Het grote kleine-SysOps-vragen topic deel 1

[ThinkPad]

Let erop dat als je iOS gebruikt, het clientcertificaat niet langer dan 825 dagen geldig mag zijn. Anders accepteert bijv. Safari het niet.

Het rootcertificaat mag wel veel langer geldig zijn. Zo heb ik het in m'n homelab ook, werkt prima met een scriptje. Daar gebruik ik NginxProxyManager zodat ik maar op één plek een certificaat hoef in te laden.

[ Voor 24% gewijzigd door ThinkPad op 03-02-2026 16:33 ]

[DDX]

Ja browsers gaan ook steeds meer richting kortere periodes.
Net trouwens even getest en huidige Safari op macos kan ik nogsteeds een site bezoeken met self signed die pas in 2034 afloopt.
(en chrome en edge op een pc ook gewoon)

[ Voor 12% gewijzigd door DDX op 03-02-2026 16:43 ]

[Drardollan]

Een hele eigen CA inrichten zit ik niet op te wachten, wil juist minder servers Cloud PKI had ik wel gekeken, maar zit niet in de business premium en is vooral bedoeld voor Intune beheerde apparaten. En daar hoef ik behalve de CA niet zoveel op te hebben, het uiteindelijke certificaat gaat juist op de onbeheerde kleine apparaten.

iOS gebruik ik niet voor beheer, enkel Windows icm Firefox. Maar dat is wel een goede om op te letten, want juist deze interne devices zijn ook niet te automatiseren met bijvoorbeeld ACME (anders zou ik die nog zelf kunnen draaien wellicht). Maar om nou elk jaar al die flut devices te voorzien van een nieuw certificaat is ook nogal wat...

[DDX]

Naja hele ca kan ook gewoon een linux servertje zijn waar je via openssl certs uitgeeft via commandline. (of windows desnoods, maar ik ben met openssl meer van linux)
Heel moeilijk hoeft het niet te zijn.

[Drardollan]

DDX schreef op dinsdag 3 februari 2026 @ 16:59:
Naja hele ca kan ook gewoon een linux servertje zijn waar je via openssl certs uitgeeft via commandline. (of windows desnoods, maar ik ben met openssl meer van linux)
Heel moeilijk hoeft het niet te zijn.

Dat was ook mijn gedachte. Even met een openssl commando een root CA en wildcard maken die tot 2050 geldig zijn. Root cert importeren in de laptop en de wildcard op de diverse apparaten. Dan hoef ik het maar 1x te doen tot mijn pensioen

Linux servertjes heb ik zat, dus dat mag geen issue zijn.

[downtime]

Drardollan schreef op dinsdag 3 februari 2026 @ 16:49:
Een hele eigen CA inrichten zit ik niet op te wachten, wil juist minder servers

Certificate Services is een hele lichte service. Kan best "erbij" op een andere machine als het je om gemak gaat en je niet te druk maakt over best practices voor een CA.

[Grvy]

downtime schreef op dinsdag 3 februari 2026 @ 17:35:
[...]

Certificate Services is een hele lichte service. Kan best "erbij" op een andere machine als het je om gemak gaat en je niet te druk maakt over best practices voor een CA.

ehh.. nee. Zoiets essentieels als een CA zet je op een eigen server, ook al is het "licht" - dit moet je goed hardenen en dat gaat vaak niet samen met andere services..

Volgens mij is best practice zelfs, een offline root CA en een online subordinate CA. Maar pin me daar niet op vast.

[ Voor 11% gewijzigd door Grvy op 03-02-2026 17:45 ]

[downtime]

Grvy schreef op dinsdag 3 februari 2026 @ 17:44:
[...]


ehh.. nee. Zoiets essentieels als een CA zet je op een eigen server, ook al is het "licht" - dit moet je goed hardenen en dat gaat vaak niet samen met andere services..

Volgens mij is best practice zelfs, een offline root CA en een online subordinate CA. Maar pin me daar niet op vast.

I know. Ik zei dan ook uitdrukkelijk, "als het je om gemak gaat en je niet te druk maakt over best practices voor een CA."

Hij wil gewoon van die certificaat meldingen in de browser af.

[UUDIBUUDI]

Ik zou overwegen met powershell self-signed certificaten te bakken (1 per device) en de publieke delen dan distribueren naar de beheerdersmachines. Zolang het niet al teveel devices zijn, lijkt me dat prima schaalbaar (zelf geen ervaring met certdistributie via intune). Makkelijk te scripten, geen dependencies, enkel een vertrouwde server waar de private keys even op staan. Je moet de certificaten toch handmatig in de devices zetten neem ik aan? De bron van de certs zal dan weinig uitmaken.

[Paul]

Het is wel makkelijker 1x een root cert te distribueren dan iedere keer dat er een managementinterface bij komt overal een nieuw cert in de store te zetten. Het maken en installeren van het cert verandert niet, maar een self-signed cert moet je niet alleen op het device zetten maar ook op je beheersmachines -> meer werk.

Er zijn meer voordelen (zoals kunnen revoken) maar in zo'n kleinschalige installatie zul je daar niet echt gebruik van maken lijkt me.

[Drardollan]

downtime schreef op dinsdag 3 februari 2026 @ 17:35:
[...]

Certificate Services is een hele lichte service. Kan best "erbij" op een andere machine als het je om gemak gaat en je niet te druk maakt over best practices voor een CA.

Best practices kunnen mij in dit geval gestolen worden. Paar interne certificaten voor wat .local adressen, er komt nooit iemand bij.

Maar aangezien ik 0 servers wil hebben….

[Drardollan]

Grvy schreef op dinsdag 3 februari 2026 @ 17:44:
[...]


ehh.. nee. Zoiets essentieels als een CA zet je op een eigen server, ook al is het "licht" - dit moet je goed hardenen en dat gaat vaak niet samen met andere services..

Volgens mij is best practice zelfs, een offline root CA en een online subordinate CA. Maar pin me daar niet op vast.

Waarom al die moeite doen voor wat interne zut? Niemand zal het ding ooit zien, behalve ikzelf.

[Drardollan]

Paul schreef op dinsdag 3 februari 2026 @ 19:45:
Het is wel makkelijker 1x een root cert te distribueren dan iedere keer dat er een managementinterface bij komt overal een nieuw cert in de store te zetten. Het maken en installeren van het cert verandert niet, maar een self-signed cert moet je niet alleen op het device zetten maar ook op je beheersmachines -> meer werk.

Er zijn meer voordelen (zoals kunnen revoken) maar in zo'n kleinschalige installatie zul je daar niet echt gebruik van maken lijkt me.

Precies mijn idee.

Nu is het met 1 beheermachine allemaal niet zo veel werk. Maar ik vind het idee van 1 root cert installeren en overal een eigen of liever nog wildcard op knallen met een geldigheid tot 2050 een stuk makkelijker.

Er is, op de browser melding na, geen enkele reden om een fatsoenlijk certificaat te hebben. Er zal nooit 1 gebruiker op komen, hooguit ikzelf en een 2e beheerder.

Moet dus plat en simpel. En als dat niet zomaar kan dan kan ik altijd gewoon exceptions blijven maken.

[Hero of Time]

Ik heb ook een vraagje over certificaten. We hebben een Remote Desktop Gateway server waar we onze wildcard op hebben staan. De server is echter niet van buiten bereikbaar, het is alleen voor derde partijen waar wij mee samenwerken en een VPN tunnel mee hebben. Ik zou onze interne CA hiervoor gebruiken, maar dan weigert de RDP client de verbinding omdat die het certificaat wil valideren. Gaat natuurlijk niet lukken met een interne CA en externe partijen.

Met het oog op het binnenkort verkorten van de geldigheidsduur moeten we hier toch wel iets mee voor automatisering. Welke opties heb ik om een geldig extern certificaat hierop te krijgen zonder de server via internet bereikbaar te hebben?

[Quad]

Zijn hier mensen die de Defender and Purview suites addon for Business Premium inzetten?
Het biedt als add-on een hele scala aan extra mogelijkheden (https://m365maps.com/file...-for-Business-Premium.htm)
Meeste zijn E5 of als losse add-on beschikbaar, maar gecombineerd dus een scherpe deal.


Nu is het een klein beetje tricky, zo bevat sensitivitylabels niet de mogelijkheid om administrative units te gebruiken. Maar goed wel geautomatiseerd labelen, zowel realtime als 'at-rest' in OneDrive/SP. Uitgebreid DLP, Sign in risk detections, meer mogelijkheden qua anti-spam en impersonation als phishingsimulaties.

Ik kom het alleen nog niet zoveel tegen in het wild. Terwijl het wel een toegevoegde waarde biedt en dat voor ~ 12,- per user /maand.

[Grvy]

Drardollan schreef op dinsdag 3 februari 2026 @ 20:14:
[...]

Waarom al die moeite doen voor wat interne zut? Niemand zal het ding ooit zien, behalve ikzelf.

Nou... ik snap deze mindset dus niet. Weet je wat er kan gebeuren als men (op welke manier dan ook) bij je CA kan komen? Dan is Domain Admin rechten niet heel veel verder indien niet goed opgezet.

En ja, dat zal in jouw ogen wel weer overdreven zijn en weet ik het wat allemaal. Been there, done that. Seen it in the wild.

[Drardollan]

Grvy schreef op woensdag 4 februari 2026 @ 09:31:
[...]


Nou... ik snap deze mindset dus niet. Weet je wat er kan gebeuren als men (op welke manier dan ook) bij je CA kan komen? Dan is Domain Admin rechten niet heel veel verder indien niet goed opgezet.

En ja, dat zal in jouw ogen wel weer overdreven zijn en weet ik het wat allemaal. Been there, done that. Seen it in the wild.

Dan zal de hacker eerst een domein moeten optuigen

Volgende week vrijdag is het klaar, dan gaat het huidige domein door het gootsteenputje. Inclusief alle software en delen van de hardware.

De mindset is dus, ik heb zo min mogelijk in de kantooromgeving draaien. Nagenoeg alles zit in de (private) cloud. Ik denk niet dat het veel zin heeft een heel domein op te gaan tuigen voor een paar self-signed certificates die op wat interne spullen als de overgebleven iLO's en switches moet komen te staan.

Had de hoop dat iemand een of ander fancy en simpel tooltje had om via een GUI de openssl commando's af te vuren en een beetje overzicht te creëren. Maar dat lijkt er dus, op een full blown oplossing met een MS CA server of Intune PKI Cloud niet te zijn. Dus dat wordt ouderwets typen en de commando's documenteren, want over 2 jaar weet ik echt niet meer wat ik exact getypt heb.

[ Voor 25% gewijzigd door Drardollan op 04-02-2026 09:48 ]

[UUDIBUUDI]

Een simpel tooltje is er in powershell: New-SelfSignedCertificate .
- Certificaten maken op een windows bak
- Certificaten exporteren en ergens veilig wegzetten (in een passwordvault)
- Certificaten van de windows bak verwijderen
- Publieke delen distribueren naar de beheermachines (in een classic AD kan dat vast geautomatiseerd met powershell (scriptje draaien om een cert aan een GPO toe te voegen))
- Publiek+private delen configureren in de devices

Geen CA of domein nodig. Enkel de juiste fqdn's in de certificaten zetten, de certificaten distribueren voor de trust.

[Blokker_1999]

Hero of Time schreef op dinsdag 3 februari 2026 @ 20:30:
Ik heb ook een vraagje over certificaten. We hebben een Remote Desktop Gateway server waar we onze wildcard op hebben staan. De server is echter niet van buiten bereikbaar, het is alleen voor derde partijen waar wij mee samenwerken en een VPN tunnel mee hebben. Ik zou onze interne CA hiervoor gebruiken, maar dan weigert de RDP client de verbinding omdat die het certificaat wil valideren. Gaat natuurlijk niet lukken met een interne CA en externe partijen.

Met het oog op het binnenkort verkorten van de geldigheidsduur moeten we hier toch wel iets mee voor automatisering. Welke opties heb ik om een geldig extern certificaat hierop te krijgen zonder de server via internet bereikbaar te hebben?

Je moet er eigenlijk niets mee. De verkorting van de levensduur heeft enkel invloed op webbrowsers. Je kan perfect een geldig publiek meerjarencertificaat aanvragen en gebruiken (als je CA dat wenst te leveren) voor gebruik met bijvoorbeeld een RDS oplossing. Als de sessie evenwel vanop een web gateway in de browser wordt gestart moet je wel even zorgen dat die webserver dat goed doet, maar dat is ook geen probleem.

Maar als je CA het ACME protocol ondersteund, dan kan je ook gewoon gebruik maken van ACME en bijvoorbeeld Posh-ACME icm Posh-ACME.Deploy PowerShell modules, de eerste kan het certificaat aanvragen en vernieuwen terwijl de tweede in staat is om het in te stellen op IIS alsook RDS services.

Maar bedenk wel dat als je een externe CA gebruikt met ACME, dat die CA ofwel de server op poort 80 moet kunnen bereiken voor validatie via http-01, danwel zal je automatisatie in staat moeten zijn om je publieke DNS te benaderen via een API om de tijdelijke DNS records voor validatie op te zetten.

[Blokker_1999]

Drardollan schreef op dinsdag 3 februari 2026 @ 20:16:
[...]

Precies mijn idee.

Nu is het met 1 beheermachine allemaal niet zo veel werk. Maar ik vind het idee van 1 root cert installeren en overal een eigen of liever nog wildcard op knallen met een geldigheid tot 2050 een stuk makkelijker.

Er is, op de browser melding na, geen enkele reden om een fatsoenlijk certificaat te hebben. Er zal nooit 1 gebruiker op komen, hooguit ikzelf en een 2e beheerder.

Moet dus plat en simpel. En als dat niet zomaar kan dan kan ik altijd gewoon exceptions blijven maken.

Ik zou zelf mijn tijd er niet insteken. Een exception zet je 1 keer en blijft geldig in je browser. En de eerste keer dat je een systeem opzet moet je vaak toch al die exception zetten om de eerste keer te kunnen aanmelden.

Daarnaast zien we vaak ook dat men ipv een hostname een IP adres gaat gebruiken om te verbinden.En die kan je ook moeilijk allemaal gaan opnemen in je certificaat.

Hoewel we zelf bezig zijn om zoveel mogelijk om te zetten naar ACME, steken we hier heel weinig moeite in de systemen die intern binnen onze IT afdeling gebruikt worden gewoon omdat het de moeite niet waard is.

[Drardollan]

UUDIBUUDI schreef op woensdag 4 februari 2026 @ 10:18:
Een simpel tooltje is er in powershell: New-SelfSignedCertificate .
- Certificaten maken op een windows bak
- Certificaten exporteren en ergens veilig wegzetten (in een passwordvault)
- Certificaten van de windows bak verwijderen
- Publieke delen distribueren naar de beheermachines (in een classic AD kan dat vast geautomatiseerd met powershell (scriptje draaien om een cert aan een GPO toe te voegen))
- Publiek+private delen configureren in de devices

Geen CA of domein nodig. Enkel de juiste fqdn's in de certificaten zetten, de certificaten distribueren voor de trust.

Bij voorkeur wel met 1 enkel root/CA certificaat, dat maakt de distributie een stuk leuker. Maar dat zal ongetwijfeld zowel met powershell als met openssl kunnen (ik prefeer de openssl variant).

[Paul]

Iets als step-ca maakt het wat simpeler (https://smallstep.com/doc...ate-authority-operations/) maar aan de andere kant kun je dat ook met een paar Bash-scriptjes of zo regelen; geef twee bestandsnamen op, een CN, eventueel wat SAN's, en in je scriptje zet je

code:

openssl ecparam -name secp384r1 -genkey -noout -out key.pem
openssl ec -aes256 -in key.pem -out key.pem -passout pass:hunter2
openssl req -utf8 -passin pass:hunter2 -new -sha256 -key key.pem -out csr.pem -subj /C=NL/ST=Noord-Holland/L=Amsterdam/O=Drardollan/OU=ICT/CN=ilo.drardollan.local

en alle andere bende

[Hero of Time]

Blokker_1999 schreef op woensdag 4 februari 2026 @ 10:19:
[...]

Je moet er eigenlijk niets mee. De verkorting van de levensduur heeft enkel invloed op webbrowsers. Je kan perfect een geldig publiek meerjarencertificaat aanvragen en gebruiken (als je CA dat wenst te leveren) voor gebruik met bijvoorbeeld een RDS oplossing. Als de sessie evenwel vanop een web gateway in de browser wordt gestart moet je wel even zorgen dat die webserver dat goed doet, maar dat is ook geen probleem.

Ah, dat is dan puur afhankelijk van Xolphin natuurlijk. De externe partijen gebruiken direct de RDP client en stellen de gateway in, dus geen web of wat dan ook van toepassing.

Maar als je CA het ACME protocol ondersteund, dan kan je ook gewoon gebruik maken van ACME en bijvoorbeeld Posh-ACME icm Posh-ACME.Deploy PowerShell modules, de eerste kan het certificaat aanvragen en vernieuwen terwijl de tweede in staat is om het in te stellen op IIS alsook RDS services.

Dat zal MS vast niet in Server 2019 hebben zitten en misschien in 2025. Maar of we met de nieuwe server versie nog een interne AD CA gaan gebruiken weet ik niet zeker. Ergens wel, want ons wifi werkt er mee en dat gaat als Intune mee werkt prima. Maar ik zou dat ook met een andere radius oplossing dan NPS kunnen doen natuurlijk waardoor ik niet het gezeik van strong mapping zal hebben.

Maar bedenk wel dat als je een externe CA gebruikt met ACME, dat die CA ofwel de server op poort 80 moet kunnen bereiken voor validatie via http-01, danwel zal je automatisatie in staat moeten zijn om je publieke DNS te benaderen via een API om de tijdelijke DNS records voor validatie op te zetten.

Precies, dat ding is intern en blijft intern. We hebben al een HAProxy in het DMZ staan voor de paar dingetjes die wel extern bereikbaar zijn (en kunnen we dus ook prima ACME mee doen).

[Blokker_1999]

Microsoft heeft zelfs in 2025 geen ACME, en het lijkt er niet op dat ze dat nog gaan toevoegen. Ik heb zelf een ACME proxy opgezet intern die eigenlijk na verificatie de aanvraag voor het certificaat doorzet naar AD CS. Werkt op zich wel goed.

[Yagermeister]

Ik zit met een raar iets wat denk ik heel makkelijk op te lossen is.

Voor mijn werk gebruiken we PDQ Deploy om software te installeren etc naar nieuwe pc's. Voor 1 van de programma's die wij moeten uitrollen is het belangrijk dat dit uitgerold wordt als de gebruikers zelf. Deze gebruikers hebben uiteraard geen local admin of iets dus mijn idee was om deze tijdelijk toe te kennen en dan de stappen uit te voeren om daarna deze rechten weer weg te halen. Nu ben ik zover dat ik een aantal stappen heb waarmee de ingelogde gebruiker opgehaald wordt (Dit uitrollen gebeurt alleen bij ons zelf en niet bij de eindgebruiker) en deze wordt ook opgeslagen. Daarna gebruik ik een powershell script om deze variable op te halen en om deze dan als admin toe te voegen. Op dit laatste gaat het echter mis.

Zodra ik deze stap bereik lijkt het erop dat deze variable ook goed gevuld wordt echter bij de stap om deze in de administrator groep te zetten krijg ik onderstaande error.

code:

Add-LocalGroupMember : Principal Gebruiker  was not found.
At C:\Windows\AdminArsenal\PDQDeployRunner\service-1\exec\local_admin.ps1:2 char:1
+ Add-LocalGroupMember -Group "Administrators" -Member "$VarUser"
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ObjectNotFound: (Gebruiker :String) [Add-LocalGroupMember], PrincipalNotFoundException
    + FullyQualifiedErrorId : PrincipalNotFound,Microsoft.PowerShell.Commands.AddLocalGroupMemberCommand

Zet ik deze gebruiker nu hardcoded erin werkt het uiteraard wel zonder problemen. Heeft iemand een idee wat dit probleem zou kunnen zijn? Dit moet een heel simpel iets zijn maar ik ben nu al 2 dagen me erop stuk aan het kijken.

Het script wat ik uitvoer is als volgt:

code:

$VarUser = Get-Content -Path c:\temp\user.txt
Add-LocalGroupMember -Group "Administrators" -Member "$VarUser"

[ElCondor]

Gevalletje string interpolatie?
Probeer eens

PowerShell:

"$($VarUser)"
of
helemaal zonder quotes:
-Member $VarUser

[kraats]

Of anders misschien het feit dat je een domein mee moet geven voor de user? Anders zoekt 'ie 'm ook lokaal op de laptop en ik gok dat je wel met een domein werkt

[Yagermeister]

ElCondor schreef op woensdag 11 februari 2026 @ 08:46:
Gevalletje string interpolatie?
Probeer eens

PowerShell:

"$($VarUser)"
of
helemaal zonder quotes:
-Member $VarUser

kraats schreef op woensdag 11 februari 2026 @ 09:26:
Of anders misschien het feit dat je een domein mee moet geven voor de user? Anders zoekt 'ie 'm ook lokaal op de laptop en ik gok dat je wel met een domein werkt

Dank hiervoor. Ik heb het idd met bovenste oplossing opgelost. Het domein had ik overigens erbij staan. Het was puur een dikke vinger type fout.

[Hero of Time]

Vorig jaar hadden we 1 submap van een afdelingsschijf gemigreerd naar Sharepoint. Voor elke eerste map van de afdelingen hebben we security groepen voor toegang (RO/RW). Toen we de eerste map migreerden waren de rechten gelijk gezet op de bestemming in Sharepoint.

Nou ben ik vandaag begonnen om de rest te doen, maar de rechten komen niet mee. Met de eerste die ik deed vandaag, stonden dezelfde groepen op als op de reeds gemigreerde map. Dat heb ik moeten corrigeren. Ook de tweede map had niet de juiste groepen erop staan.

Nou is er een optie om rechten mee te nemen, maar dat werkt niet. Want op de share zelf staat een Domain Local groep gedefinieerd en gebruikers zitten in een Global groep die daar weer lid van is. Ik sync met de AAD/Entra connector alleen de Global groepen.

Hoe kan ik direct met de sync/migratie de juiste groepen toegang geven zonder dit per map handmatig te doen?

[Renegade666]

@Hero of Time
Volgens mij kun je in de migratie job rechten mee nemen, of met conversie doen met een groep die in entra staat.
Heb het zo even niet voor mij, dus weet niet zeker.

[Hero of Time]

Conversie zou dan user mapping via csv zijn, waarbij je 3 velden hebt: lokale groep, cloud/entra groep en boolean of het een groep is. Ik weet echter niet meer of we dat toen gebruikt hebben.

[Drardollan]

Is er iemand hier die toevallig (Gigaset) Maxwell 3 Pro toestellen in beheer heeft? Ik ben op zoek naar een recente firmware (alles boven 2.25.6 eigenlijk) maar de firmwares lijken nergens meer te vinden te zijn

Misschien heeft iemand hem hier nog op een verdwaalde usb stick of netwerkschijfje?

[Lizard]

Drardollan schreef op vrijdag 3 april 2026 @ 08:41:
Is er iemand hier die toevallig (Gigaset) Maxwell 3 Pro toestellen in beheer heeft? Ik ben op zoek naar een recente firmware (alles boven 2.25.6 eigenlijk) maar de firmwares lijken nergens meer te vinden te zijn

Misschien heeft iemand hem hier nog op een verdwaalde usb stick of netwerkschijfje?

Het lijkt erop dat die allemaal verwijderd zijn. Via https://www.ip-phone-foru...%C3%B6glich.303329/page-6 kwam ik nog op de volgende pagina's bij de web archive, maar de download links werken dan helaas niet.
https://web.archive.org/w...e.action?pageId=971276500
https://web.archive.org/w....action?pageId=1374389808

[Drardollan]

Lizard schreef op vrijdag 3 april 2026 @ 14:34:
[...]

Het lijkt erop dat die allemaal verwijderd zijn. Via https://www.ip-phone-foru...%C3%B6glich.303329/page-6 kwam ik nog op de volgende pagina's bij de web archive, maar de download links werken dan helaas niet.
https://web.archive.org/w...e.action?pageId=971276500
https://web.archive.org/w....action?pageId=1374389808

Ja, daar liep ik ook tegenaan. Bizar he, het lijkt wel of élke file van het internet gewist is. Dat heb ik nog nooit meegemaakt, meestal is er ergens wel een obscuur linkje te vinden nog.

[Drardollan]

Via een leverancier van de vroegere hardware is het gelukt om een firmware te krijgen

[Duinkonijn]

Renegade666 schreef op woensdag 27 mei 2026 @ 15:13:
[...]

Print server werkt prima.
Printers zitten eigen segment, wordt geen IP daar uitgedeeld.
Printers zijn ook gewoon bereikbaar/webinterface etc.

Dit sluit een ip conflict niet uit :-)
printer afkoppelen en in de vlan/range zelf zitten om het ip te scannen

[Renegade666]

Duinkonijn schreef op donderdag 28 mei 2026 @ 08:45:
[...]

Dit sluit een ip conflict niet uit :-)
printer afkoppelen en in de vlan/range zelf zitten om het ip te scannen

Heb al het nodige al na gekeken, dat lijkt gewoon goed. Naast het feit dat het vanaf de servers/rds prima werkt.

Ben vanmorgen met mijn collega nog bezig geweest, maar zijn er niet uitgekomen.

Net nog een laptop herstel punt gepakt, maar heeft ook geen effect.

Nieuwe schone VM gemaakt windows 11, en alles werkt gewoon.
Er is iets wat windows in dat printer gebeuren gesloopt heeft.

[Renegade666]

Ga je vandaag naar de klant, 2 uurtjes rijden, is het probleem uit zichzelf opgelost....

Geen nieuwe updates, geen herstarts etc. Heel vreemd dit...

[nextware]

Renegade666 schreef op dinsdag 2 juni 2026 @ 09:27:
Ga je vandaag naar de klant, 2 uurtjes rijden, is het probleem uit zichzelf opgelost....

Geen nieuwe updates, geen herstarts etc. Heel vreemd dit...

Zijn de makkelijkste.. Maar wel het meest frustrerend omdat je nu niet weet wat het issue is geweest. En de oplossing ervan.

[ElCondor]

nextware schreef op dinsdag 2 juni 2026 @ 09:52:
[...]

Zijn de makkelijkste.. Maar wel het meest frustrerend omdat je nu niet weet wat het issue is geweest. En de oplossing ervan.

En of het zo maar nog eens kan terugkomen...

[Duinkonijn]

Ik heb de voorkeur dat het gewoon affakkeld of instort dan dan iets onzeker is.

Heb wel eens een server gehad (HP LH3) die `s nachts melde dat zijn deuren geopend waren & onverwachte reboots..
Systeem had niet eens sensoren. Tot m`n collega op een gegeven moment geheugenmeldingen (tekort) kreeg op het systeem... geheugen bij geplaatst en draaien..

[ Voor 3% gewijzigd door Duinkonijn op 02-06-2026 11:20 ]

[Renegade666]

nextware schreef op dinsdag 2 juni 2026 @ 09:52:
[...]

Zijn de makkelijkste.. Maar wel het meest frustrerend omdat je nu niet weet wat het issue is geweest. En de oplossing ervan.

Ja, maar IT werkt in mysterieuze manieren

[Blokker_1999]

Das niet enkel IT hoor. Elke hersteldienst kent dat probleem, en overal even frustrerend.

[Drardollan]

Heeft er iemand toevallig een suggestie voor een beetje fatsoenlijk geprijsde backup oplossing in de cloud? Backup nu een stel Linux dozen via Duplicity naar een oude NAS op een schimmig kantoortje, maar wil naar iets moderner zodat je ook een beetje een GUI krijgt om file bij file te kunnen herstellen. Synology C2 heeft geen ondersteuning voor Linux helaas en een nieuwe NAS is ook niet gratis.

[Wolf87]

Borgbase misschien?

[Equator]

Drardollan schreef op dinsdag 9 juni 2026 @ 12:38:
Heeft er iemand toevallig een suggestie voor een beetje fatsoenlijk geprijsde backup oplossing in de cloud? Backup nu een stel Linux dozen via Duplicity naar een oude NAS op een schimmig kantoortje, maar wil naar iets moderner zodat je ook een beetje een GUI krijgt om file bij file te kunnen herstellen. Synology C2 heeft geen ondersteuning voor Linux helaas en een nieuwe NAS is ook niet gratis.

https://wasabi.com/

S3 storage met ondersteuning voor verschillende storage tiers en immutable opslag. Afhankelijk van je storagebehoefte best betaalbaar.

[Drardollan]

Equator schreef op woensdag 10 juni 2026 @ 11:11:
[...]

https://wasabi.com/

S3 storage met ondersteuning voor verschillende storage tiers en immutable opslag. Afhankelijk van je storagebehoefte best betaalbaar.

Wel betaalbaar, maar met S3 storage kan ik weinig. Zoek juist een pakket om makkelijker restores te doen. S3 storage zou ik sowieso niet daar afnemen (niet binnen NL of hooguit Duitsland), maar dat had ik niet gezegd

Dank voor de tip, maar het is helaas niet wat ik zoek.

[imoul]

Drardollan schreef op dinsdag 9 juni 2026 @ 12:38:
Heeft er iemand toevallig een suggestie voor een beetje fatsoenlijk geprijsde backup oplossing in de cloud? Backup nu een stel Linux dozen via Duplicity naar een oude NAS op een schimmig kantoortje, maar wil naar iets moderner zodat je ook een beetje een GUI krijgt om file bij file te kunnen herstellen. Synology C2 heeft geen ondersteuning voor Linux helaas en een nieuwe NAS is ook niet gratis.

Impossible Cloud- Prijzen

[Drardollan]

imoul schreef op woensdag 10 juni 2026 @ 15:10:
[...]

Impossible Cloud- Prijzen

Helaas ook enkel S3, daar kan ik niks mee. Moet echt iets hebben zoals Veeam, Acronis, Synology Active Backup of BackupExec van vroeger.

[Tylen]

O, je zoekt ook een backup oplossing zelf? Anders pak je veeam en backup je naar een s3 storage ergens. (community edition is gratis )

[ Voor 13% gewijzigd door Tylen op 10-06-2026 16:37 ]

[imoul]

Drardollan schreef op woensdag 10 juni 2026 @ 16:28:
[...]

Helaas ook enkel S3, daar kan ik niks mee. Moet echt iets hebben zoals Veeam, Acronis, Synology Active Backup of BackupExec van vroeger.

Veeam en dan back-up naar Impossible?

[imoul]

Tylen schreef op woensdag 10 juni 2026 @ 16:36:
O, je zoekt ook een backup oplossing zelf? Anders pak je veeam en backup je naar een s3 storage ergens. (community edition is gratis )

Ik betwijfel of je met Community naar S3 kan back-uppen.

[Drardollan]

Of het kan of niet, ik wil juist niks zelf doen. Want dan zou ik beter een NAS kunnen kopen denk ik

Maar denk dat het toch een nieuwe NAS wordt dan, kostentechnisch het beste. Heb 1 offerte nu voor Veeam bij een leverancier, betaal bijna 30 euro per maand voor 200 GB data. Een nieuwe NAS kost zo'n 500 euro. Dat heb ik er met 2 jaar al uit en als de data verdubbeld nog veel sneller.

[Equator]

Drardollan schreef op woensdag 10 juni 2026 @ 17:21:
Of het kan of niet, ik wil juist niks zelf doen. Want dan zou ik beter een NAS kunnen kopen denk ik

Maar denk dat het toch een nieuwe NAS wordt dan, kostentechnisch het beste. Heb 1 offerte nu voor Veeam bij een leverancier, betaal bijna 30 euro per maand voor 200 GB data. Een nieuwe NAS kost zo'n 500 euro. Dat heb ik er met 2 jaar al uit en als de data verdubbeld nog veel sneller.

Totdat je NAS doodgaat door iets simpels of wordt gestolen.

Ik zou het beide doen. Veeam (of andere tool) Backup naar NAS voor snelle restores, en extra back-up naar S3 voor langere termijn / offsite / immutable back-up.

[Drardollan]

Equator schreef op woensdag 10 juni 2026 @ 17:28:
[...]

Totdat je NAS doodgaat door iets simpels of wordt gestolen.

Ik zou het beide doen. Veeam (of andere tool) Backup naar NAS voor snelle restores, en extra back-up naar S3 voor langere termijn / offsite / immutable back-up.

Als de NAS doodgaat, dan gaat ie dood. Zetten we een nieuwe neer. Buiten dat ik volgens mij in 20 jaar nog nooit een dode Synology heb gezien, enkel een dode schijf, is dat meer dan voldoende.

Een dubbele backup is niet noodzakelijk, er is al een backup ingeregeld bij de VPS provider. Elke 4 uur is er al een volledige backup van de systemen die we in geval van nood kunnen terugzetten. Enige nadeel is dat ik daarin geen losse files kan restoren, daarom moet er een andere oplossing bij voor de "snelle restores" (die in de afgelopen 7 jaar nog nooit zijn voorgekomen bij deze klant, maar wie weet wat de toekomst brengt).

[Equator]

Drardollan schreef op woensdag 10 juni 2026 @ 17:31:
[...]


Als de NAS doodgaat, dan gaat ie dood. Zetten we een nieuwe neer. Buiten dat ik volgens mij in 20 jaar nog nooit een dode Synology heb gezien, enkel een dode schijf, is dat meer dan voldoende.

Een dubbele backup is niet noodzakelijk, er is al een backup ingeregeld bij de VPS provider. Elke 4 uur is er al een volledige backup van de systemen die we in geval van nood kunnen terugzetten. Enige nadeel is dat ik daarin geen losse files kan restoren, daarom moet er een andere oplossing bij voor de "snelle restores" (die in de afgelopen 7 jaar nog nooit zijn voorgekomen bij deze klant, maar wie weet wat de toekomst brengt).

Ah, maar dat had je niet verteld.

[Drardollan]

Equator schreef op woensdag 10 juni 2026 @ 17:36:
[...]

Ah, maar dat had je niet verteld.

Klopt, want dat was de vraag ook niet

Voor de volledigheid, de Veeam Community editie heeft geen S3 koppeling helaas.

[Tylen]

Drardollan schreef op woensdag 10 juni 2026 @ 17:47:
[...]

Klopt, want dat was de vraag ook niet

Voor de volledigheid, de Veeam Community editie heeft geen S3 koppeling helaas.

AH jammer. Ik heb een NFR gekregen dus kan alles gebruiken dus dacht dat het ook wel in de CE zou zitten.

[Drardollan]

Tylen schreef op woensdag 10 juni 2026 @ 19:29:
[...]

AH jammer. Ik heb een NFR gekregen dus kan alles gebruiken dus dacht dat het ook wel in de CE zou zitten.

Helaas niet. Want dan was het nog wel het uitzoeken waard geweest. Een VPS + S3 storage bij een partij als Contabo is goed te betalen.

Maar denk dat we toch maar voor een NAS gaan, niet mijn eerste keuze maar het is financieel gewoon het beste en technisch het meest flexibel. Helaas.

[jurroen]

Drardollan schreef op woensdag 10 juni 2026 @ 17:31:
[...]

Een dubbele backup is niet noodzakelijk, er is al een backup ingeregeld bij de VPS provider.

Geen leveranciers-onafhankelijke backup hebben is op zich ook wel een risico. Wellicht een acceptabele ten opzichte van de meerprijs / tijd.

[Drardollan]

jurroen schreef op vrijdag 12 juni 2026 @ 23:34:
[...]

Geen leveranciers-onafhankelijke backup hebben is op zich ook wel een risico. Wellicht een acceptabele ten opzichte van de meerprijs / tijd.

Vandaar dat er al een tweede backup is, maar die voldoet niet meer aan de eisen en moet dus vervangen worden door iets anders.

[jurroen]

Drardollan schreef op vrijdag 12 juni 2026 @ 23:36:
[...]

Vandaar dat er al een tweede backup is, maar die voldoet niet meer aan de eisen en moet dus vervangen worden door iets anders.

Helder. Net even terug gelezen, was wat (te) snel met reageren. Het is mij niet volledig duidelijk met wat er gebackupt moet worden - behalve 'cloud". Je zou ook eens kunnen kijken of Cubebackup en Nakivo binnen het scenario passen. Niet gratis, maar betaalbaarder dan de concurrenten. En kan op de NAS zelf draaien.

[Drardollan]

jurroen schreef op vrijdag 12 juni 2026 @ 23:46:
[...]

Helder. Net even terug gelezen, was wat (te) snel met reageren. Het is mij niet volledig duidelijk met wat er gebackupt moet worden - behalve 'cloud". Je zou ook eens kunnen kijken of Cubebackup en Nakivo binnen het scenario passen. Niet gratis, maar betaalbaarder dan de concurrenten. En kan op de NAS zelf draaien.

Dan kan ik beter de ingebouwde Synology software gebruiken op een NAS denk ik. Probleem is, die kan ik nu niet gebruiken omdat de NAS te oud is. Vandaar dat er gekeken is naar een cloud oplossing, want dan hoef je zelf niks aan te schaffen. Maar dit blijkt zoveel geld te kosten dat het veel logischer is om een nieuwe Synology neer te zetten, die kan gelijk alles backuppen (365 + Google + Files van servers). Mijn meest gunstige Cloud oplossing kwam nu op ongeveer 35 euro per maand uit, een nieuwe NAS met disken is rond de 700 euro en gaat naar verwachting 10 jaar mee. De cloud kost 120x35=4200. De rekensom is dan eenvoudig

[Tweakez]

Zijn er meer concullega’s die vandaag problemen ervaren met Microsoft 365, specifiek Outlook?

Sinds vanochtend zien wij dat Outlook crasht zodra er met de rechtermuisknop wordt geklikt, bijvoorbeeld bij kopiëren via het contextmenu. Dit gebeurt niet alleen op vaste werkstations en laptops, maar ook binnen onze Citrix-omgeving op basis van de golden image. Tevens gebeurt het ook als Outlook in safe mode draait. (outlook.exe /safe)

Omdat het probleem in meerdere omgevingen tegelijk optreedt, lijkt het minder op een lokaal issue en meer op iets gerelateerd aan een recente Microsoft 365/Office-update.

Zijn er anderen die dit vandaag ook zien, of al een oorzaak/workaround hebben gevonden?

Oké, ik ben een stapje verder, met een update van versie 2605 naar 2606 lijkt het probleem opgelost - wel bijzonder gezien de afgelopen paar weken Outlook gewoon prima heeft gewerkt op 2605 en nu ineens het niet meer functioneert. Maar ik hoorde ook van een collega dat na het opnieuw opstarten van z'n machine het probleem weg was. Microsoft, wat een topclub

[ Voor 21% gewijzigd door Tweakez op 30-06-2026 10:39 ]

[Blokker_1999]

Hier nog niets gezien of gehoord, maar wij zitten wel op Monthly Enterprise en niet op Current.

[pjlgt]

Tweakez schreef op dinsdag 30 juni 2026 @ 10:18:
Zijn er meer concullega’s die vandaag problemen ervaren met Microsoft 365, specifiek Outlook?

Sinds vanochtend zien wij dat Outlook crasht zodra er met de rechtermuisknop wordt geklikt, bijvoorbeeld bij kopiëren via het contextmenu. Dit gebeurt niet alleen op vaste werkstations en laptops, maar ook binnen onze Citrix-omgeving op basis van de golden image. Tevens gebeurt het ook als Outlook in safe mode draait. (outlook.exe /safe)

Omdat het probleem in meerdere omgevingen tegelijk optreedt, lijkt het minder op een lokaal issue en meer op iets gerelateerd aan een recente Microsoft 365/Office-update.

Zijn er anderen die dit vandaag ook zien, of al een oorzaak/workaround hebben gevonden?

Oké, ik ben een stapje verder, met een update van versie 2605 naar 2606 lijkt het probleem opgelost - wel bijzonder gezien de afgelopen paar weken Outlook gewoon prima heeft gewerkt op 2605 en nu ineens het niet meer functioneert. Maar ik hoorde ook van een collega dat na het opnieuw opstarten van z'n machine het probleem weg was. Microsoft, wat een topclub

Je bent niet de enige; https://www.reddit.com/r/...t_crashing_on_rightclick/

[Tweakez]

Blokker_1999 schreef op dinsdag 30 juni 2026 @ 11:52:
Hier nog niets gezien of gehoord, maar wij zitten wel op Monthly Enterprise en niet op Current.

Ja hier heeft het ook vast mee te maken, hier wil iedereen continu de nieuwste versie, want oehh leuke features. Maar dat komt natuurlijk ook met klein gepeupel zoals dit...

pjlgt schreef op dinsdag 30 juni 2026 @ 13:40:
[...]

Je bent niet de enige; https://www.reddit.com/r/...t_crashing_on_rightclick/

Kwam ik inderdaad ook achter ja.

[ Voor 26% gewijzigd door Tweakez op 30-06-2026 14:54 ]

[Blokker_1999]

Onze CISO heeft geleerd dat SharePoint Online rechten laat staan op sites van gebruikers die verwijderd zijn. In de basis vormt dit geen enkel risico want het gebruikersaccount op zich bestaat niet meer. De reden dat die entry in de SPO site blijft staan lijkt meer om potentiele auditing te gaan, al vermoed ik zelf dat het een legacy fenomeen is van lang geleden.

Kent iemand een script of een tool om dit eenvoudig op te kuisen? Want zelfs Copilot is me ondertussen in cirkeltjes aan het laten lopen.

[Hero of Time]

Ik ben bij ons bezig om onze SSL VPN om te bouwen naar IPSec. Dit is met IKEv2 en EAP authenticatie icm PSK, ipv IKEv1 en xauth. Het werkt, waarbij ik Peer ID gebruik als equivalent voor Realms. Tegelijk heb ik ook de Radius authenticatie iets verbeterd, want eerder accepteerde we elke gebruiker ongeacht groep, nu geef ik met VSA de Fortigate groep terug als de network policy ook matched met de AD groep waar de gebruiker in zit. Dus ipv 1 policy voor iedereen, aparte policies per groep.

Omdat ik nu dus ook met Peer IDs werk, moet ik een tunnel per groep maken. Dit kan, met twee tunnels en alles hetzelfde op de Peer ID na gaat het ook nog goed. Maar het zou mooier zijn als dit wat efficiënter kan. Nou is er bij Fortigate ook de optie om een IP van de Radius server te krijgen. Dit is echter niet erg handig, want óf ik geef 1 statisch IP adres, óf ik moet voor elke gebruiker in hun AD attributen een dial-in fixed adres gaan invullen. Niet te doen.

We hebben verschillende groepen die andere IP reeksen krijgen voor firewall regels om specifieke toegang te verschaffen. IT naar o.a. beheer servers, devs naar hun VMs op ons cluster en de rest alleen naar basic applicatieservers en shares. En suppliers alleen naar de server die ze voor ons beheren.

Bij de Radius attributen die je mee kan geven als response naar de client terug is er ook Framed-Pool. De omschrijving zegt "This attribute, found only in Access-Accept packets, indicates the name of the address pool that should be used to give an address to the authenticating user." Dat zou heel mooi zijn om te gebruiken, geef de naam op van de IP reeks object in de Fortigate. Maar dit lijkt niet zo te werken.

Vraag is, wat zou ik wel kunnen gebruiken? Of zit ik toch vast aan een tunnel per gebruikersgroep?

[Renegade666]

Ben voor een klant even een alert policy aan maken. Deze moet indien data verwijderd, een melding geven. Data staat in sharepoint.

Onder security > email/collaboration > policies & alerts > alert policy heb ik 1 gemaakt.
Dit is changed file of folder (user deleted, modified or renamed file/folder).
Deze melding werkt wel.
Alleen krijgen we dus constant meldingen aan bestanden waar men gewoon mee werkt..

Ik wil alleen dat ze bij een delete een melding krijgen. Echter dit kan ik niet vinden.
Via Copilot ook nodige gezocht/gevraagd, maar die komt met dezelfde..

Heeft iemand een idee?

[FREAKJAM]

Renegade666 schreef op maandag 20 juli 2026 @ 09:25:
Ben voor een klant even een alert policy aan maken. Deze moet indien data verwijderd, een melding geven. Data staat in sharepoint.

Onder security > email/collaboration > policies & alerts > alert policy heb ik 1 gemaakt.
Dit is changed file of folder (user deleted, modified or renamed file/folder).
Deze melding werkt wel.
Alleen krijgen we dus constant meldingen aan bestanden waar men gewoon mee werkt..

Ik wil alleen dat ze bij een delete een melding krijgen. Echter dit kan ik niet vinden.
Via Copilot ook nodige gezocht/gevraagd, maar die komt met dezelfde..

Heeft iemand een idee?

In Defender for Cloud apps kun je een activity policy maken beperkt tot activity type equals delete en dit scopen op een specifieke folder. Klant moet wel de security step-up licentie hebben en Office365 moet als connector gekoppeld zijn.

[ Voor 4% gewijzigd door FREAKJAM op 20-07-2026 16:19 ]

[Renegade666]

@FREAKJAM

Thnx, zal morgen even kijken. al heb ik het idee dat het zelfde is wat ik al heb.

[Duinkonijn]

Excel was in het verleden een dingetje meen ik. Die verwijderd en recreëerde bestanden meen ik

[FREAKJAM]

Renegade666 schreef op maandag 20 juli 2026 @ 16:34:
@FREAKJAM

Thnx, zal morgen even kijken. al heb ik het idee dat het zelfde is wat ik al heb.

Policies is MDA zijn veel uitgebreider en kijkt veel meer naar dreigingscontext en gedrag. Komt goed en anders stuur mij een DM :-)

[Hero of Time]

Ik heb een nieuwe DNS zone gemaakt voor een apart subnet en bij de scope opties aangegeven dat het die DNS zone moet vullen. Ik heb bij de zone eigenschappen ook insecure updates moeten toestaan, anders konden de apparaten geen DNS record maken.

Was dit de enige manier of is er een betere optie om, in dit geval voip toestellen, geregistreerd te krijgen in DNS? Ik had namelijk verwacht dat de DHCP server (Windows, AD authorized) dit zou doen names de apparaten maar dat lijkt dus niet te gebeuren.

[Ruben279]

Je moet helemaal niet willen dat end devices DNS records gaan maken, alleen de DHCP server zou dat moeten doen. Secure updates werken niet omdat die VoIP telefoons geen AD object is.

Maar die VoIP telefoon moet z'n hostname meegeven bij het DHCP request (DHCP option 12), daarna kan de DHCP server dat gebruiken om een A en een PTR record aan te maken.

Zie je in de lijst van leases wel die hostnames staan? Als daar de namen keurig in staan zou het met secure en Always dynamically update DNS A and PTR records goed moeten gaan.

[Hero of Time]

Dat is dus het punt. Ik zie voor de meeste toestellen netjes de hostnaam in de DHCP console staan. Maar die kwam dus niet in DNS terecht, terwijl bij de scope in DHCP wel stond om de naam te updaten.
Deze optie dus, maar dan het andere bolletje aan voor 'always update records':

Hiermee zag ik het dus niet gebeuren. De zone die ik voor telefonie heb aangemaakt, heb ik opgegeven dat het secure en insecure updates toestaat, dat werkte wel gelijk. Al vond ik het wat gek dat juist het toestel dat ik herstartte niet de eerste was die in de zone kwam, dat was pas een paar records later (denk kwartier tot half uur later?).

Misschien was ik ook wel gewoon te ongeduldig en verwachtte ik dat zodra een apparaat een IP aanvraagt, ook al had 'ie dat 5 minuten geleden voor m'n aanpassing ook al gedaan, het record zou verschijnen.

[Hero of Time]

Vandaag nieuw toestel alvast geconfigureerd en voordat ik die aansloot en een naam gaf, had ik de DNS zone op 'Secure Only' gezet mbt updates. Iets later stond het DNS record er netjes in. Ik had dus te weinig geduld.

[Renegade666]

FREAKJAM schreef op maandag 20 juli 2026 @ 16:18:
[...]

In Defender for Cloud apps kun je een activity policy maken beperkt tot activity type equals delete en dit scopen op een specifieke folder. Klant moet wel de security step-up licentie hebben en Office365 moet als connector gekoppeld zijn.

Dit was idd net even anders, heb er nu 1 aangemaakt, morgen even testen.

Ik had ze onder email & collaboration gedaan.
Die deed ondertussen ook wel wat.

Kwam wel deze melding tegen..
https://learn.microsoft.c...-file-policies-to-purview

Dus dat kan dan straks ook weer.

Hmm, is niet helemaal wat ik wou, had de verkeerde gepakt..

Maar als ik zelf 1 wil maken kan ik niks vinden met delete of iets in die trend... of ik ben dronken, maar ik drink nooit

[ Voor 20% gewijzigd door Renegade666 op 30-07-2026 16:09 ]

[Harmen]

Naast m'n werk beheer in een MS tenant voor een lokale club. Echter ben ik vergeten de omzetting te doen van non profit business premium naar basic. Wegens drukte en vakantie is dit blijven liggen. Iemand een idee hoe ik dit het beste kan oplossen?

Ik ga naar de non profit portal, kies voor de gratis Basic licentie, echter krijg ik dan de volgende melding:


Helaas kan je niet zoveel met deze foutmelding, zou graag de licenties weer willen koppelen zodat de mailboxen weer actief worden.

Betalingbewijzen heb ik geregeld, een credit card en sepa incasso. Ik zie wel een afwijking in de naam van de tenant en rekening naam.
-Heb ook een 2de global admin aangemaakt, zelfde melding
-Andere incognito browser sessie, zelfde melding

Heb ook al een case lopen bij MS, maar response daarop is vrij traag.

[WouterG]

Harmen schreef op zaterdag 1 augustus 2026 @ 12:03:
Naast m'n werk beheer in een MS tenant voor een lokale club. Echter ben ik vergeten de omzetting te doen van non profit business premium naar basic. Wegens drukte en vakantie is dit blijven liggen. Iemand een idee hoe ik dit het beste kan oplossen?

Ik ga naar de non profit portal, kies voor de gratis Basic licentie, echter krijg ik dan de volgende melding:
[Afbeelding]

Helaas kan je niet zoveel met deze foutmelding, zou graag de licenties weer willen koppelen zodat de mailboxen weer actief worden.

Betalingbewijzen heb ik geregeld, een credit card en sepa incasso. Ik zie wel een afwijking in de naam van de tenant en rekening naam.
-Heb ook een 2de global admin aangemaakt, zelfde melding
-Andere incognito browser sessie, zelfde melding

Heb ook al een case lopen bij MS, maar response daarop is vrij traag.

Als je vanuit de gebruiker een licentie toevoegd, misschien dat dat wel werkt? Hij vraagt dan om een business basic toe te voegen voor €0,00 bij mij (ook een non-profit).

[Harmen]

WouterG schreef op zaterdag 1 augustus 2026 @ 18:56:
[...]

Als je vanuit de gebruiker een licentie toevoegd, misschien dat dat wel werkt? Hij vraagt dan om een business basic toe te voegen voor €0,00 bij mij (ook een non-profit).

Dankje, helaas. Ben er wel achter gekomen dat de organisatienaam niet helemaal overeen komt. Heb deze rechtgezet in het non-profit portaal, kan wel een aantal dagen duren. Even afwachten.

[Harmen]

Update, ik heb de organisatie naam goed gezet (Via de non profit portal). Echter nog steeds issues met het aanvragen van de licenties via de non profit poral. Support gevraagd om een update, echter duurt het wel lang zo.

Iemand nog een idee wat ik anders kan controleren cq updaten?

[Hero of Time]

We hebben onze access-points vervangen voor nieuwere types. Nu hoorde ik van 1 gebruiker dat 'ie opeens van 't wifi was gegooid en de telefoon, een iPhone 8, bleef maar piepen dat het wachtwoord fout was. Opnieuw intypen veranderde niks. Ook vergeten en weer proberen te verbinden hielp niet. Het netwerk was ook niet altijd te zien, terwijl de andere SSIDs die we hebben wel in 't lijstje stonden.

Uiteindelijk verbond de telefoon wel weer, gaf zelfs soms aan dat het een verborgen netwerk was (is het dus niet). Bij de AP management zag ik 'age-out' staan als error, maar daar op zoeken werd ik ook niet veel wijzer.

Iemand enig idee wat de reden zou kunnen zijn voor dit rare gedrag? We hebben nu wel wifi-7, dus 2.4, 5 en 6 GHz met WPA3 beschikbaar, maar bij het handmatig toevoegen van het netwerk was WPA2/WPA3 als optie voor de beveiliging, wat mij doet denken dat de iPhone 8 met iOS 16.7.10 het wel gewoon ondersteund. Plus dat het uiteindelijk ook gewoon weer verbonden was.

[Renegade666]

Welke aps hebben we het over?

Misschiens iets ala bandsteering aan? Vinden iphones niet altjjd leuk

[Hero of Time]

Aruba AP-735. We hadden de 305. M'n eigen telefoons, privé Android en zakelijk iPhone 14 hebben nergens last van. Zal dus aan het toestel zelf moeten liggen, maar vind het gedrag wel wat gek.

[Renegade666]

Tijd dat die iphone 8 maar gewoon vernieuwd word? is ook gewoon antiek XD

[Tylen]

Renegade666 schreef op donderdag 6 augustus 2026 @ 07:29:
Tijd dat die iphone 8 maar gewoon vernieuwd word? is ook gewoon antiek XD

Ik denk ook dat @Hero of Time maar wat zit te trollen .

[Diederik]

Hero of Time schreef op woensdag 5 augustus 2026 @ 20:46:
We hebben onze access-points vervangen voor nieuwere types. Nu hoorde ik van 1 gebruiker dat 'ie opeens van 't wifi was gegooid en de telefoon, een iPhone 8, bleef maar piepen dat het wachtwoord fout was. Opnieuw intypen veranderde niks. Ook vergeten en weer proberen te verbinden hielp niet. Het netwerk was ook niet altijd te zien, terwijl de andere SSIDs die we hebben wel in 't lijstje stonden.

Uiteindelijk verbond de telefoon wel weer, gaf zelfs soms aan dat het een verborgen netwerk was (is het dus niet). Bij de AP management zag ik 'age-out' staan als error, maar daar op zoeken werd ik ook niet veel wijzer.

Iemand enig idee wat de reden zou kunnen zijn voor dit rare gedrag? We hebben nu wel wifi-7, dus 2.4, 5 en 6 GHz met WPA3 beschikbaar, maar bij het handmatig toevoegen van het netwerk was WPA2/WPA3 als optie voor de beveiliging, wat mij doet denken dat de iPhone 8 met iOS 16.7.10 het wel gewoon ondersteund. Plus dat het uiteindelijk ook gewoon weer verbonden was.

Have you tried turning it off and on again?

[Hero of Time]

Diederik schreef op donderdag 6 augustus 2026 @ 12:14:
[...]

Have you tried turning it off and on again?

Jep, helaas hielp dat niet direct, maar het verbond even later toch wel, al was het met wat nukkigheden. Vandaag niks gehoord erover, maar was ook druk met andere dingen.

Renegade666 schreef op donderdag 6 augustus 2026 @ 07:29:
Tijd dat die iphone 8 maar gewoon vernieuwd word? is ook gewoon antiek XD

Dat sowieso. We hebben nog een 11 liggen. Het toestel doet voor die gebruiker toch praktisch niks en wordt alleen zakelijk gebruikt. Het verlaat niet eens z'n bureau zeg maar.

Tylen schreef op donderdag 6 augustus 2026 @ 07:35:
[...]

Ik denk ook dat @Hero of Time maar wat zit te trollen .

Zou je denken, maar nee.

[Blokker_1999]

Eens kijken of hier iemand een goede oplossing heeft. We nemen een AVD, een shared pool die we bij hogere belasting automatisch willen opschalen, al zal dat opschalen niet met een scale set gebeuren maar getriggered worden met terraform. Alleen, we wensen niet met een golden image te werken vanwege de relatief grote complexiteit voor het bouwen van die image, maar willen daarom gebruik maken van Intune om alle apps en configuratie op die machine klaar te krijgen. Het idee van een golden image werd onmiddelijk afgeschoten door hen die verantwoordelijk zouden zijn voor heel dat process, dus dat komt niet onmiddelijk terug

Dit is een process dat enkele uren kan duren. We kunnen de machine aanmaken in drain mode, maar zoeken nu een elegante oplossing om helemaal op het einde die machine weer uit drain mode te halen. Iemand dit al gerealiseerd?

[Hero of Time]

Ik heb een gebruiker met een probleem dat begin deze maand optrad. Ze heeft een MS Surface 10 tablet en had voor haar vakantie Windows Hello met gezichtsherkenning ingesteld. Dat werkte prima. Maar na haar vakantie is op 4 augustus de Juli update geïnstalleerd en sindsdien werkt Hello niet meer. Ondertussen is ook de augustus update toegepast, maar heeft niks verandert.

Bij de accountinstellingen in Windows om Hello e.d. in te stellen staat dat de organisatie de instellingen beheert. Nou heb ik met Intune of GPOs naar mijn weten niks ingesteld of beperkt hiervoor. Het werkte immers nog prima een maand geleden en de config heb ik niet aangeraakt.

Het bijzondere is ook dat er wel de mogelijkheid was om de PIN te verwijderen (die trouwens ook niet werd gevraagd, enige inlogmethode was wachtwoord), maar de gezichtsherkenning niet. Net alsof het er al niet was. Terwijl in het beveiligingscentrum wel doodleuk stond dat Windows Hello was ingesteld. Misschien dat het op de PIN doelde, maar ja, die functioneerde ook niet.

Ik heb hier nog nooit mee gewerkt en heb geen idee waar ik moet beginnen met zoeken. Ik dacht in het andere topic iets langs te hebben zien komen dat een Windows update TPM issues gaf, wat deze problemen zou verklaren. Maar dan zou ik ook Bitlocker problemen verwachten.

Is er misschien een nieuwe default in Intune? De gebruiker was vandaag weer even op kantoor en de eerstvolgende keer dat ze weer in de buurt is zal pas over een maand zijn, dus ik heb nog wel even de tijd als er wat op het systeem zelf gedaan moet worden.

[Blokker_1999]

Misschien beginnen met de Hello container eens weg te gooien en kijken of ze dan opnieuw kan registreren. Al lijkt het mij vreemd dat de instellingen ineens vastgezet zijn als zijnde beheerd door de organisatie als er geen beleid zou ingesteld zijn.

[nextware]

Hero of Time schreef op woensdag 26 augustus 2026 @ 19:12:
WHfB verhaal

Heel toevallig geen DUO MFA of andere MFA tool (behalve Microsoft MFA) op jullie systemen geïnstalleerd die WHfB authenticatie uitschakelt ? Wij gebruiken helaas DUO MFA dus wij kunnen geen WHfB gebruiken op onze devices (don't ask... ).

Anders zou ik beginnen om WHfB container inderdaad te verwijderen ("certutil.exe -deleteHelloContainer") en dan opnieuw in te laten stellen door de gebruiker. LET OP: dit verwijdert dus ook de pin, etc van het device.

Is er wellicht ook iets in de logs van het device te vinden (Event Viewer > Applications and Services Logs > Microsoft > Windows > Biometrics > Operational) ?

Bij de accountinstellingen in Windows om Hello e.d. in te stellen staat dat de organisatie de instellingen beheert. Nou heb ik met Intune of GPOs naar mijn weten niks ingesteld of beperkt hiervoor. Het werkte immers nog prima een maand geleden en de config heb ik niet aangeraakt.

Kijk eens bij de accounts op het device. Is ze niet heel toevallig een keer aangemeld met een persoonlijk Microsoft-account ? Of wellicht één van haar huisgenoten die "even snel hun mail moesten bekijken"..

[ Voor 24% gewijzigd door nextware op 26-08-2026 19:36 ]

[Hero of Time]

nextware schreef op woensdag 26 augustus 2026 @ 19:34:
[...]

Heel toevallig geen DUO MFA of andere MFA tool (behalve Microsoft MFA) op jullie systemen geïnstalleerd die WHfB authenticatie uitschakelt ? Wij gebruiken helaas DUO MFA dus wij kunnen geen WHfB gebruiken op onze devices (don't ask... ).

Nope, alleen de MS Authenticator op de telefoon.

Anders zou ik beginnen om WHfB container inderdaad te verwijderen ("certutil.exe -deleteHelloContainer") en dan opnieuw in te laten stellen door de gebruiker. LET OP: dit verwijdert dus ook de pin, etc van het device.

PIN heb ik al bij accountinstellingen verwijdert, die was daarna ook niet meer terug in te stellen. Zijn er nog andere dingen die daar in kunnen staan? Met name dingen die bitlocker kunnen triggeren?

Goed ook dat je het commando er bij zet. Zoals ik namelijk al aangaf, nooit iets met Hello gedaan en geen idee wat zo'n container zou zijn of dat er zoiets überhaupt bestond.

Is er wellicht ook iets in de logs van het device te vinden (Event Viewer > Applications and Services Logs > Microsoft > Windows > Biometrics > Operational) ?

Kijk, dat is een locatie die ik wilde weten. Zal ik dus over een maand pas naar kunnen kijken.

[...]

Kijk eens bij de accounts op het device. Is ze niet heel toevallig een keer aangemeld met een persoonlijk Microsoft-account ? Of wellicht één van haar huisgenoten die "even snel hun mail moesten bekijken"..

Ik mag hopen dat ze anderen niet aan ons bedrijfseigendom laat zitten. Het apparaat is hybrid joined, dus on-prem AD en Entra/Intune. Zag zo snel geen andere accounts toen ik op 'Accounts' klikte bij Instellingen om naar Hello te gaan. Maar goed mogelijk dat ik niet langs de 'juiste' plek kwam om zoiets te zien.

[Hero of Time]

Blokker_1999 schreef op woensdag 26 augustus 2026 @ 19:20:
Misschien beginnen met de Hello container eens weg te gooien en kijken of ze dan opnieuw kan registreren. Al lijkt het mij vreemd dat de instellingen ineens vastgezet zijn als zijnde beheerd door de organisatie als er geen beleid zou ingesteld zijn.

Dat laatste vind ik dus ook vreemd. Zal morgen of later eens kijken of ik iets zie in Intune erover. Misschien is een default verandert of opeens een instelling die ik lang geleden had ingesteld actief die al die tijd niks deed ivm bug of zo.

[Diederik]

Of de vraag klein is, dat weet ik niet, maar ik heb problemen met MS365 OneDrive sync reports in the Apps Admin Center. Er is een Tenant-koppelingssleutel en de de registry key heb ik toegepast (kleine kantooromgeving zonder policies en intune) de PC's hebben recent een week aangestaan, maar ik krijg geen data in het dashboard.

MS info: https://learn.microsoft.c.../sync-health?tabs=windows

Wat ik wil kunnen, dat is controleren of iedereen netjes zijn mappen synced en OneDrive goed werkt. Volgende optie is een ticket maken, maar mijn vetrouwen in mijn mede Tweakers is groter dan die in MS support.

[Tylen]

Blokker_1999 schreef op woensdag 26 augustus 2026 @ 11:09:
Eens kijken of hier iemand een goede oplossing heeft. We nemen een AVD, een shared pool die we bij hogere belasting automatisch willen opschalen, al zal dat opschalen niet met een scale set gebeuren maar getriggered worden met terraform. Alleen, we wensen niet met een golden image te werken vanwege de relatief grote complexiteit voor het bouwen van die image, maar willen daarom gebruik maken van Intune om alle apps en configuratie op die machine klaar te krijgen. Het idee van een golden image werd onmiddelijk afgeschoten door hen die verantwoordelijk zouden zijn voor heel dat process, dus dat komt niet onmiddelijk terug

Dit is een process dat enkele uren kan duren. We kunnen de machine aanmaken in drain mode, maar zoeken nu een elegante oplossing om helemaal op het einde die machine weer uit drain mode te halen. Iemand dit al gerealiseerd?

En het golden image kan je niet maken op dezelfde methode dat je de machines allemaal maakt? Dat maakt dan toch niet uit? Gewoon met golden images werken. Die "verantwoorlijke" moeten niet zeuren maar hun werk doen.

[Diederik]

Diederik schreef op donderdag 3 september 2026 @ 09:29:
Of de vraag klein is, dat weet ik niet, maar ik heb problemen met MS365 OneDrive sync reports in the Apps Admin Center. Er is een Tenant-koppelingssleutel en de de registry key heb ik toegepast (kleine kantooromgeving zonder policies en intune) de PC's hebben recent een week aangestaan, maar ik krijg geen data in het dashboard.

MS info: https://learn.microsoft.c.../sync-health?tabs=windows

Wat ik wil kunnen, dat is controleren of iedereen netjes zijn mappen synced en OneDrive goed werkt. Volgende optie is een ticket maken, maar mijn vetrouwen in mijn mede Tweakers is groter dan die in MS support.

Iemand hier ervaring mee? Ik sta ook open voor een alternatieve benadering, zolang ik maar inzicht krijg in het wel/niet functioneren van OneDrive.

[Diederik]

Inmiddels 1,5 maand verder heb ik besloten om maar eens een test situatie op te zetten voor de OneDrive Sync status.

- tenant aangemaakt
- users aangemaakt
- Tenant-koppelingssleutel gechecked
- client ingericht
- onedrive ingelogd
- reg key toegevoegd

En na een weekend wachten netjes een rapport, vervolgens ga ik kijken op de tenant waar het rapport eerder niet verscheen, en tot mijn grote verbazing heeft het probleem zich automagisch opgelost, ik zie nu netjes de OneDrive sync status per aangemelde client.

Schiet mij maar lek...