Het grote kleine-SysOps-vragen topic deel 1

[Blokker_1999]

Wij gebruiken Citrix als doorgeefluik voor RDP, geen ICA

Al is het tij daar ook wel aan het keren daar we ook mensen extern aan de firma hebben die aan bepaalde omgevingen moeten kunnen, maar niet altijd in staat zijn om een RDP sessie over poort 443 te laten lopen. RDP houdt niet zo van SSL decryption . En hoewel je met RDS ook een HTML5 oplossing hebt, zit je dan wel weer met heel de setup en is besloten geweest om voor die specifieke omgeving reeds over te gaan op de volledige Citrix stack.

[Thijs B]

Hero of Time schreef op donderdag 19 juni 2025 @ 19:36:
@Thijs B, dat is idd ook iets wat collections mogelijk maakt, profile disks. Maar veel beheerders zweren bij FSLogix als vervanger van UPD (niet UPN, of je hebt ook gelijk een nieuw AD domein ). Wij gebruiken dat hier niet, omdat we met maar 1 session host per collection zitten en het geen toegevoegde waarde heeft. Gewoon lekker het profiel lokaal, roamen is niet nodig.

Zo dat viel achteraf mee FSLogix up and running, althans staat klaar om in productie te nemen op de nieuwe rdscollection, duidelijk te merken dan de login procedure stukje sneller is met profiledisks en FSLogix

[Hero of Time]

Thijs B schreef op maandag 23 juni 2025 @ 20:21:
[...]

Zo dat viel achteraf mee FSLogix up and running, althans staat klaar om in productie te nemen op de nieuwe rdscollection, duidelijk te merken dan de login procedure stukje sneller is met profiledisks en FSLogix

Ja, fslogix is niet zo spannend eigenlijk. Op m'n vorige werk had ik destijds bedacht om de user disks op de centrale Synology Rackstation te zetten die we ook al gebruikten voor alle andere storage doeleinden (VMware VMs, user documenten, afdelingsdata), maar voor UPD moet en zal er via RPC geluld worden en dat is alleen mogelijk met een Windows file server. Terwijl met fslogix elke backend dat Windows snapt gebruikt kan worden. Dus ipv smb op een Windows server, kan het ook gewoon een Linux smb host zijn, of een NAS zoals dus Synology.

Een centrale storage oplossing was daar al heel wat, toen ik er kwam draaide er 5 Hyper-V hosts met allemaal lokale storage, 3 ervan hadden alleen een RDS erop draaien (dus 1 session host voor 1 fysieke machine, Hyper-V er tussen was een beetje vreemd). De 4e host draaide de financiële administratie en het logistieke pakket. De 5e host was het ergste, dat was file server, domain controller, printserver én had de Hyper-V rol om daarin de license server en connection broker te kunnen draaien als enkele VM.

Blij dat ik nu met beter spul werk.

[Gu357]

Gr4mpyC3t schreef op vrijdag 20 juni 2025 @ 14:49:
[...]


Volgens mij klopt dat, omdat het jaren geleden ook gekocht is door Microsoft.

Dat is correct. De licentie zit samen met de RDS call.

Ref: https://learn.microsoft.c...ix/overview-prerequisites

[Gu357]

Je kunt met FSLogix ook applicaties verbergen. Dat kan zelfs aan de hand van security groups.

Een heel krachtige functie die je niet snel tegenkomt.

Ref: https://learn.microsoft.c...ial-application-rule-sets

[Tylen]

Gu357 schreef op maandag 23 juni 2025 @ 20:44:
Je kunt met FSLogix ook applicaties verbergen. Dat kan zelfs aan de hand van security groups.

Een heel krachtige functie die je niet snel tegenkomt.

Ref: https://learn.microsoft.c...ial-application-rule-sets

Gebruik ik overal. Heerlijke functie.

[Harmen]

Onder het mom, nooit geschoten is altijd mis.
Iemand eenzelfde ervaring dat Outlook de verkenner (Win11) sloopt? (Zie oa https://learn.microsoft.c...r-doesnt-work-correctly-w) (W11 23H2 - Omnissa Horizon omgeving). Als we het preview venster aanzetten werken alle verkenner acties weer.

[jordeeeh]

Iemand die toevallig ervaring heeft met Zabbix? (@Hero of Time ?)
Wij maken gebruik van Zabbix 7.2 en hiermee wil ik onze VMware omgeving monitoren, dit doe ik d.m.v. de VMware Discovery.
Alle hypervisors en VM's worden automatisch aangemaakt zoals verwacht.

Nu wil ik voor de Windows VM's dat automatisch de template 'Windows by Zabbix agent' wordt gekoppeld.
Wat ik tegen ben gekomen is dat ik bij de VMware VM discoveryrule een override moet toevoegen.
Dit heb ik gedaan als volgt:



Maar bij de discovery wordt de template alsnog niet gekoppeld. Ook niet als ik de VM verwijder en helemaal opnieuw laat discoveren.
Als test heb ik in de host prototype een macro aangemaakt:
Macro: {$VMWARE.VM.GUESTFAMILY}
Value: {#VM.GUESTFAMILY}

Bij de VM's wordt dan wel een macro aangemaakt met de waarde windowsGuest. Ook dit heb ik al geprobeerd in te stellen in de Override, maar ook dan doet ie t niet.

Hebben jullie nog een idee?

[Quad]

Heeft Microsoft weer iets aangepast? Ik heb een klant waarbij het font Aptos op zowel Mac als Windows van 11pt naar 12pt lettergrootte is gegaan. Ik zie niets in releasenotes en bij mijzelf is er niets gewijzigd. Lijkt in de tenant iets te zijn veranderd eerder.

[Gr4mpyC3t]

Quad schreef op donderdag 26 juni 2025 @ 16:02:
Heeft Microsoft weer iets aangepast? Ik heb een klant waarbij het font Aptos op zowel Mac als Windows van 11pt naar 12pt lettergrootte is gegaan. Ik zie niets in releasenotes en bij mijzelf is er niets gewijzigd. Lijkt in de tenant iets te zijn veranderd eerder.

Geinig, toevallig viel mij dit ook op. Ik was een simpele handtekening aan het invoegen en die bleek op 11pt ingesteld te zijn waar de rest van de mail op 12pt geschreven was.

[Blokker_1999]

1 van mijn gebruikers heeft op zijn iPhone MS Defender geinstalleerd en deze aangemeld met zijn bedrijfsaccount. Alleen wordt hiermee een MDE P2 geactiveerd die de gebruiker niet heeft. Weet iemand hoe ik kan voorkomen dat gebruikers aanmelden op Defender zonder dat ik de app geforceerd ga verwijderen op alle apparaten? Want kan me inbeelden dat er wel ergens een gebruiker is die het met een prive account gebruikt. Want ik zie ook niet direct een manier om op mobiel de gebruikers naar P1 te duwen zodat deze in lijn is met de huidige E3 licenties. De E5 komt mogelijks ergens volgend jaar, al is daar nog geen zekerheid over.

[Hero of Time]

jordeeeh schreef op donderdag 26 juni 2025 @ 12:41:
Iemand die toevallig ervaring heeft met Zabbix? (@Hero of Time ?)
Wij maken gebruik van Zabbix 7.2 en hiermee wil ik onze VMware omgeving monitoren, dit doe ik d.m.v. de VMware Discovery.
Alle hypervisors en VM's worden automatisch aangemaakt zoals verwacht.

Nu wil ik voor de Windows VM's dat automatisch de template 'Windows by Zabbix agent' wordt gekoppeld.
Wat ik tegen ben gekomen is dat ik bij de VMware VM discoveryrule een override moet toevoegen.
Dit heb ik gedaan als volgt:
[Afbeelding]
[Afbeelding]

Maar bij de discovery wordt de template alsnog niet gekoppeld. Ook niet als ik de VM verwijder en helemaal opnieuw laat discoveren.
Als test heb ik in de host prototype een macro aangemaakt:
Macro: {$VMWARE.VM.GUESTFAMILY}
Value: {#VM.GUESTFAMILY}

Bij de VM's wordt dan wel een macro aangemaakt met de waarde windowsGuest. Ook dit heb ik al geprobeerd in te stellen in de Override, maar ook dan doet ie t niet.

Hebben jullie nog een idee?

We hebben eigenlijk ook nog Het Grote Monitoring Topic.

Maar ik heb 7.0 draaien (al direct sinds de alpha ) en toevallig eerder deze week eenzelfde aanpassing doorgevoerd. Heb niet eens de host in Zabbix hoeven te verwijderen, het werd direct toegepast.

Je moet bij het VMWare template zelf (dus niet een van de andere templates ervan) bij Discovery -> Host Prototype van VMWare Guest je extra template toepassen.

Let wel, als je zowel Linux als Windows VMs hebt, ga je dus hoe dan ook je gelinkte template krijgen en dat is niet echt handig. Want de checks voor Windows werken niet op Linux tenslotte. Ik dacht dat het automatisch al het juiste OS template linkte.

De aanpassing die ik had gedaan was toevoegen aan een host groep. Voor templates zou het vergelijkbaar moeten zijn. Maar ik denk dat je eigenlijk een andere oplossing zoekt.

[jordeeeh]

Hero of Time schreef op donderdag 26 juni 2025 @ 19:01:
[...]

We hebben eigenlijk ook nog Het Grote Monitoring Topic.

Maar ik heb 7.0 draaien (al direct sinds de alpha ) en toevallig eerder deze week eenzelfde aanpassing doorgevoerd. Heb niet eens de host in Zabbix hoeven te verwijderen, het werd direct toegepast.

Je moet bij het VMWare template zelf (dus niet een van de andere templates ervan) bij Discovery -> Host Prototype van VMWare Guest je extra template toepassen.

Let wel, als je zowel Linux als Windows VMs hebt, ga je dus hoe dan ook je gelinkte template krijgen en dat is niet echt handig. Want de checks voor Windows werken niet op Linux tenslotte. Ik dacht dat het automatisch al het juiste OS template linkte.

De aanpassing die ik had gedaan was toevoegen aan een host groep. Voor templates zou het vergelijkbaar moeten zijn. Maar ik denk dat je eigenlijk een andere oplossing zoekt.

Als je m inderdaad bij de Host Prototype toevoegt krijgen alle VM's tijdens de Discovery die template, dat wil ik dus niet.
Vandaar dat ik het via Override wilde doen waarbij hij filtert op de basis van een LLD macro.

Je brengt me wel op een idee, want misschien dat het mogelijk is om dynamische groepen te maken op basis van LLD macro's en daar dus inderdaad die template aan koppelen.
Ga ik binnenkort even uitzoeken

[Hero of Time]

@jordeeeh, ik heb auto-registratie toegepast op mijn omgeving. Bij je agents moet je al de server opgeven, ik heb ook ServerActive ingevuld en gebruik active checks. Hiermee registreren de systemen zichzelf nav de regels die je opgeeft. Zie ook de documentatie erover: https://www.zabbix.com/do...scovery/auto_registration.

Wanneer je VM dezelfde hostnaam heeft als hoe het in VMware heet, inclusief juiste hoofdletters, is het mogelijk dat je geen VMware Guest item en template krijgt ervoor. In de Zabbix server log zie je dan een melding over duplicate host die niet te maken is. Maar meldt de agent zich aan nadat de VM discovery 'm heeft gemaakt, zal 'ie de templates en andere zaken toepassen die in de auto-registratie actie staat. Dat is volgens mij hoe ik automatisch het Linux Active template eraan heb gekregen.

[Blokker_1999]

Blokker_1999 schreef op donderdag 26 juni 2025 @ 18:58:
1 van mijn gebruikers heeft op zijn iPhone MS Defender geinstalleerd en deze aangemeld met zijn bedrijfsaccount. Alleen wordt hiermee een MDE P2 geactiveerd die de gebruiker niet heeft. Weet iemand hoe ik kan voorkomen dat gebruikers aanmelden op Defender zonder dat ik de app geforceerd ga verwijderen op alle apparaten? Want kan me inbeelden dat er wel ergens een gebruiker is die het met een prive account gebruikt. Want ik zie ook niet direct een manier om op mobiel de gebruikers naar P1 te duwen zodat deze in lijn is met de huidige E3 licenties. De E5 komt mogelijks ergens volgend jaar, al is daar nog geen zekerheid over.

Heb vermoedelijk het antwoord gevonen. Je moet eerst 2 service principals toevoegen aan je omgeving voor zowel de ATP service als de TVM service met app IDs e724aa31-0f56-4018-b8be-f8cb82ca1196 en a0e84e36-b067-4d5c-ab4a-3db38e598ae2. Hierna kan je een CA policy maken die deze apps blokkeert op mobiele apparaten. Hoewel je de app nog kunt installeren en op het eerste zicht ook gewoon kunt aanmelden, komt de app even later met de klassieke melding "You can't get there from here." en verschijnt deze ook niet onder je devices in het MS Security portaal en lijkt de gebruiker ook geen licentie op te nemen.

[Blokker_1999]

Is er hier iemand die zowel de Entra ID connector als de Entra ID Cloud connector naast elkaar heeft draaien in hetzelfde domein?

Ik besef dat we ooit de omschakeling moeten maken, maar nog voor we daar aan beginnen ga ik mogelijks nood hebben aan de functionaliteit voor group writeback zoals deze in de nieuwere cloud connector zit en vroeg me daarom af of het mogelijk is deze 2 naast elkaar te draaien zodat we in de toekomst verder kunnen kijken hoe we steeds meer objecten van de oude naar de nieuwe kunnen doorgeven.

[Quad]

Gr4mpyC3t schreef op donderdag 26 juni 2025 @ 17:08:
[...]


Geinig, toevallig viel mij dit ook op. Ik was een simpele handtekening aan het invoegen en die bleek op 11pt ingesteld te zijn waar de rest van de mail op 12pt geschreven was.

Heb jij gezien waar dit vandaan kan komen? Er zijn nergens changelogs te vinden hierover en ik zie in de tenant ook niets geks..
Vreemde is dat de hele organisatie dit in één keer heeft incl. gebruikers op Mac/webmail, waarbij andere klanten (of onszelf) dit niet te vinden is.

Edit:
Wat krijg je als je in PowerShell het volgende uitvoert?

PowerShell:

Connect-ExchangeOnline
Get-MailboxMessageConfiguration -Identity $upn | Select-Object Identity,DefaultFontName,DefaultFontSize

Als je ziet staan: DefaultFontSize = 3, dan is dat 12pt.
Staat er DefaultFontSize = 11. dan is het 11pt.

Ergens is dit centraal doorgedrukt, ik zie namelijk in mijn privétenant op het account van mijn vrouw ook 12pt staan.
Bij klanten is het wisselend tussen 3, 11 en 12. Een relatief (2 weken oud) nieuwe tenant standaard allemaal op 3, oudere tenant wisselt dus.

[ Voor 34% gewijzigd door Quad op 04-07-2025 15:15 ]

[Quad]

@Blokker_1999 Volgens mij kan dat niet. Omdat de Entra cloud sync beperkingen heeft tov Entra Connect.

Het zou mogelijkerwijs kunnen wanneer je niet dezelfde OU laat syncen.

[ Voor 26% gewijzigd door Quad op 04-07-2025 15:18 ]

[tjoep]

Ik dacht dat we voor onze migratie wel cloud sync en cloud connect naast elkaar hadden draaien. Ou's uit de sync gehaald en in de connect gezet. Dus wel nooit door beide tegelijk laten syncen.

[Gr4mpyC3t]

Quad schreef op vrijdag 4 juli 2025 @ 14:21:
[...]

Heb jij gezien waar dit vandaan kan komen? Er zijn nergens changelogs te vinden hierover en ik zie in de tenant ook niets geks..
Vreemde is dat de hele organisatie dit in één keer heeft incl. gebruikers op Mac/webmail, waarbij andere klanten (of onszelf) dit niet te vinden is.

Edit:
Wat krijg je als je in PowerShell het volgende uitvoert?

PowerShell:

Connect-ExchangeOnline
Get-MailboxMessageConfiguration -Identity $upn | Select-Object Identity,DefaultFontName,DefaultFontSize

Als je ziet staan: DefaultFontSize = 3, dan is dat 12pt.
Staat er DefaultFontSize = 11. dan is het 11pt.

Ergens is dit centraal doorgedrukt, ik zie namelijk in mijn privétenant op het account van mijn vrouw ook 12pt staan.
Bij klanten is het wisselend tussen 3, 11 en 12. Een relatief (2 weken oud) nieuwe tenant standaard allemaal op 3, oudere tenant wisselt dus.

Nee, ik heb geen flauw idee waarom. Toevallig heb ik gisteren nog een nieuwe Outlook-installatie gedaan en dan zie je in de standaard handtekening (met de tekst: deze mail is verzonden met Outlook of zo) wel 12pt staan. Maak je dan een nieuwe handtekening aan dan valt Outlook weer terug op 11 pt.

PowerShell output:

code:

Identity: Gr4mpyC3t
DefaultFontName: Calibri
DefaultFontSize: 3

De tenant waar ik dit vandaan heb gehaald bestaat al een aantal jaar en de mailbox is net zo oud als de tenant. Het gevoel dat dit centraal is aangepast deel ik wel met je. Mijn aanname is dat iedere mailbox een default waarde meekrijgt en als er nooit iets anders is ingesteld heb je nu automatisch een nieuwe default waarde. Dat verklaart wellicht ook dat je 3 ziet in plaats van 11 of 12.

En dan is de aanname bovenop de aanname dat ze in Outlook zijn vergeten om de standaard van 11pt om te zetten naar 12pt, want die waarde lijkt hij niet van de mailbox te pakken maar van de applicatie (Outlook) zelf.

[Quad]

Nee ik ook niet. En er zijn nergens releasenotes te vinden wat iets gerelateerd is aan Outlook/Exchange Online of overig.
In Word Online is Aptos ook van 11 naar 12 gegaan zie ik nu.

[Blokker_1999]

Quad schreef op vrijdag 4 juli 2025 @ 15:16:
@Blokker_1999 Volgens mij kan dat niet. Omdat de Entra cloud sync beperkingen heeft tov Entra Connect.

Het zou mogelijkerwijs kunnen wanneer je niet dezelfde OU laat syncen.

Verschillende OUs is uiteraard wel de bedoeling Maar dat maakt een tragere transitie mogelijk en kan me uit de nood helpen op korte termijn terwijl de overstap op langere termijn kunnen bekijken.

[Gr4mpyC3t]

Quad schreef op vrijdag 4 juli 2025 @ 15:42:
Nee ik ook niet. En er zijn nergens releasenotes te vinden wat iets gerelateerd is aan Outlook/Exchange Online of overig.
In Word Online is Aptos ook van 11 naar 12 gegaan zie ik nu.

Heel erg bedankt dat je me nu compleet gek maakt met het 11pt vs. 12pt verhaal in Microsoft-applicaties.

Ik heb ook een Outlook.com mailadres dat ik in Outlook gebruik en daar valt me nu op dat het nog 11pt is vs. 12pt. Pak ik een zakelijk mailadres in mijn eigen M365-tenant dan is het standaard 12pt.

Ik weet het ook niet meer.

[Quad]

Het spijt me. Praatgroepje starten?

[Onbekend]

Ik heb een aantal Windows 2022 servers, en met PowerShell probeer ik Windows updates te installeren op het moment wanneer het ons ook uit komt.

Maar ik zie al meerdere malen dat de updates niet altijd worden geïnstalleerd, en vandaag ook weer.
Ik heb zojuist de server opnieuw opgestart om er zeker van te zijn dat hij niet op een pending reboot staat te wachten. En nu heb ik er een screenshot van gemaakt:



Via PowerShell vind hij geen nieuwe updates om te installeren, terwijl er duidelijk twee updates beschikbaar zijn. Zodra ik zelf op de "Download"-knop klik, gaat hij het wel downloaden en installeren. (In onze policy mag hij ze direct van Microsoft downloaden, en hoeven we de updates niet handmatig the autoriseren.)

Wat mis ik nog in dit PowerShell script om dat automatisch te doen? (De taak om Windows opnieuw op te starten na een update wordt ergens anders gedaan.)

[Illegal_Alien]

2 Seconde zoekwerk: https://www.modernsamurai...-IgnoreReboot%20parameter.

Zou moeten zijn:

code:

Install-WindowsUpdate -MicrosoftUpdate -AcceptAll

[Hero of Time]

Draai je dat powershell script elke keer handmatig om updates uit te voeren en de reboot te plannen? Want als je dat doet, zou ik het eens via Windows Admin Center proberen, daar kan je beide tegelijk inplannen (installeer om x tijd en herstart wanneer nodig daarna).

[Onbekend]

@Illegal_Alien
Bedankt. Ik zocht waarschijnlijk met de verkeerde woorden. Steeds kwam ik dus uit op wat ik in mijn screenshot uitvoerde. Ook ChatGPT gaf niet iets anders aan. En hij ziet nu ook andere updates zoals de ODBC-driver.

@Hero of Time
Nee, het script wordt automatisch meerdere keren per week gestart via de Windows Task Scheduler, maar het script is veel uitgebreider dan wat ik hier had beschreven. Er wordt bijvoorbeeld gecontroleerd of niemand remote aan het werk is, en er wordt gezorgd dat niet alle servers op het exact het zelfde moment aan het updaten zijn.

Het herstart script werkt op ongeveer de zelfde manier. Als er een pending reboot is, kan hij de server herstarten als verder niemand de server gebruikt. Maar er wordt gezorgd dat maar 1 server tegelijkertijd aan het herstarten is, zodat niet het halve netwerk down is.

[Blokker_1999]

Even kijken of hier iemand weet hoe dit zit. Ik heb een guest user in Entra ID, bedrijf van de guest gebruikt ook gewoon Entra dus gebruiker heeft een ExternalAzureAD identity. Gebruiker is intern in bedrijf verhuisd en heeft daar een nieuwe UPN gekregen. Iemand die weet hoe we ervoor kunnen zorgen dat die gebruiker met het nieuwe email adres kan aanmelden bij ons zonder dat we het account moeten weggooien en opnieuw aanmaken?

Dat is natuurlijk altijd een optie, maar prefereer van dat niet te doen.

[nextware]

Blokker_1999 schreef op dinsdag 15 juli 2025 @ 10:43:
Even kijken of hier iemand weet hoe dit zit. Ik heb een guest user in Entra ID, bedrijf van de guest gebruikt ook gewoon Entra dus gebruiker heeft een ExternalAzureAD identity. Gebruiker is intern in bedrijf verhuisd en heeft daar een nieuwe UPN gekregen. Iemand die weet hoe we ervoor kunnen zorgen dat die gebruiker met het nieuwe email adres kan aanmelden bij ons zonder dat we het account moeten weggooien en opnieuw aanmaken?

Dat is natuurlijk altijd een optie, maar prefereer van dat niet te doen.

Azure Cross tenant sync gebruiken tussen beide Entra ID's ?

[Duinkonijn]

https://learn.microsoft.c...ternal-id/user-properties

[Blokker_1999]

Misschien hier iemand die me op de juiste weg kan zetten.

Enkele weken terug heb ik mijn wachtwoord aangepast. Op 1 van mijn non-hybrid joined laptops, dus puur Entra ID joined, krijg ik sindsdien continue de melding dat Windows mijn huidige credentials nodig heeft. De laptop vergrendellen en daarna ontgrendellen met wachtwoord helpt soms, maar niet altijd om het kadertje weer even weg te laten gaan en terug te kunnen verbinden met onze on-prem file servers.

Een andere testlaptop die ook non-hybrid joined is (alle productie systemen zijn nog hyrid joined) heeft dit probleem niet. Die heeft mijn nieuw wachtwoord zonder problemen aanvaard. Ondertussen ook al geprobeerd om mijn wachtwoord terug te zetten naar mijn vorig wachtwoord, alsook het nogmaals te wijzigen, maar allemaal zonder resultaat.

Enige verschil dat ik nog zie tussen die 2 test systemen is dat het exemplaar met het probleem op arm64 draait, al zie ik niet direct in waarom dat ineens dit probleem zou veroorzaken. Het feit dat de andere laptop wel gewoon werkt lijkt ook aan te geven dat het een probleem op de laptop zelf is en niet direct met de infra.

Laptops werken daarnaast ook gewoon met WhfB waarvan ik ook op dit moment 1 van de testgebruikers ben in de firma. Misschien dat daar ook nog een link zit. Heb enkele forum posts gevonden die aangaven van misschien eens de PIN te resetten, maar ook dat gaf geen oplossing.

[Quad]

Volgens mij heeft het indd te maken met de WhFB. Iets met kerberos ticket naar de DC.
Je hebt die foutmelding waarschijnlijk niet als je niet met WhFB maar gewoon met wachtwoord aanmeldt.

[Blokker_1999]

Quad schreef op donderdag 31 juli 2025 @ 15:31:
Volgens mij heeft het indd te maken met de WhFB. Iets met kerberos ticket naar de DC.
Je hebt die foutmelding waarschijnlijk niet als je niet met WhFB maar gewoon met wachtwoord aanmeldt.

Klopt, maar dat is uiteraard net niet de bedoeling. Bedoeling is dat WhfB gebruikt kan worden. Ondertussen alles al geprobeerd. PIN reset, biometrics reset, WhfB verwijderd als MFA methode, alles opnieuw geregistreerd maar als ik met WhfB aanmeld blijf ik uitkomen op een "Windows needs your current credentials". Het is alsof de credential opgeslagen in de TPM niet bijgewerkt kan worden, en heb echt geen zin om die TPM snel even te clearen. Al is dat mogelijks mijn enige oplossing.

[Blokker_1999]

gisterenavond toch maar de TPM gecleared. De private Windows install had er geen enkel probleem mee, even Bitlocker en PIN recovery doorlopen en klaar. Maar de company install ... verdorie. Die had aan de ene kant wel netjes BitLocker gepauzeerd op zijn systeemschijf bij het clearen van de TPM, maar wenste achteraf niets meer met die TPM te doen. BitLocker hervatten was onmogelijk, PIN opnieuw instellen was onmogelijk. Uiteindelijk toch maar gekozen voor een herinstallatie van het OS.

[FREAKJAM]

Nu te laat, maar misschien voor een volgende keer: Met 'certutil.exe -deletehellocontainer' doe je nog een reset van je WHfB configuratie in je gebruikersprofiel. Misschien dat je dat al had geprobeerd, maar ik deel het commando voor de zekerheid toch. Jullie maken wel gebruik van cloud kerberos trust? Anders gaat WHfB SSO sowieso niet werken vanaf een Entra joined device naar een on-premises share.

[ Voor 15% gewijzigd door FREAKJAM op 03-08-2025 15:19 ]

[masauri]

Ik kom terug uit bouwverlof na onze collectieve sluiting en de printers willen niet meer goed werken. (Geen mails meer scannen en mailen, vinden geen netwerk meer enz.)

Blijkt na contact met onze externe it partner dat telenet die ik als smtp had ingesteld deze zonder communicatie heeft uitgezet voor dit gebruik.
Ik verwacht zo nog een handleiding om te bekijken wat intern mogelijk is, maar ze krijgen minimaal 3-5 klanten per dag waar ze de printers opnieuw moeten instellen omdat deze niet meer werken.

Heeft iemand hier meer over gehoord?

[Arfman]

Simpele vraag maar ik kom er niet zo 1-2-3 uit. Ik heb nieuwe conditional access policies gemaakt voor onze tenant en sindsdien moeten onze managed/entra joined iPhones elke dag opnieuw authenticeren.

Ik ben me suf aan het Googlen en ChatGPT-en maar ik kan niet vinden welke setting/policy dit nu precies veroorzaakt. Onze oude policies zijn er nog (report only) maar die zijn eerlijk gezegd zo'n zooitje dat ik ook daar niet wijs uit kan worden.

Wie kan mij de magic solution geven?

[Renegade666]

Als je onder de gebruiker kijkt in entra, kun je zien welke CA er aangesproken/verplicht word in de audit log.
Misschien helpt dat.

[DennusF]

Arfman schreef op maandag 25 augustus 2025 @ 13:57:
Simpele vraag maar ik kom er niet zo 1-2-3 uit. Ik heb nieuwe conditional access policies gemaakt voor onze tenant en sindsdien moeten onze managed/entra joined iPhones elke dag opnieuw authenticeren.

Ik ben me suf aan het Googlen en ChatGPT-en maar ik kan niet vinden welke setting/policy dit nu precies veroorzaakt. Onze oude policies zijn er nog (report only) maar die zijn eerlijk gezegd zo'n zooitje dat ik ook daar niet wijs uit kan worden.

Wie kan mij de magic solution geven?

Je kan in de log file van CA zien waarop die gehit wordt? (sorry zag de laatste reactie niet)

[Blokker_1999]

Vandaag iets vreemds gezien in onze Entra ID, 1 van onze automatische processen faalde op een vreemde manier, blijkt dat een guest account verwijderd werd terwijl de automatisatie die net aan het valideren was. Ik ga kijken in de audit logs, en daar staat dat de "Initiator" het guest account zelf was, wat vreemd is want geen enkel account in Entra ID zou rechten mogen hebben om zichzelf te verwijderen en verwijderen is sowieso iets wat verhoogde rechten vereist.

Daarnaast zie ik een tweede verwijder event, op hetzelfde tijdstip, voor dezelfde gebruiker, maar met helemaal geen informatie erin.

Iemand die weet wat hier kan gebeurd zijn?

[Hero of Time]

Er zijn hier meer die Zabbix gebruiken. Updaten jullie de ingebouwde templates ook regelmatig? Gisteren heb ik de update naar 7.0.18 uitgevoerd (tezamen met de upgrade naar Trixie) en vandaag een paar templates bijgewerkt. Met versie 7.0.11 zijn de Zabbix Server Health en Proxy Health templates verandert, die had ik tot op heden nog niet op niveau gebracht. Maar nu heb ik een gekke 'disaster' trigger staan. Op m'n proxy is de trigger voor 'wrong template linked' actief en zegt het dat het Server template op de Proxy is toegepast. Maar dat klopt helemaal niet. M'n Proxy heeft de Proxy Health template en m'n Server heeft de Server Health template.

De documentatie noemt niks hierover, omschrijving in de changelog van 7.0.11 waarin dit is verandert staat ook niks. Iemand enig idee of ik nog een ander template moet linken?

[FREAKJAM]

Arfman schreef op maandag 25 augustus 2025 @ 13:57:
Simpele vraag maar ik kom er niet zo 1-2-3 uit. Ik heb nieuwe conditional access policies gemaakt voor onze tenant en sindsdien moeten onze managed/entra joined iPhones elke dag opnieuw authenticeren.

Ik ben me suf aan het Googlen en ChatGPT-en maar ik kan niet vinden welke setting/policy dit nu precies veroorzaakt. Onze oude policies zijn er nog (report only) maar die zijn eerlijk gezegd zo'n zooitje dat ik ook daar niet wijs uit kan worden.

Wie kan mij de magic solution geven?

In de sign-in logs kun je onder het tabje conditional access controleren welke CA policy is toegepast. Anders kun je hier de what-if tool voor gebruiken.

[Hero of Time]

Hero of Time schreef op dinsdag 26 augustus 2025 @ 18:54:
Er zijn hier meer die Zabbix gebruiken. Updaten jullie de ingebouwde templates ook regelmatig? Gisteren heb ik de update naar 7.0.18 uitgevoerd (tezamen met de upgrade naar Trixie) en vandaag een paar templates bijgewerkt. Met versie 7.0.11 zijn de Zabbix Server Health en Proxy Health templates verandert, die had ik tot op heden nog niet op niveau gebracht. Maar nu heb ik een gekke 'disaster' trigger staan. Op m'n proxy is de trigger voor 'wrong template linked' actief en zegt het dat het Server template op de Proxy is toegepast. Maar dat klopt helemaal niet. M'n Proxy heeft de Proxy Health template en m'n Server heeft de Server Health template.

De documentatie noemt niks hierover, omschrijving in de changelog van 7.0.11 waarin dit is verandert staat ook niks. Iemand enig idee of ik nog een ander template moet linken?

Heb de oplossing zelf gevonden vandaag, maar niet zeker waarom dat zo is en er is een extra dingetje in de server log. Wat ik heb gedaan is de proxy host door de proxy zelf te laten monitoren. De enige templates die aan die host hangen, is Linux server by Zabbix Agent en Zabbix Proxy Health. Die laatste zouden internal checks moeten zijn. Wat dan dus wel wat verklaart over de trigger.

Iets wat wel gek is, is dat bij de Server het wél mogelijk is om Server Health en Server Health by Agent tegelijk toe te wijzen als templates, maar Proxy Health en Proxy Health by Agent niet, dat geeft een conflicterend item. Je zou verwachten dat beide situaties hetzelfde resultaat geven.

Maar goed, de disaster trigger is opgelost. Heb alleen in de zabbix_server.log een regel extra die blijft herhalen: cannot send active checks to host <host info>, host is monitored by proxy. De proxy mode is active, maar de toegewezen agent template is passive. Begrijp nog niet helemaal waarom deze log regel verschijnt wanneer de monitoring via de proxy gaat ipv server, dit is namelijk geen probleem bij alle andere hosts.

[Blokker_1999]

1 van mijn collega's komt net af met de melding dat hij niet langer kan aanmelden op zijn Entra admin account met behulp van MFA via de authenticator app. Ga je kijken naar zijn authenticatie methodes dan staan daar zowel zijn telefoonnummer en zijn MS Authenticator, maar toch negeert Microsoft die authenticator volledig. Onderaan bij system preferred mfa method staat dan ook sms,voice.

Gisteren hebben we wel de migratie afgerond van authentication methods, maar daar hebben we in de basis niets veranderd van hoe het vroeger stond ingesteld en andere gebruikers en admins hebben tot op heden nog geen enkel probleem gemeld.

Iemand enig idee wat dit kan triggeren?

[Hero of Time]

@Blokker_1999, mogelijk stond er toch sms/voice als standaard en is dat door 'm nooit verandert. Kan 'ie wel nog bij de Security Info van het account? Want dan kan je de preferred aanpassen. Alternatief met een andere admin de hele MFA resetten van het account en opnieuw instellen.

[Blokker_1999]

Hero of Time schreef op donderdag 4 september 2025 @ 15:31:
@Blokker_1999, mogelijk stond er toch sms/voice als standaard en is dat door 'm nooit verandert. Kan 'ie wel nog bij de Security Info van het account? Want dan kan je de preferred aanpassen. Alternatief met een andere admin de hele MFA resetten van het account en opnieuw instellen.

Beide geprobeerd zonder resultaat. Hij kan gelukkig wel aanmelden met SMS, maar dat is uiteindelijk net iets minder handig en veilig dan die push meldingen. Halen we de telefoon weg van zijn authenticatiemethoden dan komt MS af met de melding dat je MFA moet opzetten maar kan je niet meer aanmelden. Resetten we alles, dan krijgt deze netjes de wizard om zowel de authenticator als de telefoon op te zetten, maar daarna eindigen we waar we gestart zijn.

[Hero of Time]

Oh, dat is bizar. Na het invullen van het cijfer dat je krijgt om te bevestigen dat je authenticator app is ingesteld zou dat het moeten zijn. Bepaalde foutmelding bij het inloggen? Een CA regel die geraakt wordt dat in de weg zit?

[Blokker_1999]

Het enige wat we gedaan hebben sinds gisteren is de migratie voltooien van de authenticatie methodes. Collega geeft wel aan dat hij gisteren op een gegeven moment ook dit probleem had, de aanmelding afbrak, opnieuw probeerde en dan nog wel langs de authenticator app gestuurd werd, maar vandaag keer op keer enkel SMS en spraak.

De CA policy waar het op misloopt is ook maar een standaard policy waar alle admins doorgaan en die gewoon MFA vereist, en niet authentication strength. Dat is een migratie die we nog niet gestart zijn.

[Drardollan]

Twijfel over de plek om te vragen, maar denk dat dit de juiste plek is.

Ik heb een paar Azure File Shares draaien. Deze worden netjes door Microsoft gebackupped. Maar voor mijn gemoedsrust zou ik ook graag een eigen, soort van offline, backup maken. Op dit moment backup ik mijn M365 tenant met Synology Active Backup for M365, maar daar kan je geen file shares mee backuppen. Idealiter loopt de backup ook naar deze NAS, dan staat alles op 1 plek.

Iemand een richting om op te denken hoe dit in te regelen is? Mis duidelijk nog een stukje kennis hier, vandaar de vraag

[Renegade666]

@Drardollan
Misschien even bij Veeam kijken? die kan tegenwoordig toch wel aardig wat backuppen.

Backup Capabilities: Create image-level backups and cloud-native snapshots of Azure VMs. Back up Azure SQL databases and Azure Files. Protect configurations of Azure Virtual Networks and Cosmos DB accounts (when integrated with Veeam Backup & Replication). Store backups in Azure Blob Storage, leveraging its scalability and cost-effectiveness.


https://helpcenter.veeam..../8/guide/overview_fs.html

[ Voor 7% gewijzigd door Renegade666 op 05-09-2025 12:45 ]

[The Eagle]

Drardollan schreef op vrijdag 5 september 2025 @ 12:28:
Twijfel over de plek om te vragen, maar denk dat dit de juiste plek is.

Ik heb een paar Azure File Shares draaien. Deze worden netjes door Microsoft gebackupped. Maar voor mijn gemoedsrust zou ik ook graag een eigen, soort van offline, backup maken. Op dit moment backup ik mijn M365 tenant met Synology Active Backup for M365, maar daar kan je geen file shares mee backuppen. Idealiter loopt de backup ook naar deze NAS, dan staat alles op 1 plek.

Iemand een richting om op te denken hoe dit in te regelen is? Mis duidelijk nog een stukje kennis hier, vandaar de vraag

Welk probleem probeer je precies op te lossen? Een stukje disaster (zone valt uit), of puur duplicatie / backup / file integrity?

3rd party oplossing kan uiteraard maar geeft ingeveer net zoveel garanties als de MSFT oplossing. Als het puur om beschikbaarheid gaat zou ik eerder naar het toevoegen van zone rudundancy oid kijken. Desnoods copy actie in Azure middels scheduled task ofzo, werkt ook prima. Storage daar kost niks en je betaalt ook niet voor data ingress of egress.

[ralpje]

The Eagle schreef op vrijdag 5 september 2025 @ 12:51:
[...]

Storage daar kost niks en je betaalt ook niet voor data ingress of egress.

Wel als je naar een andere regio gaat volgens mij.

[Drardollan]

ralpje schreef op vrijdag 5 september 2025 @ 13:03:
[...]


Wel als je naar een andere regio gaat volgens mij.

Klopt. Ik heb nu een backup lopen naar een andere regio, dat kost geld.

[Drardollan]

Renegade666 schreef op vrijdag 5 september 2025 @ 12:44:
@Drardollan
Misschien even bij Veeam kijken? die kan tegenwoordig toch wel aardig wat backuppen.

Backup Capabilities: Create image-level backups and cloud-native snapshots of Azure VMs. Back up Azure SQL databases and Azure Files. Protect configurations of Azure Virtual Networks and Cosmos DB accounts (when integrated with Veeam Backup & Replication). Store backups in Azure Blob Storage, leveraging its scalability and cost-effectiveness.


https://helpcenter.veeam..../8/guide/overview_fs.html

Genoteerd. Thanks.

[Drardollan]

The Eagle schreef op vrijdag 5 september 2025 @ 12:51:
[...]

Welk probleem probeer je precies op te lossen? Een stukje disaster (zone valt uit), of puur duplicatie / backup / file integrity?

3rd party oplossing kan uiteraard maar geeft ingeveer net zoveel garanties als de MSFT oplossing. Als het puur om beschikbaarheid gaat zou ik eerder naar het toevoegen van zone rudundancy oid kijken. Desnoods copy actie in Azure middels scheduled task ofzo, werkt ook prima. Storage daar kost niks en je betaalt ook niet voor data ingress of egress.

Voor de beschikbaar en zekerheid neem ik bij MS sowieso de shares af met ZRS, daarmee ben ik verzekerd van veiligheid van de data als het datacenter ontploft. Daarnaast draait er een dagelijkse backup naar een andere zone.

Buiten dat stuk zou ik graag een garantie hebben dat mijn data ook van en bij mij is. Als we om wat voor reden dan ook niet meer bij de data bij MS kunnen komen (om welke denkbare reden dan ook) dan wil ik een redelijk recente kopie hebben. Gaat niet om een 24/7 streaming backup, maar gewoon een reguliere backup. Alles wat on-prem draait bijvoorbeeld wordt dagelijk (soms uurlijks) gebackupped en wekelijks naar een (normaliter offline) NAS gezet. Daarmee heb ik enerzijds een stuk historie en anderzijds een betere bescherming tegen bijvoorbeeld ransomware. Zoiets zou ik ook graag met mijn Azure Files data doen, 1 keer per week een kopietje draaien van de verschillen is meer dan voldoende. Hoeft allemaal niet bijzonder uitgebreid en moeilijk en het is ook prima als het

Denk dat het overigens wel overtrokken is en wellicht onnodig. Maar ik ben nu eenmaal een ouwe sok en van de oude stempel. Voelt prettig om gewoon wat eigen zekerheid in te bouwen en niet alles bij een partij te leggen die in feite je hoofd op het hakblok kan leggen wanneer ze dat willen.

[Arfman]

Arfman schreef op maandag 25 augustus 2025 @ 13:57:
Simpele vraag maar ik kom er niet zo 1-2-3 uit. Ik heb nieuwe conditional access policies gemaakt voor onze tenant en sindsdien moeten onze managed/entra joined iPhones elke dag opnieuw authenticeren.

Ik ben me suf aan het Googlen en ChatGPT-en maar ik kan niet vinden welke setting/policy dit nu precies veroorzaakt. Onze oude policies zijn er nog (report only) maar die zijn eerlijk gezegd zo'n zooitje dat ik ook daar niet wijs uit kan worden.

Wie kan mij de magic solution geven?

Even terugkomen hierop. Ik heb alle logs erop nageslagen, MS support ingeschakeld en 2 externe bedrijven gevraagd om mee te denken maar niemand snapt waarom.

Ik heb nergens een sign in frequency geconfigureerd voor de gebruikers als ze een managed device hebben. Toch worden ze er elke 24 uur uitgetrapt. Logging zegt dit:

Grant Controls Not satisfied: Require multifactor authentication
En inderdaad, als iemand de MFA challenge voltooid zijn ze weer authenticated voor 24 uur. Maar waarom niet voor langer?!

Ik sta open voor elke suggestie inclusief bidden tot bepaalde hogere machten, want ik zit aan het eind van de zaken die ik nog kan proberen.

[Hero of Time]

Drardollan schreef op vrijdag 5 september 2025 @ 13:28:
[...]

Genoteerd. Thanks.

Let ook op welke versie je afneemt mocht je voor Veeam for MS365 gaan. Eentje stuurt de backup naar de Veeam omgeving in 365, de ander laat het opslaan on-prem.

[Blokker_1999]

Tsjah, ik herinner mij een verhaal, maar kan de bron niet terugvinden van enkele maanden terug waarbij een instelling aan de andere kant van de wereld de volledig ontdubbelde omgeving die ze bij MS hadden, net met als doel dat als 1 omgeving toch per ongeluk vernield wordt er altijd een werkende kopie is, dat die per ongeluk door MS verwijderd werd, inclusief alle backups die bij MS werden ogpeslagen omdat er een administratieve fout was gemaakt waardoor ze als klant geschrapt werden en waarbij de enige redding was dat ze nog een derde kopie hadden draaien van hun infra bij Amazon.

Alles backuppen via MS in je eigen omgeving bij MS lijkt mij gevaarlijk. En spijtig genoeg lijkt het er op dat wij de komende jaren ook die richting zullen uitgaan.

[Duinkonijn]

Aankaarten, vast laten leggen en uitdraaien, meer kan je niet doen tenzij je hoger opgaat(in functie?), maar let op je gezondheid.

[Aschtra]

Blokker_1999 schreef op zondag 7 september 2025 @ 19:41:
Tsjah, ik herinner mij een verhaal, maar kan de bron niet terugvinden van enkele maanden terug waarbij een instelling aan de andere kant van de wereld de volledig ontdubbelde omgeving die ze bij MS hadden, net met als doel dat als 1 omgeving toch per ongeluk vernield wordt er altijd een werkende kopie is, dat die per ongeluk door MS verwijderd werd, inclusief alle backups die bij MS werden ogpeslagen omdat er een administratieve fout was gemaakt waardoor ze als klant geschrapt werden en waarbij de enige redding was dat ze nog een derde kopie hadden draaien van hun infra bij Amazon.

Alles backuppen via MS in je eigen omgeving bij MS lijkt mij gevaarlijk. En spijtig genoeg lijkt het er op dat wij de komende jaren ook die richting zullen uitgaan.

Dat was UniSuper bij Google Cloud

[Blokker_1999]

Aschtra schreef op zondag 7 september 2025 @ 21:56:
[...]


Dat was UniSuper bij Google Cloud

damnit, een belangrijk detail dat ik verkeerd had , dank voor de correctie. Maar feit blijft natuurlijk dat je volledig afhankelijk maken van 1 cloud provider dit soort van fouten mogelijk maakt. Gelukkig zijn ze zo zeldzaam dat als het gebeurd, het wel het nieuws haalt

[Duinkonijn]

Ik denk dat je je backup volledig moet lostrekken qua structuur van je huidige omgeving.

Online —> Offline
Win —> UX

En dan nog het liefst over verschillende werelddelen.
Het laatste voor de grote jongens

[ Voor 9% gewijzigd door Duinkonijn op 08-09-2025 11:29 ]

[Blokker_1999]

Om even terug te komen op het MFA probleem van mijn collega, als ik onder de authentication methodes ga kijken, dan zie ik onder de configuratie staan dat we dingen als number matching, push and passwordless en al die andere leuke dingen verplichten voor alle gebruikers. Klik ik evenwel onder zijn account op authentication methods, dan staat daar dat de authenticator app inderdaad aan staat, maar bij de details dat dingen zoals push en number matching uit staan. Geen enkel idee hoe dat zoiets kan. Want alles staat aan, voor alle gebruikers, zonder uitzonderingen.

--edit--
En dan kijk je verder, en dan zie je dat je het overheersende profiel toch niet naar alle gebruikers duwt, maar slechts naar een beperkte selectie van groepen, waaronder een groep met de admins, maar deze gebruiker ontbrak in die groep van admins .

Zucht ...

[ Voor 19% gewijzigd door Blokker_1999 op 08-09-2025 12:11 ]

[Gr4mpyC3t]

Blokker_1999 schreef op maandag 8 september 2025 @ 12:07:
Om even terug te komen op het MFA probleem van mijn collega, als ik onder de authentication methodes ga kijken, dan zie ik onder de configuratie staan dat we dingen als number matching, push and passwordless en al die andere leuke dingen verplichten voor alle gebruikers. Klik ik evenwel onder zijn account op authentication methods, dan staat daar dat de authenticator app inderdaad aan staat, maar bij de details dat dingen zoals push en number matching uit staan. Geen enkel idee hoe dat zoiets kan. Want alles staat aan, voor alle gebruikers, zonder uitzonderingen.

--edit--
En dan kijk je verder, en dan zie je dat je het overheersende profiel toch niet naar alle gebruikers duwt, maar slechts naar een beperkte selectie van groepen, waaronder een groep met de admins, maar deze gebruiker ontbrak in die groep van admins .

Zucht ...

Conditional Access is de moderne 1000-stukjes puzzel voor iedere systeembeheerder. Vreselijk is het.

[Hero of Time]

Duinkonijn schreef op maandag 8 september 2025 @ 11:29:
Win —> UX

Windows kan idd nog heel wat verbeteren aan UX, User eXperience. Want waar het vroeger nog prima was, is het nu een grote teringzooi geworden.

[Duinkonijn]

Hero of Time schreef op maandag 8 september 2025 @ 13:23:
[...]

Windows kan idd nog heel wat verbeteren aan UX, User eXperience. Want waar het vroeger nog prima was, is het nu een grote teringzooi geworden.

Ik bedoelde Unix 🫣

[Hero of Time]

Duinkonijn schreef op maandag 8 september 2025 @ 13:31:
[...]

Ik bedoelde Unix 🫣

Dat draai je ook niet zomaar eventjes en kost aardig wat geld. Wil je de verzameling van POSIX systemen noemen, gebruik dan *NIX.

[Duinkonijn]

Hero of Time schreef op maandag 8 september 2025 @ 13:33:
[...]

Dat draai je ook niet zomaar eventjes en kost aardig wat geld. Wil je de verzameling van POSIX systemen noemen, gebruik dan *NIX.

Nee ik bedoelde het echte werk.. HP-UX, Solaris

portable backups

[The Eagle]

Drardollan schreef op vrijdag 5 september 2025 @ 14:04:
[...]

Voor de beschikbaar en zekerheid neem ik bij MS sowieso de shares af met ZRS, daarmee ben ik verzekerd van veiligheid van de data als het datacenter ontploft. Daarnaast draait er een dagelijkse backup naar een andere zone.

Buiten dat stuk zou ik graag een garantie hebben dat mijn data ook van en bij mij is. Als we om wat voor reden dan ook niet meer bij de data bij MS kunnen komen (om welke denkbare reden dan ook) dan wil ik een redelijk recente kopie hebben. Gaat niet om een 24/7 streaming backup, maar gewoon een reguliere backup. Alles wat on-prem draait bijvoorbeeld wordt dagelijk (soms uurlijks) gebackupped en wekelijks naar een (normaliter offline) NAS gezet. Daarmee heb ik enerzijds een stuk historie en anderzijds een betere bescherming tegen bijvoorbeeld ransomware. Zoiets zou ik ook graag met mijn Azure Files data doen, 1 keer per week een kopietje draaien van de verschillen is meer dan voldoende. Hoeft allemaal niet bijzonder uitgebreid en moeilijk en het is ook prima als het

Denk dat het overigens wel overtrokken is en wellicht onnodig. Maar ik ben nu eenmaal een ouwe sok en van de oude stempel. Voelt prettig om gewoon wat eigen zekerheid in te bouwen en niet alles bij een partij te leggen die in feite je hoofd op het hakblok kan leggen wanneer ze dat willen.

Backup, of eigenlijk meer goed geteste restore met bepaalde gegarandeerde RPO en RTO, is EEN manier om te kunnen recoveren bij een disaster. Maar lang niet heilig en soms niet eens nodig, vermits je er structureel over nadenkt EN de boel dusdanig inricht dat je een disaster van bepaalde scha(a)l(en) het hoofd kunt bieden.
Uiteindelijk gaat het om een stukje business continuity mocht er iets van een disaster optreden. En dan heb ik het niet over user error, dat is business as usual.

[Drardollan]

The Eagle schreef op maandag 8 september 2025 @ 14:38:
[...]

Backup, of eigenlijk meer goed geteste restore met bepaalde gegarandeerde RPO en RTO, is EEN manier om te kunnen recoveren bij een disaster. Maar lang niet heilig en soms niet eens nodig, vermits je er structureel over nadenkt EN de boel dusdanig inricht dat je een disaster van bepaalde scha(a)l(en) het hoofd kunt bieden.
Uiteindelijk gaat het om een stukje business continuity mocht er iets van een disaster optreden. En dan heb ik het niet over user error, dat is business as usual.

Ik begrijp niet zo goed wat je wil zeggen. Ik weet waarom ik backups wil hebben en mijn disaster recovery is al sinds jaar en dag zo ingericht dat alles wat nodig is regelmatig getest wordt.

Mijn vraag was hoe ik het beste, en liefst natuurlijk goedkoopste op al aanwezige hardware, backups zou kunnen maken van Azure Files.

[Arfman]

Arfman schreef op zondag 7 september 2025 @ 10:09:
[...]

Even terugkomen hierop. Ik heb alle logs erop nageslagen, MS support ingeschakeld en 2 externe bedrijven gevraagd om mee te denken maar niemand snapt waarom.

Ik heb nergens een sign in frequency geconfigureerd voor de gebruikers als ze een managed device hebben. Toch worden ze er elke 24 uur uitgetrapt. Logging zegt dit:

Grant Controls Not satisfied: Require multifactor authentication
En inderdaad, als iemand de MFA challenge voltooid zijn ze weer authenticated voor 24 uur. Maar waarom niet voor langer?!

Ik sta open voor elke suggestie inclusief bidden tot bepaalde hogere machten, want ik zit aan het eind van de zaken die ik nog kan proberen.

Dat komt, beste * Arfman ,omdat je niet Require multifactor authentication moet gebruiken maar Require compliant device bij de Grant controls

Daar hebben dus gewoon 6 man overheen gekeken, inclusief mezelf. Hopelijk bespaar ik iemand hiermee uren/dagen/weken gepuzzel.

[DDX]

Wij hebben de setting 'Require multifactor authentication' en 'Require device to be marked as compliant' beide aanstaan bij Grant.
En dan onderaan wel 'Require one of the selected controls'

Maar ik loop soms wel tegen issue aan dat mac gebruikers Platform SSO niet kunnen gebruiken en in de log zie ik dan staan bij basic info :

User needs to perform multi-factor authentication. There could be multiple things requiring multi-factor, e.g. Conditional Access policies, per-user enforcement, requested by client, among others.

Alleen krijgt de gebruiker dan geen popup op telefoon, terwijl inloggen in andere zaken (teams bijvoorbeeld) gewoon mfa popup op telefoon geeft.

Authentication Details tab :
Password : Correct password / succeeded: true
MFA required in Azure AD / succeeded: false

Conditional Access tab :
Require multifactor authentication : Failure.

Klinkt een beetje als jouw probleem, heb ook geprobeerd een case te openen hiervoor bij Microsoft.
Was erg veel onzin info krijgen (leek wel een chatgpt zegmaar)
En dan opeens werkte het weer, maarja dat heb ik eerder gezien.
Wilde eigenlijk binnenkort weer nieuwe case maken voor gebruiker die dit op dit moment heeft.

[Arfman]

Ja, case heb ik ook geopend, compleet kansloos. Slecht verstaanbare Indiase dame aan de lijn die duidelijk nog nooit van haar leven een CA policy had gezien. Dat gaan we wel even escaleren maandag, ook al is het intussen opgelost, want dit was echt 0/10 service/support.

Inhoudelijk kan ik weinig zeggen over je probleem, wel interessant dat het alleen bij Mac gebruikers voorkomt. Je zou toch zeggen dat MS er dan iets mee moet kunnen. Anders zou je tijdelijk een aparte Mac policy kunnen maken die alleen "require compliant device" aan heeft staan als workaround.

[Blokker_1999]

@Arfman, met welke applicaties op de iPhone heb je dat probleem?

Zelf vereisen we simpelweg dat onze iPhones gemarkeerd staan als compliant om aan te kunnen melden. Enkel bij registratie van het toestel dwingen we dan nog MFA af. Hierbij aanzien we dus dat wanneer jij het toestel hebt en kunt ontgrendelen dat dat voor ons voldoende is om aan de MFA vereisten te doen.

Microsoft's first line support is hopeloos. Al begrijp ik regelmatig ook wel waarom je door die hoepel moet springen. Al is het spijtig dat je zo soms weken tijd verliest voor een probleem dat mogelijks heel je bedrijf treft.

[Arfman]

Blokker_1999 schreef op zondag 14 september 2025 @ 13:11:
@Arfman, met welke applicaties op de iPhone heb je dat probleem?

Ik had het met elke applicatie (Teams/Outlook/etc.)

Zelf vereisen we simpelweg dat onze iPhones gemarkeerd staan als compliant om aan te kunnen melden.

Dat hebben we hier nu ook

Enkel bij registratie van het toestel dwingen we dan nog MFA af. Hierbij aanzien we dus dat wanneer jij het toestel hebt en kunt ontgrendelen dat dat voor ons voldoende is om aan de MFA vereisten te doen.

Met een aparte policy neem ik aan? En dan alleen gescoped op user actions - register security information? Zit er aan te denken om dat hier ook te doen, en ook alleen mogelijk te maken vanaf ons IP adres. Op die manier kunnen kwaadwillenden geen extra devices registreren als ze toch een keer het MFA token te pakken hebben gekregen.

Microsoft's first line support is hopeloos. Al begrijp ik regelmatig ook wel waarom je door die hoepel moet springen. Al is het spijtig dat je zo soms weken tijd verliest voor een probleem dat mogelijks heel je bedrijf treft.

Dat was dit in dit geval zo. Paar duizend mensen moesten elke dag opnieuw authenticeren op hun telefoon. Dat kun je wel 1 of 2 dagen wegverklaren, maar na het week beginnen de C-levels te klagen en wordt het allemaal vervelend.

offtopic:
Eerstelijns MS support is echt hopeloos. Ik weet wat we ervoor betalen en het niveau is om te huilen. We hebben met onze CSAM nu afgesproken dat we een ticket inschieten, hem door de 1e lijn laten oppakken en daarna meteen escaleren via hem naar een andere engineer, dichterbij huis.

[Diederik]

Geen idee of het een kleine vraag is of niet, maar ik heb hardware die niet ondersteund wordt in Windows 11 en die ik op korte termijn niet kan vervangen, daarom zou ik deze hardware graag in ESU krijgen, zodat er nog een jaartje Windows 10 updates komen, ik voldoe aan de eisen (MS account met lokaal admin rechten), maar krijg de optie nog niet te zien.

Moet ik geduld hebben, of valt dit op een of andere manier te forceren, betalen is ook geen probleem, maar ik kan niet vinden waar (of ik kijk met mijn neus).

Edit: Had de search eerst even moeten gebruiken...
Geen ESU mogelijkheid bij mijn Windows 10?

[ Voor 12% gewijzigd door Diederik op 18-09-2025 09:44 ]

[McLambo]

Wij ontvingen afgelopen week een nieuwe batch laptops met het AMD Ryzen 7 AI 350 pro platform binnen.

Probleem; wil met geen mogelijkheid booten van OSDCloud USB stick. Ik kan de stick wel kiezen als boot optie, binnen 10 seconden reboot het systeem zonder enige verdere foutmelding of indicatie wat er mis gaat.

OSDCloud volledig bijgewerkt, workspace en USB stick geüpdatet. Model laptop komt ook voor in de lijst met HP driver packs waaruit je kan kiezen.

Iemand dit probleem ook meegemaakt en al getackeld??

[FastFred]

Heb hier een Exchange hybride omgeving. Ik heb daarin o.a. 2 shared mailboxen van 2 afdelingen. Die afdelingen zijn samengevoegd dus 1 shared mailbox moet verdwijnen. Men wil de inhoud van de oude mailbox wel beschikbaar houden.

In Exchange Onprem maak ik op de oude mailbox een dummie primair smtp adres aan. Alle aliassen incl. het oude primaire adres verwijder ik en voeg deze toe aan de andere mailbox.

Maarrrr we zijn inmiddels dik een week verder en 1 alias wil in Exchange Online maar niet van mailbox verkassen, die blijft op de oude mailbox staan. Ik krijg ook een sync-error op dat adres omdat dat adres niet op beide mailboxen actief kan zijn. Ik ga dus naar Exchange onprem en zorg dat van beide mailboxen dat adres eraf is, ik geef het een dag of 2 en kijk daarna in Exchange Online, maar die alias wil maar niet van de oude mailbox verdwijnen, het dummie adres staat er wel gewoon en zet ik er als test ff een extra alias bij dan is die ook met een uurtje gesynced vaak, maar het adres dat ik eruit wil hebben blijft gewoon staan.

Uitdaging #2 is het overzetten van de inhoud van de mailbox, dat was toen we nog volledig Exchange onprem hadden kinderlijk eenvoudig met Powershell maar moet nu via Purview en dat krijg ik totaal niet aan de gang. Ik heb de juiste licenties, juiste permissies etc. maar ik maak een case aan en wil vervolgens een content search maken, en alle opties en schermen van alle instructies zowel van de nieuwe als de oude interface komen niet overeen met wat ik op mijn scherm zie.....

[DDX]

In een ver verleden hebben we 3th party tooling gebruikt om te programma updates te importeren naar aan onze wsus server.
Nu zag ik in de eventviewer meldingen over een verlopen certificaat uit 2022, dus die maar wegehaald :

The WSUS package signing certificate expired on 1/1/2022 1:02:24 PM. To use WSUS for
signing local update packages, replace the certificate with a new certificate;
or to stop this error from reporting, remove the expired certificate.

Daarna begon wsus te mopperen :

The WSUS server is configured to use a package signing certificate, but
that certificate could not be found.

Documentatie die ik kan vinden (en copilot) hebben het over dat ik EnableSelfSignedCertificates op 0 moet zetten in registry, maar dat staat dat heeft geen effect.
Iemand enig idee ?

[Blokker_1999]

FastFred schreef op vrijdag 10 oktober 2025 @ 14:03:
Heb hier een Exchange hybride omgeving. Ik heb daarin o.a. 2 shared mailboxen van 2 afdelingen. Die afdelingen zijn samengevoegd dus 1 shared mailbox moet verdwijnen. Men wil de inhoud van de oude mailbox wel beschikbaar houden.

In Exchange Onprem maak ik op de oude mailbox een dummie primair smtp adres aan. Alle aliassen incl. het oude primaire adres verwijder ik en voeg deze toe aan de andere mailbox.

Maarrrr we zijn inmiddels dik een week verder en 1 alias wil in Exchange Online maar niet van mailbox verkassen, die blijft op de oude mailbox staan. Ik krijg ook een sync-error op dat adres omdat dat adres niet op beide mailboxen actief kan zijn. Ik ga dus naar Exchange onprem en zorg dat van beide mailboxen dat adres eraf is, ik geef het een dag of 2 en kijk daarna in Exchange Online, maar die alias wil maar niet van de oude mailbox verdwijnen, het dummie adres staat er wel gewoon en zet ik er als test ff een extra alias bij dan is die ook met een uurtje gesynced vaak, maar het adres dat ik eruit wil hebben blijft gewoon staan.

Uitdaging #2 is het overzetten van de inhoud van de mailbox, dat was toen we nog volledig Exchange onprem hadden kinderlijk eenvoudig met Powershell maar moet nu via Purview en dat krijg ik totaal niet aan de gang. Ik heb de juiste licenties, juiste permissies etc. maar ik maak een case aan en wil vervolgens een content search maken, en alle opties en schermen van alle instructies zowel van de nieuwe als de oude interface komen niet overeen met wat ik op mijn scherm zie.....

Waarom de inhoud van de oude mailbox niet importeren in de nieuwe en de oude volledig weggooien? Dan is het ook direct gedaan met koppig vasthouden aan dat laatste adres.

[Blokker_1999]

DDX schreef op maandag 13 oktober 2025 @ 09:53:
In een ver verleden hebben we 3th party tooling gebruikt om te programma updates te importeren naar aan onze wsus server.
Nu zag ik in de eventviewer meldingen over een verlopen certificaat uit 2022, dus die maar wegehaald :


[...]


Daarna begon wsus te mopperen :


[...]


Documentatie die ik kan vinden (en copilot) hebben het over dat ik EnableSelfSignedCertificates op 0 moet zetten in registry, maar dat staat dat heeft geen effect.
Iemand enig idee ?

Niet direct een hulp, maar heb je al eens gezocht hoe je een nieuw cert kunt genereren en toewijzen aan je wsus ipv het uit te schakelen?

[FastFred]

Blokker_1999 schreef op vrijdag 17 oktober 2025 @ 03:07:
[...]

Waarom de inhoud van de oude mailbox niet importeren in de nieuwe en de oude volledig weggooien? Dan is het ook direct gedaan met koppig vasthouden aan dat laatste adres.

Zie laatste alinea van het bericht dat je quote.

[Blokker_1999]

FastFred schreef op vrijdag 17 oktober 2025 @ 08:20:
[...]


Zie laatste alinea van het bericht dat je quote.

Waar komt die allinea ineens vandaan



Er zijn uiteraard meerdere creatieve manieren om dat op te lossen. Ook beetje afhankelijk van hoe groot de mailbox is. Als het een keine is dan kan je ze gewoon alle 2 in je Outlook aankoppelen en folders beginnen verplaatsen. Duurt even, maar zolang het geen honderden folders zijn is dat goed te doen. Al heb ik zo in het verleden al wel eens Outlook enkele keren doen crashen

Maar een andere, relatief eenvoudige manier die je als beheerder kunt toepassen is oude mailbox exporteren naar een pst en dan dit weer importeren in de nieuwe mailbox. Zij het via de beheerstools, zij het via Outlook. Wij hebben begin dit jaar massaal pst files zitten importeren in Exchange Online daar we na onze migratie het offline bijhouden van mails zijn gaan verbieden. En dat ging vrij vlot.

[DDX]

Blokker_1999 schreef op vrijdag 17 oktober 2025 @ 03:09:
[...]

Niet direct een hulp, maar heb je al eens gezocht hoe je een nieuw cert kunt genereren en toewijzen aan je wsus ipv het uit te schakelen?

Volgens mij zou ik die dan moeten genereren via een tool die we willen koppelen aan wsus.
Wat we dus niet meer hebben.

[Blokker_1999]

Met een beetje geluk kan je de eerste stappen van dit volgen om een nieuw cert op de server te krijgen en is wsus daarna weer blij: https://woshub.com/wsus-deploy-third-party-software-updates/

[Blokker_1999]

Interessante vraag van men manager gekregen waar ik niet direct een antwoord voor heb. Hij zou graag een overzicht willen van wanneer bepaalde software voor het laatst gebruikt geweest is op onze systemen. Dit om na te gaan of we geen licenties hebben en betalen die eigenlijk nooit gebruikt worden.

Ik weet dat er software bestaat die heel gedetailleerd kan gaan analyseren wat het gebruik van software is. Zo heb ik in het verleden zelf Aternity gebruikt bij een vorige werkgever. Maar bestaan er ook eenvoudigere producten die simpelweg bijhouden welke software er allemaal gestart wordt en dat ergens centraal rapporteert?

[bifi_G60]

Blokker_1999 schreef op donderdag 30 oktober 2025 @ 11:52:
Interessante vraag van men manager gekregen waar ik niet direct een antwoord voor heb. Hij zou graag een overzicht willen van wanneer bepaalde software voor het laatst gebruikt geweest is op onze systemen. Dit om na te gaan of we geen licenties hebben en betalen die eigenlijk nooit gebruikt worden.

Ik weet dat er software bestaat die heel gedetailleerd kan gaan analyseren wat het gebruik van software is. Zo heb ik in het verleden zelf Aternity gebruikt bij een vorige werkgever. Maar bestaan er ook eenvoudigere producten die simpelweg bijhouden welke software er allemaal gestart wordt en dat ergens centraal rapporteert?

processen die gestart worden zou je wel als je een edr product draait daar wel uit de datalake moeten kunnen halen denk ik bijvoorbeeld met Sophos XDR

SELECT
windows_processes.meta_hostname AS hostname,
windows_processes.name AS process,
windows_processes.path AS path,
windows_processes.username AS username,
DATE_FORMAT(FROM_UNIXTIME(windows_processes.time), '%Y-%m-%dT%H:%i:%SZ') AS last_seen
FROM
xdr_data AS windows_processes
WHERE
windows_processes.query_name = 'running_processes_windows_sophos'
AND LOWER(windows_processes.path) LIKE LOWER('$$path$$')
ORDER BY
last_seen desc

of Defender

DeviceProcessEvents
| where Timestamp > ago(14d)
| project Timestamp, DeviceName, FileName, FolderPath
| order by Timestamp desc

kan dit natuurlijk nog verder aanpassen om alleen in c:\program files of c:\users te kijken en niet alle c:\windows processen ook weer te geven

[ Voor 9% gewijzigd door bifi_G60 op 30-10-2025 16:43 ]

[Duinkonijn]

Licentie technisch hoeft de software niet gebruikt te worden om de licentie toch nodig te hebben.

Eigenlijk zijn het twee vragen.

1 welke software is geïnstalleerd
2 welke software wordt gebruikt en heeft licenties nodig? Zo nee deïnstalleren

[ Voor 3% gewijzigd door Duinkonijn op 31-10-2025 13:00 ]

[Quad]

Ik heb her en der gebruikers bij klanten die hun emailadres zowel voor M365 als voor een persoonlijke koppeling gebruiken, bijvoorbeeld doordat ze een privé PC hieraan gekoppeld hebben.

Dit zorgt ervoor dat silent inloggen voor OneDrive en diverse andere apps constant met meldingen komen, maar met name OneDrive is een dingetje.

Is er een policy (server GPO) die ervoor zorgt dat altijd het Werk/Schoolaccount gekozen wordt?

[redfons]

Quad schreef op woensdag 5 november 2025 @ 13:58:
Ik heb her en der gebruikers bij klanten die hun emailadres zowel voor M365 als voor een persoonlijke koppeling gebruiken, bijvoorbeeld doordat ze een privé PC hieraan gekoppeld hebben.

Dit zorgt ervoor dat silent inloggen voor OneDrive en diverse andere apps constant met meldingen komen, maar met name OneDrive is een dingetje.

Is er een policy (server GPO) die ervoor zorgt dat altijd het Werk/Schoolaccount gekozen wordt?

[Afbeelding]

[Hero of Time]

@Quad, er is een tenant instelling om personal accounts met jouw domein niet toe te staan. Enige nadeel wat ik nog zie: wie al een persoonlijk MS account heeft gemaakt met het bedrijfsadres behouden die tot ze alles wat er in staat exporteren en het account opzeggen. Je voorkomt iig wel dat er nieuwe persoonlijke accounts gemaakt kunnen worden.

Ik zou iig niet zomaar het persoonlijke account ontoegankelijk maken totdat het zeker is dat er niks aan gekoppeld is.

[Blokker_1999]

Iemand die weet waarom een user account wel kan authenticeren tegen Active Directory, maar wanneer datzelfde account aanmeld in Entra dit account een melding krijgt dat het wachtwoord verkeerd is? 🤯

[Tylen]

Blokker_1999 schreef op donderdag 6 november 2025 @ 09:46:
Iemand die weet waarom een user account wel kan authenticeren tegen Active Directory, maar wanneer datzelfde account aanmeld in Entra dit account een melding krijgt dat het wachtwoord verkeerd is? 🤯

De foutmelding zegt genoeg toch? https://learn.microsoft.c...ial-enable-sspr-writeback

[ralpje]

Blokker_1999 schreef op donderdag 6 november 2025 @ 09:46:
Iemand die weet waarom een user account wel kan authenticeren tegen Active Directory, maar wanneer datzelfde account aanmeld in Entra dit account een melding krijgt dat het wachtwoord verkeerd is? 🤯

Dat hangt er maar net van af wat voor setup je hebt. PTA? ADFS? Password sync?
Wat zeggen de logs in Entra?

[Grvy]

Blokker_1999 schreef op donderdag 6 november 2025 @ 09:46:
Iemand die weet waarom een user account wel kan authenticeren tegen Active Directory, maar wanneer datzelfde account aanmeld in Entra dit account een melding krijgt dat het wachtwoord verkeerd is? 🤯

Dit is wel heel weinig info.. kan zo een ticket van een enduser zijn..

[Blokker_1999]

Heb het gevonden maar nog altijd 🤯want voor zover ik weet werkte het vroeger wel. Het is een full hybrid omgeving met password sync en het probleem is niet het wachtwoord, maar wel de UPN.

Gebruikersaccount had in AD een UPN met een domein dat niet gekend is in Azure/M365/Entra/... waardoor het daar een onmicrosoft domein krijgt in de UPN. Ik herinner mij dat dat in het verleden zonder problemen werkte met andere accounts. Als ik op mijn test account met dezelfde setup als het geaffecteerde account nu het domein aanpas naar 1 dat wel in de cloud zit, en daarna met dat account probeer aan te melden met hetzelfde wachtwoord, geen enkel probleem.

[Duinkonijn]

Je kan een proxy upn gebruiken..
Niet dat, dat fijn werkt, maar het kan

[ Voor 41% gewijzigd door Duinkonijn op 06-11-2025 19:32 ]

[Hero of Time]

UPN was eigenlijk al m'n eerste gedachte, want MS gaat niet direct zeggen 'account bestaat niet'.

Eigen vraagje waar ik verder voor ga onderzoeken, maar iets als 'ja, kan/werkt' of 'nee' helpt al. Ik wil met conditional access voor een aantal accounts van specifieke externe IP adressen MFA kunnen uitsluiten, dus dat het niet vereist is. Maar ik wil ook niet dat er buiten deze adressen met die accounts ingelogd kan worden. Dus eigenlijk is de enige authenticatiemethode die ik hiervoor wil toestaan vanaf een systeem dat aan AD/Entra is gekoppeld. Outlook+SSO vanuit Windows wel, maar bijvoorbeeld Outlook van mobiel niet, terwijl beide dezelfde internetverbinding zou gebruiken.

Is dat te doen met CA? En ook zo dat overige policies dit niet ongedaan maken.

[ Voor 3% gewijzigd door Hero of Time op 06-11-2025 19:34 ]

[Renegade666]

Hero of Time schreef op donderdag 6 november 2025 @ 19:33:
UPN was eigenlijk al m'n eerste gedachte, want MS gaat niet direct zeggen 'account bestaat niet'.

Eigen vraagje waar ik verder voor ga onderzoeken, maar iets als 'ja, kan/werkt' of 'nee' helpt al. Ik wil met conditional access voor een aantal accounts van specifieke externe IP adressen MFA kunnen uitsluiten, dus dat het niet vereist is. Maar ik wil ook niet dat er buiten deze adressen met die accounts ingelogd kan worden. Dus eigenlijk is de enige authenticatiemethode die ik hiervoor wil toestaan vanaf een systeem dat aan AD/Entra is gekoppeld. Outlook+SSO vanuit Windows wel, maar bijvoorbeeld Outlook van mobiel niet, terwijl beide dezelfde internetverbinding zou gebruiken.

Is dat te doen met CA? En ook zo dat overige policies dit niet ongedaan maken.

Dat zou moeten lukken volgens mij.