Het grote kleine-SysOps-vragen topic deel 1

[Blokker_1999]

Om even terug te komen op het MFA probleem van mijn collega, als ik onder de authentication methodes ga kijken, dan zie ik onder de configuratie staan dat we dingen als number matching, push and passwordless en al die andere leuke dingen verplichten voor alle gebruikers. Klik ik evenwel onder zijn account op authentication methods, dan staat daar dat de authenticator app inderdaad aan staat, maar bij de details dat dingen zoals push en number matching uit staan. Geen enkel idee hoe dat zoiets kan. Want alles staat aan, voor alle gebruikers, zonder uitzonderingen.

--edit--
En dan kijk je verder, en dan zie je dat je het overheersende profiel toch niet naar alle gebruikers duwt, maar slechts naar een beperkte selectie van groepen, waaronder een groep met de admins, maar deze gebruiker ontbrak in die groep van admins .

Zucht ...

[ Voor 19% gewijzigd door Blokker_1999 op 08-09-2025 12:11 ]

[Gr4mpyC3t]

Blokker_1999 schreef op maandag 8 september 2025 @ 12:07:
Om even terug te komen op het MFA probleem van mijn collega, als ik onder de authentication methodes ga kijken, dan zie ik onder de configuratie staan dat we dingen als number matching, push and passwordless en al die andere leuke dingen verplichten voor alle gebruikers. Klik ik evenwel onder zijn account op authentication methods, dan staat daar dat de authenticator app inderdaad aan staat, maar bij de details dat dingen zoals push en number matching uit staan. Geen enkel idee hoe dat zoiets kan. Want alles staat aan, voor alle gebruikers, zonder uitzonderingen.

--edit--
En dan kijk je verder, en dan zie je dat je het overheersende profiel toch niet naar alle gebruikers duwt, maar slechts naar een beperkte selectie van groepen, waaronder een groep met de admins, maar deze gebruiker ontbrak in die groep van admins .

Zucht ...

Conditional Access is de moderne 1000-stukjes puzzel voor iedere systeembeheerder. Vreselijk is het.

[Hero of Time]

Duinkonijn schreef op maandag 8 september 2025 @ 11:29:
Win —> UX

Windows kan idd nog heel wat verbeteren aan UX, User eXperience. Want waar het vroeger nog prima was, is het nu een grote teringzooi geworden.

[Duinkonijn]

Hero of Time schreef op maandag 8 september 2025 @ 13:23:
[...]

Windows kan idd nog heel wat verbeteren aan UX, User eXperience. Want waar het vroeger nog prima was, is het nu een grote teringzooi geworden.

Ik bedoelde Unix 🫣

[Hero of Time]

Duinkonijn schreef op maandag 8 september 2025 @ 13:31:
[...]

Ik bedoelde Unix 🫣

Dat draai je ook niet zomaar eventjes en kost aardig wat geld. Wil je de verzameling van POSIX systemen noemen, gebruik dan *NIX.

[Duinkonijn]

Hero of Time schreef op maandag 8 september 2025 @ 13:33:
[...]

Dat draai je ook niet zomaar eventjes en kost aardig wat geld. Wil je de verzameling van POSIX systemen noemen, gebruik dan *NIX.

Nee ik bedoelde het echte werk.. HP-UX, Solaris

portable backups

[The Eagle]

Drardollan schreef op vrijdag 5 september 2025 @ 14:04:
[...]

Voor de beschikbaar en zekerheid neem ik bij MS sowieso de shares af met ZRS, daarmee ben ik verzekerd van veiligheid van de data als het datacenter ontploft. Daarnaast draait er een dagelijkse backup naar een andere zone.

Buiten dat stuk zou ik graag een garantie hebben dat mijn data ook van en bij mij is. Als we om wat voor reden dan ook niet meer bij de data bij MS kunnen komen (om welke denkbare reden dan ook) dan wil ik een redelijk recente kopie hebben. Gaat niet om een 24/7 streaming backup, maar gewoon een reguliere backup. Alles wat on-prem draait bijvoorbeeld wordt dagelijk (soms uurlijks) gebackupped en wekelijks naar een (normaliter offline) NAS gezet. Daarmee heb ik enerzijds een stuk historie en anderzijds een betere bescherming tegen bijvoorbeeld ransomware. Zoiets zou ik ook graag met mijn Azure Files data doen, 1 keer per week een kopietje draaien van de verschillen is meer dan voldoende. Hoeft allemaal niet bijzonder uitgebreid en moeilijk en het is ook prima als het

Denk dat het overigens wel overtrokken is en wellicht onnodig. Maar ik ben nu eenmaal een ouwe sok en van de oude stempel. Voelt prettig om gewoon wat eigen zekerheid in te bouwen en niet alles bij een partij te leggen die in feite je hoofd op het hakblok kan leggen wanneer ze dat willen.

Backup, of eigenlijk meer goed geteste restore met bepaalde gegarandeerde RPO en RTO, is EEN manier om te kunnen recoveren bij een disaster. Maar lang niet heilig en soms niet eens nodig, vermits je er structureel over nadenkt EN de boel dusdanig inricht dat je een disaster van bepaalde scha(a)l(en) het hoofd kunt bieden.
Uiteindelijk gaat het om een stukje business continuity mocht er iets van een disaster optreden. En dan heb ik het niet over user error, dat is business as usual.

[Drardollan]

The Eagle schreef op maandag 8 september 2025 @ 14:38:
[...]

Backup, of eigenlijk meer goed geteste restore met bepaalde gegarandeerde RPO en RTO, is EEN manier om te kunnen recoveren bij een disaster. Maar lang niet heilig en soms niet eens nodig, vermits je er structureel over nadenkt EN de boel dusdanig inricht dat je een disaster van bepaalde scha(a)l(en) het hoofd kunt bieden.
Uiteindelijk gaat het om een stukje business continuity mocht er iets van een disaster optreden. En dan heb ik het niet over user error, dat is business as usual.

Ik begrijp niet zo goed wat je wil zeggen. Ik weet waarom ik backups wil hebben en mijn disaster recovery is al sinds jaar en dag zo ingericht dat alles wat nodig is regelmatig getest wordt.

Mijn vraag was hoe ik het beste, en liefst natuurlijk goedkoopste op al aanwezige hardware, backups zou kunnen maken van Azure Files.

[Arfman]

Arfman schreef op zondag 7 september 2025 @ 10:09:
[...]

Even terugkomen hierop. Ik heb alle logs erop nageslagen, MS support ingeschakeld en 2 externe bedrijven gevraagd om mee te denken maar niemand snapt waarom.

Ik heb nergens een sign in frequency geconfigureerd voor de gebruikers als ze een managed device hebben. Toch worden ze er elke 24 uur uitgetrapt. Logging zegt dit:

Grant Controls Not satisfied: Require multifactor authentication
En inderdaad, als iemand de MFA challenge voltooid zijn ze weer authenticated voor 24 uur. Maar waarom niet voor langer?!

Ik sta open voor elke suggestie inclusief bidden tot bepaalde hogere machten, want ik zit aan het eind van de zaken die ik nog kan proberen.

Dat komt, beste * Arfman ,omdat je niet Require multifactor authentication moet gebruiken maar Require compliant device bij de Grant controls

Daar hebben dus gewoon 6 man overheen gekeken, inclusief mezelf. Hopelijk bespaar ik iemand hiermee uren/dagen/weken gepuzzel.

[DDX]

Wij hebben de setting 'Require multifactor authentication' en 'Require device to be marked as compliant' beide aanstaan bij Grant.
En dan onderaan wel 'Require one of the selected controls'

Maar ik loop soms wel tegen issue aan dat mac gebruikers Platform SSO niet kunnen gebruiken en in de log zie ik dan staan bij basic info :

User needs to perform multi-factor authentication. There could be multiple things requiring multi-factor, e.g. Conditional Access policies, per-user enforcement, requested by client, among others.

Alleen krijgt de gebruiker dan geen popup op telefoon, terwijl inloggen in andere zaken (teams bijvoorbeeld) gewoon mfa popup op telefoon geeft.

Authentication Details tab :
Password : Correct password / succeeded: true
MFA required in Azure AD / succeeded: false

Conditional Access tab :
Require multifactor authentication : Failure.

Klinkt een beetje als jouw probleem, heb ook geprobeerd een case te openen hiervoor bij Microsoft.
Was erg veel onzin info krijgen (leek wel een chatgpt zegmaar)
En dan opeens werkte het weer, maarja dat heb ik eerder gezien.
Wilde eigenlijk binnenkort weer nieuwe case maken voor gebruiker die dit op dit moment heeft.

[Arfman]

Ja, case heb ik ook geopend, compleet kansloos. Slecht verstaanbare Indiase dame aan de lijn die duidelijk nog nooit van haar leven een CA policy had gezien. Dat gaan we wel even escaleren maandag, ook al is het intussen opgelost, want dit was echt 0/10 service/support.

Inhoudelijk kan ik weinig zeggen over je probleem, wel interessant dat het alleen bij Mac gebruikers voorkomt. Je zou toch zeggen dat MS er dan iets mee moet kunnen. Anders zou je tijdelijk een aparte Mac policy kunnen maken die alleen "require compliant device" aan heeft staan als workaround.

[Blokker_1999]

@Arfman, met welke applicaties op de iPhone heb je dat probleem?

Zelf vereisen we simpelweg dat onze iPhones gemarkeerd staan als compliant om aan te kunnen melden. Enkel bij registratie van het toestel dwingen we dan nog MFA af. Hierbij aanzien we dus dat wanneer jij het toestel hebt en kunt ontgrendelen dat dat voor ons voldoende is om aan de MFA vereisten te doen.

Microsoft's first line support is hopeloos. Al begrijp ik regelmatig ook wel waarom je door die hoepel moet springen. Al is het spijtig dat je zo soms weken tijd verliest voor een probleem dat mogelijks heel je bedrijf treft.

[Arfman]

Blokker_1999 schreef op zondag 14 september 2025 @ 13:11:
@Arfman, met welke applicaties op de iPhone heb je dat probleem?

Ik had het met elke applicatie (Teams/Outlook/etc.)

Zelf vereisen we simpelweg dat onze iPhones gemarkeerd staan als compliant om aan te kunnen melden.

Dat hebben we hier nu ook

Enkel bij registratie van het toestel dwingen we dan nog MFA af. Hierbij aanzien we dus dat wanneer jij het toestel hebt en kunt ontgrendelen dat dat voor ons voldoende is om aan de MFA vereisten te doen.

Met een aparte policy neem ik aan? En dan alleen gescoped op user actions - register security information? Zit er aan te denken om dat hier ook te doen, en ook alleen mogelijk te maken vanaf ons IP adres. Op die manier kunnen kwaadwillenden geen extra devices registreren als ze toch een keer het MFA token te pakken hebben gekregen.

Microsoft's first line support is hopeloos. Al begrijp ik regelmatig ook wel waarom je door die hoepel moet springen. Al is het spijtig dat je zo soms weken tijd verliest voor een probleem dat mogelijks heel je bedrijf treft.

Dat was dit in dit geval zo. Paar duizend mensen moesten elke dag opnieuw authenticeren op hun telefoon. Dat kun je wel 1 of 2 dagen wegverklaren, maar na het week beginnen de C-levels te klagen en wordt het allemaal vervelend.

offtopic:
Eerstelijns MS support is echt hopeloos. Ik weet wat we ervoor betalen en het niveau is om te huilen. We hebben met onze CSAM nu afgesproken dat we een ticket inschieten, hem door de 1e lijn laten oppakken en daarna meteen escaleren via hem naar een andere engineer, dichterbij huis.

[Diederik]

Geen idee of het een kleine vraag is of niet, maar ik heb hardware die niet ondersteund wordt in Windows 11 en die ik op korte termijn niet kan vervangen, daarom zou ik deze hardware graag in ESU krijgen, zodat er nog een jaartje Windows 10 updates komen, ik voldoe aan de eisen (MS account met lokaal admin rechten), maar krijg de optie nog niet te zien.

Moet ik geduld hebben, of valt dit op een of andere manier te forceren, betalen is ook geen probleem, maar ik kan niet vinden waar (of ik kijk met mijn neus).

Edit: Had de search eerst even moeten gebruiken...
Geen ESU mogelijkheid bij mijn Windows 10?

[ Voor 12% gewijzigd door Diederik op 18-09-2025 09:44 ]

[McLambo]

Wij ontvingen afgelopen week een nieuwe batch laptops met het AMD Ryzen 7 AI 350 pro platform binnen.

Probleem; wil met geen mogelijkheid booten van OSDCloud USB stick. Ik kan de stick wel kiezen als boot optie, binnen 10 seconden reboot het systeem zonder enige verdere foutmelding of indicatie wat er mis gaat.

OSDCloud volledig bijgewerkt, workspace en USB stick geüpdatet. Model laptop komt ook voor in de lijst met HP driver packs waaruit je kan kiezen.

Iemand dit probleem ook meegemaakt en al getackeld??

[FastFred]

Heb hier een Exchange hybride omgeving. Ik heb daarin o.a. 2 shared mailboxen van 2 afdelingen. Die afdelingen zijn samengevoegd dus 1 shared mailbox moet verdwijnen. Men wil de inhoud van de oude mailbox wel beschikbaar houden.

In Exchange Onprem maak ik op de oude mailbox een dummie primair smtp adres aan. Alle aliassen incl. het oude primaire adres verwijder ik en voeg deze toe aan de andere mailbox.

Maarrrr we zijn inmiddels dik een week verder en 1 alias wil in Exchange Online maar niet van mailbox verkassen, die blijft op de oude mailbox staan. Ik krijg ook een sync-error op dat adres omdat dat adres niet op beide mailboxen actief kan zijn. Ik ga dus naar Exchange onprem en zorg dat van beide mailboxen dat adres eraf is, ik geef het een dag of 2 en kijk daarna in Exchange Online, maar die alias wil maar niet van de oude mailbox verdwijnen, het dummie adres staat er wel gewoon en zet ik er als test ff een extra alias bij dan is die ook met een uurtje gesynced vaak, maar het adres dat ik eruit wil hebben blijft gewoon staan.

Uitdaging #2 is het overzetten van de inhoud van de mailbox, dat was toen we nog volledig Exchange onprem hadden kinderlijk eenvoudig met Powershell maar moet nu via Purview en dat krijg ik totaal niet aan de gang. Ik heb de juiste licenties, juiste permissies etc. maar ik maak een case aan en wil vervolgens een content search maken, en alle opties en schermen van alle instructies zowel van de nieuwe als de oude interface komen niet overeen met wat ik op mijn scherm zie.....

[DDX]

In een ver verleden hebben we 3th party tooling gebruikt om te programma updates te importeren naar aan onze wsus server.
Nu zag ik in de eventviewer meldingen over een verlopen certificaat uit 2022, dus die maar wegehaald :

The WSUS package signing certificate expired on 1/1/2022 1:02:24 PM. To use WSUS for
signing local update packages, replace the certificate with a new certificate;
or to stop this error from reporting, remove the expired certificate.

Daarna begon wsus te mopperen :

The WSUS server is configured to use a package signing certificate, but
that certificate could not be found.

Documentatie die ik kan vinden (en copilot) hebben het over dat ik EnableSelfSignedCertificates op 0 moet zetten in registry, maar dat staat dat heeft geen effect.
Iemand enig idee ?

[Blokker_1999]

FastFred schreef op vrijdag 10 oktober 2025 @ 14:03:
Heb hier een Exchange hybride omgeving. Ik heb daarin o.a. 2 shared mailboxen van 2 afdelingen. Die afdelingen zijn samengevoegd dus 1 shared mailbox moet verdwijnen. Men wil de inhoud van de oude mailbox wel beschikbaar houden.

In Exchange Onprem maak ik op de oude mailbox een dummie primair smtp adres aan. Alle aliassen incl. het oude primaire adres verwijder ik en voeg deze toe aan de andere mailbox.

Maarrrr we zijn inmiddels dik een week verder en 1 alias wil in Exchange Online maar niet van mailbox verkassen, die blijft op de oude mailbox staan. Ik krijg ook een sync-error op dat adres omdat dat adres niet op beide mailboxen actief kan zijn. Ik ga dus naar Exchange onprem en zorg dat van beide mailboxen dat adres eraf is, ik geef het een dag of 2 en kijk daarna in Exchange Online, maar die alias wil maar niet van de oude mailbox verdwijnen, het dummie adres staat er wel gewoon en zet ik er als test ff een extra alias bij dan is die ook met een uurtje gesynced vaak, maar het adres dat ik eruit wil hebben blijft gewoon staan.

Uitdaging #2 is het overzetten van de inhoud van de mailbox, dat was toen we nog volledig Exchange onprem hadden kinderlijk eenvoudig met Powershell maar moet nu via Purview en dat krijg ik totaal niet aan de gang. Ik heb de juiste licenties, juiste permissies etc. maar ik maak een case aan en wil vervolgens een content search maken, en alle opties en schermen van alle instructies zowel van de nieuwe als de oude interface komen niet overeen met wat ik op mijn scherm zie.....

Waarom de inhoud van de oude mailbox niet importeren in de nieuwe en de oude volledig weggooien? Dan is het ook direct gedaan met koppig vasthouden aan dat laatste adres.

[Blokker_1999]

DDX schreef op maandag 13 oktober 2025 @ 09:53:
In een ver verleden hebben we 3th party tooling gebruikt om te programma updates te importeren naar aan onze wsus server.
Nu zag ik in de eventviewer meldingen over een verlopen certificaat uit 2022, dus die maar wegehaald :


[...]


Daarna begon wsus te mopperen :


[...]


Documentatie die ik kan vinden (en copilot) hebben het over dat ik EnableSelfSignedCertificates op 0 moet zetten in registry, maar dat staat dat heeft geen effect.
Iemand enig idee ?

Niet direct een hulp, maar heb je al eens gezocht hoe je een nieuw cert kunt genereren en toewijzen aan je wsus ipv het uit te schakelen?

[FastFred]

Blokker_1999 schreef op vrijdag 17 oktober 2025 @ 03:07:
[...]

Waarom de inhoud van de oude mailbox niet importeren in de nieuwe en de oude volledig weggooien? Dan is het ook direct gedaan met koppig vasthouden aan dat laatste adres.

Zie laatste alinea van het bericht dat je quote.

[Blokker_1999]

FastFred schreef op vrijdag 17 oktober 2025 @ 08:20:
[...]


Zie laatste alinea van het bericht dat je quote.

Waar komt die allinea ineens vandaan



Er zijn uiteraard meerdere creatieve manieren om dat op te lossen. Ook beetje afhankelijk van hoe groot de mailbox is. Als het een keine is dan kan je ze gewoon alle 2 in je Outlook aankoppelen en folders beginnen verplaatsen. Duurt even, maar zolang het geen honderden folders zijn is dat goed te doen. Al heb ik zo in het verleden al wel eens Outlook enkele keren doen crashen

Maar een andere, relatief eenvoudige manier die je als beheerder kunt toepassen is oude mailbox exporteren naar een pst en dan dit weer importeren in de nieuwe mailbox. Zij het via de beheerstools, zij het via Outlook. Wij hebben begin dit jaar massaal pst files zitten importeren in Exchange Online daar we na onze migratie het offline bijhouden van mails zijn gaan verbieden. En dat ging vrij vlot.

[DDX]

Blokker_1999 schreef op vrijdag 17 oktober 2025 @ 03:09:
[...]

Niet direct een hulp, maar heb je al eens gezocht hoe je een nieuw cert kunt genereren en toewijzen aan je wsus ipv het uit te schakelen?

Volgens mij zou ik die dan moeten genereren via een tool die we willen koppelen aan wsus.
Wat we dus niet meer hebben.

[Blokker_1999]

Met een beetje geluk kan je de eerste stappen van dit volgen om een nieuw cert op de server te krijgen en is wsus daarna weer blij: https://woshub.com/wsus-deploy-third-party-software-updates/