Het grote kleine-SysOps-vragen topic deel 1

[Endpoint]

qwasd schreef op woensdag 13 juli 2022 @ 22:36:
Server 2019 CVAD 2203 LTSR omgeving.
Zijn de overstap aan het maken naar Fslogix met profile en office containers.

Heeft iemand een redirections.xml met juiste exclusions die gedeeld kan worden ? (Chrome, Edge, Teams etc.)

Ik heb er nu 1 in staan van James Kindon en die blijft de service worker map van teams opslaan in de vhdx. Dit zou echter geexclude moeten worden...

Hou hem zo leeg mogelijk en exclude alleen de hele grote cache mappen als Teams en Chrome cache.

Gewoon een aantal gebruikers laten draaien en met Treesize kijken wat de vervuilers zijn en of je die kan verwijderen

[Arfman]

Vraagje. Wij hebben MFA geintroduceerd voor al onze medewerkers in onze Azure tenant. Werkt allemaal prima, maar nu hebben we steeds mensen aan de balie wiens telefoon stuk is of dat men een nieuwe heeft, en dan moeten wij ze weer helpen om de Authenticator op de nieuwe telefoon te configureren.

Is er geen manier om mensen zelf hun MFA methode te laten resetten via een portal of iets dergelijks?

[Vorkie]

Arfman schreef op maandag 18 juli 2022 @ 11:35:
Vraagje. Wij hebben MFA geintroduceerd voor al onze medewerkers in onze Azure tenant. Werkt allemaal prima, maar nu hebben we steeds mensen aan de balie wiens telefoon stuk is of dat men een nieuwe heeft, en dan moeten wij ze weer helpen om de Authenticator op de nieuwe telefoon te configureren.

Is er geen manier om mensen zelf hun MFA methode te laten resetten via een portal of iets dergelijks?

Jawel, door ze bijvoorbeeld een telefoonnummer te laten registeren, dan kunnen ze ook inloggen met een SMS in hun profiel en zo doende via https://mysignins.microsoft.com/security-info (https://myprofile.microsoft.com/) de oude verwijderen en een nieuwe toevoegen.

[Voor 3% gewijzigd door Vorkie op 18-07-2022 11:37]

[Arfman]

Vorkie schreef op maandag 18 juli 2022 @ 11:37:
[...]


Jawel, door ze bijvoorbeeld een telefoonnummer te laten registeren, dan kunnen ze ook inloggen met een SMS in hun profiel en zo doende via https://mysignins.microsoft.com/security-info (https://myprofile.microsoft.com/) de oude verwijderen en een nieuwe toevoegen.

OK, maar wat nou als ze alleen hun authenticator app hebben geregistreerd (98% in ons geval)?

[Duinkonijn]

Arfman schreef op maandag 18 juli 2022 @ 12:22:
[...]

OK, maar wat nou als ze alleen hun authenticator app hebben geregistreerd (98% in ons geval)?

Je kan ze het ook nog achteraf laten doen via http://aka.ms/mfasetup

https://docs.microsoft.co...to-azure-active-directory

[Voor 25% gewijzigd door Duinkonijn op 18-07-2022 18:58]

[Drardollan]

Voor de extra SMS is wel een Azure P1 of hoger nodig. Anders kan je het niet activeren.

[Arfman]

Duinkonijn schreef op maandag 18 juli 2022 @ 18:45:
[...]

Je kan ze het ook nog achteraf laten doen via http://aka.ms/mfasetup

https://docs.microsoft.co...to-azure-active-directory

OK, maar dan ben ik even een domme gebruiker. Mijn telefoon is kwijt/stuk/gereset dus ik kom op de inlogpagina (want gefedereerde toegang), kan geen MFA authenticatie accorderen, en ik sta met m'n sorry ass weer bij de ICT balie. Hoe voorkom ik dat? Ik weet dat het kan, ik heb het een keer gezien bij een collega instelling. Mensen konden daar een MFA reset triggeren (was niet via een MS tool volgens mij). Maar blijkbaar leg ik het niet goed uit

[Mantis]

Als je de self-service password reset portal activeert voor je gebruikers, krijgen ze een prompt bij volgende login om verplicht meerdere MFA opties te activeren. Gaat om deze pagina: https://aka.ms/ssprsetup

/edit: indien je graag scripts schrijft, kan je ook bv een waarschuwingsmailtje sturen naar personen die slechts 1 MFA optie actief hebben: https://docs.microsoft.com/en-us/graph/api/userregistrationdetails-get?view=graph-rest-beta&tabs=http

[Voor 42% gewijzigd door Mantis op 19-07-2022 17:04]

[_Eend_]

Mantis schreef op dinsdag 19 juli 2022 @ 16:51:
Als je de self-service password reset portal activeert voor je gebruikers, krijgen ze een prompt bij volgende login om verplicht meerdere MFA opties te activeren. Gaat om deze pagina: https://aka.ms/ssprsetup

/edit: indien je graag scripts schrijft, kan je ook bv een waarschuwingsmailtje sturen naar personen die slechts 1 MFA optie actief hebben: https://docs.microsoft.com/en-us/graph/api/userregistrationdetails-get?view=graph-rest-beta&tabs=http

We're sorry, but your administrator has not enabled you to register at this time.

[FREAKJAM]

Beter activeer je de combined registration portal, dan sla je twee vliegen in één klap (zowel MFA als SSPR registratie in één wizard) en bovendien ziet het er ook een stuk gelikter uit. De combined registration optie wordt sowieso binnenkort de standaard. Zorg wel dat de gebruikers in scope zijn voor registratie, anders krijg je inderdaad bovenstaande melding.

Combined security information registration for Azure Active Directory overview.

Eerder genoemde url's blijven werken (mfasetup, ssprsetup) en redirecten naar https://aka.ms/setupsecurityinfo

[Voor 23% gewijzigd door FREAKJAM op 19-07-2022 21:03]

[Duinkonijn]

Arfman schreef op dinsdag 19 juli 2022 @ 16:28:
[...]

OK, maar dan ben ik even een domme gebruiker. Mijn telefoon is kwijt/stuk/gereset dus ik kom op de inlogpagina (want gefedereerde toegang), kan geen MFA authenticatie accorderen, en ik sta met m'n sorry ass weer bij de ICT balie. Hoe voorkom ik dat? Ik weet dat het kan, ik heb het een keer gezien bij een collega instelling. Mensen konden daar een MFA reset triggeren (was niet via een MS tool volgens mij). Maar blijkbaar leg ik het niet goed uit

Via mfasetup, kan je secundaire authentiekatie opgeven, als privé e-mail, telefoonnummers, al dan niet 06

[FREAKJAM]

Let wel:

Wanneer je als gebruiker al enrolled bent met enkel de authenticator app en je gaat naar https://aka.ms/mfasetup bestaat de kans dat deze MFA moet doen, dus dan heb je het kip-ei probleem (want de gebruiker heeft een nieuwe telefoon of deze werkt niet meer).

Je privemail is trouwens in deze geen primaire of secundaire authenticatiemethode voor MFA, maar wordt gebruikt als verificatiemethode voor SSPR. Niet alle authenticatiemethodes kunnen gebruikt worden als 2de factor en/of voor MFA/SSPR. Zoals al eerder door iemand aangegeven hebben Azure AD Free tenants in combinatie met de Azure AD security defaults alleen recht op gebruik van de authenticator app en is SMS/bellen etc niet mogelijk als 2de factor.

How each authentication method works

Er is geen echte mooie oplossing naar mijn mening voor het resetten van MFA door de eindgebruiker zelf. Je kunt een cloud backup maken van de Authenticator app, maar is ook niet gebruiksvriendelijk. Nu nog SMS inzetten als beschikbare secundaire factor is naar mijn idee ook niet verstandig meer, gezien dit één van de minst veilige opties is (denk bijv aan sim swapping).

What authentication and verification methods are available in Azure Active Directory?

Require Re-Register MFA vereist een administratieve handeling (door een beheerder), maar is wel het meest gebruikvriendelijk (gebruiker krijgt de wizard opnieuw). Nadeel is wel dat dit niet kan zonder tussenkomst van een IT-medewerker

Manage user authentication options

[Voor 87% gewijzigd door FREAKJAM op 19-07-2022 22:43]

[Arfman]

Juist @FREAKJAM , jij snapt het. Ik heb mezelf enrolled in MFA en SSPR met de combined portal, maar als ik doe alsof ik mijn telefoon kwijt ben kan ik gewoon niet bij al die pagina's want MFA. Ik zal toch eens bij die collega instelling gaan navragen hoe zij dat gefixed hebben, want nu hebben we iedereen eindelijk op MFA en SSPR, is de helpdesk nog steeds druk met koekwausen die hun telefoon mollen/doorverkopen/resetten

[Hero of Time]

Zulke mensen zal je altijd houden. Wij hadden laatst eentje die haar telefoon thuis had laten liggen. Tja, leuk dat je een tweede toestel hebt, maar als je daar niets op hebt staan als tweede apparaat voor 2/MFA, zitten we alsnog een reset te doen omdat je niet even heen en weer wilt rijden.

Voor een ander moest er een reset uitgevoerd worden omdat de telefoon stuk was, maar was er geen vervangend toestel nog, die kwam pas in de middag. Succes daarmee.

[asing]

Het beste wat je kan doen is de gebruiker verplichten zowel de authenticor app te installeren en te gebruiken als ook het opgeven van het mobiele nummer.

Je authenticatie uitbreiden met een device check is veiliger maar het maakt je afhankelijk van dat device. Gestolen, verloren, thuis laten liggen, accu leeg of toestel defect maakt dat een medewerker niet meer kan werken omdat MFA niet goedgekeurd kan worden. Een nieuw toestel is ook zoiets en niemand maakt van tevoren een cloud backup van de authenticator.

Als aan alle voorwaarden wordt voldaan dan kan de medewerker altijd inloggen zonder daar support voor in te schakelen. Als het toestel niet beschikbaar is, loop je de kans dat de medewerker niet meer kan werken maar dat is het gevolg van het beveiligingsbeleid.

Dat brengt meteen de discussie of het kunnen inloggen afhankelijk moet zijn van een persoonlijk device van de medewerker.

[The Eagle]

Arfman schreef op dinsdag 19 juli 2022 @ 23:02:
Juist @FREAKJAM , jij snapt het. Ik heb mezelf enrolled in MFA en SSPR met de combined portal, maar als ik doe alsof ik mijn telefoon kwijt ben kan ik gewoon niet bij al die pagina's want MFA. Ik zal toch eens bij die collega instelling gaan navragen hoe zij dat gefixed hebben, want nu hebben we iedereen eindelijk op MFA en SSPR, is de helpdesk nog steeds druk met koekwausen die hun telefoon mollen/doorverkopen/resetten

Dan ben je denk ik vergeten af te dwingen dat de telefoon ook onder je corporate MDM moet vallen. BYOD prima, maar wel device onder management brengen. Je laat toch ook geen vreemde laptops op je netwerk toe?

[FREAKJAM]

BYOD mobile devices kun je prima toegang geven tot corporate resources en op applicatieniveau managen met MAM (MDM wordt trouwens over het algemeen niet geaccepteerd door de eindgebruiker in het geval van een personal device) , maar dat staat los van het probleem wat Arfman omschrijft.

@Arfman wat me nog wel te binnen schiet: kun je eens testen met toegang tot bijv. https://aka.ms/mfasetup op basis van een temporary access password? Het aanmaken van een tijdelijk wachtwoord moet nog steeds uitgevoerd worden door een beheerder, maar dan krijgt de gebruiker als het goed is geen MFA prompt en kan men de authenticatiemethode opnieuw instellen.

[Voor 6% gewijzigd door FREAKJAM op 20-07-2022 20:04]

[Arfman]

MDM hebben we hier (nog) niet; mensen zijn verzocht om de MS Authenticator op hun toestel te installeren. Veel mensen hebben een mobiel van de zaak dus aan dat verzoek werd voldaan. Ook mensen met privételefoons deden over het algemeen niet moelijk, ik geloof dat we uiteindelijk zo'n 25 hardwaretokens hebben uitgegeven. We hebben vooral gehamerd op alle voordelen die het biedt (betere veiligheid, in de toekomst makkelijker inloggen met passwordless authenticatie, etc.).

Verder hebben we het token aanvraag proces zo moeilijk mogelijk gemaakt; je moest toestemming aan je manager vragen voor een uitzondering, dat werd dan een apart traject in Topdesk, je moest uiteraard fysiek de token ophalen (kon maar bij 1 locatie) en we hebben het allerlelijkste token uitgezocht die we konden vinden

En @FREAKJAM , het hele punt is dat we zonder tussenkomst van helpdesk een MFA reset kunnen uitvoeren. Buiten dat is een temporary access token een prima oplossing inderdaad, met name voor mensen die hun telefoon leeg hebben/vergeten zijn. Je zet een temp token aan, ze kunnen een dag hun ding doen en de volgende dag werkt alels weer zoals het hoort.

[downtime]

Toen bij ons op de zaak MFA werd ingevoerd heb ik ze ook uitgelegd dat ik geen garantie geef dat ik binnen een dag, een week of een maand een nieuwe telefoon heb als er iets met de oude gebeurd.
Als ik wil wachten tot er in november een nieuwe iPhone in de winkel ligt dan behoud ik me dat recht voor. Als ik lekker retro eens een Nokia 3310 wil dan doe ik dat ook. Dus ze kunnen hun MFA maar beter niet afhankelijk maken van een mobiel apparaat waar zij niet voor betaald hebben.

Na wat navragen bleek dat overigens geen issue te zijn. Er werden ook backup methodes aangeboden maar dat waren ze vergeten te melden in de oorspronkelijke communicatie.

[Hero of Time]

Liep vandaag tegen een vervelend probleem aan, misschien dat iemand het zelf heeft meegemaakt en een oplossing heeft. Het issue:
Tijdens ingelogd te zijn op een nieuwe RDS server via Windows Admin Center proberen in te loggen via RDP die gebruik maakt van FSLogix profiel containers. Dit gaat in eerste instantie goed. Andersom doet het ook, eerst RDP dan WAC, geen probleem.

Echter, eenmaal dit gedaan te hebben kom je via beide methodes er niet meer op ingelogd. Enige optie die ik tot op heden heb gevonden is de server herstarten. Dan kan ik weer inloggen. Andere gebruikers, zoals local admin, heeft geen probleem om in te loggen, het probleem is echt met alleen mijn (admin) gebruiker.

WAC geeft aan dat WinMAN geen sessie kan opzetten. Herstarten van de WinRM service heeft geen zin. Via RDP inloggen geeft een zwart scherm en dat is het. Event Viewer geeft aan dat Explorer.exe crasht en voor fslogix is er in het log en Event Viewer te zien dat het de variabelen voor TEMP en TMP niet kan zetten en een map niet gevonden kan worden (dat zal de temp zijn, die overigens wel bestaat onder local_<gebruiker>).

Nu moet ik nog iets verder testen, maar zoals het er naar uit ziet moet ik voorzichtig zijn dat ik geen WAC (remote powershell) of RDP sessie start als de andere reeds bestaat. Een mogelijke oplossing is fslogix op de domain admins uitsluiten zodat er lokale profielen zijn.
Bedenk mij nu ook dat ik dit niet met de standaard UPD oplossing heb geprobeerd, of het daar ook een probleem geeft.

[Tylen]

Hero of Time schreef op donderdag 21 juli 2022 @ 18:47:
Liep vandaag tegen een vervelend probleem aan, misschien dat iemand het zelf heeft meegemaakt en een oplossing heeft. Het issue:
Tijdens ingelogd te zijn op een nieuwe RDS server via Windows Admin Center proberen in te loggen via RDP die gebruik maakt van FSLogix profiel containers. Dit gaat in eerste instantie goed. Andersom doet het ook, eerst RDP dan WAC, geen probleem.

Echter, eenmaal dit gedaan te hebben kom je via beide methodes er niet meer op ingelogd. Enige optie die ik tot op heden heb gevonden is de server herstarten. Dan kan ik weer inloggen. Andere gebruikers, zoals local admin, heeft geen probleem om in te loggen, het probleem is echt met alleen mijn (admin) gebruiker.

WAC geeft aan dat WinMAN geen sessie kan opzetten. Herstarten van de WinRM service heeft geen zin. Via RDP inloggen geeft een zwart scherm en dat is het. Event Viewer geeft aan dat Explorer.exe crasht en voor fslogix is er in het log en Event Viewer te zien dat het de variabelen voor TEMP en TMP niet kan zetten en een map niet gevonden kan worden (dat zal de temp zijn, die overigens wel bestaat onder local_<gebruiker>).

Nu moet ik nog iets verder testen, maar zoals het er naar uit ziet moet ik voorzichtig zijn dat ik geen WAC (remote powershell) of RDP sessie start als de andere reeds bestaat. Een mogelijke oplossing is fslogix op de domain admins uitsluiten zodat er lokale profielen zijn.
Bedenk mij nu ook dat ik dit niet met de standaard UPD oplossing heb geprobeerd, of het daar ook een probleem geeft.

Disable fslogix eens. Heb dit wel eens eerder gezien als je in de gpo van fslogix teveel gaat prutsen aan de bestandsnamen van de containers. Dan kan je 1 keer inloggen en daarna niet meer. Best practice is ook om je admin accounts/groups te excluded dmv ze toe te voegen in de lokale exclude groepen.

[Hero of Time]

Tylen schreef op zaterdag 23 juli 2022 @ 18:37:
[...]

Disable fslogix eens. Heb dit wel eens eerder gezien als je in de gpo van fslogix teveel gaat prutsen aan de bestandsnamen van de containers. Dan kan je 1 keer inloggen en daarna niet meer. Best practice is ook om je admin accounts/groups te excluded dmv ze toe te voegen in de lokale exclude groepen.

Punt is dat wanneer ik met WAC de server wil beheren, er een lokaal profiel wordt gemaakt.

Eerst bestaat c:\users\<admin> niet, log ik in met RDP dan wordt die map aangemaakt en de fslogix container wordt hierop gekoppeld. Dat kan ik zo vaak doen als ik wil, inloggen, uitloggen, herhalen, niets aan de hand.

Ga ik met WAC naar de server, dan wordt er ook een map voor m'n profiel gemaakt, maar dat is geen fslogix methode. Ga ik uit de server terug naar het overzicht, dan blijft het profiel er staan. In het register onder HKEY_USERS is het register van de gebruiker ook nog geladen. En juist dát lijkt het probleem te zijn. Want met deze nog geladen, kan om een of andere reden fslogix niets meer. Wat het wil doen, faalt.

Ben ik al met RDP ingelogd en is m'n fslogix profiel geladen, dan doet WAC het ook gewoon prima. Eruit, terug erin met WAC, niets aan de hand. Maar log ik af met RDP, dan is het limbo en wil WAC ook niets meer.

Ik had ook nog eens getest met een aparte remote powershell sessie. Daar zag ik namelijk dat er een profiel wordt gemaakt en het register ervan wordt geladen voor zolang het powershell venster open is. Enter-PSSession, Exit-PSSession, kan gewoon. Exit-PSSession doet wel wat sluiten, maar niet volledig, dat is dus pas als het venster wordt gesloten.

Omdat WAC met remote powershell werkt, kan ik maar 1 ding bedenken wat hier gebeurt: de sessie wordt niet fatsoenlijk gesloten. Er blijft iets hangen en ik weet niet wat de timeout is.

Met de huidige 2012R2 RDS omgeving kreeg ik namelijk ook een tijdelijk profiel als ik met WAC was ingelogd op de server, UPD kon niet op de locatie gekoppeld worden en kreeg ik een tijdelijk profiel. Maar een tijdje later kreeg ik wel gewoon m'n profiel geladen.
Waarom het hier wel herstelde en bij de 2022 server niet is het mysterie.

[Drardollan]

Heeft er iemand toevallig veel ervaring met het shrinken van database en log files op een SQL server? Door een bug heb ik een databasefile van 20GB en een logfile van 70Gb gekregen, bug is opgelost en inhoud van beiden zijn weer naar normale proportie gebracht.

Nu weet ik wel hoe ik de boel moet shrinken, maar de ervaring heeft geleerd dat dan de files nog wel eens een gekke explosie willen doen voor ze shrinken. Komt zover ik weet door het herindelen van de data in de files.

Nu dacht ik er aan dat ik misschien gefaseerd zou moeten kunnen shrinken, het maakt mij niet zoveel uit dat het in 25 stappen moet bijvoorbeeld. Maar mijn kennis gaat niet ver genoeg en mijn Google is niet goed genoeg om uit te vinden of dit kan.

Dus, heeft iemand toevallig ervaring die weet of ik dit wat meer gecontroleerd kan doen?

[lolgast]

Ik doe al jaren helemaal 0 met SQL/database beheer, maar volgens mij heb ik 'vroeger' het volgende gedaan:

Nieuwe disk aanmaken die groot genoeg is, logfiles verplaatsen, shrink uitvoeren, logfile terugplaatsen naar originele plaats en extra disk verwijderen?

[Oon]

Drardollan schreef op maandag 25 juli 2022 @ 14:29:
Heeft er iemand toevallig veel ervaring met het shrinken van database en log files op een SQL server? Door een bug heb ik een databasefile van 20GB en een logfile van 70Gb gekregen, bug is opgelost en inhoud van beiden zijn weer naar normale proportie gebracht.

Nu weet ik wel hoe ik de boel moet shrinken, maar de ervaring heeft geleerd dat dan de files nog wel eens een gekke explosie willen doen voor ze shrinken. Komt zover ik weet door het herindelen van de data in de files.

Nu dacht ik er aan dat ik misschien gefaseerd zou moeten kunnen shrinken, het maakt mij niet zoveel uit dat het in 25 stappen moet bijvoorbeeld. Maar mijn kennis gaat niet ver genoeg en mijn Google is niet goed genoeg om uit te vinden of dit kan.

Dus, heeft iemand toevallig ervaring die weet of ik dit wat meer gecontroleerd kan doen?

Heb je de logs nog nodig (bijv. voor ISO procedure) of mag je ze gewoon weggooien? Dat scheelt je al 70GB.

20GB is maar een kleine database, evt. records weggooien en dan een OPTIMIZE TABLE draaien zou de grootte op disk moeten fixen

[Paul]

Ik heb er niet bijzonder veel ervaring mee, maar als ik kijk wat de GUI doet en wat de resulterende T-SQL dan zegt zou een "DBCC SHRINKDATABASE" wel eens het een en ander kunnen reorganiseren.

"DBCC SHRINKFILE" heeft de optie "TRUNCATEONLY", die zou dat niet moeten doen.

Als het om een volle disk gaat dan zou je eerst de ene kunnen truncaten, dan de ander, en dan nog een keer zonder "TRUNCATEONLY" om te kijken of er op disk iets van te bakken is? Op wat voor storage staat het? één spinning disk? Een SSD? Shared spinning disks? Shared all flash storage? Want bij die laatste drie zou ik niet eens heel veel moeite steken het weer "netjes" op schijf te krijgen (lees: te laten reorganiseren door SQL Server); daar wordt onder water al zoveel versnipperd dat het niet uitmaakt.

[Duinkonijn]

Log fils worden dacht ik na een backup gecleaned

[Tylen]

Duinkonijn schreef op maandag 25 juli 2022 @ 14:45:
Log fils worden dacht ik na een backup gecleaned

Dacht ik ook altijd. Even full backup draaien en je logs zijn weer weg/opgeschoont.

[Paul]

SQL Server logs worden wel "weggegooid" maar de schijfruimte wordt niet standaard teruggegeven. In plaats daarvan krijg je lege (lees: bruikbare) ruimte IN het bestand.

Dit omdat zowel shrinken als groeien performance kost, en aangezien een backup als het goed is erg regelmatig (wat niet hetzelfde is als vaak ) wordt gemaakt groeit het tussen deze backup en de volgende toch weer naar dezelfde grootte. Het tussendoor shrinken en (auto)growen is dus zinloos.

Dit in tegenstelling tot éénmalige acties; als de bestanden tussen backups in groeien tot (zeg) 10 GB, en ze zijn nu door die bug 70 GB, dan kun je prima 60 GB terugwinnen door te shrinken.

[Hero of Time]

Voor m'n eigen issue met WAC en RDP icm fslogix: Wanneer je een remote powershell sessie sluit, zoals via WAC terug naar de server lijst, blijft de sessie nog 3 minuten 'actief'. Wanneer een server is geopend in WAC, blijft het wat langer actief maar wordt uiteindelijk ook opgeruimd, al blijft data wel verversen op de weergave (zoals CPU gebruik bij 'Overview') en wordt er direct weer een sessie gestart als je naar een andere sectie gaat.

Dus, gewoon niet dom zijn en een server via WAC openen voordat je RDP verbinding maakt en als je WAC hebt gebruikt op de server niet direct met RDP erheen.

Misschien dat er nog een fslogix instelling is die wat minder zeikerig is, want ik heb momenteel ingesteld staan dat het geen tijdelijk profiel mag maken en het lokale profiel verwijdert als die aanwezig is.

[Tylen]

Hero of Time schreef op maandag 25 juli 2022 @ 17:12:
Voor m'n eigen issue met WAC en RDP icm fslogix: Wanneer je een remote powershell sessie sluit, zoals via WAC terug naar de server lijst, blijft de sessie nog 3 minuten 'actief'. Wanneer een server is geopend in WAC, blijft het wat langer actief maar wordt uiteindelijk ook opgeruimd, al blijft data wel verversen op de weergave (zoals CPU gebruik bij 'Overview') en wordt er direct weer een sessie gestart als je naar een andere sectie gaat.

Dus, gewoon niet dom zijn en een server via WAC openen voordat je RDP verbinding maakt en als je WAC hebt gebruikt op de server niet direct met RDP erheen.

Misschien dat er nog een fslogix instelling is die wat minder zeikerig is, want ik heb momenteel ingesteld staan dat het geen tijdelijk profiel mag maken en het lokale profiel verwijdert als die aanwezig is.

Ja die is er. En dat is je admins lid maken van de lokale exclude groepen

[Hero of Time]

Tylen schreef op maandag 25 juli 2022 @ 17:29:
[...]

Ja die is er. En dat is je admins lid maken van de lokale exclude groepen

[Afbeelding]

Dat zei je eerder ook al. An sich een idee, maar het is wel prettig om op elke server dezelfde settings te houden. En mocht ik wat even op m'n desktop gooien, wil ik dat op de andere servers ook hebben. Redirected folders hebben we, maar excluded voor admins.

Daarom dat ik ook als eigen oplossing heb om niet dom te doen en de verbindingsmogelijkheden mixen.

[Drardollan]

Oon schreef op maandag 25 juli 2022 @ 14:37:
[...]

Heb je de logs nog nodig (bijv. voor ISO procedure) of mag je ze gewoon weggooien? Dat scheelt je al 70GB.

20GB is maar een kleine database, evt. records weggooien en dan een OPTIMIZE TABLE draaien zou de grootte op disk moeten fixen

Die logs zijn al leeg, tis puur ruimte op het filesysteem. Bedoel echt de log file van de database (ldf), dus geen inhoudelijke data.

Optimize table ken ik niet, dank voor de hint.

[Drardollan]

Helaas loze ruimte, de bug is eruit en de data geloosd, blijft over veel diskruimte die ik op termijn nodig heb.

Extra complicerende factor, MSSQL Clustertje. Even verplaatsen van de data kan wel, maar moet op beide machines.

Ik probeer ook van de database af te komen in het algemeen, hoorde net dat ik er wellicht per 1 oktober vanaf kan. Dan is het geen seconde werk waard, heb geen problemen vooralsnog en dan kan het gewoon de bietenbak in.

[Drardollan]

Duinkonijn schreef op maandag 25 juli 2022 @ 14:45:
Log fils worden dacht ik na een backup gecleaned

Enkel als je gebruik maakt van SIMPLE logging. Dat is het helaas niet in dit geval. Inhoud is wel weg, de schijfruimte verkleint dan niet meer.

[Hero of Time]

Ik heb een probleem met de manier waarop ik printers deploy naar gebruikers. Totdat een RDS server reboot, komt er bij elke keer dat je aanmeld een printer connectie bij. Log je voor het eerst in na een reboot, dan heb je er 1. Log je af en weer aan, heb je er 2, en zo door.

Printers geef ik aan gebruikers via de GPO 'Deploy printer'. Dit heb ik zo ingericht omdat het dan vanuit de Print Manager snel en makkelijk te zien is welke printers gedeployed zijn. De printers komen via de korte hostnaam van de server, dus \\printserver\printer.
Is dat wellicht een issue, ipv de fqdn van de server gebruiken? Is het beter om GPP in te zetten om printers uit te rollen en dan eventueel item level targeting zodat het via 1 policy gedaan kan worden, ipv een policy per printer die voor specifieke groep wordt toegepast?

Als ik overigens de printer wil verwijderen, kan ik dat soms zonder problemen doen, maar wanneer er meerdere connecties zijn, krijg ik een UAC prompt voor admin rechten.

Online word ik niet heel veel wijzer over dit issue. Een van de resultaten heeft het over een register instelling om printers bij het afmelden te verwijderen. Die heb ik toegepast, maar lijkt niets te doen, de printer connectie blijft bestaan.

Ik denk ook niet dat het direct te maken heeft met hoe het profiel wordt geladen, want het gebeurt met zowel FSLogix, UPD en vaste profielen (er is een applicatieserver waar de gebruiker waaronder de applicatie interactief moet draaien een normaal profiel heeft en ook meerdere connecties naar printers heeft).

[redfons]

Staan de printers op een Domain Controller?

Hero of Time schreef op donderdag 11 augustus 2022 @ 21:14:
Ik heb een probleem met de manier waarop ik printers deploy naar gebruikers. Totdat een RDS server reboot, komt er bij elke keer dat je aanmeld een printer connectie bij. Log je voor het eerst in na een reboot, dan heb je er 1. Log je af en weer aan, heb je er 2, en zo door.

Printers geef ik aan gebruikers via de GPO 'Deploy printer'. Dit heb ik zo ingericht omdat het dan vanuit de Print Manager snel en makkelijk te zien is welke printers gedeployed zijn. De printers komen via de korte hostnaam van de server, dus \\printserver\printer.
Is dat wellicht een issue, ipv de fqdn van de server gebruiken? Is het beter om GPP in te zetten om printers uit te rollen en dan eventueel item level targeting zodat het via 1 policy gedaan kan worden, ipv een policy per printer die voor specifieke groep wordt toegepast?

Als ik overigens de printer wil verwijderen, kan ik dat soms zonder problemen doen, maar wanneer er meerdere connecties zijn, krijg ik een UAC prompt voor admin rechten.

Online word ik niet heel veel wijzer over dit issue. Een van de resultaten heeft het over een register instelling om printers bij het afmelden te verwijderen. Die heb ik toegepast, maar lijkt niets te doen, de printer connectie blijft bestaan.

Ik denk ook niet dat het direct te maken heeft met hoe het profiel wordt geladen, want het gebeurt met zowel FSLogix, UPD en vaste profielen (er is een applicatieserver waar de gebruiker waaronder de applicatie interactief moet draaien een normaal profiel heeft en ook meerdere connecties naar printers heeft).

[Hero of Time]

redfons schreef op donderdag 11 augustus 2022 @ 21:24:
Staan de printers op een Domain Controller?

[...]

Aparte printserver, lid van het domein. Ik publish ze sindskort wel in AD, maar geen verschil qua gedrag daarvoor gezien.

[redfons]

Hero of Time schreef op donderdag 11 augustus 2022 @ 21:27:
[...]

Aparte printserver, lid van het domein. Ik publish ze sindskort wel in AD, maar geen verschil qua gedrag daarvoor gezien.

Misschien dat je er iets aan hebt, wij hebben een klant met W2K16 en daar hadden ze problemen met dubbele printers, printers konden niet ingesteld worden als standaard en andere printer gaven een fout met selecteren.
Dit artikel heeft dit probleem opgelost.

https://social.technet.mi...printer?forum=winserverTS
Het stuk van Frank heeft hierin goed geholpen.

[Hero of Time]

Morgen kijk ik het even wat beter, maar ik zie niet veel van onze problemen. Bij ons is het nog wel mogelijk om de default printer te wijzigen. Het gebeurt op 2012R2 en 2022. De registerkey waar eerder over wordt gesproken, RemovePrinterOnUserLogOff heb ik gezet maar lost het niet op.

[Duinkonijn]

Heb je de spooler wel eens geschopt?
https://www.reddit.com/r/...ters_showing_up_multiple/ ts&prnsrv

Misschien de driver isoleren?
https://docs.microsoft.co.../printer-driver-isolation

[Voor 32% gewijzigd door Duinkonijn op 12-08-2022 20:58]

[Hero of Time]

@Duinkonijn ik zie even niet wat de driver isolation helpt bij de meerdere connecties naar dezelfde printer. Het artikel gaat over bugs in de driver dat het print systeem, zoals de spooler, laat crashen. Dat is niet wat gebeurt.

Herstarten van de print spooler is een optie, maar dat is weer een reactieve actie, geen oplossing om de vele connecties te voorkomen. En ik heb al eens de spooler services op de RDS server herstart (niet op de printserver, want er werd nog actief gebruik gemaakt van printers), maar dat haalde niet de extra connecties weg.

[Duinkonijn]

Ik heb een vermoeden dat het mogelijk iets is met geheugen addressing van de driver, maar dit is een wilde gok.

De driver library van de ts komt qua naam en versie overeen met de printerserver?

[Voor 27% gewijzigd door Duinkonijn op 13-08-2022 06:21]

[Hero of Time]

Ja, de TS'en krijgen de drivers van de printserver. En het zijn ook verschillende merken printers ook, Zebra, Ricoh, Oki, allemaal vertonen ze dit gedrag. Paar zijn type-4 drivers, de rest is type-3, dus dat is ook niet direct een hint naar of het met een specifiek type driver ofzo te maken heeft.

Op de 2022 omgeving wordt er overigens de Point and Print driver gebruikt bij de printer die mijn eigen gebruiker krijgt en ook die doet dit rare gedrag. De Server 2022 TS omgeving is nog niet in productie, dus daar kan ik nog van alles mee testen en proberen.

[Duinkonijn]

Hero of Time schreef op zaterdag 13 augustus 2022 @ 10:59:
Ja, de TS'en krijgen de drivers van de printserver. En het zijn ook verschillende merken printers ook, Zebra, Ricoh, Oki, allemaal vertonen ze dit gedrag. Paar zijn type-4 drivers, de rest is type-3, dus dat is ook niet direct een hint naar of het met een specifiek type driver ofzo te maken heeft.

Op de 2022 omgeving wordt er overigens de Point and Print driver gebruikt bij de printer die mijn eigen gebruiker krijgt en ook die doet dit rare gedrag. De Server 2022 TS omgeving is nog niet in productie, dus daar kan ik nog van alles mee testen en proberen.

Met print management kan je drivers vergelijken, mogelijk dat er een verschil in zit fabrikant drivers vs MS

[Hero of Time]

Duinkonijn schreef op zaterdag 13 augustus 2022 @ 11:56:
[...]

Met print management kan je drivers vergelijken, mogelijk dat er een verschil in zit fabrikant drivers vs MS

Nope, geen verschil. Zoals gezegd, ook de PnP driver die MS gebruikt als het niet direct de specifieke driver kan installeren maakt meerdere instanties aan van de printer als je opnieuw inlogt.

En ik had eerder deze week een driver op de printserver bijgewerkt om 2022 te ondersteunen, maar tegelijk werd 2012R2 dat niet meer. Gevolg: kon niet meer printen op die printers, want driver week af en kon niet bijgewerkt worden.

Het moet iets in de manier waarop gebruikers de printers krijgen zitten, want als iemand handmatig een printer toevoegt, blijft dat er wel een. Daarom vroeg ik ook, wat is de beste methode, deploy printer wat je vanuit Print Management kan doen, of GPP met eventueel item-level targeting zodat je niet op GPO niveau het toepassen hoeft te regelen.

[Tylen]

Hero of Time schreef op zaterdag 13 augustus 2022 @ 12:38:
[...]

Nope, geen verschil. Zoals gezegd, ook de PnP driver die MS gebruikt als het niet direct de specifieke driver kan installeren maakt meerdere instanties aan van de printer als je opnieuw inlogt.

En ik had eerder deze week een driver op de printserver bijgewerkt om 2022 te ondersteunen, maar tegelijk werd 2012R2 dat niet meer. Gevolg: kon niet meer printen op die printers, want driver week af en kon niet bijgewerkt worden.

Het moet iets in de manier waarop gebruikers de printers krijgen zitten, want als iemand handmatig een printer toevoegt, blijft dat er wel een. Daarom vroeg ik ook, wat is de beste methode, deploy printer wat je vanuit Print Management kan doen, of GPP met eventueel item-level targeting zodat je niet op GPO niveau het toepassen hoeft te regelen.

Ik deploy nooit de printers voor de gebruikers. Mogen ze lekker zelf doen. Dus snelloppeling in start menu naar “rundll32 printui.dll,PrintUIEntry /il” en lekker nier meer aan denken

Alleen wel zorgen dat je de drivers al wel op de server hebt staan.

[Voor 3% gewijzigd door Tylen op 13-08-2022 12:43]

[Hero of Time]

Tylen schreef op zaterdag 13 augustus 2022 @ 12:42:
[...]

Ik deploy nooit de printers voor de gebruikers. Mogen ze lekker zelf doen. Dus snelloppeling in start menu naar “rundll32 printui.dll,PrintUIEntry /il” en lekker nier meer aan denken

Alleen wel zorgen dat je de drivers al wel op de server hebt staan.

Dat is leuk een aardig voor je, maar bij ons zal het dan zijn dat iemand spontaan een printje naar het magazijn stuurt en zich dan afvraagt waar het is. Of ze gaan doodleuk op de printer van HR afdrukken.

Nee, onze gebruikers moeten een printer krijgen, niet zelf toevoegen.

[Tylen]

Hero of Time schreef op zaterdag 13 augustus 2022 @ 12:46:
[...]

Dat is leuk een aardig voor je, maar bij ons zal het dan zijn dat iemand spontaan een printje naar het magazijn stuurt en zich dan afvraagt waar het is. Of ze gaan doodleuk op de printer van HR afdrukken.

Nee, onze gebruikers moeten een printer krijgen, niet zelf toevoegen.

Nee dat bedoel ik niet. Je hebt een printserver met de juiste rechten per groep op de printers. Het toevoegen aan de gebruiker op de terminal server mogen/moeten ze zelf doen. Ze hebben geen rechten om drivers te installeren daarom zet je de drivers alvast op de terminal server.

Edit: verkeerd gelezen. Maar je rechten moeten wel goed staan natuurlijk.

[Voor 5% gewijzigd door Tylen op 13-08-2022 13:10]

[Duinkonijn]

Hero of Time schreef op zaterdag 13 augustus 2022 @ 12:38:
[...]

Nope, geen verschil. Zoals gezegd, ook de PnP driver die MS gebruikt als het niet direct de specifieke driver kan installeren maakt meerdere instanties aan van de printer als je opnieuw inlogt.

En ik had eerder deze week een driver op de printserver bijgewerkt om 2022 te ondersteunen, maar tegelijk werd 2012R2 dat niet meer. Gevolg: kon niet meer printen op die printers, want driver week af en kon niet bijgewerkt worden.

Het moet iets in de manier waarop gebruikers de printers krijgen zitten, want als iemand handmatig een printer toevoegt, blijft dat er wel een. Daarom vroeg ik ook, wat is de beste methode, deploy printer wat je vanuit Print Management kan doen, of GPP met eventueel item-level targeting zodat je niet op GPO niveau het toepassen hoeft te regelen.

Optie 3? Scripten? Vbs?

[Hero of Time]

Duinkonijn schreef op zaterdag 13 augustus 2022 @ 15:35:
[...]

Optie 3? Scripten? Vbs?

Werkelijk, vbs? Waarom een techniek wat vrijelijk zonder security oogpunt in de jaren '90 werd gebruikt nu nog toepassen? Er is tegenwoordig powershell, add-printerconnection is dan de betere keus.

Maar echt niemand die hetzelfde meemaakt als wat ik heb? Of gebruikt iedereen een andere methode dan via group policy?

[Tylen]

Hero of Time schreef op zaterdag 13 augustus 2022 @ 16:06:
[...]

Werkelijk, vbs? Waarom een techniek wat vrijelijk zonder security oogpunt in de jaren '90 werd gebruikt nu nog toepassen? Er is tegenwoordig powershell, add-printerconnection is dan de betere keus.

Maar echt niemand die hetzelfde meemaakt als wat ik heb? Of gebruikt iedereen een andere methode dan via group policy?

Als ik echt de requirements krijg opgelegd die jij nu hebt doe ik het met gpp.

En als ik jou probleem zou constateren zou ik een logoff script maken die alle printers voor die user verwijderd.

Je zou eventueel nog kunnen kijken naar de gratis versie van ivanti workspace manager. .

[Grvy]

Hero of Time schreef op zaterdag 13 augustus 2022 @ 16:06:
[...]

Werkelijk, vbs? Waarom een techniek wat vrijelijk zonder security oogpunt in de jaren '90 werd gebruikt nu nog toepassen? Er is tegenwoordig powershell, add-printerconnection is dan de betere keus.

Maar echt niemand die hetzelfde meemaakt als wat ik heb? Of gebruikt iedereen een andere methode dan via group policy?

Ik zie zelden omgevingen waar printers idd via Print Management deployed worden.
GPP zie ik wel vaker.

Echter weet ik ook dat 2016/2019 -altijd- gezeik is met printers. Je hebt binnen het register een key.. (even uit mn hoofd) printer connections oid en daaronder zie je dan werkelijk een hele waslijst.. ik heb uiteindelijk voor redelijk wat klanten een script gemaakt die die key weggooit zodat men idd niet 100 printers in de lijst heeft.

Maar dat komt ook niet exact overeen met de symptomen die jij zegt te zien, dus of dat een oplossing is geen idee.

[Hero of Time]

Grvy schreef op zaterdag 13 augustus 2022 @ 17:49:
[...]

Ik zie zelden omgevingen waar printers idd via Print Management deployed worden.
GPP zie ik wel vaker.

Dan ga ik m'n policies aanpassen en hopen dat het daarmee beter gaat. Ben niet zo bang voor gebruikers die issues hierdoor ervaren, maar ons magazijn zou een dingetje kunnen zijn. Zien we vanzelf wel.

Echter weet ik ook dat 2016/2019 -altijd- gezeik is met printers. Je hebt binnen het register een key.. (even uit mn hoofd) printer connections oid en daaronder zie je dan werkelijk een hele waslijst.. ik heb uiteindelijk voor redelijk wat klanten een script gemaakt die die key weggooit zodat men idd niet 100 printers in de lijst heeft.

Maar dat komt ook niet exact overeen met de symptomen die jij zegt te zien, dus of dat een oplossing is geen idee.

Nou, het register wordt dus bij ons gevuld met de extra connecties. Staat even uit het hoofd gezegd in HKLM/software/microsoft/windows nt/print/ en daar ergens verder onder. Wat jij zegt, is in principe precies wat bij ons gebeurt, vele connecties naar dezelfde printer. In 2016/2019/2022 zie je maar 1 printer in Settings > Devices > Printers. Maar als je dan iets meer wilt zien van de printer, zie je een veelvoud ervan. In het Control Panel > Printers and Devices staat de printer ook maar 1x, maar als je met de rechtermuisknop erop klikt, zijn de paar opties uitklapbaar (printer properties, set as default, print preferences en nog eentje) met het aantal connecties dat er zijn voor de printer.

Kijk eens bij jou of dat ook zo is, ipv alleen 'vervuiling' in het register.

[Duinkonijn]

Hero of Time schreef op zaterdag 13 augustus 2022 @ 16:06:
[...]

Werkelijk, vbs? Waarom een techniek wat vrijelijk zonder security oogpunt in de jaren '90 werd gebruikt nu nog toepassen? Er is tegenwoordig powershell, add-printerconnection is dan de betere keus.

Maar echt niemand die hetzelfde meemaakt als wat ik heb? Of gebruikt iedereen een andere methode dan via group policy?

Ik heb wel eens gehad met een printer dat settings niet via gpo mee kwamen, maar wel via een vbs script

[Hero of Time]

Duinkonijn schreef op zaterdag 13 augustus 2022 @ 20:57:
[...]

Ik heb wel eens gehad met een printer dat settings niet via gpo mee kwamen, maar wel via een vbs script

Met de Deploy Printer functie hebben we daar geen last van iig. De instelling die we op de printserver aanpassen is dan bij de client ook hooguit een paar minuten later van toepassing. Tenzij de printer geen echte defaults kent en alleen per-user voorkeuren.

[Clavis]

Hiero een lastig probleem, waar ik niet helemaal m'n vinger op kan leggen.

Probeer het zo goed mogelijk uit te leggen..

We hebben een Fortigate. Daarop een interface met VLAN 10 ( 172.16.x.x) t.b.v. interne wifi.

Onze DNS (intern) draait in AADDS. (10.30.x.x). Voorheen, een week of 2 geleden kon ik onze fileserver resolven via het WiFi netwerk. "*servernaam*.domein.onmicrosoft.com".

Ik heb dus het interne IP van de AADDS DNS in mijn DHCP scope van WiFi gezet. Deze wordt vervolgens gerouteerd over de IPSEC naar Azure. Sinds een week of 2 kan dus het gehele .onmicrosoft.com domein (dit is onze interne DNS suffix) niet meer resolven naar het AADDS. Andere websites lukken prima. Alles lijkt mogelijk, behalve het resolven van de fileserver in Azure.

Wat ik nu geprobeerd heb, is een lokale DNS server op te tuigen. Daarop 2 conditional forwarders gezet naar de beide .onmicrosoft domeinen. Dit werkt dus bekabeld wel (ander subnet), maar via het WiFi segment bovenstaand niet.



Als ik hetzelfde doe via WiFi:



De DNS server die hier in staat is overigens de tijdelijke DNS server die ik heb gemaakt met de forwarders. Probleem was het zelfde toen het IP van de DNS server er rechtstreeks in stond.

[Voor 6% gewijzigd door Clavis op 30-08-2022 10:50]

[Hero of Time]

Heb je wel een policy/firewall rule gemaakt dat DNS wordt toegestaan (zowel UDP als TCP port 53) van dat netwerk naar de server?

[Clavis]

Hero of Time schreef op dinsdag 30 augustus 2022 @ 17:10:
Heb je wel een policy/firewall rule gemaakt dat DNS wordt toegestaan (zowel UDP als TCP port 53) van dat netwerk naar de server?

Yes! Want elke DNS request werkt prima. Dus naar elke willekeurige websites.
Behalve die van het .onmicrosoft.com domein.

Tevens heb ik nog een nieuwe forward lookup zone gemaakt in de DNS server van AADDS. Bekabeld was deze wel te resolven, maar met WiFi wederom niet. (Dus alleen het .onmicrosoft.dom domein niet, en de nieuwe forward lookup zone). Voor de rest doet de DNS het prima. Nu.nl, Tweakers.net…

[Voor 27% gewijzigd door Clavis op 30-08-2022 19:50]

[Hero of Time]

Heb je nog iets van fallback DNS op je clients staan? Is het domein ook via 1.1.1.1, 8.8.8.8 en 9.9.9.9 te resolven? Heb je iets van een Linux machine bij de hand? Want daar ken ik de tools tcptraceroute, dig e.d. waarmee je ook het een en ander kan testen, alsmede kan kijken wat er zoal heen en weer gaat met tcpdump (of wireshark als je wilt). En anders de genoemde tools voor Windows vinden.

Logs van de DNS server? Kan die ook de route terug vinden naar je wifi vlan?

En wat is AADDS eigenlijk? Ik ken alleen AzureAD, wat is die DS er dan nog bij?

[akimosan]

Ik snap de case voor het gebruiken van je tenant domain name eigenlijk ook niet zo voor internal DNS resolving. Waarom maak je dan geen gebruik van Azure Private DNS?

Zie hier een overzicht van ondersteunde DNS scenarios en bepaal welk scenario voro jou het beste is. Extern wordt er voor DNS resolving van de tenant.onmicrosoft.com records altijd gekeken naar de DNS van MS zelf en zijn de meeste records niet eens beschikbaar. Standaard wat mail related records als MX, SPF, DKIM maar geen overige A of CNAME records
Je hebt geen controle over de externe DNS records dus zou ik het ook niet intern gebruiken

[Voor 9% gewijzigd door akimosan op 30-08-2022 20:28]

[Clavis]

Hero of Time schreef op dinsdag 30 augustus 2022 @ 19:57:
Heb je nog iets van fallback DNS op je clients staan? Is het domein ook via 1.1.1.1, 8.8.8.8 en 9.9.9.9 te resolven? Heb je iets van een Linux machine bij de hand? Want daar ken ik de tools tcptraceroute, dig e.d. waarmee je ook het een en ander kan testen, alsmede kan kijken wat er zoal heen en weer gaat met tcpdump (of wireshark als je wilt). En anders de genoemde tools voor Windows vinden.

Logs van de DNS server? Kan die ook de route terug vinden naar je wifi vlan?

En wat is AADDS eigenlijk? Ik ken alleen AzureAD, wat is die DS er dan nog bij?

AADDS: https://azure.microsoft.c...ve-directory-ds/#overview

Nee het is een interne DNS, die alleen in onze azure omgeving beschikbaar is.

Ik duik er morgen weer verder in. Dan zal ik nog wat uitgebreidere aanvullingen posten. In ieder geval bedankt voor het meedenken!

[Clavis]

akimosan schreef op dinsdag 30 augustus 2022 @ 20:26:
Ik snap de case voor het gebruiken van je tenant domain name eigenlijk ook niet zo voor internal DNS resolving. Waarom maak je dan geen gebruik van Azure Private DNS?

Zie hier een overzicht van ondersteunde DNS scenarios en bepaal welk scenario voro jou het beste is. Extern wordt er voor DNS resolving van de tenant.onmicrosoft.com records altijd gekeken naar de DNS van MS zelf en zijn de meeste records niet eens beschikbaar. Standaard wat mail related records als MX, SPF, DKIM maar geen overige A of CNAME records
Je hebt geen controle over de externe DNS records dus zou ik het ook niet intern gebruiken

Ja, mee eens. Ik zal morgen eens een ei leggen hoe ik het dan beter kan redesignen. Tips zijn natuurlijk welkom. Ik ben er zelf niet bij geweest toen dit zo geïmplementeerd is. Overigens is onderstaand onze huidige setup (van het MS artikel)

Behalve dat we geen onprem DNS hebben. (Wel als test!) maar onze DNS rechtstreeks naar de DNS (10.1.0.4 op het plaatje).

Alles werkt gewoon, behalve het resolven van de Azure VM’s. (FS beschikbaar in WiFi segment voornamelijk). Wat dus wel gewoon werkt op IP overigens.

[Voor 8% gewijzigd door Clavis op 30-08-2022 20:57]

[Hero of Time]

Je wifi vlan gaat effectief via dezelfde route als je bekabelde netwerk naar de DNS? Dus zelfde internet verbinding of S2S vpn? In zo'n geval zou ik eens kijken of er bepaalde instellingen op de DNS staat voor de authorative zone, welke clients of client netwerken het mogen bevragen voor dat domein. Want voor alle non-authorative requests gaat het toch 'upstream' vragen en gedraagt het zich als zo'n beetje elke andere DNS server die direct door clients wordt benadert.

[D_Jeff]

Goed.. een aantal gebruikers (2-10) klagen dat de Shared Mailbox gewoon spontaan met vakantie gaat (Outlook starten, Mailbox daar, 1 min later *poef* mailbox gone)

Voor mij is een compleet nieuw issue, iemand een idee?

Rechten zijn gecheck'd in Office365

[Hero of Time]

Welke Outlook versie? Gebruiker kan er wel in via OWA en dan Open mailbox other user via het menu rechts bovenin? Storingsoverzicht van O365 bekeken of er iets bekend is, of gebeurt dit al langere tijd?

[akimosan]

Aangaande de shared mailbox:
Indien de mailbox automapped wordt, is de mailbox wel zichtbaar in de GAL? Anders werkt automapping ook niet.

[Duinkonijn]

shoot me.

Windows 11 wds image bouwen:
Installeer windows 11
na installatie ctrl+shift F3
aanpassingen maken
generaliseren/oobe + afsluiten

capture starten: vervolgens ziet hij het volume niet.
2 verschillende machines geprobeerd, maar wat mis ik?

[ElCondor]

Duinkonijn schreef op woensdag 31 augustus 2022 @ 15:11:
shoot me.

Windows 11 wds image bouwen:
Installeer windows 11
na installatie ctrl+shift F3
aanpassingen maken
generaliseren/oobe + afsluiten

capture starten: vervolgens ziet hij het volume niet.
2 verschillende machines geprobeerd, maar wat mis ik?

Storage driver wordt niet in je WinPE geladen? Ik heb er vroeger wel eens mee lopen klooien om die dan te slipstreamen in het standaard WinPE Image. Ik weet alleen niet of dat vandaag de dag nog nodig is...

[Duinkonijn]

ElCondor schreef op woensdag 31 augustus 2022 @ 15:49:
[...]


Storage driver wordt niet in je WinPE geladen? Ik heb er vroeger wel eens mee lopen klooien om die dan te slipstreamen in het standaard WinPE Image. Ik weet alleen niet of dat vandaag de dag nog nodig is...

Met diskpart zie ik de drive ?
mis alleen de driveletter.. net of hij niet online is.

morgen maar met dism capturen... kijken of hij dat doet.
https://www.anoopcnair.co...dows-10-image-using-dism/

[Voor 13% gewijzigd door Duinkonijn op 31-08-2022 16:49]

[Drardollan]

Iemand ervaring met een Microsoft (Office) 365 migratie vanuit een omgeving met enkel IMAP boxen?

Snel de documentatie gelezen en zoals ik het begrijp koppel je de IMAP box en zal M365 deze constant in sync houden zodat het niet uit maakt waar de mail op afgeleverd wordt? Lijkt een beetje op een On-Prem met Hybrid?

Agenda en contactpersonen komen niet mee las ik al, maar dat is te overleven.

En dat syncen, is dat een beetje snel net zoals bij een on-prem Exchange richting M365 of is het een ondergeschoven en traag kindje?

[Voor 20% gewijzigd door Drardollan op 31-08-2022 22:36]

[_Eend_]

Heeft iemand ervaring met een Zebra ZXP Series 3 kaartprinter?

Ik heb hier een printer staan die maar de helft van de kaart uitprint. Als ik dubbelzijdig afdruk krijg ik de bovenste helft op de voorkant van het pasje, en de onderkant aan de achterkant. Ook met de test cards.

Ook als ik de printer lokaal aansluit met USB.

[Drardollan]

_Eend_ schreef op donderdag 1 september 2022 @ 11:15:
Heeft iemand ervaring met een Zebra ZXP Series 3 kaartprinter?

Ik heb hier een printer staan die maar de helft van de kaart uitprint. Als ik dubbelzijdig afdruk krijg ik de bovenste helft op de voorkant van het pasje, en de onderkant aan de achterkant. Ook met de test cards.

Ook als ik de printer lokaal aansluit met USB.

Klinkt als verkeerd ingestelde margins ergens.

[_Eend_]

Drardollan schreef op donderdag 1 september 2022 @ 13:15:
[...]

Klinkt als verkeerd ingestelde margins ergens.

Daar heb ik al mee zitten kloten, alles terug naar fabrieksinstellingen gezet.

Maargoed, ondertussen heeft een collega het ding al helemaal naar de knoppen geholpen, dus hij gaat nu naar Zebra terug ter reparatie

[Drardollan]

_Eend_ schreef op donderdag 1 september 2022 @ 15:55:
[...]


Daar heb ik al mee zitten kloten, alles terug naar fabrieksinstellingen gezet.

Maargoed, ondertussen heeft een collega het ding al helemaal naar de knoppen geholpen, dus hij gaat nu naar Zebra terug ter reparatie

Probleem opgelost

[Clavis]

Even terugkomend op het DNS issue m.b.t. pingen via WiFi.. Probleem opgelost met nieuwe AP's....

[Patrick]

Drardollan schreef op woensdag 31 augustus 2022 @ 22:35:
Iemand ervaring met een Microsoft (Office) 365 migratie vanuit een omgeving met enkel IMAP boxen?

Snel de documentatie gelezen en zoals ik het begrijp koppel je de IMAP box en zal M365 deze constant in sync houden zodat het niet uit maakt waar de mail op afgeleverd wordt? Lijkt een beetje op een On-Prem met Hybrid?

Agenda en contactpersonen komen niet mee las ik al, maar dat is te overleven.

En dat syncen, is dat een beetje snel net zoals bij een on-prem Exchange richting M365 of is het een ondergeschoven en traag kindje?

Toevallig vandaag een aantal imap boxen gemigreerd naar O365. Heb de sync laten lopen totdat hij zegt dat ie klaar is en daarna de oude/bestaande imap box uitgeschakeld. Daarna MX record omgezet. Lijkt vooralsnog allemaal te werken. Oude mail staat in ieder geval in O365. En als ik er nieuwe mail heen stuur komt het ook aan, dus missie geslaagd.

Syncen ging best vlot, maar we hebben het hier maar over een paar 100 mailtjes, dus tja...

[Drardollan]

Patrick schreef op vrijdag 2 september 2022 @ 15:15:
[...]

Toevallig vandaag een aantal imap boxen gemigreerd naar O365. Heb de sync laten lopen totdat hij zegt dat ie klaar is en daarna de oude/bestaande imap box uitgeschakeld. Daarna MX record omgezet. Lijkt vooralsnog allemaal te werken. Oude mail staat in ieder geval in O365. En als ik er nieuwe mail heen stuur komt het ook aan, dus missie geslaagd.

Syncen ging best vlot, maar we hebben het hier maar over een paar 100 mailtjes, dus tja...

Ik heb ondertussen wat testen gedaan en dezelfde ervaring. Thanks, ik kan met een gerust hart aan een migratie voor een klant beginnen binnenkort.

[Duinkonijn]

Ik ben bezig met de automatische installatie van Windows 11.

heb alleen nog 1 ding. hoe poets ik "let microsoft and apps use your location" weg?

Weet iemand dat toevallig?

[FREAKJAM]

Duinkonijn schreef op vrijdag 9 september 2022 @ 11:48:
Ik ben bezig met de automatische installatie van Windows 11.

heb alleen nog 1 ding. hoe poets ik "let microsoft and apps use your location" weg?

Weet iemand dat toevallig?

Met deze policy. Let wel dat de locate your device optie via Intune dan niet meer werkt, mocht je daar gebruik van maken.

Edit:
Je bedoelt natuurlijk het scherm tijdens OOBE. Dat vereist mogelijk nog een additionele configuratie, maar die weet ik zo snel helaas niet. Werk je met een answer file? (unattend.xml)?

[Voor 12% gewijzigd door FREAKJAM op 09-09-2022 12:43]

[Poenzkie]

Drardollan schreef op vrijdag 2 september 2022 @ 15:57:
[...]

Ik heb ondertussen wat testen gedaan en dezelfde ervaring. Thanks, ik kan met een gerust hart aan een migratie voor een klant beginnen binnenkort.

Een ding om mogelijk wel rekening mee te houden is dat als een IMAP mailbox eenmaal gesynchroniseerd is hij automatisch een keer per 24 uur opnieuw gesynchroniseerd wordt. Dit kan je alleen niet zelf in gang zetten, dus plan niet in dat je 's avonds nog een keer een synchronisatie aftrapt nadat je de MX hebt omgezet bijvoorbeeld. Hij synchroniseert wanneer MS dat inplant.

[Drardollan]

Poenzkie schreef op vrijdag 9 september 2022 @ 14:38:
[...]

Een ding om mogelijk wel rekening mee te houden is dat als een IMAP mailbox eenmaal gesynchroniseerd is hij automatisch een keer per 24 uur opnieuw gesynchroniseerd wordt. Dit kan je alleen niet zelf in gang zetten, dus plan niet in dat je 's avonds nog een keer een synchronisatie aftrapt nadat je de MX hebt omgezet bijvoorbeeld. Hij synchroniseert wanneer MS dat inplant.

Thanks voor de tip! Deze irritatie was ik inderdaad ook tegen gekomen. Heb wel een soort van workaround gevonden. Je kan de migratie verwijderen en gewoon de users opnieuw inladen, dan gaat hij gelijk aan de slag.

Maar ik heb mijn plan van aanpak er omheen gemaakt. Dat zal ik hier delen, wie weet heeft iemand er iets aan. (dagen en tijden willekeurig gekozen)
- Communiceren dat dinsdagavond zo min mogelijk met mail gedaan moet worden, bij voorkeur enkel lezen
- Dinsdagavond stap 1 instellen in mailboxen dat er een forward naar het onmicrosoft adres draait
- Dinsdagavond stap 2 IMAP migraties aanzetten voor de mailbox in EAC
- Woensdagmorgen stap 3 DNS records ombouwen
- Woensdagmorgen stap 4 Gebruikers vertellen dat ze op Outlook.com mogen gaan inloggen
- Donderdagavond stap 5 Migraties stoppen in EAC
- Donderdagavond stap 6 IMAP boxen ontoegankelijk maken / verwijderen

Niet ideaal, een migratie vanaf bijvoorbeeld een Ex2013 is een stuk fijner omdat hij de laatste stap doet als jij dat wil. Maar ik denk dat dit wel werkbaar is voor de gebruiker, gebruiker houdt sowieso toegang tot zijn mailbox en ontvangt de nieuwe mail. Zolang de gebruiker geen mails gaan verslepen in zijn oude mailbox merkt hij er of zij er weinig van, de eventueel verzonden mail komt bij de eerstvolgende sync nog mee in de map.

[Poenzkie]

Drardollan schreef op vrijdag 9 september 2022 @ 16:25:
[...]
Thanks voor de tip! Deze irritatie was ik inderdaad ook tegen gekomen. Heb wel een soort van workaround gevonden. Je kan de migratie verwijderen en gewoon de users opnieuw inladen, dan gaat hij gelijk aan de slag.

Maar ik heb mijn plan van aanpak er omheen gemaakt. Dat zal ik hier delen, wie weet heeft iemand er iets aan. (dagen en tijden willekeurig gekozen)
- Communiceren dat dinsdagavond zo min mogelijk met mail gedaan moet worden, bij voorkeur enkel lezen
- Dinsdagavond stap 1 instellen in mailboxen dat er een forward naar het onmicrosoft adres draait
- Dinsdagavond stap 2 IMAP migraties aanzetten voor de mailbox in EAC
- Woensdagmorgen stap 3 DNS records ombouwen
- Woensdagmorgen stap 4 Gebruikers vertellen dat ze op Outlook.com mogen gaan inloggen
- Donderdagavond stap 5 Migraties stoppen in EAC
- Donderdagavond stap 6 IMAP boxen ontoegankelijk maken / verwijderen

Niet ideaal, een migratie vanaf bijvoorbeeld een Ex2013 is een stuk fijner omdat hij de laatste stap doet als jij dat wil. Maar ik denk dat dit wel werkbaar is voor de gebruiker, gebruiker houdt sowieso toegang tot zijn mailbox en ontvangt de nieuwe mail. Zolang de gebruiker geen mails gaan verslepen in zijn oude mailbox merkt hij er of zij er weinig van, de eventueel verzonden mail komt bij de eerstvolgende sync nog mee in de map.

Waarom nog een forward naar onmicrosoft? Als je eerst alles gaat forwarden en daarna nog een sync doet krijg je de mail toch dubbel?

[Drardollan]

Poenzkie schreef op maandag 12 september 2022 @ 12:44:
[...]

Waarom nog een forward naar onmicrosoft? Als je eerst alles gaat forwarden en daarna nog een sync doet krijg je de mail toch dubbel?

Nee, dat werkt prima op bericht ID. De forward is ook maar korte tijd actief, het is om de periode te overbruggen tot het MX record om kan. Feitelijk zal de forward maar enkele uren actief zijn, zolang als het duurt voor de DNS serves in de wereld om het nieuwe MX record op te pikken. Staat wel op 5 minuten in het domein natuurlijk, maar helaas zijn er eigenwijze DNS servers die dat negeren.

[scartissue]

Even een snelle vraag:
Zijn er vandaag meer mensen die problemen hebben met autopilot?
Ik heb gister een lading laptops uitgedeeld aan collega's zonder problemen. Vandaag uit dezelfde levering aan andere collega's en die komen alleemaal terug met OOBEAADV10 meldingen.

[FREAKJAM]

scartissue schreef op vrijdag 16 september 2022 @ 12:36:
Even een snelle vraag:
Zijn er vandaag meer mensen die problemen hebben met autopilot?
Ik heb gister een lading laptops uitgedeeld aan collega's zonder problemen. Vandaag uit dezelfde levering aan andere collega's en die komen alleemaal terug met OOBEAADV10 meldingen.

Er zijn op dit moment provisioning issues. Zie admin center voor meer info (IT431147).

[Voor 8% gewijzigd door FREAKJAM op 16-09-2022 13:03]

[scartissue]

FREAKJAM schreef op vrijdag 16 september 2022 @ 13:03:
[...]


Er zijn op dit moment provisioning issues. Zie admin center voor meer info (IT431147).

De eerste plek waar ik natuurlijk gekeken heb. Gek genoeg staat daar bij mij alleen een issue met Teams en iets over inaccurate data in the admin centre.
Maar dan weet ik dat er iets aan de hand is. Laat ik de collega's het na het weekend nog een keer proberen.

[BVE]

Hallo Iedereen,

Een eerste vraagje hier,
Dit omtrent de best practices omtrent indeling van usergroups in AD.

De bedoeling van deze usergroups is om de rechten op bepaalde mappen in te stellen.
Ikzelf heb niet zoveel ervaring hiermee, maar mijn idee was om deze in te stellen als volgt :

"groep A"
"groep B"
"groep C"
...

En afhankelijk van de map geef je groep A / groep B / groep C rechten ...

Echter ik heb ook al volgende benadering gezien :
"groep A read"
"groep A read/write"
"groep A full control"

"groep B read"
"groep B read/write"
"groep B full control"

"groep C read"
"groep C read/write"
"groep C full control"

Persoonlijk zie ik het nut niet in van dit 2e model van opsplitsing van elke groep volgens rechten,
Zijn er mensen die ook dergelijke indeling hebben, en wat zou het voordeel zijn van dergelijke indeling?

Alvast bedankt om jullie licht hierop te laten schijnen.

[Duinkonijn]

Ik snap het ook niet.
Ik zou zeggen
A Read
B r/w
C full controle

[Patrick]

Je vergeet D list

[downtime]

BVE schreef op zondag 18 september 2022 @ 22:17:
Hallo Iedereen,

Een eerste vraagje hier,
Dit omtrent de best practices omtrent indeling van usergroups in AD.

De bedoeling van deze usergroups is om de rechten op bepaalde mappen in te stellen.
Ikzelf heb niet zoveel ervaring hiermee, maar mijn idee was om deze in te stellen als volgt :

"groep A"
"groep B"
"groep C"
...

En afhankelijk van de map geef je groep A / groep B / groep C rechten ...

Echter ik heb ook al volgende benadering gezien :
"groep A read"
"groep A read/write"
"groep A full control"

"groep B read"
"groep B read/write"
"groep B full control"

"groep C read"
"groep C read/write"
"groep C full control"

Persoonlijk zie ik het nut niet in van dit 2e model van opsplitsing van elke groep volgens rechten,
Zijn er mensen die ook dergelijke indeling hebben, en wat zou het voordeel zijn van dergelijke indeling?

Alvast bedankt om jullie licht hierop te laten schijnen.

Best practice is (volgens mij):

“map A read”
“map A read/write”
etc

Dan zet je al die groepen op die mappen met de juiste rechten.

Dan maak je ook groepen voor de mensen:

“groep A: managers”
“groep B: marketing”
“groep C: it”
etc

En de groepen waar de mensen in zitten maak je lid van de groepen die je op de mappen hebt gezet.

Het doel: Maar eenmalig rechten op een map instellen en vanaf dat moment alles in AD kunnen beheren met zo weinig mogelijk wijzigingen op het file system.

[Paul]

BVE schreef op zondag 18 september 2022 @ 22:17:
"groep A"
"groep B"
"groep C"

Dit zijn mensen (users), toch? Dan heeft de tweede geen zin.

Read only, RW en FC zijn voor de resource groepen, de groepen die bepalen wat je met een map mag.

Dus "Groep A" wordt lid van "Salarisadministratie RO" en van "Personeelszaken RW", ofwel User account -> User groep -> Resource groep

[Duinkonijn]

Ad\users halen wij standaard er af

[Tylen]

BVE schreef op zondag 18 september 2022 @ 22:17:
Hallo Iedereen,

Een eerste vraagje hier,
Dit omtrent de best practices omtrent indeling van usergroups in AD.

De bedoeling van deze usergroups is om de rechten op bepaalde mappen in te stellen.
Ikzelf heb niet zoveel ervaring hiermee, maar mijn idee was om deze in te stellen als volgt :

"groep A"
"groep B"
"groep C"
...

En afhankelijk van de map geef je groep A / groep B / groep C rechten ...

Echter ik heb ook al volgende benadering gezien :
"groep A read"
"groep A read/write"
"groep A full control"

"groep B read"
"groep B read/write"
"groep B full control"

"groep C read"
"groep C read/write"
"groep C full control"

Persoonlijk zie ik het nut niet in van dit 2e model van opsplitsing van elke groep volgens rechten,
Zijn er mensen die ook dergelijke indeling hebben, en wat zou het voordeel zijn van dergelijke indeling?

Alvast bedankt om jullie licht hierop te laten schijnen.

AGDLP...

[BVE]

downtime schreef op maandag 19 september 2022 @ 08:58:
[...]

Best practice is (volgens mij):

“map A read”
“map A read/write”
etc

Dan zet je al die groepen op die mappen met de juiste rechten.

Dan maak je ook groepen voor de mensen:

“groep A: managers”
“groep B: marketing”
“groep C: it”
etc

En de groepen waar de mensen in zitten maak je lid van de groepen die je op de mappen hebt gezet.

Het doel: Maar eenmalig rechten op een map instellen en vanaf dat moment alles in AD kunnen beheren met zo weinig mogelijk wijzigingen op het file system.

OK, ook een goede benadering :
Dan wordt alles binnen AD geregeld & hoef je niet zitten te kloojen met AD groepen op mappen te zetten.

[BVE]

Paul schreef op maandag 19 september 2022 @ 09:03:
[...]
Dit zijn mensen (users), toch? Dan heeft de tweede geen zin.

Read only, RW en FC zijn voor de resource groepen, de groepen die bepalen wat je met een map mag.

Dus "Groep A" wordt lid van "Salarisadministratie RO" en van "Personeelszaken RW", ofwel User account -> User groep -> Resource groep

idd, zijn groepen mensen.
merci voor het advies

[Paul]

BVE schreef op maandag 19 september 2022 @ 12:17:
idd, zijn groepen mensen.
merci voor het advies

Nog één kleine verduidelijking, "salarisadministratie" en "personeelszaken" zijn daarin (bijvoorbeeld) shares op een fileserver, geen afdelingen "Groep A" heet in mijn voorbeeld bijvoorbeeld "HR Medewerkers".

Om het verschil duidelijker te houden coderen wij in de namen wat het is: "RG_FS_R_Salarisadministratie", "RG_FS_C_Personeelszaken" en "SG_MW_HR-Medior" bijvoorbeeld.

[FastFred]

We gaan voor het eind van het jaar over naar Exchange Online. De mailboxen van mij en van 1 collega draaien al in EO, de mailflow gaat nog via de onprem Exchange.

Nu stuur ik nog wel eens een mailtje vanuit onze helpdesk vanuit Outlook, dus had daar SendAs rechten voor nodig. De Helpdesk is van oudsher nog een user account, toen de vorige systeembeheerder niet van het bestaan van shared mailboxes wist. Die draait nog onprem, en om als EO mailbox te kunnen versturen namens een onprem mailbox moet je wat handelingen doen.

Simpel zat, dit uitvoeren in onprem Exchange

code:

Add-ADPermission -Identity onpremmailbox -User eomailbox -AccessRights ExtendedRight -ExtendedRights "Send As"

Vervolgens inloggen in EO Powershell

code:

Add-RecipientPermission -Identity onpremmailbox -Trustee eomailbox -AccessRights SendAs

En dat werkt prachtig!

Maar nu wil ik SendAs rechten geven op een onprem shared mailbox. En dat gaat niet want als ik dan Add-ADPermission doe dan krijg ik steevast terug 'onpremmailbox wasn't found' E-mail adres en diverse aliassen van die box al geprobeerd, displayname, de naam tussen quotes gezet, niks werkt.

[FREAKJAM]

FastFred schreef op dinsdag 20 september 2022 @ 13:58:
We gaan voor het eind van het jaar over naar Exchange Online. De mailboxen van mij en van 1 collega draaien al in EO, de mailflow gaat nog via de onprem Exchange.

Nu stuur ik nog wel eens een mailtje vanuit onze helpdesk vanuit Outlook, dus had daar SendAs rechten voor nodig. De Helpdesk is van oudsher nog een user account, toen de vorige systeembeheerder niet van het bestaan van shared mailboxes wist. Die draait nog onprem, en om als EO mailbox te kunnen versturen namens een onprem mailbox moet je wat handelingen doen.

Simpel zat, dit uitvoeren in onprem Exchange

code:

Add-ADPermission -Identity onpremmailbox -User eomailbox -AccessRights ExtendedRight -ExtendedRights "Send As"

Vervolgens inloggen in EO Powershell

code:

Add-RecipientPermission -Identity onpremmailbox -Trustee eomailbox -AccessRights SendAs

En dat werkt prachtig!

Maar nu wil ik SendAs rechten geven op een onprem shared mailbox. En dat gaat niet want als ik dan Add-ADPermission doe dan krijg ik steevast terug 'onpremmailbox wasn't found' E-mail adres en diverse aliassen van die box al geprobeerd, displayname, de naam tussen quotes gezet, niks werkt.

Wat je zoekt is helaas niet supported. Je kunt het commando proberen zoals benoemd in onderstaand artikel, maar houd er dus wel rekening mee dat het niet supported is. Bij je migratietactiek zul je hier dan ook rekening mee moeten houden. Als je geen big bang doet, migreer dan in ieder geval de juiste mensen c.q. afdelingen tegelijk met de shared mailboxen die men gebruikt.

'Send As: Lets a user send mail as though it appears to be coming from another user's mailbox. Azure AD Connect doesn't automatically synchronize Send As permission between on-premises Exchange and Microsoft 365 or Office 365, so cross-premises Send As permissions aren't supported. However, Send As will work in most scenarios if you manually add the Send As permissions in both environments, using Exchange Management Shell for on-premises Exchange and Exchange Online PowerShell for Microsoft 365 or Office 365.'

Mailbox permissions and capabilities NOT supported in hybrid environments

[FastFred]

Ja dat dacht ik al, ik had dat ook al zien staan. Als het werkt is het mooi maar als het niet werkt heb je pech. Duidelijk