw domein heen. Dat willen ze denk ik niet .

Anyway, succes!

[Grvy]

HKLM_ schreef op donderdag 13 augustus 2020 @ 10:22:
[...]


Dat klopt Exchange (Office365) wil de hele mail niet versturen. omdat hij inderdaad denkt dat ik A ben en geen B. Ik krijg inderdaad een mailtje terug dat ik geen rechten heb. Uiteindelijk gaat het om één mailadres die dit moet kunnen. Tussen twee office 365 tenants we gaan juist van 1 tenant naar 2 wegens bedrijfs scheiding.

Dit is zo een ding waarvan je moet zeggen "Tjah, dat gaat dus niet.. ga maar klagen bij $persoondiebeslotenheeftdatditmoetgebeuren. "

Want dit is een nightmare in the making.

[asing]

Grvy schreef op donderdag 13 augustus 2020 @ 12:01:
[...]


Dit is zo een ding waarvan je moet zeggen "Tjah, dat gaat dus niet.. ga maar klagen bij $persoondiebeslotenheeftdatditmoetgebeuren. "

Want dit is een nightmare in the making.

De slangenkuil die bestaat uit onwetende, alles bepalende managers die vinden dat alles maar moet kunnen want het zijn toch alleen maar bitjes. Arme @HKLM_ ....

Mijn insteek zou zijn om die andere tennant te laten opzetten en inrichten. Op het moment dat de scheiding een feit is krijgen ze PST bestanden met hun mail en worden alle oude accounts verwijderd. Dat is heel cold turkey, maar ik denk dat dat de meest haalbare methode is. Ik heb wel eens iemand een foutje zien maken met het samenvoegen wat als resultaat gaf dat de inkomende partijen dagen niet meer konden mailen.

Dat ene account wat nu wordt genoemd mag dan als eerste.

[HKLM_]

asing schreef op donderdag 13 augustus 2020 @ 12:12:
[...]


De slangenkuil die bestaat uit onwetende, alles bepalende managers die vinden dat alles maar moet kunnen want het zijn toch alleen maar bitjes. Arme @HKLM_ ....

Mijn insteek zou zijn om die andere tennant te laten opzetten en inrichten. Op het moment dat de scheiding een feit is krijgen ze PST bestanden met hun mail en worden alle oude accounts verwijderd. Dat is heel cold turkey, maar ik denk dat dat de meest haalbare methode is. Ik heb wel eens iemand een foutje zien maken met het samenvoegen wat als resultaat gaf dat de inkomende partijen dagen niet meer konden mailen.

Dat ene account wat nu wordt genoemd mag dan als eerste.

We migreren morgen mailboxen hebben we een tooltje die staan al netjes op de nieuwe tenant en houden we in sync. Voor bovenstaand probleem is tijdelijk een oplossing gevonden. Externe inhuur (want skills tekort) is aan het kijken wat de mogelijkheden zijn.

[asing]

HKLM_ schreef op donderdag 13 augustus 2020 @ 15:32:
[...]


We migreren mogen mailboxen hebben we een tooltje die staan al netjes op de nieuwe tenant en houden we in sync. Voor bovenstaand probleem is tijdelijk een oplossing gevonden. Externe inhuur (want skills tekort) is aan het kijken wat de mogelijkheden zijn.

Mogen? Morgen?

Mogelijkheden zijn er wel. Het probleem is wat de organisatie aan eisen en wensen neer heeft gelegd. Eén ding is zeker : wat je niet wilt is enige tijd in een half-half situatie zitten waarbij je met mail moet gaan jongleren omdat een deel van de gebruikers al in de nieuwe tennant zit en een paar nog in de jouwe. Of een situatie waarbij ze in de nieuwe tennant zitten, maar wel hun oude mailadres willen laten werken. Want dat maakt je mogelijkheden denk ik zeer beperkt.

Laat ik eens een voorbeeldje geven. Mijn opdrachtgever kocht een bedrijfje op. Die mensen kwamen bij ons op kantoor zitten en gebruik maken van onze multifunctionals. Maar zaten qua mail nog op zichzelf. En toen werkte scannen niet.

De logs waren simpel : je probeert mail af te leveren van bedrijfx.com op de SMTP server van Microsoft met een SMTP account van bedrijfy.com. Fahgetaboutit! Spoofing!!!11!1!1!

Het belangrijkste om management mee te delen is dat de scheiding op een bepaald moment "definitief is", waarbij het een heel pijnlijk digitaal afscheid gaat worden. Ook moet iedereen rekening houden met bepaalde kleine ongemakjes die bij de scheiding horen. Ervoor en erna. Uitwerken in stappenplannen met fases, changes en de bijbehorende goedkeuringen. Zij zien de complicaties van de vraag niet, en hebben geen benul van de consequenties.

Sterkte!

[Duinkonijn]

Ik denk dat het opzich wel mee valt. het is niet dat je van exch5.4/5.5(x.400) naar 2013 gaat

[HKLM_]

asing schreef op donderdag 13 augustus 2020 @ 15:49:
[...]


Mogen? Morgen?

Mogelijkheden zijn er wel. Het probleem is wat de organisatie aan eisen en wensen neer heeft gelegd. Eén ding is zeker : wat je niet wilt is enige tijd in een half-half situatie zitten waarbij je met mail moet gaan jongleren omdat een deel van de gebruikers al in de nieuwe tennant zit en een paar nog in de jouwe. Of een situatie waarbij ze in de nieuwe tennant zitten, maar wel hun oude mailadres willen laten werken. Want dat maakt je mogelijkheden denk ik zeer beperkt.

Laat ik eens een voorbeeldje geven. Mijn opdrachtgever kocht een bedrijfje op. Die mensen kwamen bij ons op kantoor zitten en gebruik maken van onze multifunctionals. Maar zaten qua mail nog op zichzelf. En toen werkte scannen niet.

De logs waren simpel : je probeert mail af te leveren van bedrijfx.com op de SMTP server van Microsoft met een SMTP account van bedrijfy.com. Fahgetaboutit! Spoofing!!!11!1!1!

Het belangrijkste om management mee te delen is dat de scheiding op een bepaald moment "definitief is", waarbij het een heel pijnlijk digitaal afscheid gaat worden. Ook moet iedereen rekening houden met bepaalde kleine ongemakjes die bij de scheiding horen. Ervoor en erna. Uitwerken in stappenplannen met fases, changes en de bijbehorende goedkeuringen. Zij zien de complicaties van de vraag niet, en hebben geen benul van de consequenties.

Sterkte!

Het is gelukt hoor, ondanks wat nukke van Exchange online zijn we met succes gemigreerd puntje van het mailen is opgelost door een workarround en zoeken we later uit / passen we mogelijk aan in de applicatie

Owja shared mailboxen zijn (#*_^#@&) en wil ik nooit meer iets mee doen

[asing]

HKLM_ schreef op zaterdag 15 augustus 2020 @ 03:13:
[...]


Het is gelukt hoor, ondanks wat nukke van Exchange online zijn we met succes gemigreerd puntje van het mailen is opgelost door een workarround en zoeken we later uit / passen we mogelijk aan in de applicatie

Owja shared mailboxen zijn (#*_^#@&) en wil ik nooit meer iets mee doen

Mooi zo! Ik geef je even Public Folders in Office 365, daarna ga je je mening over gedeelde mailboxen wel bijstellen .

[HKLM_]

asing schreef op zaterdag 15 augustus 2020 @ 10:25:
[...]


Mooi zo! Ik geef je even Public Folders in Office 365, daarna ga je je mening over gedeelde mailboxen wel bijstellen .

Haha tot nu toe nog geen issues met public folders

[Renegade666]

HKLM_ schreef op zaterdag 15 augustus 2020 @ 03:13:
[...]


Het is gelukt hoor, ondanks wat nukke van Exchange online zijn we met succes gemigreerd puntje van het mailen is opgelost door een workarround en zoeken we later uit / passen we mogelijk aan in de applicatie

Owja shared mailboxen zijn (#*_^#@&) en wil ik nooit meer iets mee doen

Wat is er precies mis met shared mailboxen?
gebruikt zo vaak, nooit issues.

PF daar in tegen is ver weggestopt voor een reden 365.. ze willen er vanaf

[HKLM_]

Renegade666 schreef op zaterdag 15 augustus 2020 @ 10:35:
[...]


Wat is er precies mis met shared mailboxen?
gebruikt zo vaak, nooit issues.

PF daar in tegen is ver weggestopt voor een reden 365.. ze willen er vanaf

Shared mailboxen doen nooit wat je wil, dan werkt send as niet, dan moet je hem toevoegen als tweede account, dan komt ie niet zichtbaar in Outlook, dan weer wat anders, ik werk ondertussen bijna 10 jaar in de IT en overal waar ik ze gezien heb is het gezijk

[Renegade666]

HKLM_ schreef op zaterdag 15 augustus 2020 @ 10:50:
[...]


Shared mailboxen doen nooit wat je wil, dan werkt send as niet, dan moet je hem toevoegen als tweede account, dan komt ie niet zichtbaar in Outlook, dan weer wat anders, ik werk ondertussen bijna 10 jaar in de IT en overal waar ik ze gezien heb is het gezijk

Dan heb ik geluk blijkbaar met die boxen

[Grvy]

@HKLM_ die problemen komen mij ook niet bekend voor.. en ik loop al 8 jaar mee inmiddels.

[ralpje]

Ik doe al EOL sinds O365 nog BPOS heette en heb nog nooit gedoe met shared mailboxes gehad.
Public Folders daarentegen........ Die moeten deaud.

[Duinkonijn]

ralpje schreef op zaterdag 15 augustus 2020 @ 18:45:
Ik doe al EOL sinds O365 nog BPOS heette en heb nog nooit gedoe met shared mailboxes gehad.
Public Folders daarentegen........ Die moeten deaud.

Heb er nooit echt ruzie mee gehad. De problemen die ik in het veld zag, heb ik zelden ervaren.

Grootste uitdagingen waren migraties van de ene server, naar de andere om synchroniseren aan te zetten

[ Voor 13% gewijzigd door Duinkonijn op 15-08-2020 20:14 ]

[FastFred]

Ik ben oude homedirs aan het opruimen en ik krijg er eentje maar niet verwijderd.

Als ik de eigenschappen bekijk dan zegt ie, 0 files, 0 folders, 0 bytes, er staan ook geen verborgen folders of files meer in.

De rechten op de map zijn gelijk aan alle andere homedirs, met het verschil dat de gebruiker niet meer bestaat dus er mist 1 username. Verder staat er Creator Owner, System, Admin_homedir en fileserver\Administrators (tevens de owner)

Als ik rechten wil wijzigen dan kan dat wel, maar als ik op Apply klik krijg ik 'Access Denied'.

Als ik de map via de Verkenner wil verwijderen krijg ik te zien dat ik Administrator rechten moet hebben. Dit zowel met mijn persoonlijke admin account als met het domainadmin account.

Wil ik de map verwijderen met CMD (admin) krijg ik Access Denied, zelfde met Powershell.


Normaal nooit dit issue gehad, medewerker uit dienst, account op disabled, na 2 weken account delete en Shift+Delete homedir

[ Voor 12% gewijzigd door FastFred op 17-08-2020 10:59 ]

[Turdie]

FastFred schreef op maandag 17 augustus 2020 @ 10:55:
Ik ben oude homedirs aan het opruimen en ik krijg er eentje maar niet verwijderd.

Als ik de eigenschappen bekijk dan zegt ie, 0 files, 0 folders, 0 bytes, er staan ook geen verborgen folders of files meer in.

De rechten op de map zijn gelijk aan alle andere homedirs, met het verschil dat de gebruiker niet meer bestaat dus er mist 1 username. Verder staat er Creator Owner, System, Admin_homedir en fileserver\Administrators (tevens de owner)

Als ik rechten wil wijzigen dan kan dat wel, maar als ik op Apply klik krijg ik 'Access Denied'.

Als ik de map via de Verkenner wil verwijderen krijg ik te zien dat ik Administrator rechten moet hebben. Dit zowel met mijn persoonlijke admin account als met het domainadmin account.

Wil ik de map verwijderen met CMD (admin) krijg ik Access Denied, zelfde met Powershell.


Normaal nooit dit issue gehad, medewerker uit dienst, account op disabled, na 2 weken account delete en Shift+Delete homedir

En als je een take ownership doet?

[ Voor 4% gewijzigd door Turdie op 17-08-2020 11:26 ]

[Renegade666]

FastFred schreef op maandag 17 augustus 2020 @ 10:55:
Ik ben oude homedirs aan het opruimen en ik krijg er eentje maar niet verwijderd.

Als ik de eigenschappen bekijk dan zegt ie, 0 files, 0 folders, 0 bytes, er staan ook geen verborgen folders of files meer in.

De rechten op de map zijn gelijk aan alle andere homedirs, met het verschil dat de gebruiker niet meer bestaat dus er mist 1 username. Verder staat er Creator Owner, System, Admin_homedir en fileserver\Administrators (tevens de owner)

Als ik rechten wil wijzigen dan kan dat wel, maar als ik op Apply klik krijg ik 'Access Denied'.

Als ik de map via de Verkenner wil verwijderen krijg ik te zien dat ik Administrator rechten moet hebben. Dit zowel met mijn persoonlijke admin account als met het domainadmin account.

Wil ik de map verwijderen met CMD (admin) krijg ik Access Denied, zelfde met Powershell.


Normaal nooit dit issue gehad, medewerker uit dienst, account op disabled, na 2 weken account delete en Shift+Delete homedir

Grote kans dat hij nog ergens gelocket is? Eventueel server herstarten in de nacht en morgen weer proberen.

[FastFred]

Turdie schreef op maandag 17 augustus 2020 @ 11:24:
[...]


En als je een take ownership doet?

En hoe gebruik ik die concreet want hoe dat command daar staat met 2843x een haakje sluiten snap ik er geen snars van.

Ik had zelf deze gevonden

code:

icacls "full path of folder or drive" /setowner "Administrators" /T /C

Dat past de owner aan, maar dat geeft hetzelfde resultaat als hieronder

Als ik gewoon in de properties de owner aan pas naar bijvoorbeeld mijn admin account, en ik probeer de map te verwijderen, dan krijg ik de melding dat ik toestemming moet hebben van mijn admin account om de map te kunnen verwijderen, terwijl ik met dat admin account ingelogd ben....

@Renegade666 Die lege map staat daar al anderhalf jaar op deze manier Alleen nu een keer dusdanig rustig dat ik tijd kan stoppen in dit soort dingen.

[ Voor 20% gewijzigd door FastFred op 17-08-2020 11:48 ]

[Renegade666]

@FastFred

hehe, altijd leuk

Maar ben je als Administrator ingelogt, of een gebruiker met Admin rechten?
Hier hebben wij ook namelijk eens dingen gehad die verschil hierin maakte.

[FastFred]

@Renegade666 Heb inmiddels met beide geprobeerd, mijn persoonlijke admin account (die eigenlijk gewoon lid is van Domain Admins) en het daadwerkelijke domain admin account

[Paul]

FastFred schreef op maandag 17 augustus 2020 @ 11:46:
[...]


En hoe gebruik ik die concreet want hoe dat command daar staat met 2843x een haakje sluiten snap ik er geen snars van.

[] geeft optionele parameters weer, en verder is het nesting:

takeown [/s <Computer> [/u [<Domain>\]<User name> [/p [<Password>]]]] /f <File name> [/a] [/r [/d {Y|N}]]

/s is optioneel, en als je /s gebruikt kun je optioneel een username opgeven. Als je een username opgeeft dan kun je optioneel ook een wachtwoord opgeven.

/f <file name> is verplicht
/a is optioneel
/r is optioneel, en dan kun je optioneel aan die /r nog /d Y of /d N meegeven

[ Voor 20% gewijzigd door Paul op 17-08-2020 11:50 ]

[pjlgt]

FastFred schreef op maandag 17 augustus 2020 @ 11:49:
@Renegade666 Heb inmiddels met beide geprobeerd, mijn persoonlijke admin account (die eigenlijk gewoon lid is van Domain Admins) en het daadwerkelijke domain admin account

Locale admin account wil ook nog wel eens wonderen doen. Zo heb ik hier ook wel eens wat shit op onze Windows File Server gefixt.

[ Voor 11% gewijzigd door pjlgt op 17-08-2020 11:52 ]

[FastFred]

@pjlgt al geprobeerd, no luck

@Paul Thx, met

code:

takeown /f <filename> /a /r

Doet ie het, past idd de owner aan. Als ik dan de map wil verwijderen krijg ik

You require permissiong from Administrators to make changes to this file

ntuser.pol, date modified 9-9-2014 (terwijl de map leeg is)

Ok er staat nu ook ineens weer data in die map. Een verborgen map WINDOWS en dan \username.domain.v2 die vervolgens leeg is...

[ Voor 16% gewijzigd door FastFred op 17-08-2020 11:55 ]

[Renegade666]

@FastFred
Dan is hij wel gelocked denk ik. Kun je zien data er een sessie naar die map is?
Eventueel via tooling kijken welke service hem in gijzeling houd?

[FastFred]

In computer management > shared folders > open files is niks te zien voor die map

[Paul]

ntuser.pol... Weet je zeker dat die gebruiker niet zit ingelogd?

Is dit op een fileserver of lokaal? Lokaal kun je het ook op de Windows manier proberen: sysdm.cpl -> "Advanced" -> "Settings" bij "User Profiles" -> profiel kiezen -> "Delete"

[FastFred]

@Paul fileserver 2012R2, de medewerker is sinds januari 2019 uit dienst en zolang bestaat die user ook al niet meer, deze lege map is het enige dat er van over gebleven is

En zelfs al was ie ingelogd geweest, dan had ik dat wel gemerkt want hij zat praktisch naast me Was onze programmeur/analist

[ Voor 49% gewijzigd door FastFred op 17-08-2020 12:20 ]

[Brahiewahiewa]

FastFred schreef op maandag 17 augustus 2020 @ 11:54:
...
Ok er staat nu ook ineens weer data in die map. Een verborgen map WINDOWS en dan \username.domain.v2 die vervolgens leeg is...

OK, dus er draait nog een process op die server die de directory gelocked houdt
Dus je moet processExplorer opstarten om te kijken welk process dat is en dan besluiten of je dat process wilt laten draaien

[Duinkonijn]

to slow

[ Voor 98% gewijzigd door Duinkonijn op 17-08-2020 13:29 ]

[FastFred]

Brahiewahiewa schreef op maandag 17 augustus 2020 @ 12:37:
[...]

OK, dus er draait nog een process op die server die de directory gelocked houdt
Dus je moet processExplorer opstarten om te kijken welk process dat is en dan besluiten of je dat process wilt laten draaien

Nul, nada. Of ik doe iets verkeerd, heb ProcesExplorer nog nooit gebruikt

[Turdie]

@FastFred

Je zou ook gewoon met takeown /f de hele folder waar in het staat kunnen doen..

Daarnaast denk ik ook dat er een lock zit op het bestand, je zou even met process monitor kunnen kijken en wat filters of je een proces naar dat bestand ziet gaan en dat proces dan killen.

[Renegade666]

@FastFred
Of deze even gebruiken, PE is niet altijd even vriendelijk in mijn ogen:
downloads: Unlocker 1.9.2

[FastFred]

@Renegade666 die link is dood Maar heb 'm al ergens anders vandaan

Resultaat: 'er is geen blokkerend process gevonden, maar Unlocker kan u wel op een andere manier helpen'

En toen kon ik op Verwijderen klikken Hij is weg

[ Voor 16% gewijzigd door FastFred op 17-08-2020 14:42 ]

[Renegade666]

@FastFred
Soms....

[Brahiewahiewa]

FastFred schreef op maandag 17 augustus 2020 @ 13:42:
[...] heb ProcesExplorer nog nooit gebruikt

Dat blijkt wel, ja.
ProcessExplorer is een tool om vast te stellen welk process welke handles heeft.
Daarmee had je dus kunnen vaststellen wie de directory in kwestie gelocked had.
Nu zit je met de situatie dat het process nog steeds draait alleen heeft-ie geen directory meer om z'n files weg te schrijven. En wie weet is het process wel heel belangrijk voor jullie infrastructuur

[asing]

FastFred schreef op maandag 17 augustus 2020 @ 12:14:
En zelfs al was ie ingelogd geweest, dan had ik dat wel gemerkt want hij zat praktisch naast me Was onze programmeur/analist

Dat denk jij.....

Ik maak geregeld mee dat beheerders zijn ingelogd op een server, en vervolgens wegklikken met het kruisje. Dan kan je het account verwijderen, zolang je die server niet herstart waar hij op zat, blijf je dit houden.

Bottom line, naar computer management gaan, dan naar de shares en de sessies. Dan zie je precies op welke server / IP adres hij nog actief is en daar moet je wat aan doen.

[Tylen]

Ntuser.pol in een homedirectory??? Dat heb ik niet vaak gezien .

[Hero of Time]

Met het scheiden van je dagelijkse gebruiker en (domain) admin account, welke van de twee geven jullie toegang tot de VMware interface? Het admin account vanwege de reeds bestaande functie voor beheer of je normale gebruiker zodat je SSO kan toepassen?

[lolgast]

Ik mis een account in je vraag
Domain admin account -> Beheer domain controllers.
Je reguliere admin account -> dagelijks beheer van de omgeving.

Een gewone gebruikersaccount heeft níets op de VMware interface te zoeken. In mijn ogen.

[Hero of Time]

Hoezo mis je een account? Als het puur om de AD servers beheren gaat, delen we het administrator account wel ipv lid zijn van de domain admins.

Ben het met je eens dat voor het nette je drie accounts zou moeten hebben, maar in het MKB is het al heel wat dat er een scheiding is tussen admin en non-admin.

[Vorkie]

Hero of Time schreef op dinsdag 18 augustus 2020 @ 21:07:
Met het scheiden van je dagelijkse gebruiker en (domain) admin account, welke van de twee geven jullie toegang tot de VMware interface? Het admin account vanwege de reeds bestaande functie voor beheer of je normale gebruiker zodat je SSO kan toepassen?

Ligt aan de omgeving, meestal geef ik IT user beheer accounts een soort van readonly met wat extra rechten op de VM's, zoals mounten van ISO's / herstart, etc...dat zijn vaak van die "snelle" dingetjes en met vaak een 2FA/passwordvault op de admin accounts werkt het net even wat efficiënter

De Admin accounts kunnen alles op de VMWare omgeving (als ze er wat te zoeken hebben, lang leve AD groepen...)

Maar dat is voor kleine bedrijfjes.

[Hero of Time]

Vorkie schreef op dinsdag 18 augustus 2020 @ 21:21:
[...]

Ligt aan de omgeving, meestal geef ik IT user beheer accounts een soort van readonly met wat extra rechten op de VM's, zoals mounten van ISO's / herstart, etc...dat zijn vaak van die "snelle" dingetjes en met vaak een 2FA/passwordvault op de admin accounts werkt het net even wat efficiënter

De Admin accounts kunnen alles op de VMWare omgeving (als ze er wat te zoeken hebben, lang leve AD groepen...)

Maar dat is voor kleine bedrijfjes.

Ik heb de onze ook aan AD gehangen en wil daar ook wat meer in scheiden. M'n collega van de helpdesk hoeft echt geen VMs aan te kunnen maken, maar ikzelf wel. Dus ik zou in de VMware-admins groep zitten die dus alles mag, maar welk account van mij hang ik daar dan in? Voor m'n collega van de helpdesk zit ik dan ook, zet ik z'n (domain) admin account (want hij maakt de AD gebruikers aan) in de groep voor wat simpele dingen (kunnen inloggen, console openen) of z'n normale account voor de SSO optie?

Ikzelf ga toch geen gebruik kunnen maken van SSO, want dat is een Windows ding en dat draait m'n werksysteem niet.

[Equator]

Als je met SSO bedoelt dat je met je AD credentials kunt inloggen op de VMware console, dan maakt het niet uit welk OS je draait.

Als je met SSO bedoelt dat je zonder je credentials in hoeft te geven automatisch inlogt op basis van de user waarmee je de applicatie start, dan is Windows een vereiste ja.

Wat voor mij dus direct een reden is om SSO op die manier niet aan te zetten en een separaat (admin) account te gebruiken op VMware management console.

[Creep]

Ik ben niet vaak voor 1 gat te vangen, maar ik denk dat ik nu toch iets over het hoofd zie. Het volgende doet zich voor:
Ik heb 3 Canon multifunctionals staan, die t/m maandag 10 augustus prima via SMTP naar Office365 konden scannen. Na 10 augustus stopte dit zonder aanpassingen op de Canon multifunctionals, Ubiquiti USG 4 Pro of het Zigoo modem in bridge modus. Ik ben namelijk enig beheerder en ben sinds 7 augustus op vakantie.

Ik heb het volgende reeds gedaan:
1. Met Canon gekeken of de DNS vanaf de printers werkte, ze kunnen zich bij een portal van Canon aanmelden op basis van DNS adres.
2. Willekeurige Windows PC kan vanuit hetzelfde netwerk met Putty/Telnet op 587 met smtp.office365.com connectie maken.
3. Ubiquiti met laatste firmware geladen en default instellingen gehouden. Alleen in controller opgenomen en intern en extern netwerk toegevoegd.
4. Extern IP adres op blacklist gechecked en bij Offiec365 extra uitgeschreven.

Alle clients kunnen gewoon op internet, alle printers kunnen gewoon printen en via webinterface worden gevonden.

Omdat het vanaf een bepaald moment is en geldt voor 3 Canon printers vermoed ik een netwerk/DNS issue, maar kan geen logische reden bedenken.

Iemand een idee?

[Brahiewahiewa]

Creep schreef op woensdag 19 augustus 2020 @ 13:22:
... vermoed ik een netwerk/DNS issue...

Hebben die printers geen log file? Anders moet je met wireshark aan de gang

[The Eagle]

Long shot, maar wijziging in de MFA van O365/Azure?

[Renegade666]

Creep schreef op woensdag 19 augustus 2020 @ 13:22:
Ik ben niet vaak voor 1 gat te vangen, maar ik denk dat ik nu toch iets over het hoofd zie. Het volgende doet zich voor:
Ik heb 3 Canon multifunctionals staan, die t/m maandag 10 augustus prima via SMTP naar Office365 konden scannen. Na 10 augustus stopte dit zonder aanpassingen op de Canon multifunctionals, Ubiquiti USG 4 Pro of het Zigoo modem in bridge modus. Ik ben namelijk enig beheerder en ben sinds 7 augustus op vakantie.

Ik heb het volgende reeds gedaan:
1. Met Canon gekeken of de DNS vanaf de printers werkte, ze kunnen zich bij een portal van Canon aanmelden op basis van DNS adres.
2. Willekeurige Windows PC kan vanuit hetzelfde netwerk met Putty/Telnet op 587 met smtp.office365.com connectie maken.
3. Ubiquiti met laatste firmware geladen en default instellingen gehouden. Alleen in controller opgenomen en intern en extern netwerk toegevoegd.
4. Extern IP adres op blacklist gechecked en bij Offiec365 extra uitgeschreven.

Alle clients kunnen gewoon op internet, alle printers kunnen gewoon printen en via webinterface worden gevonden.

Omdat het vanaf een bepaald moment is en geldt voor 3 Canon printers vermoed ik een netwerk/DNS issue, maar kan geen logische reden bedenken.

Iemand een idee?

Zit er ook een test knop in de instellen van de mail?

Denk zelf dat het een TLS/SSL issue is, hebben die klote dingen wel vaker last van.
Ik lost het vaak om een mail relay op een server in te stellen, en dat die dan mail via Submission naar 365. Werkt een stek beter en stabieler.

[Creep]

The Eagle schreef op woensdag 19 augustus 2020 @ 14:05:
Long shot, maar wijziging in de MFA van O365/Azure?

Dat dacht ik ook, maar ik krijg een connectie error, geen authenticatie error.

[Creep]

Renegade666 schreef op woensdag 19 augustus 2020 @ 15:14:
[...]


Zit er ook een test knop in de instellen van de mail?

Denk zelf dat het een TLS/SSL issue is, hebben die klote dingen wel vaker last van.
Ik lost het vaak om een mail relay op een server in te stellen, en dat die dan mail via Submission naar 365. Werkt een stek beter en stabieler.

Ik heb op een andere Ziggo verbinding dezelfde MFP staan met exact dezelfde TLs/SSL settings en die werk gewoon. Ook met hetzelfde account. Geen account issue dus.

[Renegade666]

Creep schreef op woensdag 19 augustus 2020 @ 15:50:
[...]

Ik heb op een andere Ziggo verbinding dezelfde MFP staan met exact dezelfde TLs/SSL settings en die werk gewoon. Ook met hetzelfde account. Geen account issue dus.

Dat het geen account issue is, dan kan het nog wel een TLS/SSL issue zijn.
Ik heb ook vaak genoeg dat het bij de ene printer wel werkt, en de andere niet.

Wat je ook kan proberen ipv submission, een exchange connector aanmaken in 365, en dan via poort 25 naar het mx record sturen. en dus zonder tls/ssl en zonder account, kijken als hij het dan wel doet.

Of misschien een simpele, have you tried to turn it off and on again

[Creep]

Renegade666 schreef op woensdag 19 augustus 2020 @ 15:52:
[...]


Dat het geen account issue is, dan kan het nog wel een TLS/SSL issue zijn.
Ik heb ook vaak genoeg dat het bij de ene printer wel werkt, en de andere niet.

Wat je ook kan proberen ipv submission, een exchange connector aanmaken in 365, en dan via poort 25 naar het mx record sturen. en dus zonder tls/ssl en zonder account, kijken als hij het dan wel doet.

Of misschien een simpele, have you tried to turn it off and on again

Wat ik zo vreemd vind, is dat drie MFP's vanaf 1 locatie hetzelfde issue hebben. Ze hebben 2 dagen na de storing zich nog wel bij de Canon server in Japan gemeld via dns naam. Kan een smtp account eigenlijk wel vanaf meedere ip adressen gebruikt worden? Ik kan nergens een restrictie vinden. Kan ook op een pc met dat account aanmelden op die locatie.

[Renegade666]

Zover als ik weet hebben ze niet echt een restrictie, misschien als je 100en doet.
De enige restricties zijn vaak de hoeveelheid berichten.

[asing]

Hero of Time schreef op dinsdag 18 augustus 2020 @ 21:16:
Hoezo mis je een account? Als het puur om de AD servers beheren gaat, delen we het administrator account wel ipv lid zijn van de domain admins.

Ben het met je eens dat voor het nette je drie accounts zou moeten hebben, maar in het MKB is het al heel wat dat er een scheiding is tussen admin en non-admin.

Nee, niet voor het nette. Je domain administrator geef je een fatsoenlijk wachtwoord. Dat print je uit en dat gaat in een kluis. Vervolgens maak je voor iedereen die beheer rechten nodig heeft een eigen admin account aan. Daar werken ze op.

Het resultaat is dat als er eentje vertrekt, je dat adin account blokkeert en klaar ben je. Anders moet je het wachtwoord van je administrator wijzigen en ik ken er genoeg die dat na jaren niet meer durven uit angst dat er wat kapot gaat.

Daar bovenop kan je het administrator account hernoemen tegen brute force aanvallen.

[GrasshopperNL]

Je geeft aan blacklist te hebben gecontroleerd, maar heb je ook die van MS getest?
Ik zou als ik jou was even een connector aanmaken in Ex Online, en met powershell even een test mailtje sturen via je Mx record als smtp server.
Als je met je ip op een blacklist staat bij MS krijg je dat dan te zien.

[Hero of Time]

Equator schreef op woensdag 19 augustus 2020 @ 08:23:
Als je met SSO bedoelt dat je met je AD credentials kunt inloggen op de VMware console, dan maakt het niet uit welk OS je draait.

Als je met SSO bedoelt dat je zonder je credentials in hoeft te geven automatisch inlogt op basis van de user waarmee je de applicatie start, dan is Windows een vereiste ja.

Wat voor mij dus direct een reden is om SSO op die manier niet aan te zetten en een separaat (admin) account te gebruiken op VMware management console.

SSO voor de vCenter webinterface. Als je de plugin geïnstalleerd hebt kan je het aanvinken op de login pagina, zodat je niet nogmaals je credentials hoeft in te voeren. Beetje vergelijkbaar met een 802.1x netwerk en het vinkje staat voor 'gebruik Windows credentials'.

asing schreef op woensdag 19 augustus 2020 @ 20:46:
[...]

Nee, niet voor het nette.

Dus helemaal geen scheiding tussen normale en admin gebruiker

Je domain administrator geef je een fatsoenlijk wachtwoord. Dat print je uit en dat gaat in een kluis.

Je begint een oude plaat te worden, telkens dit stukje herhalen. Het wordt een beetje saai, weet je dat?

Vervolgens maak je voor iedereen die beheer rechten nodig heeft een eigen admin account aan. Daar werken ze op.

Oh, dus toch wel scheiding van normale gebruiker en admin rechten.

Daar bovenop kan je het administrator account hernoemen tegen brute force aanvallen.

Security trough obscurity.

Sorry, maar je herhalingen van het overduidelijke en wat we zelf al jaren tegen elkaar roepen maakt dat ik wat nitpicky ben.

Vorkie schreef op dinsdag 18 augustus 2020 @ 21:21:
[...]

Ligt aan de omgeving, meestal geef ik IT user beheer accounts een soort van readonly met wat extra rechten op de VM's, zoals mounten van ISO's / herstart, etc...dat zijn vaak van die "snelle" dingetjes en met vaak een 2FA/passwordvault op de admin accounts werkt het net even wat efficiënter

De Admin accounts kunnen alles op de VMWare omgeving (als ze er wat te zoeken hebben, lang leve AD groepen...)

Maar dat is voor kleine bedrijfjes.

Ik heb vandaag deze scheiding gemaakt. Een vCenter-admin groep waar mijn admin account in zit en een aparte vCenter-management groep waar ik dan de admin accounts van m'n collega's in kan zetten. Die hangt dan aan een aparte rol die ik heb gemaakt waar ze updates op de hosts kunnen toepassen, VMs migreren van host en de VM zaken die je noemt uitvoeren (console, tools installeren, power opties, snapshots beheren). Aanmaken en verwijderen van machines kunnen ze niet. Net als instellingen aanpassen. Van de resources blijven ze af, want voor je 't weet voeren ze zomaar een verzoek uit voor 20 cores en 48 GB geheugen.

[lolgast]

Nitpicky of niet, het zijn niet voor niets de bestpractices vanuit MS. Die zijn echt niet ondoordacht

Maar zoals je het nu hebt ingericht is het prima zo te lezen. Admin accounts voor toegang tot backend software. Gewone useraccounts hebben daar nooit iets te zoeken. In mijn ogen zou dat überhaupt niet mogelijk moeten zijn omdat dat soort console nooit beschikbaar zouden moeten zijn vanuit het KA netwerk

[Hero of Time]

Grotere bedrijven hebben vaak een apart management netwerk op z'n eigen vlan. Bij MKB is dat wat anders. Mijn werkplek kan dan in beide netwerken zitten, maar als je een gebruiker moet helpen en 'even snel' bij die management omgeving moet, is dat wat lastig als dat systeem niet in het management netwerk/vlan zit. En dus heb je management zaken in het 'normale' netwerk.

We hebben al VoIP gescheiden, maakt het makkelijker om het via een andere gateway/internetverbinding te routeren. En gasten wifi is ook al een ander vlan en verbinding.

Ik ben blij dat ik in de afgelopen 10 jaar dat ik in dit vak werk bij grotere bedrijven heb gezeten om af te kijken hoe zaken 'horen' en beter kunnen zodat ik het vergelijkbaar en naar eigen inzicht hier kan toepassen.

[ Voor 16% gewijzigd door Hero of Time op 20-08-2020 20:58 ]

[Turdie]

asing schreef op woensdag 19 augustus 2020 @ 20:46:
[...]

Nee, niet voor het nette. Je domain administrator geef je een fatsoenlijk wachtwoord. Dat print je uit en dat gaat in een kluis. Vervolgens maak je voor iedereen die beheer rechten nodig heeft een eigen admin account aan. Daar werken ze op.

Het resultaat is dat als er eentje vertrekt, je dat adin account blokkeert en klaar ben je. Anders moet je het wachtwoord van je administrator wijzigen en ik ken er genoeg die dat na jaren niet meer durven uit angst dat er wat kapot gaat.

Daar bovenop kan je het administrator account hernoemen tegen brute force aanvallen.

In Azure AD heb je nu zelfs Azure AD Privileged Identity Management, als je een beheer rol nodig heb kun je voor een aantal uur aanvragen, voor high risk rollen zoals Global Admin kan je zelfs instellen dat het door iemand anders approved moet worden en dat degene die hem aanvraagt een ticket nummer moet invullen of een omschrijving waar hij/zij het voor nodig heeft. Ook al je toegang wil hebben tot bepaalde resources kun je instellen dat aangevraagd moet worden.

[ Voor 9% gewijzigd door Turdie op 20-08-2020 21:05 ]

[asing]

@Hero of Time je kan mij een oude plaat noemen maar ik werk in bedrijven waar auditors komen. Die zien dat graag netjes opgelost en gewone gebruikersaccounts beheerrechten geven of het domain admin wachtwoord met elkaar delen is gewoon niet oké. Je begint met een verse AD dus dit is je kans om het goed te doen.

Uiteindelijk, na mij een verwijt gegeven te hebben, stop je het netjes in rollen dus je kan het best. Ik snap alleen niet waarom ik dan een verwijt moet krijgen.

In ander nieuws.... So close, yet so far away : https://techcommunity.mic...lorer-11-and/ba-p/1591666

[lolgast]

@Hero of Time Ook bij grote organisaties heb je IT'ers die wel eens naast een gebruiker moeten zitten hoor. Het is niet alsof iedereen daar ineens (nog) mensen vreemder wordt

Ik weet niet waarom je steeds naar het MKB refereert als iets waar je zaken minder goed hoeft te regelen? Ik heb inmiddels +/- 50 klanten in het MKB beheert en die zijn allemaal blij als ze horen dat het er goed bij staat. Voor mij hoort een scheiding tussen KA en backend daar ook bij. Dat klinkt heel vervelend, maar is met 1 simpele server als stepping stone op te lossen.

Bij een check op de omgeving door een andere partij (om welke reden dan ook) gaan dit soort zaken vermeldt worden. En bij wie klopt het management dan aan? Ik heb aan beide kanten van de tafel gezeten, ik weet inmiddels ook welke partij meestal het voordeel heeft.

[lolgast]

asing schreef op donderdag 20 augustus 2020 @ 21:14:
...

In ander nieuws.... So close, yet so far away : https://techcommunity.mic...lorer-11-and/ba-p/1591666

Ik zit midden in een project om Edge Chromium als nieuwe standaard browser aan te bieden. De hoeveelheid software leverancier die alleen IE11 ondersteunen is echt te kansloos voor woorden. Geen reden om niet door te gaan (mede door Enterprise mode) maar sommige producenten leveren wat dat betreft echt rommel.

Ik ben overigens wel echt te spreken over de nieuwe Edge, ook in zakelijk opzicht. Prima in te richten. SSO is wat lastiger dan via IE11 in mijn ogen, maar dat is voor Chrome en Firefox ook al gedoe.

[TheBrain]

Hero of Time schreef op donderdag 20 augustus 2020 @ 20:57:
Grotere bedrijven hebben vaak een apart management netwerk op z'n eigen vlan. Bij MKB is dat wat anders. Mijn werkplek kan dan in beide netwerken zitten, maar als je een gebruiker moet helpen en 'even snel' bij die management omgeving moet, is dat wat lastig als dat systeem niet in het management netwerk/vlan zit. En dus heb je management zaken in het 'normale' netwerk.

De admin werkplek zou op een jumphost in het management netwerk moeten leven. Niet op de laptop van de beheerder.

Er zou ook scheiding moeten zijn tussen users, printers, servers, telefonie, (guest) WiFi etc. Eigenlijk moet je tussen omgevingen/applicaties onderling ook segmenteren maar dan loop je in het MKB al snel tegen budgetlimieten aan (meer beheerwerk/duurdere apparatuur).

Als externe provider is dat wat makkelijker in te richten als algemene standaard want dan heb je de schaalgrootte wel weer en kan je het toch voor een schappelijke prijs aanbieden.

[Hero of Time]

@asing, je krijgt een verwijt omdat je geen antwoord geeft op de vraag die ik stelde en komt met irrelevante herhaling van zaken die reeds bekend zijn. Je zegt zelf ook al dat ik het al (grotendeels) toepas.

@lolgast, ik refereer naar het MKB als omgeving waar zaken eerder bij elkaar blijven staan dan dat het wordt gescheiden. @TheBrain legt dat mooi uit. De omgeving is vaak te klein en de tijd en het budget beperkt om het zo uitgebreid te scheiden. Het is daarom niet zozeer een reden om het niet te hoeven/moeten doen, maar een verklaring waarom het vaak niet gebeurt. Het vereist ook een zekere expertise niveau om het fatsoenlijk te kunnen doen. Als all-rounder is dat best lastig. Ik heb het netwerk, de hardware, storage, virtualisatie, telefonie en security onder m'n hoede. Zo even snel uit m'n hoofd gezegd, want ik vergeet gegarandeerd nog wat.

[Arfman]

Iemand toevallig nog een goed, werkend tooltje of manier om een MBR disk (die tegen de 2TRB limiet aanloopt) om te zetten naar GPT? Alles wat ik vind is trialware en met mbr2gpt lukt het niet, die kan voor zover ik kan zien alleen systeempartities omzetten.

[Brahiewahiewa]

Arfman schreef op maandag 24 augustus 2020 @ 13:07:
Iemand toevallig nog een goed, werkend tooltje of manier om een MBR disk (die tegen de 2TRB limiet aanloopt) om te zetten naar GPT? Alles wat ik vind is trialware en met mbr2gpt lukt het niet, die kan voor zover ik kan zien alleen systeempartities omzetten.

diskpart

[Creep]

GrasshopperNL schreef op woensdag 19 augustus 2020 @ 20:50:
Je geeft aan blacklist te hebben gecontroleerd, maar heb je ook die van MS getest?
Ik zou als ik jou was even een connector aanmaken in Ex Online, en met powershell even een test mailtje sturen via je Mx record als smtp server.
Als je met je ip op een blacklist staat bij MS krijg je dat dan te zien.

Ik heb met Powershell een mail verstuurd via direct send en smtp authenticated smtp via deze scripts en alle mail komt aan. Dan kan dat externe IP adres van die locatie toch niet op een blacklist staan bij Office365?

Ik ben door mijn opties heen, ik denk toch dat het iets met DNS is, aangezien ik deze melding krijg: Could not connect to the server. Check the network cable and connector, and check the network status.

Niks authenticatie, gewoon geen connectie. Printer kan wel printen via netwerk en kan ook een server in Japan van Canon via DNS benaderen.

[Renegade666]

@Creep
Andere DNS geprobeerd dan?

[Creep]

Renegade666 schreef op maandag 24 augustus 2020 @ 17:13:
@Creep
Andere DNS geprobeerd dan?

Van de router, eigen DNS server, Google DNS. Geen van alle succes. Ook een IP adres van smtp.office365.com geprobeerd en <tenant>.mail.protection.outlook.com geprobeerd. Allemaal dezelfde melding op 3 MFP's van Canon. Tijdens mijn afwezigheid(enige systeembeheerder hier) spontaan opgetreden.

[Hero of Time]

Ik zou denken aan TLS settings. Echter zou MS TLS 1.0 en 1.1 pas later gaan uitfaseren. Maar kijk eens wat je naar voren kan halen als je met de smtp server wil connecten met iets anders dan TLS 1.2.

Oh, nog leuker om te doen: gooi een sniffer tussen de printer en het web en ga kijken wat het zoal doet. Je zou zelfs iets als sslsplit kunnen gebruiken om het encrypted verkeer uit te lezen. Die MFP's geven toch geen zak om welk certificaat het krijgt.

[Renegade666]

Creep schreef op maandag 24 augustus 2020 @ 17:24:
[...]

Van de router, eigen DNS server, Google DNS. Geen van alle succes. Ook een IP adres van smtp.office365.com geprobeerd en <tenant>.mail.protection.outlook.com geprobeerd. Allemaal dezelfde melding op 3 MFP's van Canon. Tijdens mijn afwezigheid(enige systeembeheerder hier) spontaan opgetreden.

Als je windows server hebt (of linux, mag ook), gewoon een smtp relay aanmaken, gaat 100% werken. Ben je van het geneuzel af dat het niet werkt..

[Creep]

Creep schreef op maandag 24 augustus 2020 @ 17:24:
[...]

Van de router, eigen DNS server, Google DNS. Geen van alle succes. Ook een IP adres van smtp.office365.com geprobeerd en <tenant>.mail.protection.outlook.com geprobeerd. Allemaal dezelfde melding op 3 MFP's van Canon. Tijdens mijn afwezigheid(enige systeembeheerder hier) spontaan opgetreden.

Zucht, het was DNS. Er stond een spatie in de DNS-naam. Je mag een spatie invullen en opslaan en werkt blijkbaar eventjes, maar dan stopt het opeens na een paar dagen met werken.