Microsoft Intune ervaringentopic

[Davidas]

makooy schreef op dinsdag 6 augustus 2024 @ 14:02:
[...]


Een Company Portal enrollment op een device welke niet supervised is(dus ook niet in ABM staat) zou toch altijd een Personal "Ownership" moeten krijgen?

Anders wordt het filteren tussen "Supervised" en "BYOD" ook een lastig verhaal omdat er geen andere verschillende filters mogelijk zijn.

Als het goed is zodra de eindgebruiker aan de slag gaat met het Company Portal dan wordt er gevraagd of het om een Supervised of BYOD device gaat, zie onderstaand als voorbeeld:


Op basis daarvan wordt het Ownership type bepaald.

[makooy]

Davidas schreef op dinsdag 6 augustus 2024 @ 14:05:
[...]

Als het goed is zodra de eindgebruiker aan de slag gaat met het Company Portal dan wordt er gevraagd of het om een Supervised of BYOD device gaat, zie onderstaand als voorbeeld:
[Afbeelding]

Op basis daarvan wordt het Ownership type bepaald.

als die de enrollment type profile op " Determine based on user choice" staat krijgt de gebruiker een keuze inderdaad maar komt daarna een aanmeldscherm dat Managed Apple ID gebruikt wordt en dat is geen optie bij deze klant.

de "Device enrollment with Company Portal" enrollment type geeft de gebruiker geen keuze maar dan komt die er dus als "Corporate" uit.

[Davidas]

makooy schreef op dinsdag 6 augustus 2024 @ 14:09:
[...]


als die de enrollment type profile op " Determine based on user choice" staat krijgt de gebruiker een keuze inderdaad maar komt daarna een aanmeldscherm dat Managed Apple ID gebruikt wordt en dat is geen optie bij deze klant.

de "Device enrollment with Company Portal" enrollment type geeft de gebruiker geen keuze maar dan komt die er dus als "Corporate" uit.

Dat klopt, bij het gebruik van "Device enrollment with Company Portal" wordt het apparaat automatisch geregistreerd als een Corporate. Dit komt doordat de inschrijving via het Company Portal het apparaat direct onder beheer van de organisatie brengt, zonder de gebruiker de optie te geven om het apparaat als Personal in te stellen.

Je zult dus naar Enrollment program tokens moeten kijken binnen het Admin Center om apparaten automatisch als Personal te markeren middels een inschrijvingsprofiel. Maar dan zit je wel vast aan een Apple Business Manager Portal.

[ Voor 3% gewijzigd door Davidas op 06-08-2024 14:17 ]

[makooy]

Davidas schreef op dinsdag 6 augustus 2024 @ 14:15:
[...]

Dat klopt, bij het gebruik van "Device enrollment with Company Portal" wordt het apparaat automatisch geregistreerd als een Corporate. Dit komt doordat de inschrijving via het Company Portal het apparaat direct onder beheer van de organisatie brengt, zonder de gebruiker de optie te geven om het apparaat als Personal in te stellen.

Je zult dus naar Enrollment program tokens moeten kijken binnen het Admin Center om apparaten automatisch als Personal te markeren middels een inschrijvingsprofiel. Maar dan zit je wel vast aan een Apple Business Manager Portal.

Via Apple Busines Manager zijn het "Supervised" devices, dus automatisc Corporate-owned.
Klant is nog niet zo ver om alle toestellen in ABM te hebben/kopen helaas.

Er is dus nu een scenario dat gebruikers wel een toestel hebben die door het bedrijf is aangeschaft maar als BYOD enrolled is in Workspace One, welk als BYOD naar Intune moet zonde Managed Apple IDs

[Davidas]

makooy schreef op dinsdag 6 augustus 2024 @ 14:27:
[...]


Via Apple Busines Manager zijn het "Supervised" devices, dus automatisc Corporate-owned.
Klant is nog niet zo ver om alle toestellen in ABM te hebben/kopen helaas.

Er is dus nu een scenario dat gebruikers wel een toestel hebben die door het bedrijf is aangeschaft maar als BYOD enrolled is in Workspace One, welk als BYOD naar Intune moet zonde Managed Apple IDs

Dan kom ik weer terug op mijn eerste post, Ownership handmatig aanpassen vanuit het Admin Center.

[makooy]

Davidas schreef op dinsdag 6 augustus 2024 @ 14:31:
[...]

Dan kom ik weer terug op mijn eerste post, Ownership handmatig aanpassen vanuit het Admin Center.

Probleem gevonden, heeft hier uiteindelijk weinig mee te maken.

Apple deprecated this feature in the new releases 2024. From Apple release notes:
Profile-based User Enrollment is no longer supported in iOS and iPadOS 18. For User Enrollment, sign in with a Managed Apple Account in Settings.
Profile-based User Enrollment is no longer supported in macOS 15. For User Enrollment, sign in with a Managed Apple Account in Settings.

Oftewel de Device-enrollment via Company Portal MOET straks via Managed Apple ID's.

[RPHN]

Misschien leuk om te delen hier. En laat mij alsjeblieft weten als het hier niet thuis hoort. Ik heb een blog geschreven waarin ik uitleg hoe je Windows LAPS wachtwoorden d.m.v. een Power App kunt ophalen:
- Part 1 (Setup Windows LAPS in your tenant): https://lnkd.in/eStr746S
- Part 2 (Create the Power App and Power Automate workflow: https://lnkd.in/eZnUADTA
- Part 3 (Create the audit log in SharePoint Online): https://lnkd.in/euKX87nK
- Part 4 (Protect your Power App with conditional access): https://lnkd.in/ewGNq9PD
- Part 5 (Send audit log report by e-mail): https://lnkd.in/eXDJ8qwy

[Quad]

@RPHN Ik heb even niet verder gekeken dan mijn neus lang is hoor, maar wat is de achterliggende gedachte om LAPS wachtwoorden ENTRA te laten verlaten?

[RPHN]

Quad schreef op donderdag 8 augustus 2024 @ 12:44:
@RPHN Ik heb even niet verder gekeken dan mijn neus lang is hoor, maar wat is de achterliggende gedachte om LAPS wachtwoorden ENTRA te laten verlaten?

Goede vraag. Er was een use case om de rechten die nodig zijn om een Windows LAPS wachtwoord te bekijken af te nemen van iedere engineer in onze tenant. Nu geef ik alleen de app registratie rechten om het Windows LAPS wachtwoord op te halen.

[Mitssz]

RPHN schreef op donderdag 8 augustus 2024 @ 12:36:
Misschien leuk om te delen hier. En laat mij alsjeblieft weten als het hier niet thuis hoort. Ik heb een blog geschreven waarin ik uitleg hoe je Windows LAPS wachtwoorden d.m.v. een Power App kunt ophalen:
- Part 1 (Setup Windows LAPS in your tenant): https://lnkd.in/eStr746S
- Part 2 (Create the Power App and Power Automate workflow: https://lnkd.in/eZnUADTA
- Part 3 (Create the audit log in SharePoint Online): https://lnkd.in/euKX87nK
- Part 4 (Protect your Power App with conditional access): https://lnkd.in/ewGNq9PD
- Part 5 (Send audit log report by e-mail): https://lnkd.in/eXDJ8qwy

Heel nice! Is het ook mogelijk om hiervan een soort "Self service portal" ervan te maken?
Wij hebben nog een vraagstuk openliggen om ipv de user local admin te laten zijn, het mogelijk maken voor de user om het LAPS wachtwoord van zijn device(welke geregistreerd zijn onder de user in Entra) op te halen.

[RPHN]

Mitssz schreef op donderdag 8 augustus 2024 @ 13:08:
[...]

Heel nice! Is het ook mogelijk om hiervan een soort "Self service portal" ervan te maken?
Wij hebben nog een vraagstuk openliggen om ipv de user local admin te laten zijn, het mogelijk maken voor de user om het LAPS wachtwoord van zijn device(welke geregistreerd zijn onder de user in Entra) op te halen.

Jep. Je kan het ook per gebruiker ophalen. Dan krijg je de wachtwoorden te zien van de apparaten waar de gebruiker de primary user van is.

Zie deze blog post: https://cloudbymoe.com/f/windows-laps---power-app

[Mitssz]

RPHN schreef op donderdag 8 augustus 2024 @ 13:11:
[...]

Jep. Je kan het ook per gebruiker ophalen. Dan krijg je de wachtwoorden te zien van de apparaten waar de gebruiker de primary user van is.

Zie deze blog post: https://cloudbymoe.com/f/windows-laps---power-app

Thanks! Ik ga er eens mee spelen

[Blokker_1999]

makooy schreef op dinsdag 6 augustus 2024 @ 14:51:
[...]


Probleem gevonden, heeft hier uiteindelijk weinig mee te maken.

Apple deprecated this feature in the new releases 2024. From Apple release notes:
Profile-based User Enrollment is no longer supported in iOS and iPadOS 18. For User Enrollment, sign in with a Managed Apple Account in Settings.
Profile-based User Enrollment is no longer supported in macOS 15. For User Enrollment, sign in with a Managed Apple Account in Settings.

Oftewel de Device-enrollment via Company Portal MOET straks via Managed Apple ID's.

Maar dan hebben we het over iOS18, die nu nog in Beta is.

De aanbevolen mannier daar is trouwen om met JIT registratie te werken. Gebruiker wil een company resource raadplegen? Dan wordt het device enrolled door via Safari een profiel te downloaden dat de gebruiker dan moet installeren. Ik ben zelf op dit moment bezig met het uitschrijven van die procedure voor ons bedrijf, want iedereen hier had jaren terug die aankondiging gemist dat deze aanpassing van Apple eraan zat te komen.

Geeft me ook direct een kans om company owned devices te enrollen met modern authentication waardoor het direct tijdens de setup van het device kan.

[Blokker_1999]

Mitssz schreef op donderdag 8 augustus 2024 @ 13:08:
[...]

Heel nice! Is het ook mogelijk om hiervan een soort "Self service portal" ervan te maken?
Wij hebben nog een vraagstuk openliggen om ipv de user local admin te laten zijn, het mogelijk maken voor de user om het LAPS wachtwoord van zijn device(welke geregistreerd zijn onder de user in Entra) op te halen.

Maar dan heeft de gebruiker in essentie weer totale controle over zijn/haar toestel. Dit is net waarom er tools zijn zoals EPM (en alternatieven die niet van MS zijn) om gebruikers in beperkte mate taken met verhoogde rechten te laten uitvoeren.

[TheVMaster]

Blokker_1999 schreef op donderdag 8 augustus 2024 @ 13:51:
[...]

Maar dan heeft de gebruiker in essentie weer totale controle over zijn/haar toestel. Dit is net waarom er tools zijn zoals EPM (en alternatieven die niet van MS zijn) om gebruikers in beperkte mate taken met verhoogde rechten te laten uitvoeren.

Inderdaad, dit is volgens mij vragen om heel erg grote problemen. Vraag me af wat een security afdeling daar van gaat vinden.

[ Voor 7% gewijzigd door TheVMaster op 08-08-2024 17:19 ]

[HKLM_]

Blokker_1999 schreef op donderdag 8 augustus 2024 @ 13:51:
[...]

Maar dan heeft de gebruiker in essentie weer totale controle over zijn/haar toestel. Dit is net waarom er tools zijn zoals EPM (en alternatieven die niet van MS zijn) om gebruikers in beperkte mate taken met verhoogde rechten te laten uitvoeren.

Eens! ik ben wel benieuwd naar zijn case want een eindgebruiker heeft eigenlijk helemaal geen local admin nodig bij default. tools als EPM welke afgelopen maand weer een update heeft gehad voor o.a powershell en msi files of alternatieven voor tijdelijke admin toegang op script op specifiek applicatie niveau zijn veel beter geschikt inderdaad.

[Blokker_1999]

Hatelijk, heb ergens iets klein aangepast vorige week en sindsdien kan ik men test iPhones niet meer enrollen en krijg niet direct gevonden wat ik heb misgedaan. Zelfs de auditlogs laten niets zien wat dit zou verklaren. En hoe meer ik aan het proberen sla, hoe verder weg ik vermoedelijk ben van de oplossing

Misschien gewoon alles verwijderen en vanaf 0 beginnen?

Altijd leuk, zovele opties te hebben en voor je het weet heb je een incompatibele combinatie gemaakt.

[Quad]

Wat gebeurt er wel/niet? En hoe enroll je ze, via Company portal?

Alleen iOS devices? Misschien iets met het certificaat.

[Blokker_1999]

We doen alleen maar iOS, en ik was bezig met documentatie te schrijven voor het gebruik van modern authentication tijdens de setup fase van het device (ADE devices). Dat deel werkt perfect. Maar als je dan achteraf apps hebt zoals Outlook, die via een conditional access policy moeten die vereist dat je apparaat compliant is had ik tot vorige week netjes de vraag bij het aanmelden in die apps om via de webversie van de company portal de registratie te voltooien en de compliancy check uit te voeren.

Als ik dat nu doe krijg ik evenwel gewoon een melding dat mijn apparaat niet geregistreerd is (ondanks dat het mgmt profiel erop staat en de gebruiker gekoppeld is in Intune) en als deze dan probeert te registreren gewoon een melding dat er iets fout is gelopen zonder verdere uitleg.

Het is niet dat dit zo complex kan zijn: https://learn.microsoft.c...ith-modern-authentication

[ Voor 12% gewijzigd door Blokker_1999 op 22-08-2024 09:53 ]

[Blokker_1999]

I found the issue

Het is geen probleem met de apparaten
Het is geen probleem met profielen of settings
Het is ook geen probleem met Intune, of misschien wel?

Ik probeer even een andere test account, en alles werkt

Op de standaard account staan 4 iPhones terwijl de limiet 5 is en als ik op alle devices in intune zoek op die gebruikersnaam vind ik er 12. Toch lijkt er ergens een limiet getriggered te zijn. Dat mag ook wel eens duidelijker gemaakt worden, en nu maar verder zoeken totdat ik die limiet gevonden heb.

[nextware]

Blokker_1999 schreef op donderdag 22 augustus 2024 @ 11:31:
I found the issue

Het is geen probleem met de apparaten
Het is geen probleem met profielen of settings
Het is ook geen probleem met Intune, of misschien wel?

Ik probeer even een andere test account, en alles werkt

Op de standaard account staan 4 iPhones terwijl de limiet 5 is en als ik op alle devices in intune zoek op die gebruikersnaam vind ik er 12. Toch lijkt er ergens een limiet getriggered te zijn. Dat mag ook wel eens duidelijker gemaakt worden, en nu maar verder zoeken totdat ik die limiet gevonden heb.

Ben je niet op zoek naar deze informatie:

Intune device limit restrictions --> Create a device limit restriction

[ Voor 22% gewijzigd door nextware op 22-08-2024 11:58 ]

[Blokker_1999]

Nope, die staat al op 15 voor mijn accounts, en alleen voor mijn accounts

Daarnaast zijn de test toestellen al enorm vaak enrolled en is Intune zeer goed in staat om die altijd netjes te mergen. Al ben ik nog niet in Entra gaan kijken of daar een knoeiboel is ontstaan. Want daar heb je ook nog limieten als ik me niet vergis.

[ Voor 62% gewijzigd door Blokker_1999 op 22-08-2024 12:37 ]

[FREAKJAM]

Blokker_1999 schreef op donderdag 22 augustus 2024 @ 12:36:
Nope, die staat al op 15 voor mijn accounts, en alleen voor mijn accounts

Wat zegt de ennrollment reporting?

[Blokker_1999]

FREAKJAM schreef op donderdag 22 augustus 2024 @ 12:37:
[...]


Wat zegt de ennrollment reporting?

Geen failures daar, toch niet voor iOS

[Blokker_1999]

Kijk kijk, opgekuist in Azure, daar worden redeploys van hetzelfde apparaat niet geconsolideerd in 1 enkele entry. En alles werkt weer.

[FREAKJAM]

Meteen notitie gemaakt voor een periodieke cleanup van stale devices?

[Blokker_1999]

Das al geruime tijd een discussiepunt in dit bedrijf maar zou hier niet geholpen hebben als je je devices meerdere keren per week wist en opnieuw opzet voor documentatie- en demonstratiedoelen.

Al heb ik ondertussen wel geleerd hoe je zelfs van het setup process op een iPhone een recording kunt maken, al gaat dat met een iPhone 15 dankzij de USB-C poort een stuk eenvoudiger dan met oudere apparaten. Zorgt er allesinds voor dat ik minder vaak een reset moet doen in de toekomst.

[ibmpc]

Ik heb twee firewall rules gemaakt in Intune om casting toe te staan.

Regel 1:
Interface types: Wireless, LAN
File Path: %systemroot%\system32\CastSrv.exe
Network Types: FW_PROFILE_TYPE_ALL
Direction: Inbound
Local Ports: 7250
Protocol: 6

Regel 2:
Interface types: Wireless, LAN
File Path: %systemroot%\system32\WUDFHost.exe
Network Types: FW_PROFILE_TYPE_ALL
Direction: Inbound
Local User Authorized List: O:LSD:(A;;CC;;;S-1-5-84-0-0-0-0-0)
Protocol: 6

Enkele vragen over casting en Intune:
• Werkt casting over je bestaande LAN of wordt er een apart netwerkje gemaakt? Moet network types dus ALL of is PUBLIC voldoende?
• Waarom slaan vrijwel alle bronnen op internet de Local User Authorized List over? De built-in Windows regel heeft deze namelijk wel. Wat is het nut om deze weg te laten? Meer compatibiliteit? Wat is het security risico?
• De built-in Windows rules hebben nog een derde regel die een full-open zijn voor applicatie Microsoft.PPIProjection_cw5n1h2txyewy. Casting lijkt gewoon te werken als ik deze regel oversla. Is dit nodig voor bepaalde compatibiliteit? Is het risico van deze regel niet bijzonder hoog als ik deze regel wel toevoeg?

[ibmpc]

Nog een vraag over de built-in firewall rules. Een bepaald Entra Joined systeem moet discoverable via network discovery. Behalve dat je dan alle regels in de groep "Network Discovery" moet inschakelen, moet je ook de regels bouwen in de Intune firewall policy. Nu kwam ik bij deze regel terecht:

code:

Name                          : NETDIS-UPnPHost-In-TCP-Teredo
DisplayName                   : Network Discovery for Teredo (UPnP-In)
Description                   : Inbound rule for Network Discovery to allow use of Universal Plug and Play. [TCP 2869]
DisplayGroup                  : Network Discovery
Group                         : @FirewallAPI.dll,-32752
Enabled                       : False
Profile                       : Public
Platform                      : 
Direction                     : Inbound
Action                        : Allow
EdgeTraversalPolicy           : Block
LooseSourceMapping            : False
LocalOnlyMapping              : False
Owner                         : 
PrimaryStatus                 : OK
Status                        : The rule was parsed successfully from the store. (65536)
EnforcementStatus             : NotApplicable
PolicyStoreSource             : PersistentStore
PolicyStoreSourceType         : Local
RemoteDynamicKeywordAddresses : 
PolicyAppId                   :

$_ | Get-NetFirewallAddressFilter
     LocalAddress             : Any
     RemoteAddress            : Any

$_ | Get-NetFirewallServiceFilter
     Service                  : Any

$_ | Get-NetFirewallApplicationFilter
     Program                  : System
     Package                  :

$_ | Get-NetFirewallInterfaceFilter
     InterfaceAlias           : Any

$_ | Get-NetFirewallInterfaceTypeFilter
     InterfaceType            : Any

$_ | Get-NetFirewallPortFilter
     Protocol                 : TCP
     LocalPort                : Any
     RemotePort               : Any
     IcmpType                 : Any
     DynamicTarget            :

$_ | Get-NetFirewallSecurityFilter
     Authentication           : NotRequired
     Encryption               : NotRequired
     OverrideBlockRules       : False
     LocalUser                : Any
     RemoteUser               : Any
     RemoteMachine            : Any

Wat is de reden dat de description van de built-in firewall rule TCP/2869 noemt, maar dat de regel zelf Any als port heeft? Is dit een fout in de description of een fout in de configuratie van de built-in firewall rule?

Het gaat specifiek om regel 3:

code:

Inbound rule for Network Discovery to allow use of Universal Plug and Play. [TCP 2869]

En regel 42:

code:

LocalPort                : Any

Iemand een idee? Ik heb het gevoel dat de built-in regel misschien meer open zet dan nodig en dus een beetje afwijkt van het least privilege principe.

[nextware]

Ongetwijfeld kijk ik enorm scheel, maar wij lopen tegen een vreemd dingetje aan..
Soms resetten we een Autopilot laptop, maar na het (volledig) resetten van het device staat de tijd standaard op UTC -8

Nu ben ik aan het zoeken geweest en in dit blog staan een aantal opties om de tijd te configureren.

Maar ik twijfel eigenlijk of dit wel werkt. We hebben ook wat devices in Argentinië en Australië maar ik weet dus niet hoe de timesync omgaat met devices die region "Argentina" of "Australia" hebben.

Iemand ervaring met het goedzetten van de tijd tijdens de Autopilot deployment (devices zijn AAD-joined) ?

[HKLM_]

nextware schreef op maandag 26 augustus 2024 @ 19:53:
Ongetwijfeld kijk ik enorm scheel, maar wij lopen tegen een vreemd dingetje aan..
Soms resetten we een Autopilot laptop, maar na het (volledig) resetten van het device staat de tijd standaard op UTC -8

Nu ben ik aan het zoeken geweest en in dit blog staan een aantal opties om de tijd te configureren.

Maar ik twijfel eigenlijk of dit wel werkt. We hebben ook wat devices in Argentinië en Australië maar ik weet dus niet hoe de timesync omgaat met devices die region "Argentina" of "Australia" hebben.

Iemand ervaring met het goedzetten van de tijd tijdens de Autopilot deployment (devices zijn AAD-joined) ?

Ik heb op mijn werk een policy voor het goedzetten van de tijd. Ik zal morgen ochtend de config delen voor je.

[ibmpc]

ibmpc schreef op donderdag 22 augustus 2024 @ 21:54:
Schop 1

ibmpc schreef op vrijdag 23 augustus 2024 @ 20:17:
Schop 2

Iemand enig idee?

[Quad]

@HKLM_ indien mogelijk kan je die ook met mij delen?
@ibmpc Ik had je ongetwijfeld graag geholpen, maar ik doe zelden(=nooit) wat met de firewall policies in intune. Restricties worden meestal op centrale firewall gemanaged en qua werkplekken is het altijd wel binnenkomend verkeer = dicht tenzij door applicaties aangegeven.

[ibmpc]

Quad schreef op woensdag 28 augustus 2024 @ 07:43:
@ibmpc Ik had je ongetwijfeld graag geholpen, maar ik doe zelden(=nooit) wat met de firewall policies in intune. Restricties worden meestal op centrale firewall gemanaged en qua werkplekken is het altijd wel binnenkomend verkeer = dicht tenzij door applicaties aangegeven.

Er is één specifieke policy die by default uit staat, die ik in Public networks altijd inschakel (op False zetten, zoals iedere ontkennende ontkenning bij Microsoft) om malware een drempel op te werpen na succesvolle infectie:

code:

Allow Local Policy Merge
False

Ik ben zelf van mening dat gebruikers of applicaties op publieke Wi-Fi netwerken niet zelf aan firewall regels mogen rommelen. Een "veilig" kantoornetwerk beschouw ik ook als publiek netwerk. Vandaar dat ik met de Intune firewall regels aan het rommelen ben om bepaalde zaken wel voor elkaar te krijgen. Zoals Casting en Wi-Fi direct spooling.

[HKLM_]

@nextware @Quad

Ik zie dat mijn tijd configuration profile heel makkelijk is eigenlijk en gewoon de vanuit de setting catalog de Time Language Settings aanpast (in mijn geval op W. Europe Standard Time

Deze heb ik vervolgens gekoppeld aan de autopilot groep en dan neemt die hem mee, eigenlijk geen issues meer mee gehad sinds dien. Als je ook gaat deployen in andere zone's dan zou ik sowiso een apparte Autopilot groep maken waar de devices van die zone in komen en zo de tijdzone policie managen denk ik.

[Quad]

HKLM_ schreef op woensdag 28 augustus 2024 @ 09:01:
@nextware @Quad

Ik zie dat mijn tijd configuration profile heel makkelijk is eigenlijk en gewoon de vanuit de setting catalog de Time Language Settings aanpast (in mijn geval op W. Europe Standard Time

Deze heb ik vervolgens gekoppeld aan de autopilot groep en dan neemt die hem mee, eigenlijk geen issues meer mee gehad sinds dien. Als je ook gaat deployen in andere zone's dan zou ik sowiso een apparte Autopilot groep maken waar de devices van die zone in komen en zo de tijdzone policie managen denk ik.

Lijkt mij logisch idd. Verschillende locaties hebben vaak ook wel verschillende policies.

[HKLM_]

Quad schreef op woensdag 28 augustus 2024 @ 09:12:
[...]

Lijkt mij logisch idd. Verschillende locaties hebben vaak ook wel verschillende policies.

Zou je zeggen ja Helaas zie ik nog wel eens anders als ze een Global Intune omgeving willen doen ofzo dat daar toch bijzondere keuzes gemaakt worden

[nextware]

HKLM_ schreef op woensdag 28 augustus 2024 @ 09:14:
[...]


Zou je zeggen ja Helaas zie ik nog wel eens anders als ze een Global Intune omgeving willen doen ofzo dat daar toch bijzondere keuzes gemaakt worden

Dank u zeer beleefd. We zijn inderdaad al naar het kijken om verschillende profielen te maken incl de bijbehorende groepen. De leverancier (Lenovo) geeft aan dat ze per locatie (Australië / Argentinië) de hardware door de lokale Lenovo afdeling laten leveren. En die kunnen ook de hardware hash aanleveren inclusief bijbehorende group tag.

[Quad]

Het gaat vandaag moeizaam om packages te configureren in Intune. Bij het opslaan of aanpassingen worden diverse acties niet opgeslagen, uploads welke mislukken halverwege of vage Ajax errors.

Refreshen, nieuwe incognitosessie heeft soms even succes en dan weer niet.

Het is weer zo'n dag.

[HKLM_]

Quad schreef op woensdag 28 augustus 2024 @ 10:55:
Het gaat vandaag moeizaam om packages te configureren in Intune. Bij het opslaan of aanpassingen worden diverse acties niet opgeslagen, uploads welke mislukken halverwege of vage Ajax errors.

Refreshen, nieuwe incognitosessie heeft soms even succes en dan weer niet.

Het is weer zo'n dag.

Die Ajax meldingen had ik gisteravond al met packages Dacht dat het aan mijn multi-admin policy lag….

[TheVMaster]

HKLM_ schreef op woensdag 28 augustus 2024 @ 09:14:
[...]


Zou je zeggen ja Helaas zie ik nog wel eens anders als ze een Global Intune omgeving willen doen ofzo dat daar toch bijzondere keuzes gemaakt worden

En dan wereldwijd overal ook maar dezelfde tijdzone doen dan?

[Quad]

HKLM_ schreef op woensdag 28 augustus 2024 @ 11:07:
[...]


Die Ajax meldingen had ik gisteravond al met packages Dacht dat het aan mijn multi-admin policy lag….

Nu een mooie, pakketje blijft falen met installatie, maar ik krijg hier geen duidelijke log van. (ga ik ook maar eens achterna om dat eenvoudiger te zien)
Maar ik zie nu dat hij na een succesvolle upload toch oude intunewin (versie) bestanden laat zien. Ja dan vind ik het niet gek dat het faalt met installatie.

[Blokker_1999]

TheVMaster schreef op woensdag 28 augustus 2024 @ 11:08:
[...]


En dan wereldwijd overal ook maar dezelfde tijdzone doen dan?

Dat zou vele problemen oplossen.

Ik heb zelf alles zo ingesteld dat ik Windows je tijdzone laat bepalen omdat we vele medewerkers hebben die rondreizen en dus wel eens van tijdzone veranderen. Tot mijn verbazing hebben enkele van onze moeilijkste gebruikers daar nooit over geklaagd, maar dan zie je weer regelmatig de vraag van iemand die zegt: ik zit in tijdzone x maar zou liever mijn tijd zien in tijdzone y ... zucht.

Ik zet niet graag dingen vast, maar het was de beste manier om zoveel mogelijk laptops in de juiste tijdzone te krijgen. En die instellingen zorgen er weer voor dat gebruikers niet zelf hun klok of tijdzone kunnen aanpassen

[HKLM_]

TheVMaster schreef op woensdag 28 augustus 2024 @ 11:08:
[...]


En dan wereldwijd overal ook maar dezelfde tijdzone doen dan?

Na dat niet maar ik kom gekke shizzle tegen bij assessments

Kuch… security voor endpoint we hebben toch defender (die dan alleen onboard is) en verder niks vanuit het endpoint security vak bijvoorbeeld

En gewoon relatief groot zijn he 5K plus devices.

[ Voor 28% gewijzigd door HKLM_ op 28-08-2024 21:46 ]

[TheVMaster]

HKLM_ schreef op woensdag 28 augustus 2024 @ 21:44:
[...]


Na dat niet maar ik kom gekke shizzle tegen bij assessments

Kuch… security voor endpoint we hebben toch defender (die dan alleen onboard is) en verder niks vanuit het endpoint security vak bijvoorbeeld

En gewoon relatief groot zijn he 5K plus devices.

Dat is wel bijzonder idd, maar 5k is ook niet heel groot natuurlijk. 😂😂 oké, relatief groot wel. Maar goed, ook de klanten waar ik kom gaat niet alles zoals het zou moeten gaan, daarom komen wij Intune mensen ze helpen hè. 😇

[ Voor 11% gewijzigd door TheVMaster op 28-08-2024 22:33 ]

[D_Jeff]

Omdat MS licenties bijhouden een compleet beroep is en de puzzel op m365maps niet echt lekker gaat, dan de vraag maar hier:

Voor EXO wil ik een heel rits aan extra opties gaan gebruiken, zoals "advanced mail hunt", "sandboxing". (Mail bescherming XL in MS365)
2 a 3 jaar geleden bestelde je dan
Optie A: MS365 E5
Optie B: Addon licentie MS Defender Plan2

Maar nu blijkt optie B weer in verschillende mootjes gehakt te zijn, wie kan mij verder helpen?

[HKLM_]

D_Jeff schreef op donderdag 29 augustus 2024 @ 21:34:
Omdat MS licenties bijhouden een compleet beroep is en de puzzel op m365maps niet echt lekker gaat, dan de vraag maar hier:

Voor EXO wil ik een heel rits aan extra opties gaan gebruiken, zoals "advanced mail hunt", "sandboxing". (Mail bescherming XL in MS365)
2 a 3 jaar geleden bestelde je dan
Optie A: MS365 E5
Optie B: Addon licentie MS Defender Plan2

Maar nu blijkt optie B weer in verschillende mootjes gehakt te zijn, wie kan mij verder helpen?

Zou je de officiële Microsoft termen kunnen gebruiken welke je wilt inzetten? Mail bescherming XL komt mij namelijk niet bekend voor en ik werk de hele dag met E5 en P2 functies

Maar met een E5 en daarmee de P2 dan ben je er toch? Daar zit Defender for Office P2 en Defender for Endpoint P2 in iig en dan kan je volgens mij alles in het security center.

[ Voor 7% gewijzigd door HKLM_ op 29-08-2024 21:42 ]

[D_Jeff]

De E5 zit op +/- 60 euro/maand/gebruiker ; Diezelfde org heeft nu MS Bus Prem, dus dat gaat een prijsbump worden die de klant niet leuk zal vinden

Daarom zit ik dus naar een losse "MS Defender P2" te kijken, maar waar voorheen de MS Defender P2 gewoon alles had wat leuk was, laat M365Maps het volgende zien:

Microsoft Defender
Business
Endpoint
Office 365
Servers
CSPM
Vuln Mgmt


Dus als ik een klant maximaal bescherming wil bieden op basis van een MS Defender P2 (topic = email), welke moet ik hebben?

[HKLM_]

D_Jeff schreef op donderdag 29 augustus 2024 @ 21:54:
De E5 zit op +/- 60 euro/maand/gebruiker ; Diezelfde org heeft nu MS Bus Prem, dus dat gaat een prijsbump worden die de klant niet leuk zal vinden

Daarom zit ik dus naar een losse "MS Defender P2" te kijken, maar waar voorheen de MS Defender P2 gewoon alles had wat leuk was, laat M365Maps het volgende zien:

Microsoft Defender
Business
Endpoint
Office 365
Servers
CSPM
Vuln Mgmt


Dus als ik een klant maximaal bescherming wil bieden op basis van een MS Defender P2 (topic = email), welke moet ik hebben?

Business premium is een leuke licentie inderdaad maar als je P2 functies wilt van defender en Mail dan moet je hem uitbreiden met Defender for Endpoint P2 en Defender for Office P2

Eigenlijk zou je ook minimaal naar Entra ID P2 moeten voor het Identity stukje en PIM.
Als je dat dan samen pakt krijg je onderstaand, prijzen zijn maand licenties.

Business Premium is 17,92 ex btw
Defender for Office P2 = 4,09 ex btw
Defender for Endpoint = 4,26 ex btw
Entra ID P2 = 7,31 ex btw btw

Totaal zit je dan op 33,58 per user per maand

[Quad]

HKLM_ schreef op vrijdag 30 augustus 2024 @ 09:50:
[...]


Business premium is een leuke licentie inderdaad maar als je P2 functies wilt van defender en Mail dan moet je hem uitbreiden met Defender for Endpoint P2 en Defender for Office P2

Eigenlijk zou je ook minimaal naar Entra ID P2 moeten voor het Identity stukje en PIM.
Als je dat dan samen pakt krijg je onderstaand, prijzen zijn maand licenties.

Business Premium is 17,92 ex btw
Defender for Office P2 = 4,09 ex btw
Defender for Endpoint = 4,26 ex btw
Entra ID P2 = 7,31 ex btw btw

Totaal zit je dan op 33,58 per user per maand

Mooie prijzen maar Microsoft rekent al 20,60 voor een jaarlicentie van Business Premium.

[HKLM_]

Quad schreef op vrijdag 30 augustus 2024 @ 10:45:
[...]

Mooie prijzen maar Microsoft rekent al 20,60 voor een jaarlicentie van Business Premium.

Prijzen zijn richt prijzen vanuit een partner, Microsoft list prijs is inderdaad net iets hoger maar in de praktijk betaal je die nooit.

[Quad]

Onze verkooptarieven aan klanten zijn altijd deze Microsofttarieven. Dus ja, inkoop kan het best die 17 euro zijn, maar verkoop helaas niet.

[HKLM_]

Quad schreef op vrijdag 30 augustus 2024 @ 13:14:
Onze verkooptarieven aan klanten zijn altijd deze Microsofttarieven. Dus ja, inkoop kan het best die 17 euro zijn, maar verkoop helaas niet.

Dus jullie klanten krijgen geen korting op licenties? Ik heb vorig jaar een organisatie naar E5 gebracht en daar betaalde we 3 euro minder per E5 licentie dan de Microsoft list price. (En dan had ik maar 700 licenties)

[Quad]

HKLM_ schreef op vrijdag 30 augustus 2024 @ 14:06:
[...]


Dus jullie klanten krijgen geen korting op licenties? Ik heb vorig jaar een organisatie naar E5 gebracht en daar betaalde we 3 euro minder per E5 licentie dan de Microsoft list price. (En dan had ik maar 700 licenties)

Nope, we zijn dan wel MSP maar onze klanten zijn MKB bedrijven uit de regio.

[HKLM_]

Quad schreef op vrijdag 30 augustus 2024 @ 14:15:
[...]

Nope, we zijn dan wel MSP maar onze klanten zijn MKB bedrijven uit de regio.

Naja is het een kwestie van bedrijfsbeleid denk ik Als je licenties kan leveren via bijvoorbeeld Ingram dan kan je prima net iets onder de list prijs gaan zitten voor je klanten (Klant blij want goedkoper dan direct bij MSFT) maar laten we de discussie weer naar Intune brengen

[D_Jeff]

$8 voor een E5 licentie bij een bepaalde organisatie (niveau 2023, pre-inflatiebump)
Als je echt alle MS kortingen mag en kan stapelen, zit je tegen compleet andere prijzen aan te kijken.

Verder voert mijn werkgever hetzelfde beleid als bij @Quad
Als een klant vraagt wat een MS365 E5 kost, roep ik meestal "afgerond 60 euro/maand". Ook een MS365 E3 schijnt tegenwoordig al op 36 euro/maand te zitten

[HKLM_]

D_Jeff schreef op vrijdag 30 augustus 2024 @ 22:08:
$8 voor een E5 licentie bij een bepaalde organisatie (niveau 2023, pre-inflatiebump)
Als je echt alle MS kortingen mag en kan stapelen, zit je tegen compleet andere prijzen aan te kijken.

Verder voert mijn werkgever hetzelfde beleid als bij @Quad
Als een klant vraagt wat een MS365 E5 kost, roep ik meestal "afgerond 60 euro/maand". Ook een MS365 E3 schijnt tegenwoordig al op 36 euro/maand te zitten

Ik vind E3 echt een waardeloze licentie om eerlijk te zijn omdat het geen MDO heeft. Ik raad die eigenlijk ook nooit aan.

[D_Jeff]

Keuzes

[nextware]

Iemand hier al tegenaan gelopen..

We rollen Windows 11 uit via AutoPilot. Users hebben een E5 licentie maar aan het einde is Windows 11 Pro geregistreerd op het device.

Het is niet dit issue (Windows 11 Enterprise niet geactiveerd) want de LicenseAcquistion taak geeft nu error 0xD0000272 (ipv de access denied melding)

We hebben het issue op onze EMEA en NA M365 tenant..

[HKLM_]

nextware schreef op woensdag 4 september 2024 @ 11:40:
Iemand hier al tegenaan gelopen..

We rollen Windows 11 uit via AutoPilot. Users hebben een E5 licentie maar aan het einde is Windows 11 Pro geregistreerd op het device.

Het is niet dit issue (Windows 11 Enterprise niet geactiveerd) want de LicenseAcquistion taak geeft nu error 0xD0000272 (ipv de access denied melding)

We hebben het issue op onze EMEA en NA M365 tenant..

Je installeert Windows 11 niet met een oude iso? maar een ISO die recent is bijgewerkt door Microsoft of door jezelf?

Zijn de Windows Activation servers "" 0xD0000272 Unable to reach Windows activation servers" beschikbaar op jullie netwerk?

[ Voor 8% gewijzigd door HKLM_ op 04-09-2024 11:44 ]

[Davidas]

nextware schreef op woensdag 4 september 2024 @ 11:40:
Iemand hier al tegenaan gelopen..

We rollen Windows 11 uit via AutoPilot. Users hebben een E5 licentie maar aan het einde is Windows 11 Pro geregistreerd op het device.

Het is niet dit issue (Windows 11 Enterprise niet geactiveerd) want de LicenseAcquistion taak geeft nu error 0xD0000272 (ipv de access denied melding)

We hebben het issue op onze EMEA en NA M365 tenant..

Heb je dit artikel helemaal doorgenomen?

[nextware]

Davidas schreef op woensdag 4 september 2024 @ 11:45:
[...]

Heb je dit artikel helemaal doorgenomen?

Ja, zijn we al doorheen gelopen en staat in beide tenants zoals het hoort (app is excluded).

HKLM_ schreef op woensdag 4 september 2024 @ 11:43:
[...]


Je installeert Windows 11 niet met een oude iso? maar een ISO die recent is bijgewerkt door Microsoft of door jezelf?

Zijn de Windows Activation servers "" 0xD0000272 Unable to reach Windows activation servers" beschikbaar op jullie netwerk?

ISO is de laatste Windows 11 gedownload van Microsoft. Die activation servers zijn we nu aan het uitzoeken maar zelfs op de Guest WiFi lopen we tegen de melding aan.

[ Voor 41% gewijzigd door nextware op 04-09-2024 12:10 ]

[HKLM_]

nextware schreef op woensdag 4 september 2024 @ 12:06:
[...]


Ja, zijn we al doorheen gelopen en staat in beide tenants zoals het hoort (app is excluded).


[...]


ISO is de laatste Windows 11 gedownload van Microsoft. Die activation servers zijn we nu aan het uitzoeken maar zelfs op de Guest WiFi lopen we tegen de melding aan.

Guest wifi is vaak nog meer restricties, probeer het eens met een 4/5G hotspot dan kan je eventueel gelijk netwerk uitsluiten.

[nextware]

HKLM_ schreef op woensdag 4 september 2024 @ 12:47:
[...]


Guest wifi is vaak nog meer restricties, probeer het eens met een 4/5G hotspot dan kan je eventueel gelijk netwerk uitsluiten.

Ik heb de laptop net aangesloten op mijn netwerk thuis maar ook hierin kan de service geen verbinding maken (error 0xD0000272). Een collega heeft een call ingelegd bij Microsoft. Maar eens even kijken wat eruit komt..

[Blokker_1999]

HKLM_ schreef op woensdag 4 september 2024 @ 12:47:
[...]


Guest wifi is vaak nog meer restricties, probeer het eens met een 4/5G hotspot dan kan je eventueel gelijk netwerk uitsluiten.

Hangt toch echt van de firma af. Guest staat bij ons bijvoorbeeld veel meer toe dan het interne client netwerk, maar met een always-on VPN oplossing is het voor eindgebruikers zinloos om met dat guest netwerk te verbinden.

[nextware]

nextware schreef op woensdag 4 september 2024 @ 13:36:
[...]


Ik heb de laptop net aangesloten op mijn netwerk thuis maar ook hierin kan de service geen verbinding maken (error 0xD0000272). Een collega heeft een call ingelegd bij Microsoft. Maar eens even kijken wat eruit komt..

En het "issue" is magisch opgelost.. Alle betreffende systemen zijn nu weer netjes Win 11 Enterprise en de scheduled task wordt zonder problemen uitgevoerd.




Al vermoed ik dat het te maken heeft dat op zowel onze NA als EMEA tenant de M365 licenties per 1 september jl zijn verlengd en dat het even heeft geduurd voor dit door alle systemen van Microsoft is gesynchroniseerd..

[ Voor 6% gewijzigd door nextware op 06-09-2024 08:24 ]

[HKLM_]

nextware schreef op vrijdag 6 september 2024 @ 08:23:
[...]


En het "issue" is magisch opgelost.. Alle betreffende systemen zijn nu weer netjes Win 11 Enterprise en de scheduled task wordt zonder problemen uitgevoerd.

[Afbeelding]


Al vermoed ik dat het te maken heeft dat op zowel onze NA als EMEA tenant de M365 licenties per 1 september jl zijn verlengd en dat het even heeft geduurd voor dit door alle systemen van Microsoft is gesynchroniseerd..

https://www.isintunedown....2-subscriptionactivation/

Ee waren deze week een aantal dagen issues met het activeren, rudy heeft er net een post over geplaatst.

[HKLM_]

Zal het iets met het Apple event te maken hebben?

[nextware]

Wellicht betere ondersteuning voor Apple devices (MacOS AutoPilot deployment )
Of ze hebben JAMF overgenomen en de technologie daarvan geïmplementeerd in Intune ?

[Gr4mpyC3t]

HKLM_ schreef op maandag 9 september 2024 @ 07:35:
Zal het iets met het Apple event te maken hebben?

[Afbeelding]

Ik hoop het wel! Microsoft mag wel wat meer liefde geven aan macOS en Linux in Intune

[HKLM_]

nextware schreef op maandag 9 september 2024 @ 09:20:
Wellicht betere ondersteuning voor Apple devices (MacOS AutoPilot deployment )
Of ze hebben JAMF overgenomen en de technologie daarvan geïmplementeerd in Intune ?

JAMF overgenomen niet, ze hebben wel laatst een heel groot Cloud contract getekend met JAMF. Het zou ook nog met Device Preperation te maken kunnen hebben ik zie iemand net op X iets posten vanuit een Insider versie van Windows

[HKLM_]

Gr4mpyC3t schreef op maandag 9 september 2024 @ 10:03:
[...]


Ik hoop het wel! Microsoft mag wel wat meer liefde geven aan macOS en Linux in Intune

Met macOS zijn ze wel redelijk opweg en lopen daar best wat dingetjes vanuit development. Met iOS 18 gaat er in Intune ook één en ander veranderen (Dat is geen macOS natuurlijk) maar Intune en Apple zijn best vriendjes met elkaar momenteel.

Linux is een ander verhaal helaas, en zou ik zelf ook anders willen zien. Ze hebben RHEL toegevoegd laatst maar je kan met Linux buiten een compliance policy nog niet echt veel.

[Blokker_1999]

Zolang Intune geen optie heeft om de eerste gebruiker op macOS niet automatisch toegang te geven tot superuser rechten zijn het voor mij geen vriendjes en blijven we vasthouden aan Jamf. Al is die mogelijkheid reeds lang geleden op de roadmap gezet door MS, maar we weten allemaal hoe traag ze van roadmap naar implementatie gaan.

[HKLM_]

Helaas geen apple maar wel iets anders gaafs!

Device hardware inventory is coming soon to Microsoft Intune (P1)

https://techcommunity.mic...osoft-intune/ba-p/4238042

[ Voor 15% gewijzigd door HKLM_ op 09-09-2024 18:23 ]

[Quad]

HKLM_ schreef op maandag 9 september 2024 @ 18:23:
Helaas geen apple maar wel iets anders gaafs!

Device hardware inventory is coming soon to Microsoft Intune (P1)

https://techcommunity.mic...osoft-intune/ba-p/4238042

Nu nog iets met software rapportage. De huidige weergave is ruk. Maar langzamerhand komen wel steeds nuttigere features deze kant op.

[nextware]

HKLM_ schreef op maandag 9 september 2024 @ 18:23:
Helaas geen apple maar wel iets anders gaafs!

Device hardware inventory is coming soon to Microsoft Intune (P1)

https://techcommunity.mic...osoft-intune/ba-p/4238042

Das toch wel handig, als je het ook zou kunnen gebruiken voor dynamische groepen, maar:

Can this data be used to create dynamic groups?
The ability to create dynamic groups with inventory data is under active investigation and development.

Laten we hopen dat ze dit toch snel mogelijk maken

[HKLM_]

En uiteraard de iOS 18 en MacOS 15 support komt naar intune.

Day zero support for iOS/iPadOS 18 and macOS 15
https://techcommunity.mic...and-macos-15/ba-p/4240269

[Blokker_1999]

ff navragen of ik gek wordt of niet. Een device waarvan de compliance in een "grace period" zit hoort in principe toch te voldoen aan een conditional access policy die compliant devices vereist, of niet?

[Davidas]

Blokker_1999 schreef op dinsdag 10 september 2024 @ 14:25:
ff navragen of ik gek wordt of niet. Een device waarvan de compliance in een "grace period" zit hoort in principe toch te voldoen aan een conditional access policy die compliant devices vereist, of niet?

Nee, die periode is er om de eindgebruiker de tijd te geven om het device compliant te maken voordat ze worden uitgesloten met bijvoorbeeld in dit geval een CA policy.

[Blokker_1999]

Ok, ik word gek

Vooreerst, don't shoot the messenger. We zitten met een hybride setup en ik had 2+ jaar terug al alles in het werk gesteld om hybride achter ons te laten dus daar even geen opmerkingen over.

Maar... ik probeer dus een device uit te rollen met Autopilot en dus een hybrid deploy. Dat betekend, wanneer de user voor de eerste keer dat mooie, blauwe aanmeldscherm ziet heb je line of sight nodig naar je domain controller. Dit kan ik oplossen met een VPN die we als pre-logon authenticatie provider hebben geinstalleerd tijdens de computer setup fase,

Maar ... ik geraak niet aangemeld op onze VPN oplossing. Er zit een CA policy in de weg die vereist dat de computer compliant is. Na wat getweak aan de compliance heb ik de computer zo ver gekregen om op dit punt in zowel Intune als Entra te rapporteren als zijnde compliant. Evenwel blijft die policy zeggen dat ik niet compliant ben.

Iemand die me op de goede weg kan zetten van wat ik over het hoofd zie?

[Sjod]

Blokker_1999 schreef op dinsdag 10 september 2024 @ 16:44:
Ok, ik word gek

Vooreerst, don't shoot the messenger. We zitten met een hybride setup en ik had 2+ jaar terug al alles in het werk gesteld om hybride achter ons te laten dus daar even geen opmerkingen over.

Maar... ik probeer dus een device uit te rollen met Autopilot en dus een hybrid deploy. Dat betekend, wanneer de user voor de eerste keer dat mooie, blauwe aanmeldscherm ziet heb je line of sight nodig naar je domain controller. Dit kan ik oplossen met een VPN die we als pre-logon authenticatie provider hebben geinstalleerd tijdens de computer setup fase,

Maar ... ik geraak niet aangemeld op onze VPN oplossing. Er zit een CA policy in de weg die vereist dat de computer compliant is. Na wat getweak aan de compliance heb ik de computer zo ver gekregen om op dit punt in zowel Intune als Entra te rapporteren als zijnde compliant. Evenwel blijft die policy zeggen dat ik niet compliant ben.

Iemand die me op de goede weg kan zetten van wat ik over het hoofd zie?

Heb je syncml 500 errors?
Bestaat het apparaat 2x in Entra ?

[HKLM_]

Blokker_1999 schreef op dinsdag 10 september 2024 @ 16:44:
Ok, ik word gek

Vooreerst, don't shoot the messenger. We zitten met een hybride setup en ik had 2+ jaar terug al alles in het werk gesteld om hybride achter ons te laten dus daar even geen opmerkingen over.

Maar... ik probeer dus een device uit te rollen met Autopilot en dus een hybrid deploy. Dat betekend, wanneer de user voor de eerste keer dat mooie, blauwe aanmeldscherm ziet heb je line of sight nodig naar je domain controller. Dit kan ik oplossen met een VPN die we als pre-logon authenticatie provider hebben geinstalleerd tijdens de computer setup fase,

Maar ... ik geraak niet aangemeld op onze VPN oplossing. Er zit een CA policy in de weg die vereist dat de computer compliant is. Na wat getweak aan de compliance heb ik de computer zo ver gekregen om op dit punt in zowel Intune als Entra te rapporteren als zijnde compliant. Evenwel blijft die policy zeggen dat ik niet compliant ben.

Iemand die me op de goede weg kan zetten van wat ik over het hoofd zie?

Best lastig zo op een forum Als het device in Intune aangeeft dat het compliant is dan zou de Conditional Access policy ook goed moeten gaan. Zie je onder de user goed welke policy er mist gaat?

Eventueel mag je mij een DM sturen dan kan je eventueel wat printscreens van je config delen via mail of Teams.

[DennusF]

Misschien even in de logfiles van conditional access kijken. (misschien is een Azure Always One VPN device tunnel wat je zoekt... wij zijn we daar ook as we speak mee bezig.

[ibmpc]

ibmpc schreef op woensdag 28 augustus 2024 @ 05:29:
[...]


[...]

Iemand enig idee?

Niemand een idee?

Ik heb zelfs een derde vraag:
De ASR regel Block use of copied or impersonated system tools blokkeert ook OneDriveSetup.exe. In principe geen issue denk ik, maar kan dit eventuele automatische updates van OneDrive blokkeren?

[Sjod]

ibmpc schreef op dinsdag 10 september 2024 @ 20:54:
[...]

Niemand een idee?

Ik heb zelfs een derde vraag:
De ASR regel Block use of copied or impersonated system tools blokkeert ook OneDriveSetup.exe. In principe geen issue denk ik, maar kan dit eventuele automatische updates van OneDrive blokkeren?

Onedrive kan per machine of per user geïnstalleerd worden. Vroeger (ik ben er al een tijdje uit) was per user de default config. Bij OneDrive per user zal de update dus waarschijnlijk ook geblokkeerd worden

[Sjod]

ibmpc schreef op donderdag 22 augustus 2024 @ 21:54:
Ik heb twee firewall rules gemaakt in Intune om casting toe te staan.

Regel 1:
Interface types: Wireless, LAN
File Path: %systemroot%\system32\CastSrv.exe
Network Types: FW_PROFILE_TYPE_ALL
Direction: Inbound
Local Ports: 7250
Protocol: 6

Regel 2:
Interface types: Wireless, LAN
File Path: %systemroot%\system32\WUDFHost.exe
Network Types: FW_PROFILE_TYPE_ALL
Direction: Inbound
Local User Authorized List: O:LSD:(A;;CC;;;S-1-5-84-0-0-0-0-0)
Protocol: 6

Enkele vragen over casting en Intune:
• Werkt casting over je bestaande LAN of wordt er een apart netwerkje gemaakt? Moet network types dus ALL of is PUBLIC voldoende?
• Waarom slaan vrijwel alle bronnen op internet de Local User Authorized List over? De built-in Windows regel heeft deze namelijk wel. Wat is het nut om deze weg te laten? Meer compatibiliteit? Wat is het security risico?
• De built-in Windows rules hebben nog een derde regel die een full-open zijn voor applicatie Microsoft.PPIProjection_cw5n1h2txyewy. Casting lijkt gewoon te werken als ik deze regel oversla. Is dit nodig voor bepaalde compatibiliteit? Is het risico van deze regel niet bijzonder hoog als ik deze regel wel toevoeg?

Ik zal ook nog een poging doen om deze vragen te beantwoorden. Dit heeft niet heel veel met Intune te maken, waardoor er (minder) op gereageerd wordt.

Als eerst de firewall settings public, private, all. Hebben te maken met welk netwerk profiel je bent verbonden. Als je op een vreemd netwerk komt (wifi in een café) dan zie je “public” staan bij je profiel. Verbind je op kantoor met bv een domein dan wordt deze “private”

Make a Wi-Fi network public or private in Windows - Microsoft Support.

In een firewall regel zeg je dus alleen of deze regel van toepassing is op mode public, private of all.

Het casten zelf gaat gewoon over het normale lan (mits de infra dat toestaat)

[Blokker_1999]

Ik heb men vraag over de haag gedumpt en een case bij MS aangemaakt. Vermoed dat ik gewoon iets wens dat niet mogelijk is. Hoewel Intune het device aanziet als compliant heb ik het device nog eens goed bekeken in Entra en hoewel daar een Yes staat bij Compliant, geeft die ook aan dat de laatste sync goed een week geleden was, wat aantoont dat het device in Entra nog niet volledig is bijgewerkt.

En dat zal dan weer komen doordat we nog door de account setup fase moeten gaan waarbij je eigenlijk pas de registratie van het apparaat in Entra vervoldigt.

Maar even afwachten of men bij MS iets meer kan vertellen. Indien zij zeggen dat het niet kan moeten we dus zorgen dat die CA policy even niet van toepassing is op een gebruiker die door de OOBE aan het gaan is.

[ReZpie]

Blokker_1999 schreef op woensdag 11 september 2024 @ 13:08:
Ik heb men vraag over de haag gedumpt en een case bij MS aangemaakt. Vermoed dat ik gewoon iets wens dat niet mogelijk is. Hoewel Intune het device aanziet als compliant heb ik het device nog eens goed bekeken in Entra en hoewel daar een Yes staat bij Compliant, geeft die ook aan dat de laatste sync goed een week geleden was, wat aantoont dat het device in Entra nog niet volledig is bijgewerkt.

En dat zal dan weer komen doordat we nog door de account setup fase moeten gaan waarbij je eigenlijk pas de registratie van het apparaat in Entra vervoldigt.

Maar even afwachten of men bij MS iets meer kan vertellen. Indien zij zeggen dat het niet kan moeten we dus zorgen dat die CA policy even niet van toepassing is op een gebruiker die door de OOBE aan het gaan is.

Heb je "intune erollment" ge-exclude als app op je ca policy?

[ Voor 3% gewijzigd door ReZpie op 11-09-2024 13:12 ]

[Blokker_1999]

ReZpie schreef op woensdag 11 september 2024 @ 13:11:
[...]


Heb je "intune erollment" ge-exclude als app op je ca policy?

De CA policy is expliciet voor de VPN app, dit uiteraard om te voorkomen dat gebruikers de VPN app thuis op een willekeurige PC kunnen installeren en daarmee toegang kunnen krijgen tot onze omgeving. Maar MS heeft net bevestigd dat dit niet werken net omdat de machine de hybrid setup fase nog niet voltooid heeft:

The issue you're encountering is likely due to the fact that the device has not completed the Hybrid Azure AD Join process before the user attempts to log in. For the best user experience, the hybrid registration should finish before the end user performs the Windows logon with AD credentials. If the device is not fully hybrid joined, it won't be able to obtain an Azure AD user token, which is necessary for the device to sync in user context and be marked as compliant by Conditional Access policies. I checked signin logs and there is no device id - that's why it's showing as incompliant.

Here are the key points to consider:
1. Domain Controller Line-of-Sight: Ensure that the device has a direct line of sight to the Domain Controller (DC) either directly or through VPN during the Device ESP phase.

2. Hybrid Azure AD Join Completion: The device must complete the Hybrid Azure AD Join process before the user logs in. If this process is not completed, the device won't be able to obtain the necessary Azure AD user token.

3. Compliance Policy: The device must be marked as compliant in Intune. Ensure that all compliance policies are correctly applied and that the device is reported as compliant in Intune.

4. Conditional Access Policies: Verify that the Conditional Access policies are correctly configured and that the device meets all the requirements for compliance.

[xven0mxz]

HKLM_ schreef op maandag 9 september 2024 @ 18:23:
Helaas geen apple maar wel iets anders gaafs!

Device hardware inventory is coming soon to Microsoft Intune (P1)

https://techcommunity.mic...osoft-intune/ba-p/4238042

Dit is dan wel weer heel jammer voorlopig. Hopelijk zit er een mogelijkheid in om het aan te sluiten op een LA.

Will this data be available for export via API?
This data will not be available to export via API upon initial release, but it will be available to export as a CSV file from the UX. We will continue investigating additional ways to offer exportation and visualization of this data.

[HKLM_]

xven0mxz schreef op woensdag 11 september 2024 @ 14:42:
[...]


Dit is dan wel weer heel jammer voorlopig. Hopelijk zit er een mogelijkheid in om het aan te sluiten op een LA.

Will this data be available for export via API?
This data will not be available to export via API upon initial release, but it will be available to export as a CSV file from the UX. We will continue investigating additional ways to offer exportation and visualization of this data.

API komt wel, ik had deze functie eigenlijk nog niet GA verwacht om eerlijk te zijn

[HKLM_]

Voor onze Intune en MDE beheerders

"Known issue
New Windows 11, version 24H2 devices that are intended to be onboarded to Microsoft Defender for Endpoint might require customers to enable the prerequisite feature. This affects all supported architectures."

A user buys a new device that has the Home SKU. This SKU does not support Defender for Endpoint. Then the user upgrades to Pro using a Pro product key. This process, called “transmog,” does not install Defender for Endpoint, which is by design. The Defender for Endpoint agent is not correctly enrolled in the Defender for Endpoint service, and the device is not protected.

A user buys a new device that has the Pro SKU, and the OEM did not install the required feature.


KB5043950: Windows 11, version 24H2 support - Microsoft Support

[Quad]

Goede ontwikkeling voor Intune MDM gekoppelde apparaten in aantocht, vanaf oktober worden systemen die zijn gekoppeld aan Intune MDM vanuit OOBE gelijk gepatcht met de laatste CU.

Je kan dan rekening houden met extra tijd tijdens een enrollment, er wordt geen mogelijkheid tot het uitschakelen van deze feature verwacht, ingestelde policies binnen wufb worden wel gerespecteerd.
https://techcommunity.mic...ience-coming/ba-p/4246689

[Davidas]

Quad schreef op woensdag 18 september 2024 @ 15:27:
Goede ontwikkeling voor Intune MDM gekoppelde apparaten in aantocht, vanaf oktober worden systemen die zijn gekoppeld aan Intune MDM vanuit OOBE gelijk gepatcht met de laatste CU.

Je kan dan rekening houden met extra tijd tijdens een enrollment, er wordt geen mogelijkheid tot het uitschakelen van deze feature verwacht, ingestelde policies binnen wufb worden wel gerespecteerd.
https://techcommunity.mic...ience-coming/ba-p/4246689

Leuke toevoeging maar in sommige environments wil je dit ook (tijdelijk) kunnen uitschakelen, slecht van Microsoft dat ze daar niet over nagedacht hebben.

[Quad]

Davidas schreef op woensdag 18 september 2024 @ 15:38:
[...]

Leuke toevoeging maar in sommige environments wil je dit ook (tijdelijk) kunnen uitschakelen, slecht van Microsoft dat ze daar niet over nagedacht hebben.

Betreft alleen CU, feature updates en firmwares worden dan niet meegenomen.

Zoals gezegd, WUFB settings worden gerespecteerd, als jij daarin updates uitgesteld hebt, X dagen na release, wordt het dan door OOBE niet toegepast.

[nextware]

Quad schreef op woensdag 18 september 2024 @ 15:27:
Goede ontwikkeling voor Intune MDM gekoppelde apparaten in aantocht, vanaf oktober worden systemen die zijn gekoppeld aan Intune MDM vanuit OOBE gelijk gepatcht met de laatste CU.

Je kan dan rekening houden met extra tijd tijdens een enrollment, er wordt geen mogelijkheid tot het uitschakelen van deze feature verwacht, ingestelde policies binnen wufb worden wel gerespecteerd.
https://techcommunity.mic...ience-coming/ba-p/4246689

Dan vraag ik me af.. Waar is dan het gedeelte "checking for updates" voor nodig net voor de 1e fase van de deployment begint..

[HKLM_]

nextware schreef op woensdag 18 september 2024 @ 16:09:
[...]


Dan vraag ik me af.. Waar is dan het gedeelte "checking for updates" voor nodig net voor de 1e fase van de deployment begint..

Die heeft nooit iets gedaan denk net als de status ring welke fixed is op bepaalde percentages

In ander nieuws, wisten jullie dat de de apps in Autopilot geïnstalleerd worden op basis van alfabetische volgorde. Niet op naam maar op basis van het GUID.

[ Voor 28% gewijzigd door HKLM_ op 18-09-2024 20:13 ]

[D_Jeff]

fase 1 = system
Eigenlijk worden de PS-modules snel gechecked of deze gaan werken en of een machine al mogelijk in een tenant hangt. Een Pre-stage voor join + pre-stage voor Windows update

[Blokker_1999]

Zit ik net tijd te investeren in het verkorten van de tijd die laptops nodig hebben in de OOBE, gaat MS die weer verlengen 🫤.

En wat die volgorde van installatie betreft, ik zou daar ook graag eens wat verbeteringen in zien, dat we zelf een volgorde kunnen opgeven ipv heel de tijd met dependencies te moeten werken.

[HKLM_]

Blokker_1999 schreef op vrijdag 20 september 2024 @ 09:45:
Zit ik net tijd te investeren in het verkorten van de tijd die laptops nodig hebben in de OOBE, gaat MS die weer verlengen 🫤.

En wat die volgorde van installatie betreft, ik zou daar ook graag eens wat verbeteringen in zien, dat we zelf een volgorde kunnen opgeven ipv heel de tijd met dependencies te moeten werken.

Ik vind het wel een goed begin en zie eigenlijk ook geen probleem, beter een device uitgeven welke direct is geupdate dan dat de gebruiker na de oobe een non compliant device heeft en zelf een verplichte reboot moet doen om de updates te installeren.

Als ik soms zie wat voor iso’s mensen gebruiken om Windows te installeren en dan uitgeven die missen soms een half jaar aan updates…

Als je gewoon maandelijks de iso bijwerkt of download van de microsoft site dan zullen er ook niet veel updates tijdens oobe geïnstalleerd hieven te worden.