Het grote kleine-SysOps-vragen topic deel 1

[Drardollan]

Tusk schreef op vrijdag 17 januari 2025 @ 14:53:
ik ben systeembeheerder en dit is mijn probleem...

Klopt, het probleem is dat je het verkeerde topic hebt. Denk dat je beter terecht kan in Het algemene Microsoft 365 topic of Het grote kleine-SysOps-vragen topic deel 1

[Tusk]

365 Conditional Access pro's in the house?

Ik wil voor een groep users alleen toegang geven tot de Teams App en de rest alleen via browser toestaan.

Ik maak een block regel met als
Condition: Client apps alles aangevinkt behalve browser.

resource:
include: All resources (formerly 'All cloud apps')
exclude: Microsoft Teams Services, Skyp for business online. Office 365 Sharepoint Online (er stond dat dit ook Teams services in zich heeft).

Maar helaas geen resultaat. Ik mag Teams niet gebruiken. Report zegt dat ik dan de 'All recources' regel match.
Als ik Office 365 Exchange Online exclude, mag ik wel Outlook gebruiken. Dus het idee is verder goed, alleen vind ik niet de juiste app exclusion voor Teams...

Zonder succes

[Beekforel]

DDX schreef op vrijdag 17 januari 2025 @ 14:55:
Is dat niet een kwestie dat Teams ('new) gewoon een browser is vergeleken met Teams Classic wat echt een app was ?

De classic Teams was ook al Electron (webapp) toch? Nieuwe is Edge WebView dacht ik.

Ik zit nog steeds te wachten tot het sneller wordt. Nieuwste feature die ik nu heb is dat de hele app hangt als ik ophang van een meeting of gesprek.

[HKLM_]

Drardollan schreef op vrijdag 17 januari 2025 @ 15:35:
[...]

Klopt, het probleem is dat je het verkeerde topic hebt. Denk dat je beter terecht kan in Het algemene Microsoft 365 topic of Het grote kleine-SysOps-vragen topic deel 1

Of het [Microsoft Entra ID] - Ervaringen & Discussie topic

[Drardollan]

HKLM_ schreef op vrijdag 17 januari 2025 @ 16:28:
[...]


Of het [Microsoft Entra ID] - Ervaringen & Discussie topic

Net als Microsoft met zijn portals

[nextware]

Iemand hier toevallig ervaring met het mounten van een Sharepoint pagina via WebDAV aan een Oracle Linux 8 systeem ? Mijn collega's van appbeheer proberen dit voor elkaar te krijgen met een ze lopen tegen een SSL connection error aan gevolgd door "Connection reset by peer". Met een openssl connectie naar de Sharepoint pagina krijgen ze een succesvolle verbinding. Via WebDAV lukt het echter niet.

Op het Oracle systeem hebben we een Davfs2 installatie uitgevoerd.

[Hero of Time]

@nextware, de altijd handige Arch wiki gevonden? Zie https://wiki.archlinux.org/title/Davfs2, zou duidelijk genoeg moeten zijn. Werkt het niet, dan doet MS vast weer iets anders dan de standaard en sta je alleen.

[nextware]

Hero of Time schreef op maandag 20 januari 2025 @ 19:06:
@nextware, de altijd handige Arch wiki gevonden? Zie https://wiki.archlinux.org/title/Davfs2, zou duidelijk genoeg moeten zijn. Werkt het niet, dan doet MS vast weer iets anders dan de standaard en sta je alleen.

Thx voor de link. We hebben die ook al bekeken, maar daarin staat niet de oplossing voor ons probleem. Ik vermoed dat Sharepoint online de WebDAV connectie blokkeert vanwege basic auth vanuit de Oracle Linux 8 omgeving. Anders morgen maar eens ff de vraag neerleggen via een support ticket.

En anders morgen maar eens in een VM freubelen met een RHEL 8 installatie. 15 dagen gratis testen moet toch voldoende zijn om deze uitdaging opgelost te krijgen

[ Voor 11% gewijzigd door nextware op 20-01-2025 20:46 ]

[Blokker_1999]

Basic auth wordt op heel het Microsoft platform uitgefaseerd ten voordele van modern auth. In Sharepoint Online is basic auth sowieso een no-go sinds vorig jaar, in Sharepoint On-prem kan je, als alles up to date is, geen nieuwe dingen meer aanmaken die basic auth vereisen en is het een kwestie van tijd voordat het daar ook volledig verdwijnt.

[Drardollan]

Vandaag high level masterclass gehad over Copilot. Interessant en genoeg nuttige info opgepikt. Nu wij Copilot gebruiken als pilot (sorry!) speelt gelijk het vraagstuk over de informatie die gebruikt wordt door Copilot. Dat is ons geval zeer beperkt met Exchange Online en OneDrive voor de persoonlijke files. Uiteraard is het de bedoeling om onze data te verhuizen richting Sharepoint, wat wat vraagstukken oproept. Ik zou eigenlijk eens met een partij willen sparren die hier ervaring mee heeft. Gewoon om wat handvaten te hebben, praktische zaken te bespreken en een plannetje te kunnen maken waarmee ik kan starten.

Nu kan ik er 1001 bedrijven voor vinden, ze beloven natuurlijk allemaal de wereld. Maar het komt er vooral op neer dat ze je naar binnen willen trekken en volledig ontzorgen. Iets waar ik juist geen behoefte aan heb. Ik wil gewoon praktische informatie, tips en tricks en wellicht een mogelijkheid om op terug te vallen. Liefst een wat kleiner bedrijf met persoonlijke aanpak die niet alleen gericht is op meer-meer-meer geld en meer-meer-meer licenties aansmeren.

Ik heb zo’n partner ondertussen wel voor FortiNet, wat mij erg goed bevalt. Maar die doet geen M365

Heeft er iemand de gouden tip? Mag ook een eigen bedrijf zijn of bedrijf waar je werkt. Mag per DM als dat prettiger is ivm privacy.

In het kort dus een no-nonsens bedrijf wat graag wil en kan helpen waarbij een relatie voor de lange termijn belangrijk is.

[True]

Is er anno 2025 al een oplossing voor die C:\Windows\Installer en C:\Windows\WinSxS bloat? Heb hier een laptopje met een kleine SSD die bij voorkeur niet een herinstallatie mag krijgen (natuurlijk ..) en die zit op respectievelijk 35 en 12 GB aan diskspace voor deze directories. Saillant detail is dat 28GB van de \Installer ouder dan een jaar is, dat moet toch wel op te ruimen zijn? En ja de standaard Disk Cleanup tool heb ik al gedraaid, maar doet -zoals ik al had verwacht- weinig.

Ik vind vooral wat twijfelachtige informatie: https://learn.microsoft.c...xs-folder?view=windows-11 'Warning' (juist ja ..) en https://old.reddit.com/r/...insxs_filling_up_drive_c/

Denk dan eerder aan een gecontroleerde herinstallatie (en update naar W11 als dat überhaupt op deze laptop kan) dan het risico lopen op een geforceerde herinstallatie op het moment dat ik er geen zin heb of tijd voor heb. Eventueel kan ik er nog een SSD bij indrukken en wat bestanden moven en met een symlink gaan werken.

[Tylen]

@True ik vond deze, weet alleen niet of dat nog relevant is heden ten dage: https://www.jeroentielen....nsxs-folder-in-windows-7/

[Hero of Time]

* Hero of Time neemt een aanloop...

Even een vraag, zit een beetje in dubio. We hebben meerdere locaties in het land waar we vaste verbindingen hebben met een Fortigate die een s2s vpn naar kantoor maken. De FG monitoren we, het modem wat er voor zit ping ik alleen om te zien of de boel online is. Dit ding wordt door de provider verders beheerd.

Nou hebben we ook een paar 4G modems voor het geval een nieuwe locatie geen functionele vaste internetlijn heeft ten tijde van opening. Als de verbinding uitvalt, zien we dat omdat de FG weg valt, maar momenteel weten we niet of dat dan de FG is, of het 4G modem dat issues heeft. De 4G modems vallen onder ons beheer.

Nou staat ping from internet al uit, waardoor we dus niet hetzelfde kunnen doen als bij de vaste lijnen. Dit is aan te zetten en we kunnen er zelfs een whitelist op zetten zodat alleen vanaf kantoor het antwoord krijgt. Maar deze modems hebben ook SNMP mogelijk, inclusief v3. Met dezelfde whitelist.

Zijn er duidelijke nadelen of bezwaren om SNMPv3 niet aan te zetten met whitelist van kantoor? Ik twijfel een beetje, want SNMP heeft altijd iets van een security risico, maar met de encryptie van v3 zou dat al grotendeels afgevangen moeten zijn.

[FREAKJAM]

Hero of Time schreef op woensdag 28 mei 2025 @ 20:40:
* Hero of Time neemt een aanloop...

Even een vraag, zit een beetje in dubio. We hebben meerdere locaties in het land waar we vaste verbindingen hebben met een Fortigate die een s2s vpn naar kantoor maken. De FG monitoren we, het modem wat er voor zit ping ik alleen om te zien of de boel online is. Dit ding wordt door de provider verders beheerd.

Nou hebben we ook een paar 4G modems voor het geval een nieuwe locatie geen functionele vaste internetlijn heeft ten tijde van opening. Als de verbinding uitvalt, zien we dat omdat de FG weg valt, maar momenteel weten we niet of dat dan de FG is, of het 4G modem dat issues heeft. De 4G modems vallen onder ons beheer.

Nou staat ping from internet al uit, waardoor we dus niet hetzelfde kunnen doen als bij de vaste lijnen. Dit is aan te zetten en we kunnen er zelfs een whitelist op zetten zodat alleen vanaf kantoor het antwoord krijgt. Maar deze modems hebben ook SNMP mogelijk, inclusief v3. Met dezelfde whitelist.

Zijn er duidelijke nadelen of bezwaren om SNMPv3 niet aan te zetten met whitelist van kantoor? Ik twijfel een beetje, want SNMP heeft altijd iets van een security risico, maar met de encryptie van v3 zou dat al grotendeels afgevangen moeten zijn.

SNMP is UDP en erg latency gevoelig, dus niet de beste keuze. Over het internet al helemaal niet. De volgende Reddit post soms wel goede punten op. Zijn die 4g modems ook intern te bereiken per locatie en dat je van binnenuit de beschikbaarheid kunt meten?

Zie hier het Reddit draadje.

[Hero of Time]

FREAKJAM schreef op woensdag 28 mei 2025 @ 20:50:
[...]

SNMP is UDP en erg latency gevoelig, dus niet de beste keuze. Over het internet al helemaal niet. De volgende Reddit post soms wel goede punten op. Zijn die 4g modems ook intern te bereiken per locatie en dat je van binnenuit de beschikbaarheid kunt meten?

Zie hier het Reddit draadje.

Had ook al wat online gelezen en kwam die reddit draad ook al tegen. Intern hebben we niet echt de mogelijkheid om iets neer te zetten om dat ding uit te lezen, mede ook vanwege de tijdelijke aard van het gebruik van het 4G modem. Het gaat sowieso lastig om het vanuit intern, op locatie, uit te lezen vanwege de FG die er nog tussen zit. We sturen namelijk interne adressen die niet bij de locatie horen de s2s tunnel in naar kantoor.

Maar met de aard van UDP zou je bijna verwachten dat het door een tunnel dat ook over het internet gaat net zo onstabiel zou zijn. Het is echter niet zo eenvoudig die aanname te maken, omdat je te maken hebt met andere behandeling van soorten verkeer.

[Blokker_1999]

Een eerste vraag die bij me opkomt als ik 4G zie staan is of ze wel een eigen publiek IP adres hebben aan hun 4G kant. Providers maken nog te vaak gebruik van NAT op IPv4 en er zijn er ook die nog altijd geen IPv6 ondersteunen.

En staan op die locaties dan slechts 1 enkele firewall? Wij plaatsen overal 2 firewalls in een HA cluster, zelfs in onze kleinste remote locaties zodat het uitvallen van 1 firewall nooit enig effect kan hebben, behalve een alert op onze monitoring. En om eerlijk te zijn heb ik dat soort van alerts alleen nog maar gezien wanneer iemand met een upgrade bezig is, firewalls zijn 1 van de stabielste appliances die je over het algemeen tegenkomt.

Voor de vraag of je intern iets kunt doen lijkt de eerste belangrijke vraag mij of je een dubbele WAN verbinding hebt op die locaties, al is het 2x 4G. Want de S2S tunnel is natuurlijk geen UDP meer, maar dan blijf je met het probleem zitten dat wanneer de tunnel wegvalt je geen antwoord hebt op de vraag of het nu de firewall, danwel de 4G verbinding is die weggevallen is. Al zou in theorie een ping naar de 4G modems ook daar een relatief goed antwoord op moeten geven.

[Hero of Time]

Ping gaan we al doen. We hebben dit ook al voor de vaste verbindingen. De 4G modems hebben een vast adres, dus ongeacht waar ze staan in het land is het adres hetzelfde.

De locaties hebben niks aan een dubbele firewall, want ze hebben maar 1 vast adres en 1 modem. Dus al voer je alles 4x dubbel uit, zolang er 1 modem is waar alles afhankelijk van is, schiet je er geen zak mee op en heb je geld weggegooid. Op kantoor hebben we al een HA setup met dubbele firewall en dubbele lijn.

De locaties zijn niet echt fancy qua opzet, meest uitgebreide is een UPS waar modem, firewall en switch aan hangen. Soms werkt dat niet helemaal zoals verwacht bij een stroomstoring, maar dat kan dan iets verder zijn dan het pand en effectief helpt het ook niet echt voor het werkbaar houden van de locatie want de rest is toch uit.

Gaat mij er juist om, SNMPv3 over internet, ja of nee. Ping om te zien of het online is komt al, maar iets meer informatie zou leuk zijn.

[Gr4mpyC3t]

Hero of Time schreef op donderdag 29 mei 2025 @ 11:35:
Ping gaan we al doen. We hebben dit ook al voor de vaste verbindingen. De 4G modems hebben een vast adres, dus ongeacht waar ze staan in het land is het adres hetzelfde.

De locaties hebben niks aan een dubbele firewall, want ze hebben maar 1 vast adres en 1 modem. Dus al voer je alles 4x dubbel uit, zolang er 1 modem is waar alles afhankelijk van is, schiet je er geen zak mee op en heb je geld weggegooid. Op kantoor hebben we al een HA setup met dubbele firewall en dubbele lijn.

De locaties zijn niet echt fancy qua opzet, meest uitgebreide is een UPS waar modem, firewall en switch aan hangen. Soms werkt dat niet helemaal zoals verwacht bij een stroomstoring, maar dat kan dan iets verder zijn dan het pand en effectief helpt het ook niet echt voor het werkbaar houden van de locatie want de rest is toch uit.

Gaat mij er juist om, SNMPv3 over internet, ja of nee. Ping om te zien of het online is komt al, maar iets meer informatie zou leuk zijn.

SNMPv3 over mobiel internet is complex vanwege CGNAT, en als het überhaupt al werkt is het ook nog eens UDP. Weet je of de provider CGNAT toepast? Zo ja, dan kan je het wel vergeten denk ik. Het scheelt dat je een vast IP-adres van ze krijgt.

Heeft het modem/de router geen mogelijkheid om iets met HTTPS of MQTT te doen? Informatie pushen is in deze situatie altijd makkelijker dan pollen.

[Hero of Time]

Het is een Draytek VigorLTE. We kunnen zelfs van afstand de management interface openen. Iets wat we nog wel heel snel gaan dichtzetten nu we dit weten, want standaard staat het dus voor de wereld open.

Als ik een Zabbix template had gevonden die via https werkt, is het hele snmp vraagstuk natuurlijk niet meer van toepassing.

[Gr4mpyC3t]

Hero of Time schreef op donderdag 29 mei 2025 @ 13:33:
Het is een Draytek VigorLTE. We kunnen zelfs van afstand de management interface openen. Iets wat we nog wel heel snel gaan dichtzetten nu we dit weten, want standaard staat het dus voor de wereld open.

Als ik een Zabbix template had gevonden die via https werkt, is het hele snmp vraagstuk natuurlijk niet meer van toepassing.

De webhook feature ziet er veelbelovend uit. Geen idee of dit ook op jouw model terug te vinden is.

[Hero of Time]

Die had ik ook gevonden, maar vereist dan weer dat de Draytek naar ons kan en vereist daarmee weer een gaatje in de firewall op kantoor. Waar we juist zo min mogelijk van willen hebben.

Vigor will send information to the Webhook server

De informatie die het stuurt is ook niet alles wat je zou willen hebben. Firmware versie wordt bijvoorbeeld niet gestuurd en zou juist handig zijn om te weten of we die moeten bijwerken of niet. Zag geen auto-update feature namelijk in de interface en in sommige gevallen wil je dat ook liever niet, want het gebeurt nog wel eens dat een firmware meer problemen geeft dan oplost.

[Thijs B]

misschien leest er iemand mee met verstand van terminal servers.

Volledig draaiende RDSfarm bestaande uit een windows 2019 broker server en enkele session hosts in Farm1
met een dns entry farm1.bedrijf en users in een ad accessgroep-farm1

Nu wil ik op diezelfde broker een farm2 draaien met enkele windows 2025 sessions host.
ook met een eigen dns entry farm2.bedrijf

maar als je connect kom je altijd uit op farm1

iemand een idee hoe dit te troubleshooten of doe ik weer iets wat helemaal niet kan?

[Renegade666]

Thijs B schreef op maandag 16 juni 2025 @ 20:36:
misschien leest er iemand mee met verstand van terminal servers.

Volledig draaiende RDSfarm bestaande uit een windows 2019 broker server en enkele session hosts in Farm1
met een dns entry farm1.bedrijf en users in een ad accessgroep-farm1

Nu wil ik op diezelfde broker een farm2 draaien met enkele windows 2025 sessions host.
ook met een eigen dns entry farm2.bedrijf

maar als je connect kom je altijd uit op farm1

iemand een idee hoe dit te troubleshooten of doe ik weer iets wat helemaal niet kan?

Volgens mij moet je dan per collectie rechten uitdelen. Dus groep 1 gaat naar farm 1, en groep 2 naar farm 2. En men mag dus niet in beide groepen zitten.

[Thijs B]

Renegade666 schreef op maandag 16 juni 2025 @ 20:43:
[...]


Volgens mij moet je dan per collectie rechten uitdelen. Dus groep 1 gaat naar farm 1, en groep 2 naar farm 2. En men mag dus niet in beide groepen zitten.

ja check maar als ik user in groep2 zet connect die toch naar farm1 en komt daar dan niet in ?!?

[Paul]

@Thijs B Heb je ooit HKLM\System\CurrentControlSet\Control\TerminalServer\ClusterSettings\DefaultTsvUrl aangepast op de broker?

[Hero of Time]

Als je een Session Broker hebt, heb je wellicht ook al een RemoteWeb beschikbaar. Hier staan je collections dan met hun eigen .rdp bestand. Deze verwijst dan naar je individuele collections door met de connection broker te verbinden en bevat de collection naam als parameter oid. Dit kan je niet in de standaard RDP client opgeven.

Waar wijst je DNS naar die je voor elk farm hebt gemaakt? Want als ze elk naar de aparte Session Host wijzen, zou je niet zomaar naar een andere server moeten gaan.

Dus hoe verbind je precies? Want ik heb een session broker met iets meerdere collections, allemaal maar 1 session host, en heb nog niet iemand gehoord dat ze spontaan op een andere server terecht kwamen.

[Thijs B]

Hero of Time schreef op maandag 16 juni 2025 @ 22:42:
Als je een Session Broker hebt, heb je wellicht ook al een RemoteWeb beschikbaar. Hier staan je collections dan met hun eigen .rdp bestand. Deze verwijst dan naar je individuele collections door met de connection broker te verbinden en bevat de collection naam als parameter oid. Dit kan je niet in de standaard RDP client opgeven.

Waar wijst je DNS naar die je voor elk farm hebt gemaakt? Want als ze elk naar de aparte Session Host wijzen, zou je niet zomaar naar een andere server moeten gaan.

Dus hoe verbind je precies? Want ik heb een session broker met iets meerdere collections, allemaal maar 1 session host, en heb nog niet iemand gehoord dat ze spontaan op een andere server terecht kwamen.

tnx ik dacht dat je een dns entry moet maken farm1.domain. farm2.domain.
en dat wanneer je connect de broker aan de hand van het gekozen adres zelf uitvind naar welke farm je moet.

Maar dat is mijn denk fout??? je moet dus per farm een custom rdp file aanmaken waarmee de client connect?

en de reg key die Paul noemt is de default.

oke hiermee ga ik verder puzzelen vandaag..

ik ben nooit fan geweest van rds oplossingen, maarja niet mijn keuze

[Hero of Time]

@Thijs B, je maakt geen aparte .rdp bestand, dat doet de broker zelf voor je. Maar waar wijst je DNS naar dan? Als je trouwens maar 1 session host hebt waar je heen gaat, heb je helemaal geen farm. Een enkele bij noem je ook geen zwerm, dus waarom 1 server direct een heel data center noemen?

Op m'n vorige werk hadden we 4 RDS servers. Hier had ik een enkele DNS naam voor die naar alle 4 verwees. Verbinding maken naar een van deze vier servers, via de aangemaakte DNS met alle 4 erin of naar een host zelf zorgde er wel voor dat ik naar de minst bezette server werd gestuurd. Dat is ook hoe ik de thin clients destijds had ingesteld.

De connection broker die ik had, was ook verantwoordelijk voor onze management server zodat we met meer dan 2 personen erop konden inloggen. Dat was een andere collectie, met alleen die server erin. Niemand kwam spontaan op een andere server terecht dan bedoelt.

[Blokker_1999]

Je verbindt inderdaad niet met de broker, maar gewoon met de session hosts. Dus je farm1.domain.tld moet verwijzen naar je session host(s) van farm1 en hetzelfde voor farm2. Als je 1 enkele session host hebt, heb je trouwens ook geen broker nodig, die is enkel van toepassing als je ofwel remote apps wenst aan te bieden ipv een volledige desktop sessie of wanneer je meerdere session hosts wenst te load balancen.

Heb je een broker en meerdere session hosts in een collectie, en je verbindt bijvoorbeeld met sessionhost 1, dan zal host 1 aan de broker gaan vragen wie er het minst belast is, blijkt dat bijvoorbeeld host 3 te zijn, dan zal je verbinding doorgestuurd worden naar host 3 en ga je daar verbinding mee maken. Daarom dat ze allemaal onder 1 DNS entry moeten vallen en dat ze ook allemaal hetzelfde certificaat voor RDP moeten hebben.

In onze setup hebben we tot op heden nog geen 2 farms op 1 enkele SB gezet. Is zelfs nooit in ons opgekomen om dat te doen. Maakt het ook weer net iets eenvoudiger om alles op hetzelfde OS te houden heel de tijd.

[Hero of Time]

Reden dat ik een connection broker heb voor meerdere collections met maar 1 session host is puur en alleen dat het dan automatisch de configuratie doet voor de license server. Die overigens op dezelfde server staat als de CB. Voor externen heb ik nog een remote desktop gateway, maar dat is weer een heel eigen beest.

[Thijs B]

Hero of Time schreef op woensdag 18 juni 2025 @ 19:00:
Reden dat ik een connection broker heb voor meerdere collections met maar 1 session host is puur en alleen dat het dan automatisch de configuratie doet voor de license server. Die overigens op dezelfde server staat als de CB. Voor externen heb ik nog een remote desktop gateway, maar dat is weer een heel eigen beest.

top met jullie input valt het kwartje ja het gaat om meerdere session hosts en meerdere collections.
nu kunnen we een nieuwe collection bouwen op basis van windows 2025 en gefaseerd users van de oude naar de nieuwe collection overzetten. Lekker clean beginnen met nieuwe verse UPN profile disks en alle vervuilde zooi uit de oude collection die al paar jaar draait eruit mikken, Dat is mijn meest favorite ict werk, oude zooi deleten

[Hero of Time]

@Thijs B, dat is idd ook iets wat collections mogelijk maakt, profile disks. Maar veel beheerders zweren bij FSLogix als vervanger van UPD (niet UPN, of je hebt ook gelijk een nieuw AD domein ). Wij gebruiken dat hier niet, omdat we met maar 1 session host per collection zitten en het geen toegevoegde waarde heeft. Gewoon lekker het profiel lokaal, roamen is niet nodig.

[Tylen]

Thijs B schreef op donderdag 19 juni 2025 @ 13:20:
[...]


top met jullie input valt het kwartje ja het gaat om meerdere session hosts en meerdere collections.
nu kunnen we een nieuwe collection bouwen op basis van windows 2025 en gefaseerd users van de oude naar de nieuwe collection overzetten. Lekker clean beginnen met nieuwe verse UPN profile disks en alle vervuilde zooi uit de oude collection die al paar jaar draait eruit mikken, Dat is mijn meest favorite ict werk, oude zooi deleten

UPD bedoel je denk ik? Die moet je niet meer gebruiken. Zit ook niet echt makkelijk beheer op. Er is wel een adm template voor overigens:
https://www.jeroentielen....t-user-profile-disks-gpo/

Fslogix is the way to go.

[Thijs B]

Hero of Time schreef op donderdag 19 juni 2025 @ 19:36:
@Thijs B, dat is idd ook iets wat collections mogelijk maakt, profile disks. Maar veel beheerders zweren bij FSLogix als vervanger van UPD (niet UPN, of je hebt ook gelijk een nieuw AD domein ). Wij gebruiken dat hier niet, omdat we met maar 1 session host per collection zitten en het geen toegevoegde waarde heeft. Gewoon lekker het profiel lokaal, roamen is niet nodig.

haha en ik heb al zoooooveel op mijn ooit todo plannen lijst staan haha.
FSLogix nooit zo naar gekeken eigenlijk, lees ik het goed als je RDS calls hebt je dan ook FSLogix licentie technisch kan gebruiken?

Liefst zou ik volledig over gaan naar VDI maar mijn ToDo lijstje is al vol

[Gr4mpyC3t]

Thijs B schreef op vrijdag 20 juni 2025 @ 13:29:
[...]

haha en ik heb al zoooooveel op mijn ooit todo plannen lijst staan haha.
FSLogix nooit zo naar gekeken eigenlijk, lees ik het goed als je RDS calls hebt je dan ook FSLogix licentie technisch kan gebruiken?

Liefst zou ik volledig over gaan naar VDI maar mijn ToDo lijstje is al vol

Volgens mij klopt dat, omdat het jaren geleden ook gekocht is door Microsoft.

[Blokker_1999]

Hero of Time schreef op woensdag 18 juni 2025 @ 19:00:
Reden dat ik een connection broker heb voor meerdere collections met maar 1 session host is puur en alleen dat het dan automatisch de configuratie doet voor de license server. Die overigens op dezelfde server staat als de CB. Voor externen heb ik nog een remote desktop gateway, maar dat is weer een heel eigen beest.

de licensing stellen wij in met GPOs, net omdat we ook vele standalone hosts hebben terwijl onderdeel zijn van een collection dan weer vloekt met RDP via Citrix voor remote toegang plus dat het redelijk zinloos is om een collectie van 1 stuk te hebben.

[Hero of Time]

Blokker_1999 schreef op vrijdag 20 juni 2025 @ 16:02:
[...]

de licensing stellen wij in met GPOs, net omdat we ook vele standalone hosts hebben terwijl onderdeel zijn van een collection dan weer vloekt met RDP via Citrix voor remote toegang plus dat het redelijk zinloos is om een collectie van 1 stuk te hebben.

Ja, als je Citrix gebruikt, ga je geen MS RDS er naast opzetten. Daar is juist Citrix voor.

Het is idd wellicht wat overkill om een hele broker te hebben voor maar 1 session host per 'collectie'. In mijn geval is het ook wel handig om te zien of er mensen zijn ingelogd op servers via Server Manager zonder dat ik eerst moet inloggen op de server.

[Blokker_1999]

Wij gebruiken Citrix als doorgeefluik voor RDP, geen ICA

Al is het tij daar ook wel aan het keren daar we ook mensen extern aan de firma hebben die aan bepaalde omgevingen moeten kunnen, maar niet altijd in staat zijn om een RDP sessie over poort 443 te laten lopen. RDP houdt niet zo van SSL decryption . En hoewel je met RDS ook een HTML5 oplossing hebt, zit je dan wel weer met heel de setup en is besloten geweest om voor die specifieke omgeving reeds over te gaan op de volledige Citrix stack.

[Thijs B]

Hero of Time schreef op donderdag 19 juni 2025 @ 19:36:
@Thijs B, dat is idd ook iets wat collections mogelijk maakt, profile disks. Maar veel beheerders zweren bij FSLogix als vervanger van UPD (niet UPN, of je hebt ook gelijk een nieuw AD domein ). Wij gebruiken dat hier niet, omdat we met maar 1 session host per collection zitten en het geen toegevoegde waarde heeft. Gewoon lekker het profiel lokaal, roamen is niet nodig.

Zo dat viel achteraf mee FSLogix up and running, althans staat klaar om in productie te nemen op de nieuwe rdscollection, duidelijk te merken dan de login procedure stukje sneller is met profiledisks en FSLogix

[Hero of Time]

Thijs B schreef op maandag 23 juni 2025 @ 20:21:
[...]

Zo dat viel achteraf mee FSLogix up and running, althans staat klaar om in productie te nemen op de nieuwe rdscollection, duidelijk te merken dan de login procedure stukje sneller is met profiledisks en FSLogix

Ja, fslogix is niet zo spannend eigenlijk. Op m'n vorige werk had ik destijds bedacht om de user disks op de centrale Synology Rackstation te zetten die we ook al gebruikten voor alle andere storage doeleinden (VMware VMs, user documenten, afdelingsdata), maar voor UPD moet en zal er via RPC geluld worden en dat is alleen mogelijk met een Windows file server. Terwijl met fslogix elke backend dat Windows snapt gebruikt kan worden. Dus ipv smb op een Windows server, kan het ook gewoon een Linux smb host zijn, of een NAS zoals dus Synology.

Een centrale storage oplossing was daar al heel wat, toen ik er kwam draaide er 5 Hyper-V hosts met allemaal lokale storage, 3 ervan hadden alleen een RDS erop draaien (dus 1 session host voor 1 fysieke machine, Hyper-V er tussen was een beetje vreemd). De 4e host draaide de financiële administratie en het logistieke pakket. De 5e host was het ergste, dat was file server, domain controller, printserver én had de Hyper-V rol om daarin de license server en connection broker te kunnen draaien als enkele VM.

Blij dat ik nu met beter spul werk.

[Gu357]

Gr4mpyC3t schreef op vrijdag 20 juni 2025 @ 14:49:
[...]


Volgens mij klopt dat, omdat het jaren geleden ook gekocht is door Microsoft.

Dat is correct. De licentie zit samen met de RDS call.

Ref: https://learn.microsoft.c...ix/overview-prerequisites

[Gu357]

Je kunt met FSLogix ook applicaties verbergen. Dat kan zelfs aan de hand van security groups.

Een heel krachtige functie die je niet snel tegenkomt.

Ref: https://learn.microsoft.c...ial-application-rule-sets

[Tylen]

Gu357 schreef op maandag 23 juni 2025 @ 20:44:
Je kunt met FSLogix ook applicaties verbergen. Dat kan zelfs aan de hand van security groups.

Een heel krachtige functie die je niet snel tegenkomt.

Ref: https://learn.microsoft.c...ial-application-rule-sets

Gebruik ik overal. Heerlijke functie.

[Harmen]

Onder het mom, nooit geschoten is altijd mis.
Iemand eenzelfde ervaring dat Outlook de verkenner (Win11) sloopt? (Zie oa https://learn.microsoft.c...r-doesnt-work-correctly-w) (W11 23H2 - Omnissa Horizon omgeving). Als we het preview venster aanzetten werken alle verkenner acties weer.

[jordeeeh]

Iemand die toevallig ervaring heeft met Zabbix? (@Hero of Time ?)
Wij maken gebruik van Zabbix 7.2 en hiermee wil ik onze VMware omgeving monitoren, dit doe ik d.m.v. de VMware Discovery.
Alle hypervisors en VM's worden automatisch aangemaakt zoals verwacht.

Nu wil ik voor de Windows VM's dat automatisch de template 'Windows by Zabbix agent' wordt gekoppeld.
Wat ik tegen ben gekomen is dat ik bij de VMware VM discoveryrule een override moet toevoegen.
Dit heb ik gedaan als volgt:



Maar bij de discovery wordt de template alsnog niet gekoppeld. Ook niet als ik de VM verwijder en helemaal opnieuw laat discoveren.
Als test heb ik in de host prototype een macro aangemaakt:
Macro: {$VMWARE.VM.GUESTFAMILY}
Value: {#VM.GUESTFAMILY}

Bij de VM's wordt dan wel een macro aangemaakt met de waarde windowsGuest. Ook dit heb ik al geprobeerd in te stellen in de Override, maar ook dan doet ie t niet.

Hebben jullie nog een idee?

[Quad]

Heeft Microsoft weer iets aangepast? Ik heb een klant waarbij het font Aptos op zowel Mac als Windows van 11pt naar 12pt lettergrootte is gegaan. Ik zie niets in releasenotes en bij mijzelf is er niets gewijzigd. Lijkt in de tenant iets te zijn veranderd eerder.

[Gr4mpyC3t]

Quad schreef op donderdag 26 juni 2025 @ 16:02:
Heeft Microsoft weer iets aangepast? Ik heb een klant waarbij het font Aptos op zowel Mac als Windows van 11pt naar 12pt lettergrootte is gegaan. Ik zie niets in releasenotes en bij mijzelf is er niets gewijzigd. Lijkt in de tenant iets te zijn veranderd eerder.

Geinig, toevallig viel mij dit ook op. Ik was een simpele handtekening aan het invoegen en die bleek op 11pt ingesteld te zijn waar de rest van de mail op 12pt geschreven was.

[Blokker_1999]

1 van mijn gebruikers heeft op zijn iPhone MS Defender geinstalleerd en deze aangemeld met zijn bedrijfsaccount. Alleen wordt hiermee een MDE P2 geactiveerd die de gebruiker niet heeft. Weet iemand hoe ik kan voorkomen dat gebruikers aanmelden op Defender zonder dat ik de app geforceerd ga verwijderen op alle apparaten? Want kan me inbeelden dat er wel ergens een gebruiker is die het met een prive account gebruikt. Want ik zie ook niet direct een manier om op mobiel de gebruikers naar P1 te duwen zodat deze in lijn is met de huidige E3 licenties. De E5 komt mogelijks ergens volgend jaar, al is daar nog geen zekerheid over.

[Hero of Time]

jordeeeh schreef op donderdag 26 juni 2025 @ 12:41:
Iemand die toevallig ervaring heeft met Zabbix? (@Hero of Time ?)
Wij maken gebruik van Zabbix 7.2 en hiermee wil ik onze VMware omgeving monitoren, dit doe ik d.m.v. de VMware Discovery.
Alle hypervisors en VM's worden automatisch aangemaakt zoals verwacht.

Nu wil ik voor de Windows VM's dat automatisch de template 'Windows by Zabbix agent' wordt gekoppeld.
Wat ik tegen ben gekomen is dat ik bij de VMware VM discoveryrule een override moet toevoegen.
Dit heb ik gedaan als volgt:
[Afbeelding]
[Afbeelding]

Maar bij de discovery wordt de template alsnog niet gekoppeld. Ook niet als ik de VM verwijder en helemaal opnieuw laat discoveren.
Als test heb ik in de host prototype een macro aangemaakt:
Macro: {$VMWARE.VM.GUESTFAMILY}
Value: {#VM.GUESTFAMILY}

Bij de VM's wordt dan wel een macro aangemaakt met de waarde windowsGuest. Ook dit heb ik al geprobeerd in te stellen in de Override, maar ook dan doet ie t niet.

Hebben jullie nog een idee?

We hebben eigenlijk ook nog Het Grote Monitoring Topic.

Maar ik heb 7.0 draaien (al direct sinds de alpha ) en toevallig eerder deze week eenzelfde aanpassing doorgevoerd. Heb niet eens de host in Zabbix hoeven te verwijderen, het werd direct toegepast.

Je moet bij het VMWare template zelf (dus niet een van de andere templates ervan) bij Discovery -> Host Prototype van VMWare Guest je extra template toepassen.

Let wel, als je zowel Linux als Windows VMs hebt, ga je dus hoe dan ook je gelinkte template krijgen en dat is niet echt handig. Want de checks voor Windows werken niet op Linux tenslotte. Ik dacht dat het automatisch al het juiste OS template linkte.

De aanpassing die ik had gedaan was toevoegen aan een host groep. Voor templates zou het vergelijkbaar moeten zijn. Maar ik denk dat je eigenlijk een andere oplossing zoekt.

[jordeeeh]

Hero of Time schreef op donderdag 26 juni 2025 @ 19:01:
[...]

We hebben eigenlijk ook nog Het Grote Monitoring Topic.

Maar ik heb 7.0 draaien (al direct sinds de alpha ) en toevallig eerder deze week eenzelfde aanpassing doorgevoerd. Heb niet eens de host in Zabbix hoeven te verwijderen, het werd direct toegepast.

Je moet bij het VMWare template zelf (dus niet een van de andere templates ervan) bij Discovery -> Host Prototype van VMWare Guest je extra template toepassen.

Let wel, als je zowel Linux als Windows VMs hebt, ga je dus hoe dan ook je gelinkte template krijgen en dat is niet echt handig. Want de checks voor Windows werken niet op Linux tenslotte. Ik dacht dat het automatisch al het juiste OS template linkte.

De aanpassing die ik had gedaan was toevoegen aan een host groep. Voor templates zou het vergelijkbaar moeten zijn. Maar ik denk dat je eigenlijk een andere oplossing zoekt.

Als je m inderdaad bij de Host Prototype toevoegt krijgen alle VM's tijdens de Discovery die template, dat wil ik dus niet.
Vandaar dat ik het via Override wilde doen waarbij hij filtert op de basis van een LLD macro.

Je brengt me wel op een idee, want misschien dat het mogelijk is om dynamische groepen te maken op basis van LLD macro's en daar dus inderdaad die template aan koppelen.
Ga ik binnenkort even uitzoeken

[Hero of Time]

@jordeeeh, ik heb auto-registratie toegepast op mijn omgeving. Bij je agents moet je al de server opgeven, ik heb ook ServerActive ingevuld en gebruik active checks. Hiermee registreren de systemen zichzelf nav de regels die je opgeeft. Zie ook de documentatie erover: https://www.zabbix.com/do...scovery/auto_registration.

Wanneer je VM dezelfde hostnaam heeft als hoe het in VMware heet, inclusief juiste hoofdletters, is het mogelijk dat je geen VMware Guest item en template krijgt ervoor. In de Zabbix server log zie je dan een melding over duplicate host die niet te maken is. Maar meldt de agent zich aan nadat de VM discovery 'm heeft gemaakt, zal 'ie de templates en andere zaken toepassen die in de auto-registratie actie staat. Dat is volgens mij hoe ik automatisch het Linux Active template eraan heb gekregen.

[Blokker_1999]

Blokker_1999 schreef op donderdag 26 juni 2025 @ 18:58:
1 van mijn gebruikers heeft op zijn iPhone MS Defender geinstalleerd en deze aangemeld met zijn bedrijfsaccount. Alleen wordt hiermee een MDE P2 geactiveerd die de gebruiker niet heeft. Weet iemand hoe ik kan voorkomen dat gebruikers aanmelden op Defender zonder dat ik de app geforceerd ga verwijderen op alle apparaten? Want kan me inbeelden dat er wel ergens een gebruiker is die het met een prive account gebruikt. Want ik zie ook niet direct een manier om op mobiel de gebruikers naar P1 te duwen zodat deze in lijn is met de huidige E3 licenties. De E5 komt mogelijks ergens volgend jaar, al is daar nog geen zekerheid over.

Heb vermoedelijk het antwoord gevonen. Je moet eerst 2 service principals toevoegen aan je omgeving voor zowel de ATP service als de TVM service met app IDs e724aa31-0f56-4018-b8be-f8cb82ca1196 en a0e84e36-b067-4d5c-ab4a-3db38e598ae2. Hierna kan je een CA policy maken die deze apps blokkeert op mobiele apparaten. Hoewel je de app nog kunt installeren en op het eerste zicht ook gewoon kunt aanmelden, komt de app even later met de klassieke melding "You can't get there from here." en verschijnt deze ook niet onder je devices in het MS Security portaal en lijkt de gebruiker ook geen licentie op te nemen.

[Blokker_1999]

Is er hier iemand die zowel de Entra ID connector als de Entra ID Cloud connector naast elkaar heeft draaien in hetzelfde domein?

Ik besef dat we ooit de omschakeling moeten maken, maar nog voor we daar aan beginnen ga ik mogelijks nood hebben aan de functionaliteit voor group writeback zoals deze in de nieuwere cloud connector zit en vroeg me daarom af of het mogelijk is deze 2 naast elkaar te draaien zodat we in de toekomst verder kunnen kijken hoe we steeds meer objecten van de oude naar de nieuwe kunnen doorgeven.

[Quad]

Gr4mpyC3t schreef op donderdag 26 juni 2025 @ 17:08:
[...]


Geinig, toevallig viel mij dit ook op. Ik was een simpele handtekening aan het invoegen en die bleek op 11pt ingesteld te zijn waar de rest van de mail op 12pt geschreven was.

Heb jij gezien waar dit vandaan kan komen? Er zijn nergens changelogs te vinden hierover en ik zie in de tenant ook niets geks..
Vreemde is dat de hele organisatie dit in één keer heeft incl. gebruikers op Mac/webmail, waarbij andere klanten (of onszelf) dit niet te vinden is.

Edit:
Wat krijg je als je in PowerShell het volgende uitvoert?

PowerShell:

Connect-ExchangeOnline
Get-MailboxMessageConfiguration -Identity $upn | Select-Object Identity,DefaultFontName,DefaultFontSize

Als je ziet staan: DefaultFontSize = 3, dan is dat 12pt.
Staat er DefaultFontSize = 11. dan is het 11pt.

Ergens is dit centraal doorgedrukt, ik zie namelijk in mijn privétenant op het account van mijn vrouw ook 12pt staan.
Bij klanten is het wisselend tussen 3, 11 en 12. Een relatief (2 weken oud) nieuwe tenant standaard allemaal op 3, oudere tenant wisselt dus.

[ Voor 34% gewijzigd door Quad op 04-07-2025 15:15 ]

[Quad]

@Blokker_1999 Volgens mij kan dat niet. Omdat de Entra cloud sync beperkingen heeft tov Entra Connect.

Het zou mogelijkerwijs kunnen wanneer je niet dezelfde OU laat syncen.

[ Voor 26% gewijzigd door Quad op 04-07-2025 15:18 ]

[tjoep]

Ik dacht dat we voor onze migratie wel cloud sync en cloud connect naast elkaar hadden draaien. Ou's uit de sync gehaald en in de connect gezet. Dus wel nooit door beide tegelijk laten syncen.

[Gr4mpyC3t]

Quad schreef op vrijdag 4 juli 2025 @ 14:21:
[...]

Heb jij gezien waar dit vandaan kan komen? Er zijn nergens changelogs te vinden hierover en ik zie in de tenant ook niets geks..
Vreemde is dat de hele organisatie dit in één keer heeft incl. gebruikers op Mac/webmail, waarbij andere klanten (of onszelf) dit niet te vinden is.

Edit:
Wat krijg je als je in PowerShell het volgende uitvoert?

PowerShell:

Connect-ExchangeOnline
Get-MailboxMessageConfiguration -Identity $upn | Select-Object Identity,DefaultFontName,DefaultFontSize

Als je ziet staan: DefaultFontSize = 3, dan is dat 12pt.
Staat er DefaultFontSize = 11. dan is het 11pt.

Ergens is dit centraal doorgedrukt, ik zie namelijk in mijn privétenant op het account van mijn vrouw ook 12pt staan.
Bij klanten is het wisselend tussen 3, 11 en 12. Een relatief (2 weken oud) nieuwe tenant standaard allemaal op 3, oudere tenant wisselt dus.

Nee, ik heb geen flauw idee waarom. Toevallig heb ik gisteren nog een nieuwe Outlook-installatie gedaan en dan zie je in de standaard handtekening (met de tekst: deze mail is verzonden met Outlook of zo) wel 12pt staan. Maak je dan een nieuwe handtekening aan dan valt Outlook weer terug op 11 pt.

PowerShell output:

code:

Identity: Gr4mpyC3t
DefaultFontName: Calibri
DefaultFontSize: 3

De tenant waar ik dit vandaan heb gehaald bestaat al een aantal jaar en de mailbox is net zo oud als de tenant. Het gevoel dat dit centraal is aangepast deel ik wel met je. Mijn aanname is dat iedere mailbox een default waarde meekrijgt en als er nooit iets anders is ingesteld heb je nu automatisch een nieuwe default waarde. Dat verklaart wellicht ook dat je 3 ziet in plaats van 11 of 12.

En dan is de aanname bovenop de aanname dat ze in Outlook zijn vergeten om de standaard van 11pt om te zetten naar 12pt, want die waarde lijkt hij niet van de mailbox te pakken maar van de applicatie (Outlook) zelf.

[Quad]

Nee ik ook niet. En er zijn nergens releasenotes te vinden wat iets gerelateerd is aan Outlook/Exchange Online of overig.
In Word Online is Aptos ook van 11 naar 12 gegaan zie ik nu.

[Blokker_1999]

Quad schreef op vrijdag 4 juli 2025 @ 15:16:
@Blokker_1999 Volgens mij kan dat niet. Omdat de Entra cloud sync beperkingen heeft tov Entra Connect.

Het zou mogelijkerwijs kunnen wanneer je niet dezelfde OU laat syncen.

Verschillende OUs is uiteraard wel de bedoeling Maar dat maakt een tragere transitie mogelijk en kan me uit de nood helpen op korte termijn terwijl de overstap op langere termijn kunnen bekijken.

[Gr4mpyC3t]

Quad schreef op vrijdag 4 juli 2025 @ 15:42:
Nee ik ook niet. En er zijn nergens releasenotes te vinden wat iets gerelateerd is aan Outlook/Exchange Online of overig.
In Word Online is Aptos ook van 11 naar 12 gegaan zie ik nu.

Heel erg bedankt dat je me nu compleet gek maakt met het 11pt vs. 12pt verhaal in Microsoft-applicaties.

Ik heb ook een Outlook.com mailadres dat ik in Outlook gebruik en daar valt me nu op dat het nog 11pt is vs. 12pt. Pak ik een zakelijk mailadres in mijn eigen M365-tenant dan is het standaard 12pt.

Ik weet het ook niet meer.

[Quad]

Het spijt me. Praatgroepje starten?

[Onbekend]

Ik heb een aantal Windows 2022 servers, en met PowerShell probeer ik Windows updates te installeren op het moment wanneer het ons ook uit komt.

Maar ik zie al meerdere malen dat de updates niet altijd worden geïnstalleerd, en vandaag ook weer.
Ik heb zojuist de server opnieuw opgestart om er zeker van te zijn dat hij niet op een pending reboot staat te wachten. En nu heb ik er een screenshot van gemaakt:



Via PowerShell vind hij geen nieuwe updates om te installeren, terwijl er duidelijk twee updates beschikbaar zijn. Zodra ik zelf op de "Download"-knop klik, gaat hij het wel downloaden en installeren. (In onze policy mag hij ze direct van Microsoft downloaden, en hoeven we de updates niet handmatig the autoriseren.)

Wat mis ik nog in dit PowerShell script om dat automatisch te doen? (De taak om Windows opnieuw op te starten na een update wordt ergens anders gedaan.)

[Illegal_Alien]

2 Seconde zoekwerk: https://www.modernsamurai...-IgnoreReboot%20parameter.

Zou moeten zijn:

code:

Install-WindowsUpdate -MicrosoftUpdate -AcceptAll

[Hero of Time]

Draai je dat powershell script elke keer handmatig om updates uit te voeren en de reboot te plannen? Want als je dat doet, zou ik het eens via Windows Admin Center proberen, daar kan je beide tegelijk inplannen (installeer om x tijd en herstart wanneer nodig daarna).

[Onbekend]

@Illegal_Alien
Bedankt. Ik zocht waarschijnlijk met de verkeerde woorden. Steeds kwam ik dus uit op wat ik in mijn screenshot uitvoerde. Ook ChatGPT gaf niet iets anders aan. En hij ziet nu ook andere updates zoals de ODBC-driver.

@Hero of Time
Nee, het script wordt automatisch meerdere keren per week gestart via de Windows Task Scheduler, maar het script is veel uitgebreider dan wat ik hier had beschreven. Er wordt bijvoorbeeld gecontroleerd of niemand remote aan het werk is, en er wordt gezorgd dat niet alle servers op het exact het zelfde moment aan het updaten zijn.

Het herstart script werkt op ongeveer de zelfde manier. Als er een pending reboot is, kan hij de server herstarten als verder niemand de server gebruikt. Maar er wordt gezorgd dat maar 1 server tegelijkertijd aan het herstarten is, zodat niet het halve netwerk down is.

[Blokker_1999]

Even kijken of hier iemand weet hoe dit zit. Ik heb een guest user in Entra ID, bedrijf van de guest gebruikt ook gewoon Entra dus gebruiker heeft een ExternalAzureAD identity. Gebruiker is intern in bedrijf verhuisd en heeft daar een nieuwe UPN gekregen. Iemand die weet hoe we ervoor kunnen zorgen dat die gebruiker met het nieuwe email adres kan aanmelden bij ons zonder dat we het account moeten weggooien en opnieuw aanmaken?

Dat is natuurlijk altijd een optie, maar prefereer van dat niet te doen.

[nextware]

Blokker_1999 schreef op dinsdag 15 juli 2025 @ 10:43:
Even kijken of hier iemand weet hoe dit zit. Ik heb een guest user in Entra ID, bedrijf van de guest gebruikt ook gewoon Entra dus gebruiker heeft een ExternalAzureAD identity. Gebruiker is intern in bedrijf verhuisd en heeft daar een nieuwe UPN gekregen. Iemand die weet hoe we ervoor kunnen zorgen dat die gebruiker met het nieuwe email adres kan aanmelden bij ons zonder dat we het account moeten weggooien en opnieuw aanmaken?

Dat is natuurlijk altijd een optie, maar prefereer van dat niet te doen.

Azure Cross tenant sync gebruiken tussen beide Entra ID's ?

[Duinkonijn]

https://learn.microsoft.c...ternal-id/user-properties

[Blokker_1999]

Misschien hier iemand die me op de juiste weg kan zetten.

Enkele weken terug heb ik mijn wachtwoord aangepast. Op 1 van mijn non-hybrid joined laptops, dus puur Entra ID joined, krijg ik sindsdien continue de melding dat Windows mijn huidige credentials nodig heeft. De laptop vergrendellen en daarna ontgrendellen met wachtwoord helpt soms, maar niet altijd om het kadertje weer even weg te laten gaan en terug te kunnen verbinden met onze on-prem file servers.

Een andere testlaptop die ook non-hybrid joined is (alle productie systemen zijn nog hyrid joined) heeft dit probleem niet. Die heeft mijn nieuw wachtwoord zonder problemen aanvaard. Ondertussen ook al geprobeerd om mijn wachtwoord terug te zetten naar mijn vorig wachtwoord, alsook het nogmaals te wijzigen, maar allemaal zonder resultaat.

Enige verschil dat ik nog zie tussen die 2 test systemen is dat het exemplaar met het probleem op arm64 draait, al zie ik niet direct in waarom dat ineens dit probleem zou veroorzaken. Het feit dat de andere laptop wel gewoon werkt lijkt ook aan te geven dat het een probleem op de laptop zelf is en niet direct met de infra.

Laptops werken daarnaast ook gewoon met WhfB waarvan ik ook op dit moment 1 van de testgebruikers ben in de firma. Misschien dat daar ook nog een link zit. Heb enkele forum posts gevonden die aangaven van misschien eens de PIN te resetten, maar ook dat gaf geen oplossing.

[Quad]

Volgens mij heeft het indd te maken met de WhFB. Iets met kerberos ticket naar de DC.
Je hebt die foutmelding waarschijnlijk niet als je niet met WhFB maar gewoon met wachtwoord aanmeldt.

[Blokker_1999]

Quad schreef op donderdag 31 juli 2025 @ 15:31:
Volgens mij heeft het indd te maken met de WhFB. Iets met kerberos ticket naar de DC.
Je hebt die foutmelding waarschijnlijk niet als je niet met WhFB maar gewoon met wachtwoord aanmeldt.

Klopt, maar dat is uiteraard net niet de bedoeling. Bedoeling is dat WhfB gebruikt kan worden. Ondertussen alles al geprobeerd. PIN reset, biometrics reset, WhfB verwijderd als MFA methode, alles opnieuw geregistreerd maar als ik met WhfB aanmeld blijf ik uitkomen op een "Windows needs your current credentials". Het is alsof de credential opgeslagen in de TPM niet bijgewerkt kan worden, en heb echt geen zin om die TPM snel even te clearen. Al is dat mogelijks mijn enige oplossing.

[Blokker_1999]

gisterenavond toch maar de TPM gecleared. De private Windows install had er geen enkel probleem mee, even Bitlocker en PIN recovery doorlopen en klaar. Maar de company install ... verdorie. Die had aan de ene kant wel netjes BitLocker gepauzeerd op zijn systeemschijf bij het clearen van de TPM, maar wenste achteraf niets meer met die TPM te doen. BitLocker hervatten was onmogelijk, PIN opnieuw instellen was onmogelijk. Uiteindelijk toch maar gekozen voor een herinstallatie van het OS.

[FREAKJAM]

Nu te laat, maar misschien voor een volgende keer: Met 'certutil.exe -deletehellocontainer' doe je nog een reset van je WHfB configuratie in je gebruikersprofiel. Misschien dat je dat al had geprobeerd, maar ik deel het commando voor de zekerheid toch. Jullie maken wel gebruik van cloud kerberos trust? Anders gaat WHfB SSO sowieso niet werken vanaf een Entra joined device naar een on-premises share.

[ Voor 15% gewijzigd door FREAKJAM op 03-08-2025 15:19 ]

[masauri]

Ik kom terug uit bouwverlof na onze collectieve sluiting en de printers willen niet meer goed werken. (Geen mails meer scannen en mailen, vinden geen netwerk meer enz.)

Blijkt na contact met onze externe it partner dat telenet die ik als smtp had ingesteld deze zonder communicatie heeft uitgezet voor dit gebruik.
Ik verwacht zo nog een handleiding om te bekijken wat intern mogelijk is, maar ze krijgen minimaal 3-5 klanten per dag waar ze de printers opnieuw moeten instellen omdat deze niet meer werken.

Heeft iemand hier meer over gehoord?

[Arfman]

Simpele vraag maar ik kom er niet zo 1-2-3 uit. Ik heb nieuwe conditional access policies gemaakt voor onze tenant en sindsdien moeten onze managed/entra joined iPhones elke dag opnieuw authenticeren.

Ik ben me suf aan het Googlen en ChatGPT-en maar ik kan niet vinden welke setting/policy dit nu precies veroorzaakt. Onze oude policies zijn er nog (report only) maar die zijn eerlijk gezegd zo'n zooitje dat ik ook daar niet wijs uit kan worden.

Wie kan mij de magic solution geven?

[Renegade666]

Als je onder de gebruiker kijkt in entra, kun je zien welke CA er aangesproken/verplicht word in de audit log.
Misschien helpt dat.

[DennusF]

Arfman schreef op maandag 25 augustus 2025 @ 13:57:
Simpele vraag maar ik kom er niet zo 1-2-3 uit. Ik heb nieuwe conditional access policies gemaakt voor onze tenant en sindsdien moeten onze managed/entra joined iPhones elke dag opnieuw authenticeren.

Ik ben me suf aan het Googlen en ChatGPT-en maar ik kan niet vinden welke setting/policy dit nu precies veroorzaakt. Onze oude policies zijn er nog (report only) maar die zijn eerlijk gezegd zo'n zooitje dat ik ook daar niet wijs uit kan worden.

Wie kan mij de magic solution geven?

Je kan in de log file van CA zien waarop die gehit wordt? (sorry zag de laatste reactie niet)

[Blokker_1999]

Vandaag iets vreemds gezien in onze Entra ID, 1 van onze automatische processen faalde op een vreemde manier, blijkt dat een guest account verwijderd werd terwijl de automatisatie die net aan het valideren was. Ik ga kijken in de audit logs, en daar staat dat de "Initiator" het guest account zelf was, wat vreemd is want geen enkel account in Entra ID zou rechten mogen hebben om zichzelf te verwijderen en verwijderen is sowieso iets wat verhoogde rechten vereist.

Daarnaast zie ik een tweede verwijder event, op hetzelfde tijdstip, voor dezelfde gebruiker, maar met helemaal geen informatie erin.

Iemand die weet wat hier kan gebeurd zijn?

[Hero of Time]

Er zijn hier meer die Zabbix gebruiken. Updaten jullie de ingebouwde templates ook regelmatig? Gisteren heb ik de update naar 7.0.18 uitgevoerd (tezamen met de upgrade naar Trixie) en vandaag een paar templates bijgewerkt. Met versie 7.0.11 zijn de Zabbix Server Health en Proxy Health templates verandert, die had ik tot op heden nog niet op niveau gebracht. Maar nu heb ik een gekke 'disaster' trigger staan. Op m'n proxy is de trigger voor 'wrong template linked' actief en zegt het dat het Server template op de Proxy is toegepast. Maar dat klopt helemaal niet. M'n Proxy heeft de Proxy Health template en m'n Server heeft de Server Health template.

De documentatie noemt niks hierover, omschrijving in de changelog van 7.0.11 waarin dit is verandert staat ook niks. Iemand enig idee of ik nog een ander template moet linken?

[FREAKJAM]

Arfman schreef op maandag 25 augustus 2025 @ 13:57:
Simpele vraag maar ik kom er niet zo 1-2-3 uit. Ik heb nieuwe conditional access policies gemaakt voor onze tenant en sindsdien moeten onze managed/entra joined iPhones elke dag opnieuw authenticeren.

Ik ben me suf aan het Googlen en ChatGPT-en maar ik kan niet vinden welke setting/policy dit nu precies veroorzaakt. Onze oude policies zijn er nog (report only) maar die zijn eerlijk gezegd zo'n zooitje dat ik ook daar niet wijs uit kan worden.

Wie kan mij de magic solution geven?

In de sign-in logs kun je onder het tabje conditional access controleren welke CA policy is toegepast. Anders kun je hier de what-if tool voor gebruiken.

[Hero of Time]

Hero of Time schreef op dinsdag 26 augustus 2025 @ 18:54:
Er zijn hier meer die Zabbix gebruiken. Updaten jullie de ingebouwde templates ook regelmatig? Gisteren heb ik de update naar 7.0.18 uitgevoerd (tezamen met de upgrade naar Trixie) en vandaag een paar templates bijgewerkt. Met versie 7.0.11 zijn de Zabbix Server Health en Proxy Health templates verandert, die had ik tot op heden nog niet op niveau gebracht. Maar nu heb ik een gekke 'disaster' trigger staan. Op m'n proxy is de trigger voor 'wrong template linked' actief en zegt het dat het Server template op de Proxy is toegepast. Maar dat klopt helemaal niet. M'n Proxy heeft de Proxy Health template en m'n Server heeft de Server Health template.

De documentatie noemt niks hierover, omschrijving in de changelog van 7.0.11 waarin dit is verandert staat ook niks. Iemand enig idee of ik nog een ander template moet linken?

Heb de oplossing zelf gevonden vandaag, maar niet zeker waarom dat zo is en er is een extra dingetje in de server log. Wat ik heb gedaan is de proxy host door de proxy zelf te laten monitoren. De enige templates die aan die host hangen, is Linux server by Zabbix Agent en Zabbix Proxy Health. Die laatste zouden internal checks moeten zijn. Wat dan dus wel wat verklaart over de trigger.

Iets wat wel gek is, is dat bij de Server het wél mogelijk is om Server Health en Server Health by Agent tegelijk toe te wijzen als templates, maar Proxy Health en Proxy Health by Agent niet, dat geeft een conflicterend item. Je zou verwachten dat beide situaties hetzelfde resultaat geven.

Maar goed, de disaster trigger is opgelost. Heb alleen in de zabbix_server.log een regel extra die blijft herhalen: cannot send active checks to host <host info>, host is monitored by proxy. De proxy mode is active, maar de toegewezen agent template is passive. Begrijp nog niet helemaal waarom deze log regel verschijnt wanneer de monitoring via de proxy gaat ipv server, dit is namelijk geen probleem bij alle andere hosts.