Microsoft Intune ervaringentopic

[TheVMaster]

Quad schreef op vrijdag 18 oktober 2024 @ 17:07:
[...]

Vet, je brengt mij iig op wat usecases hiermee!

Ik ken klanten die dit gebruiken, super gebruiksvriendelijk en makkelijk te configureren.

[Quad]

TheVMaster schreef op vrijdag 18 oktober 2024 @ 19:57:
[...]


Ik ken klanten die dit gebruiken, super gebruiksvriendelijk en makkelijk te configureren.

De web sign-in of het andere?
Ik ben een beetje met de web sign-in aan het pielen, vereist wel dat de gebruiker iets extra's in zijn app instelt, maar het werkt wel. Vooral op gedeelde apparaten lijkt het een handig iets te zijn, daarna een pincode toevoegen en je bent er. Geen wachtwoord te onthouden. Daarna heb je de web sign-in niet meer nodig lijkt het trouwens.

[ralpje]

TheVMaster schreef op vrijdag 18 oktober 2024 @ 19:38:
[...]


Dat vind ik dus de grootste bullshit een PIN met cijfers en letters. Gewoon Windows Hello met gezicht of vingerafdruk instellen.

Maar dan zit daar alsnog een PIN-code achter. Die is er altijd. Dus kan geen kwaad om die zo veilig mogelijk te maken.

[Rolfie]

TheVMaster schreef op vrijdag 18 oktober 2024 @ 19:38:
[...]


Dat vind ik dus de grootste bullshit een PIN met cijfers en letters. Gewoon Windows Hello met gezicht of vingerafdruk instellen.

Nadeel van gezicht of vingerafdrukken is soms Privacy discussies. Daarnaast werkt deze niet altijd icm (cold) boot en externe camera's in thunderbolt dockingstations. Vinger afdrukken lezers icm closed laptops werkt ook niet altijd ideaal.

PIN werkt inderdaad gewoon goed. En meestal zijn 6 of 8 cijfers voldoende.

[TheVMaster]

ralpje schreef op zaterdag 19 oktober 2024 @ 09:59:
[...]


Maar dan zit daar alsnog een PIN-code achter. Die is er altijd. Dus kan geen kwaad om die zo veilig mogelijk te maken.

Sure, maar het is device-locked. Ik ken werkelijk waar geen enkele grote serieuze enterprise level klant die complexe PIN’s gebruikt. Leuk dat die functionaliteit er is, maar voor mijn gevoel overbodig. 😋

[TheVMaster]

Rolfie schreef op zaterdag 19 oktober 2024 @ 14:11:
[...]

Nadeel van gezicht of vingerafdrukken is soms Privacy discussies. Daarnaast werkt deze niet altijd icm (cold) boot en externe camera's in thunderbolt dockingstations. Vinger afdrukken lezers icm closed laptops werkt ook niet altijd ideaal.

PIN werkt inderdaad gewoon goed. En meestal zijn 6 of 8 cijfers voldoende.

Privacy discussies moet je dus beslechten. Uitleggen hoe het werkt en eigenlijk zijn er dan maar weinig situaties waar het nog steeds een issue is.

[Quad]

Diegenen die het hardst roepen om geen biometrics te gebruiken zweren wel bij gebruik daarvan op hun smartphone, want makkelijk.

[Blokker_1999]

TheVMaster schreef op vrijdag 18 oktober 2024 @ 19:38:
[...]


Dat vind ik dus de grootste bullshit een PIN met cijfers en letters. Gewoon Windows Hello met gezicht of vingerafdruk instellen.

Ik kan je daar geen ongelijk in geven. Diegene die bedacht heeft dat een PIN, waarvan de N letterlijk voor nummer staat, ook letters en speciale tekens kan bevatten, die mogen ze van mij naar de maan schieten. Geen enkel probleem mee als je dat optioneel aanbied en dat er iemand gebruik van wenst te maken, maar mensen ertoe verplichten is de grootste onzin en maakt de PIN optie wat mij betreft helemaal waardeloos. Toch heb ik ooit in een omgeving gewerkt waar het zo stond ingesteld . Dan maar het wachtwoord gebruiken.

De discussie om WhfB te gaan gebruiken staat voor 1 van de volgende maanden op de planning. Nu heel mijn Win11 rollout project in de eindfase zit kunnen we gaan bekijken hoe we het gebruiksgemak van zowel de beheerskant beter kunnen doen alsook de gebruikerservaring voor eindgebruikers kunnen verbeteren. Want na 2 jaar werk is er wel weer wat veranderd en kunnen we ook naar die dingen kijken die ik uiteindelijk heb moeten laten vallen in dit project.

[ Voor 22% gewijzigd door Blokker_1999 op 20-10-2024 16:28 ]

[Quad]

Ik zit de optie voor multi factor unlock voor wachtwoordloos inloggen te bekijken. Hoe ga je dit doen wanneer biometrisch inloggen geen mogelijkheid is? Dan moet je iemand 2x z'n pin in laten vullen?

[ZeRoC00L]

Blokker_1999 schreef op zondag 20 oktober 2024 @ 16:26:
[...]

Ik kan je daar geen ongelijk in geven. Diegene die bedacht heeft dat een PIN, waarvan de N letterlijk voor nummer staat, ook letters en speciale tekens kan bevatten, die mogen ze van mij naar de maan schieten.

Kun je forceren in de policies dat alleen nummers mogelijk zijn voor PIN.

[HKLM_]

Quad schreef op zondag 20 oktober 2024 @ 16:30:
Ik zit de optie voor multi factor unlock voor wachtwoordloos inloggen te bekijken. Hoe ga je dit doen wanneer biometrisch inloggen geen mogelijkheid is? Dan moet je iemand 2x z'n pin in laten vullen?

Ik heb er gisteravond naar zitten kijken en doe de eerste check met PIN of Biometrisch.

De tweede check doe ik nu op basis van netwerk (ga kijken naar andere mogelijkheden) netwerk is wel een easy oplossing voor op werk zegmaar.

Als je niet op de zaak bent en alleen pin als optie hebt en geen biomedisch dan moet je 2x pin kiezen.

[ Voor 8% gewijzigd door HKLM_ op 20-10-2024 18:32 ]

[HKLM_]

ZeRoC00L schreef op zondag 20 oktober 2024 @ 16:55:
[...]

Kun je forceren in de policies dat alleen nummers mogelijk zijn voor PIN.

Ja dat kan je instellen in de policy. Ik forceer geen letters maar de gebruiker kan het wel aanvinken als ze dat zouden willen. Je kan zelfs bepalen of ze alleen “kleine” letters mogen gebruiken, of “hoofdletters” zijn toegestaan of niet en of je “speciale tekens” wilt toestaan of niet.

[ Voor 35% gewijzigd door HKLM_ op 20-10-2024 17:57 ]

[Quad]

HKLM_ schreef op zondag 20 oktober 2024 @ 17:54:
[...]


Ik heb er gisteravond naar zitten kijken en doe de eerste check met PIN of Biometrisch.

De tweede check doe ik nu op basis van netwerk (ga kijken naar andere mogelijkheden) netwerk is wel een easy oplossing voor op werk zegmaar.

Als je niet op de zaak bent en alleen pin als optie hebt en geen biomedisch dan moet je inderdaad 2x de pin invullen.

Ik vind het in elk geval een mooi aanvullend alternatief.

De uitzondering met netwerk snap ik niet zo goed qua configuratie. Het wordt in de learn volledig uitgelegd, maar ik kan die xml code niet kwijt in 1 regel die je in de policy tot je beschikking hebt.

Websignin is een mooie mogelijkheid om samen met MS authenticator wachtwoordloos aanmelden mogelijk te maken, nadeel is wel dat de eindgebruiker altijd eerst nog de instelling hiervoor moet activeren in de app. Maar dat is wel met instructies deels te ondervangen denk ik. En een stukje promotie hiervan bij de eindklant.

Ik elk geval bedankt voor deze info, stof tot nadenken en extra mogelijkheden voor additionele lokale werkplekbeveiliging.

[HKLM_]

Quad schreef op zondag 20 oktober 2024 @ 18:03:
[...]

Ik vind het in elk geval een mooi aanvullend alternatief.

De uitzondering met netwerk snap ik niet zo goed qua configuratie. Het wordt in de learn volledig uitgelegd, maar ik kan die xml code niet kwijt in 1 regel die je in de policy tot je beschikking hebt.

Websignin is een mooie mogelijkheid om samen met MS authenticator wachtwoordloos aanmelden mogelijk te maken, nadeel is wel dat de eindgebruiker altijd eerst nog de instelling hiervoor moet activeren in de app. Maar dat is wel met instructies deels te ondervangen denk ik. En een stukje promotie hiervan bij de eindklant.

Ik elk geval bedankt voor deze info, stof tot nadenken en extra mogelijkheden voor additionele lokale werkplekbeveiliging.

Ik kon mijn XML best makkelijk kwijt, maar zit te gluren naar de uitgebreide nu doe ik alleen gateway haha. (Je mag je config altijd eens posten of per DM sturen)

Web Sign-in zie ik vooral mogelijk met shared pc’s die geen fido key hebben. WHFB is voor shared PC’s niet echt bruikbaar wegens de TPM beperkingen. Als je medewerkers dan al een smartphone hebben is web sign-in een mooie mogelijkheid voor de shared pc’s

Voor gewoon KA systemen biedt ik het wel aan maar heeft de voorkeur WHFB.

[TheVMaster]

Quad schreef op zondag 20 oktober 2024 @ 16:30:
Ik zit de optie voor multi factor unlock voor wachtwoordloos inloggen te bekijken. Hoe ga je dit doen wanneer biometrisch inloggen geen mogelijkheid is? Dan moet je iemand 2x z'n pin in laten vullen?

Een van de factoren kan volgens mij ook de Default Gateway of het netwerksegment zijn, twee keer PIN kan niet.

[TheVMaster]

ZeRoC00L schreef op zondag 20 oktober 2024 @ 16:55:
[...]

Kun je forceren in de policies dat alleen nummers mogelijk zijn voor PIN.

Zeker wel.

[TheVMaster]

HKLM_ schreef op zondag 20 oktober 2024 @ 17:54:
[...]


Ik heb er gisteravond naar zitten kijken en doe de eerste check met PIN of Biometrisch.

De tweede check doe ik nu op basis van netwerk (ga kijken naar andere mogelijkheden) netwerk is wel een easy oplossing voor op werk zegmaar.

Als je niet op de zaak bent en alleen pin als optie hebt en geen biomedisch dan moet je inderdaad 2x de pin invullen.

Connected device via Bluetooth is s ook een makkelijke.

[HKLM_]

TheVMaster schreef op zondag 20 oktober 2024 @ 18:10:
[...]


Een van de factoren kan volgens mij ook de Default Gateway of het netwerksegment zijn, twee keer PIN kan niet.

Ja klopt, ik gebruik nu default gateway voor groep B.

[ Voor 24% gewijzigd door HKLM_ op 20-10-2024 18:33 ]

[Quad]

Ik heb getest met 2x PIN als requirement en dat werkt echter wel.

Dus de ID voor alleen PIN in group A en group B invullen.

[ Voor 31% gewijzigd door Quad op 20-10-2024 18:25 ]

[HKLM_]

TheVMaster schreef op zondag 20 oktober 2024 @ 18:12:
[...]


Connected device via Bluetooth is s ook een makkelijke.

Net de Bluetooth optie geprobeerd met mijn iPhone en dit werkt echt goed inderdaad. 1x je Iphone connecten en daarna is bluetooth op je iphone aan hebben staan voldoende.

Ik ga komende tijd eens spelen hiermee met verschillende configuraties

[Quad]

Ik zie hier wat duidelijkere info voor mij om de settings te configureren: https://petervanderwoude....ness-multi-factor-unlock/

OMA URI hoeft niet meer:

[HKLM_]

Quad schreef op zondag 20 oktober 2024 @ 20:40:
Ik zie hier wat duidelijkere info voor mij om de settings te configureren: https://petervanderwoude....ness-multi-factor-unlock/

OMA URI hoeft niet meer:

[Afbeelding]

Ik deed het al met de settings catalog, de blog van Peter is nog wel goed maar wel al van 2021.

[Quad]

HKLM_ schreef op zondag 20 oktober 2024 @ 20:43:
[...]


Ik deed het al met de settings catalog, de blog van Peter is nog wel goed maar wel al van 2021.

Klopt, maar ging mij even om de opbouw van de xml enz. Hij legt het eea wel fijn uit wat mij meer geeft dan de documentatie van Microsoft.

[HKLM_]

Quad schreef op zondag 20 oktober 2024 @ 20:45:
[...]

Klopt, maar ging mij even om de opbouw van de xml enz. Hij legt het eea wel fijn uit wat mij meer geeft dan de documentatie van Microsoft.

Ja eens!

[Blokker_1999]

Iemand hier die de "Account setup" tijdens de OOBE overslaat? Iets waar ik op moet letten als ik dat zou doen?

[Davidas]

Blokker_1999 schreef op maandag 21 oktober 2024 @ 14:05:
Iemand hier die de "Account setup" tijdens de OOBE overslaat? Iets waar ik op moet letten als ik dat zou doen?

Nee, waarom zou je dat doen? Je wilt toch dat het profiel goed wordt ingeladen, als je dit overslaat ben je de grip kwijt.

[Blokker_1999]

Te vaak dat gebruikers net vast komen te zitten op die fase zonder dat er een aanwijsbare reden voor is. Bijkomend gebeurt er niet veel in die fase voor zover ik weet. We hebben het aantal applicaties dat voor de gebruiker daar geinstalleerd wordt al tot het minimale terug gebracht, de rest installeert al na de OOBE. Verder is er geen gebruikerscertificaat dat we daar pushen daar dat certificaat nog altijd via GPO binnenkomt (hybrid join). Dus blijft die eerste stap over waar je de user affinity gaat zetten in Intune, maar als we de gebruiker vragen om de Company Portal even open te doen vlak na installatie wordt die stap alsnog uitgevoerd.

Als ik deze stap oversla kunnen gebruikers er ook niet op komen vast zitten, verliezen we soms geen uur bij de onboarding van onze gebruikers, wat nu wel voorvalt en niet leuk is als je maar een beperkt tijdsblok krijgt, en gaan gebruikers die we upgraden van Win10 naar Win11 veel sneller terug aan hun desktop komen.

Ja, het klopt dat in de eerste minuten er mogelijks nog wat profielen worden ingeladen die zijn toegewezen aan de gebruiker, maar kan dat zoveel kwaad dat de gebruiker op dat moment aan de desktop kan? Alle belangrijke software en instellingen die de PC moeten helpen beschermen zitten volgens mij op systeem niveau.

[HKLM_]

Blokker_1999 schreef op maandag 21 oktober 2024 @ 14:05:
Iemand hier die de "Account setup" tijdens de OOBE overslaat? Iets waar ik op moet letten als ik dat zou doen?

Ik heb dat wel eens ingesteld en werkte eigenlijk prima.

[Davidas]

Blokker_1999 schreef op maandag 21 oktober 2024 @ 14:39:
Te vaak dat gebruikers net vast komen te zitten op die fase zonder dat er een aanwijsbare reden voor is. Bijkomend gebeurt er niet veel in die fase voor zover ik weet. We hebben het aantal applicaties dat voor de gebruiker daar geinstalleerd wordt al tot het minimale terug gebracht, de rest installeert al na de OOBE. Verder is er geen gebruikerscertificaat dat we daar pushen daar dat certificaat nog altijd via GPO binnenkomt (hybrid join). Dus blijft die eerste stap over waar je de user affinity gaat zetten in Intune, maar als we de gebruiker vragen om de Company Portal even open te doen vlak na installatie wordt die stap alsnog uitgevoerd.

Als ik deze stap oversla kunnen gebruikers er ook niet op komen vast zitten, verliezen we soms geen uur bij de onboarding van onze gebruikers, wat nu wel voorvalt en niet leuk is als je maar een beperkt tijdsblok krijgt, en gaan gebruikers die we upgraden van Win10 naar Win11 veel sneller terug aan hun desktop komen.

Ja, het klopt dat in de eerste minuten er mogelijks nog wat profielen worden ingeladen die zijn toegewezen aan de gebruiker, maar kan dat zoveel kwaad dat de gebruiker op dat moment aan de desktop kan? Alle belangrijke software en instellingen die de PC moeten helpen beschermen zitten volgens mij op systeem niveau.

Maar ga dan onderzoeken waarom deze fase soms vastloopt, en gebruik je Autopilot v2 al? Die is namelijk een stuk stabieler dan v1 en beter te monitoren.

[Blokker_1999]

Ik kan v2 niet gebruiken -> hybrid deploys, en ja, ik weet dat non-hybrid beter is, geloof me.

De hybrid deploy op zich kan 1 van de oorzaken zijn, de MS Store kan 1 van de oorzaken zijn Als je dit probleem gaat zoeken online dan vind je dat dit probleem al vele beheerders parten heeft gespeeld en echt geen nieuw probleem is. Ik vind voorbeelden van meer dan 5 jaar oud terug met identiek dezelfde symptomen en niemand die ooit maar enige zinnige verklaring lijkt te hebben gevonden voor dit probleem.

Ik heb de afgelopen weken en maanden honderden deploys zelf uitgevoerd in allerhande testen, ik ben dit probleem zelf nooit tegengekomen. Ik heb meerdere stappen ondernomen om het probleem tegen te gaan, niets heeft tot op heden geholpen. Ik blijf klachten terug krijgen van het support team dat wanneer ze een sessie met 10 mensen doen er altijd wel 2 of 3 zijn waarbij dit voorkomt. Dit weekend zijn de eerste vrijwilligers van Windows 10 naar 11 gegaan met een clean install en 3 van de 4 die het gedaan hebben zijn ook tegen dit probleem aangelopen.

Ik kan blijven zoeken achter oorzaken en oplossingen, maar op een gegeven moment ben je gewoon moegestreden en wil je gewoon een oplossing die werkt. Als dat betekend dat ik met een kanon op een mug moet schieten, dan is dat maar zo. Als dit het grote probleem oplost is de belangrijkste vraag dan ook: welke nieuwe problemen kunnen we hierdoor verwachten, zijn we zeker dat we de pest niet omwisselen voor cholera? Welke is het minste van de twee kwaden. Want ik kan voor een self-service upgrade van 10 naar 11, en ja, dat moet met een wipe and load process voor 1 keer, geen 24/7 helpdesk gaan voorzien.

[jeroentjeh]

Op welk punt loopt het vast dan?

[HKLM_]

Intune Enhanced device inventory lijkt verplaatst te zijn naar november ipv oktober.

[nextware]

jeroentjeh schreef op maandag 21 oktober 2024 @ 15:10:
Op welk punt loopt het vast dan?

Hier ben ik ook wel benieuwd naar. Loop je tegen een (fout)melding aan ?
Ik heb beide scenario's meegemaakt. Zowel hybrid als full Azure-AD join. Daarbij moet ik vertellen dat de Windows 11 AutoPilot deployment (en vooral 24H2) een stuk beter werkt dan die van Windows 10

HKLM_ schreef op maandag 21 oktober 2024 @ 21:45:
Intune Enhanced device inventory lijkt verplaatst te zijn naar november ipv oktober.

[Afbeelding]

Dit vereist toch een additionele licentie binnen Intune ?

[ Voor 36% gewijzigd door nextware op 22-10-2024 07:35 ]

[HKLM_]

nextware schreef op dinsdag 22 oktober 2024 @ 07:35:
[...]


Hier ben ik ook wel benieuwd naar. Loop je tegen een (fout)melding aan ?
Ik heb beide scenario's meegemaakt. Zowel hybrid als full Azure-AD join. Daarbij moet ik vertellen dat de Windows 11 AutoPilot deployment (en vooral 24H2) een stuk beter werkt dan die van Windows 10


[...]


Dit vereist toch een additionele licentie binnen Intune ?

Nee dit gaat onderdeel worden van intune core, en zit dus in de P1 licentie

[HKLM_]

De Dell management portal is is sinds vannacht zichtbaar binnen Intune

[aGraPusher]

Ik werk sinds twee jaar met Intune en het MS365 Business Premium-pakket. Ik werk in een omgeving waar iedereen volledige administratorrechten heeft en waar Defender for Business nog niet verder is ingericht (security score: 55%). Laptops worden geïnstalleerd met RemoteSigned, zodat legacy-scripts kunnen blijven draaien.

In mijn ogen is dit een veiligheidsrisico en moeten we dit zo snel mogelijk verbeteren. Maar waar kan ik het beste beginnen? Ik ben begonnen met het uitfaseren van de scripts en deze te vervangen door een degelijke oplossing, maar ik ondervind veel weerstand van de beheerder die deze scripts de afgelopen 25 jaar heeft gemaakt.

Het gaat om een tenant met ongeveer 200 gebruikers.

[ Voor 16% gewijzigd door aGraPusher op 22-10-2024 07:52 ]

[Gr4mpyC3t]

aGraPusher schreef op dinsdag 22 oktober 2024 @ 07:47:
Ik werk sinds twee jaar met Intune en het MS365 Business Premium-pakket. Ik werk in een omgeving waar iedereen volledige administratorrechten heeft en waar Defender for Business nog niet verder is ingericht (security score: 55%). Laptops worden geïnstalleerd met RemoteSigned, zodat legacy-scripts kunnen blijven draaien.

In mijn ogen is dit een veiligheidsrisico en moeten we dit zo snel mogelijk verbeteren. Maar waar kan ik het beste beginnen? Ik ben begonnen met het uitfaseren van de scripts en deze te vervangen door een degelijke oplossing, maar ik ondervind veel weerstand van de beheerder die deze scripts de afgelopen 25 jaar heeft gemaakt.

Het gaat om een tenant met ongeveer 200 gebruikers.

Legacy scripts hoeven niet erg te zijn. Als het werkt, dan werkt het. De administrator rechten zijn een groter risico.

Overtuig je collega’s met feiten en onderbouwingen. Ga dus aan de slag met Defender for Endpoint en maak daarmee de risico’s inzichtelijk.

Meten = weten. Dat werkt vaak beter dan ‘ik weet het beter’ (gechargeerd gezegd).

[aGraPusher]

Gr4mpyC3t schreef op dinsdag 22 oktober 2024 @ 08:00:
[...]


Legacy scripts hoeven niet erg te zijn. Als het werkt, dan werkt het. De administrator rechten zijn een groter risico.

Overtuig je collega’s met feiten en onderbouwingen. Ga dus aan de slag met Defender for Endpoint en maak daarmee de risico’s inzichtelijk.

Meten = weten. Dat werkt vaak beter dan ‘ik weet het beter’ (gechargeerd gezegd).

Thanks voor je reactie. De scriptjes vereisen allemaal administratorrechten, anders werken ze niet. Hoe regel ik dit het beste als iemand geen administrator meer is?

[ralpje]

Wat doen de scriptjes precies? Kijk of je die functie door iets anders (config profile bijvoorbeeld?) kunt laten doen. Óf herschrijf de scripts zodat ze geen admin-rechten meer nodig hebben. Óf haal de admin-rechten weg maar zorg dat de scripts wel elevated kunnen draaien.

[ Voor 18% gewijzigd door ralpje op 22-10-2024 08:57 ]

[HKLM_]

aGraPusher schreef op dinsdag 22 oktober 2024 @ 07:47:
Ik werk sinds twee jaar met Intune en het MS365 Business Premium-pakket. Ik werk in een omgeving waar iedereen volledige administratorrechten heeft en waar Defender for Business nog niet verder is ingericht (security score: 55%). Laptops worden geïnstalleerd met RemoteSigned, zodat legacy-scripts kunnen blijven draaien.

In mijn ogen is dit een veiligheidsrisico en moeten we dit zo snel mogelijk verbeteren. Maar waar kan ik het beste beginnen? Ik ben begonnen met het uitfaseren van de scripts en deze te vervangen door een degelijke oplossing, maar ik ondervind veel weerstand van de beheerder die deze scripts de afgelopen 25 jaar heeft gemaakt.

Het gaat om een tenant met ongeveer 200 gebruikers.

Ik zou vanuit Intune de onboarding met Defender for Business inregelen zodat laptops worden onboard.
Vanuit Intune zou ik dan het Endpoint security stuk gaan configureren, AV policies voor Defender, Security baselines en ASR regels.

Je hebt het over dat iedereen volledige administrator rechten heeft, je bedoelt dat iedereen local admin is?
Wat doen die scripts? moeten de collega's deze scripts handmatig runnen of doet bepaalde software dit?

[aGraPusher]

HKLM_ schreef op dinsdag 22 oktober 2024 @ 09:03:
[...]


Ik zou vanuit Intune de onboarding met Defender for Business inregelen zodat laptops worden onboard.
Vanuit Intune zou ik dan het Endpoint security stuk gaan configureren, AV policies voor Defender, Security baselines en ASR regels.

Je hebt het over dat iedereen volledige administrator rechten heeft, je bedoelt dat iedereen local admin is?
Wat doen die scripts? moeten de collega's deze scripts handmatig runnen of doet bepaalde software dit?

ralpje schreef op dinsdag 22 oktober 2024 @ 08:57:
Wat doen de scriptjes precies? Kijk of je die functie door iets anders (config profile bijvoorbeeld?) kunt laten doen. Óf herschrijf de scripts zodat ze geen admin-rechten meer nodig hebben. Óf haal de admin-rechten weg maar zorg dat de scripts wel elevated kunnen draaien.

Onboarden heb ik inmiddels gedaan, net als wat andere configuraties. De drie locaties waar de scriptjes staan, heb ik in een exclusions list gezet. Toch krijg ik nog steeds alerts voor een Multi-stage incident involving Persistence & Discovery op meerdere endpoints.

De scriptjes doen het volgende:

Bij interactie van de eindgebruiker:
Projectmappen maken en sjablonen invullen met data uit het CRM. Verschillende .json-bestanden van het CRM-systeem worden opgehaald en verwerkt tot een .xml. De gehele administratie wordt bij elke gebruiker opnieuw opgehaald voor gebruik. Vorig jaar ging dit mis en trof ik BSN's, rekeningnummers en andere gegevens aan van alle medewerkers.

Automatisch bij aanmelden:
Thema instellen, verschillende policies toepassen, OneDrive-map met scriptjes kopiëren naar de lokale map en een taak inplannen.

Er zullen vast nog meer dingen zijn die door de scriptjes worden geregeld, maar er is niks gedocumenteerd.

[Blokker_1999]

jeroentjeh schreef op maandag 21 oktober 2024 @ 15:10:
Op welk punt loopt het vast dan?

Laat ik beginnen met wat context.

Er zijn dagen waarop we meerdere mensen gelijktijdig onboarden. Hun laptops zijn op hetzelfde moment uit de doos gehaald, op hetzelfde moment door preprovisioning gedaan, wat wij doen om het process te versnellen maar is niet de oorzaak van het probleem daar we het ook zien bij toestellen die geen preprovisioning doormaken, ze zitten in hetzelfde lokaal wanneer we hen onboarden, op hetzelfde netwerk. En bij de ene gaat het vlot en bij de andere loopt het vast. Letterlijk het enige verschil is de gebruikersnaam. Alle rechten, alle policies, alle apps, ... zijn hetzelfde.

Waar loopt het vast? Ook dat is niet altijd hetzelfde. De enige constante is de account setup fase. Vaak geraakt men wel voorbij het "Joining your organizations network" maar de ene keer gebeurt dat op enkele minuten, en soms pas na meer dan een half uur. De andere punten die dan moeten gebeuren blijven staan op "waiting" en vervolledigen nooit. De ene keer komt er na heel wat uren een melding dat er iets gefaald is en krijg je dus de optie om opnieuw te proberen of verder te gaan, maar er zijn er ook waar dit nooit gebeurd en je tot het einde der tijden kunt wachten op een melding.

Kan dit veroorzaakt worden doordat we in een hybrid omgeving zitten? Misschien wel. En dat is ook een mogelijke oorzaak die ik al enkele keren ben tegengekomen online. Maar dat lossen we nu niet snel even op. Het afstappen van hybrid nemen we volgend jaar ergens op. Er was ook ergens een referentie dat dit kan komen doordat we Company Portal installeren vanuit de MS Store, dit initialiseert de store waardoor deze ook updates gaat beginnen installeren in de achtergrond zonder dat je het door hebt en er daardoor processen kunnen komen vastzitten. Dat hebben we dan ondertussen ook al aangepast om te kijken of dat het probleem oplost. No joy.

Er zijn ook mensen die zeggen dat de ESP problemen met zich meebrengt en dat je die beter kunt uitschakelen, maar daar krijg ik dan weer pushback op vanuit hen die de mensen begeleiden bij het opzetten. Zij willen graag kunnen zien waar in de deployment men zit.

Je zit dus met een probleem dat niet consistent is, dat niet uit de losse pols te reproduceren is en dat zich voordoet op de computers van gebruikers die je niet zomaar even een dag of twee kunt afnemen. Bijkomend zit je in die account setup fase ook zeer beperkt in wat je zelf kunt doen, in tegenstelling tot de device setup kan je niet zomaar even een command prompt openen om van daaruit te kijken wat het systeem aan het doen is. De OOBE forceert zich boven elk ander venster.

[Blokker_1999]

aGraPusher schreef op dinsdag 22 oktober 2024 @ 09:18:
[...]


[...]


Onboarden heb ik inmiddels gedaan, net als wat andere configuraties. De drie locaties waar de scriptjes staan, heb ik in een exclusions list gezet. Toch krijg ik nog steeds alerts voor een Multi-stage incident involving Persistence & Discovery op meerdere endpoints.

De scriptjes doen het volgende:

Bij interactie van de eindgebruiker:
Projectmappen maken en sjablonen invullen met data uit het CRM. Verschillende .json-bestanden van het CRM-systeem worden opgehaald en verwerkt tot een .xml. De gehele administratie wordt bij elke gebruiker opnieuw opgehaald voor gebruik. Vorig jaar ging dit mis en trof ik BSN's, rekeningnummers en andere gegevens aan van alle medewerkers.

Automatisch bij aanmelden:
Thema instellen, verschillende policies toepassen, OneDrive-map met scriptjes kopiëren naar de lokale map en een taak inplannen.

Er zullen vast nog meer dingen zijn die door de scriptjes worden geregeld, maar er is niks gedocumenteerd.

Beginnen met een inventaris te maken van wat die scripts doen en daarna kijken hoe je dat kunt vertalen naar moderne alternatieven. Wanneer ik dingen lees als thema instellen en policies goedzetten, dan zie ik niet veel dat je niet kunt regelen vanuit bijv. Intune. Andere zaken die geen admin rechten vereisen kunnen eventueel gewoon blijven bestaan.

Als er dan toch nog uitzonderingen zijn waar je echt geen alternatief voor vind kan je nog altijd kijken of EPM iets voor je is, al is dat niet gratis.

Ik ben er 2 jaar terug zelf door mogen gaan toen ik bezig was met onze Windows 11 deploy uit te zetten. Toen de beslissing genomen om 30 jaar aan legacy stop te zetten en alles vast te nemen wat we uitvoeren op Windows 10. Admin rechten afnemen was 1 van de eerste beslissingen die we genomen hebben. Software die je wenst te installeren moet goedgekeurd zijn door security en legal en nemen we dan op in de Company Portal. En alle scripts die we meeleverden zijn vastgenomen, nagegaan wat we nog nodig hebben, wat kunnen we vertalen naar policies en wat moeten we moderniseren.

[HKLM_]

Blokker_1999 schreef op dinsdag 22 oktober 2024 @ 09:27:
[...]

Laat ik beginnen met wat context.

Er zijn dagen waarop we meerdere mensen gelijktijdig onboarden. Hun laptops zijn op hetzelfde moment uit de doos gehaald, op hetzelfde moment door preprovisioning gedaan, wat wij doen om het process te versnellen maar is niet de oorzaak van het probleem daar we het ook zien bij toestellen die geen preprovisioning doormaken, ze zitten in hetzelfde lokaal wanneer we hen onboarden, op hetzelfde netwerk. En bij de ene gaat het vlot en bij de andere loopt het vast. Letterlijk het enige verschil is de gebruikersnaam. Alle rechten, alle policies, alle apps, ... zijn hetzelfde.

Waar loopt het vast? Ook dat is niet altijd hetzelfde. De enige constante is de account setup fase. Vaak geraakt men wel voorbij het "Joining your organizations network" maar de ene keer gebeurt dat op enkele minuten, en soms pas na meer dan een half uur. De andere punten die dan moeten gebeuren blijven staan op "waiting" en vervolledigen nooit. De ene keer komt er na heel wat uren een melding dat er iets gefaald is en krijg je dus de optie om opnieuw te proberen of verder te gaan, maar er zijn er ook waar dit nooit gebeurd en je tot het einde der tijden kunt wachten op een melding.

Kan dit veroorzaakt worden doordat we in een hybrid omgeving zitten? Misschien wel. En dat is ook een mogelijke oorzaak die ik al enkele keren ben tegengekomen online. Maar dat lossen we nu niet snel even op. Het afstappen van hybrid nemen we volgend jaar ergens op. Er was ook ergens een referentie dat dit kan komen doordat we Company Portal installeren vanuit de MS Store, dit initialiseert de store waardoor deze ook updates gaat beginnen installeren in de achtergrond zonder dat je het door hebt en er daardoor processen kunnen komen vastzitten. Dat hebben we dan ondertussen ook al aangepast om te kijken of dat het probleem oplost. No joy.

Er zijn ook mensen die zeggen dat de ESP problemen met zich meebrengt en dat je die beter kunt uitschakelen, maar daar krijg ik dan weer pushback op vanuit hen die de mensen begeleiden bij het opzetten. Zij willen graag kunnen zien waar in de deployment men zit.

Je zit dus met een probleem dat niet consistent is, dat niet uit de losse pols te reproduceren is en dat zich voordoet op de computers van gebruikers die je niet zomaar even een dag of twee kunt afnemen. Bijkomend zit je in die account setup fase ook zeer beperkt in wat je zelf kunt doen, in tegenstelling tot de device setup kan je niet zomaar even een command prompt openen om van daaruit te kijken wat het systeem aan het doen is. De OOBE forceert zich boven elk ander venster.

Ik ken het probleem wat je schetst en heb dat toen opgelost door de user phase te skippen in een hybride scenario.

Florian heeft een custom script gemaakt welke ook een soort ESP is maar wel iets anders https://scloud.work/splas...ndows-start-splashscreen/

Dan kan je het Autopilot ESP uitzetten, misschien het proberen waard?

Uiteindelijk is hybride altijd aanmodderen en dealen met de situatie helaas

[Quad]

@HKLM_ je hebt het vaker over EDR van Windows defender. Maar ik persoonlijk ben er geen fan van. Binnen de Business Premium is het niet meer dan een paar managementopties binnen een tenant. En ik merk dat het vooral druk bezig is met scores en pakketten die net een dagje geleden een update hebben gehad dan realtime actie en reactie.

Liever dan een EDR oplossing via SentinelOne bijvoorbeeld.

Kan zijn dat ik totaal verkeerd kijk, maar ik heb buiten de tenants geen inzage in die info, en ik zit van al mijn klanten niet elke dag in hun 365 portaal. Nu met CIPP nog minder overigens.

[HKLM_]

Quad schreef op dinsdag 22 oktober 2024 @ 21:19:
@HKLM_ je hebt het vaker over EDR van Windows defender. Maar ik persoonlijk ben er geen fan van. Binnen de Business Premium is het niet meer dan een paar managementopties binnen een tenant. En ik merk dat het vooral druk bezig is met scores en pakketten die net een dagje geleden een update hebben gehad dan realtime actie en reactie.

Liever dan een EDR oplossing via SentinelOne bijvoorbeeld.

Kan zijn dat ik totaal verkeerd kijk, maar ik heb buiten de tenants geen inzage in die info, en ik zit van al mijn klanten niet elke dag in hun 365 portaal. Nu met CIPP nog minder overigens.

Haha ja ik heb het er zeker vaker over. Ik zit voor werk fulltime in de Intune en Endpoint security hoek. De business versie is nagenoeg gelijk aan de P1 versie van defender for Endpoint en als je het endpoint security stuk in Intune goed wilt inregelen met bijvoorbeeld de Attack Surface Reduction rules dan staat dit op de pagina.

“ Microsoft Defender Antivirus as primary AV (real-time protection on)”

Als je sentinel one hebt dan kan je die ASR regels etc uit het endpoint security stuk vergeten. Als je helemaal in de Microsoft Modern Workplace stack zit met dan is MDE,MDO,Intune een logische keuze voor endpoint beveiliging. En wat mij betreft zelfs een must have. Bedrijven die op Exchange Online Protection draaien zijn gewoon kwetsbaar in hun mail flow.

Ik zeg niet dat andere AV zoals sentinel One slecht zijn maar als het al in je licentie zit, waarom het dan niet gebruiken? Het security center is zo ontzettend veel meer dan de risk score of vulnerability management. Het hele incidenten, alerts en Exposure management voor je hele cloud omgeving komt er samen en eigenlijk moet je daar iedere dag in kijken.

Ik snap dat beheerders of een MSP dat niet doen daarvoor heb je dan weer een MSSP welke security doet en dit soort dingen voor je managed icm met een siem/soc. siem/soc klinkt zwaar maar eigenlijk heeft iedereen het nodig deze tijd zeker als je een BP met bijvoorbeeld 250 users hebt ofzo en de MSP/beheer niet 24/7 de security in de gaten aan het houden is. Als BP licentie houder vindt ik het ook gewoon zonde om een extra AV of spamfilter af te nemen. Dit zit al in je licentie en werkt perfect samen in de geschetste driehoek.

Iedereen komt namelijk een keer aan de beurt vroeg of laat.

[ Voor 6% gewijzigd door HKLM_ op 22-10-2024 21:45 ]

[Quad]

@HKLM_ Thanks voor je uitgebreide reactie. Ik zit vanzelfsprekend in de MSP hoek en ik merk gewoon dat het voor 5 klanten al niet meer voor mij te doen is, daar niemand van ons manueel inlogt op de omgeving om bewust te zien wat de resultaten zijn. En met een gepland onderhoud van zo'n tenant zou je structureel telaat zijn bij bedreigingen.

Ik ben vooral benieuwd hoe we het eventueel slimmer kunnen doen, maar ik merk dat we op dit moment beter een managed centrale plek hebben waar SentinelOne vanuit de RMM als standalone samenkomen voor adequate meldingen.

Gaat me dus niet inhoudelijk of Defender beter of minder is dan S1, beiden zijn in mijn ogen meer dan prima. Gaat me puur om beheer van die Windows Defender endpoints vanuit de MSP gedachte.

[HKLM_]

Quad schreef op dinsdag 22 oktober 2024 @ 21:53:
@HKLM_ Thanks voor je uitgebreide reactie. Ik zit vanzelfsprekend in de MSP hoek en ik merk gewoon dat het voor 5 klanten al niet meer voor mij te doen is, daar niemand van ons manueel inlogt op de omgeving om bewust te zien wat de resultaten zijn. En met een gepland onderhoud van zo'n tenant zou je structureel telaat zijn bij bedreigingen.

Ik ben vooral benieuwd hoe we het eventueel slimmer kunnen doen, maar ik merk dat we op dit moment beter een managed centrale plek hebben waar SentinelOne vanuit de RMM als standalone samenkomen voor adequate meldingen.

Gaat me dus niet inhoudelijk of Defender beter of minder is dan S1, beiden zijn in mijn ogen meer dan prima. Gaat me puur om beheer van die Windows Defender endpoints vanuit de MSP gedachte.

Ja ik snap je, speelt bij onze MSP tak ook hoor, onze RMM software kan met een andere AV overweg dacht ik. Hoe ga je daar dan mee om?

Voor security zou je naar de de multi tenant portal van defender kunnen kijken, maar ik twijfel nu eventjes of die BP proof is.

Light house kan volgens mij ook het een en ander laten zien.

Laatste optie is partneren met een MSSP die het security stukje gaat oppakken en managen.

Zelf ben ik voorstander van de MSSP optie omdat security eigen niet meer iets is wat je er als MSP bij doet maar echt focus moet hebben.

[Quad]

We voeren natuurlijk ook CIPP sinds kort, ik ga nog even kijken in hoeverre daarmee rapportages en alerts te genereren zijn voor defender.

Defender multitenantportal zal ik naar kijken. SIEM oplossing is naar voren gekomen via DattoEDR gesprekken, maar dat maakte de meerprijs voor het totaalpakket wel erg fors. (En Kaseya..)

Ik ben met je eens dat echt security in de meeste gevallen niet meer (volledig) bij een MSP zou liggen, de meeste bedrijven hebben tenslotte niet hun vaste gebouwbeheerder die de camera's en alarmsysteem beheert maar is dat bij een dedicated beveiligingsbedrijf belegd, om een vergelijking te maken.

[Quad]

Klant met Android tablets die fully managed zijn met het Microsoft managed home screen gebruikt het voor apps in het veld. Werkt briljant.

Nu is het zo dat er door kantoor ook tekeningen klaar worden gezet op SharePoint locaties, maar het benaderen van een documentenbibliotheek is wel erg intensief qua kliks. We hebben er ongeveer 4 of 5 tikken nodig om bij het document te komen, plus een tik om deze te openen. Met OneDrive en SharePoint app.

Iemand een idee om dit te vereenvoudigen? Ik wil het liefst in een app houden..

[HKLM_]

Quad schreef op vrijdag 25 oktober 2024 @ 17:00:
Klant met Android tablets die fully managed zijn met het Microsoft managed home screen gebruikt het voor apps in het veld. Werkt briljant.

Nu is het zo dat er door kantoor ook tekeningen klaar worden gezet op SharePoint locaties, maar het benaderen van een documentenbibliotheek is wel erg intensief qua kliks. We hebben er ongeveer 4 of 5 tikken nodig om bij het document te komen, plus een tik om deze te openen. Met OneDrive en SharePoint app.

Iemand een idee om dit te vereenvoudigen? Ik wil het liefst in een app houden..

Kan je niet een powerapp maken die je gebruikt om de sharepoint data op te halen?

[Blokker_1999]

HKLM_ schreef op dinsdag 22 oktober 2024 @ 18:33:
[...]


Ik ken het probleem wat je schetst en heb dat toen opgelost door de user phase te skippen in een hybride scenario.

Florian heeft een custom script gemaakt welke ook een soort ESP is maar wel iets anders https://scloud.work/splas...ndows-start-splashscreen/

Dan kan je het Autopilot ESP uitzetten, misschien het proberen waard?

Uiteindelijk is hybride altijd aanmodderen en dealen met de situatie helaas

aangezien ik Woensdagavond met vakantie vertrek, het ideale moment om nog snel even de boel aan te passen

Ervoor gezorgd dat alle benodigde software geinstalleerd zal worden in de device setup fase, een policy opgezet die de account setup fase overslaat en fingers crossed op positieve feedback

[HKLM_]

Blokker_1999 schreef op maandag 28 oktober 2024 @ 15:27:
[...]


aangezien ik Woensdagavond met vakantie vertrek, het ideale moment om nog snel even de boel aan te passen

Ervoor gezorgd dat alle benodigde software geinstalleerd zal worden in de device setup fase, een policy opgezet die de account setup fase overslaat en fingers crossed op positieve feedback

Niet even snel getest?

[Blokker_1999]

Tuurlijk wel, niet zo grondig als ik anders doe, maar de basis is uiteraard getest geweest. Maar ik wil deze voor mijn vakantie in dienst hebben zodat ik na de vakantie terug verder kan met de roll-out van mijn Win10 naar Win11.

De eerste gebruiker is deze ochtend ook zonder problemen door de onboarding geraakt en de eerste feedback daar was positief.

[HKLM_]

Voor wie wat grotere organisatie beheerd Microsoft Connected Cache gaat in public preview vandaag.

https://techcommunity.mic...tion-preview/ba-p/4277035

Vanuit Europe is het sinds vanmorgen mogelijk om nodes aan te maken maar in Redmond zijn ze nog aan het opstarten begreep ik van Andy en komen de zaken in de komende uren helemaal live voor de preview.

Zeker voor het aanbieden van applicaties kan MCC een mooie snelheids verbetering opleveren ik wat grotere organisaties. Je kan nodes aanmaken op barematal of een VM maar ook als branche cache in WSL 2 op client devices.

Ik kijk er iig naaruit om dit te gaan testen komende weken

[ Voor 12% gewijzigd door HKLM_ op 30-10-2024 18:07 ]

[Harmen]

Wat zijn jullie ervaringen met SmartScreen? Loop tegen een issue aan dat een phishing domein wordt geblocked en whitelisten niet lukt. (SmartScreenAllowListDomains reeds toegepast via Config Policy). Achtergrond, domein in kwestie is nodig voor een phishing campagne.

Op een windows sandbox werkt deze setting wel, ik vermoed dat het ergens anders vandaan komt. Indicator in Security Center maakt geen verschil, we maken geen gebruik van Defender for Endpoint oid. Heb inmiddels al een case bij MS geopend, nog niet echt veel verder, case is via intune naar het edge team gegaan.

[HKLM_]

Harmen schreef op vrijdag 1 november 2024 @ 09:44:
Wat zijn jullie ervaringen met SmartScreen? Loop tegen een issue aan dat een phishing domein wordt geblocked en whitelisten niet lukt. (SmartScreenAllowListDomains reeds toegepast via Config Policy). Achtergrond, domein in kwestie is nodig voor een phishing campagne.

Op een windows sandbox werkt deze setting wel, ik vermoed dat het ergens anders vandaan komt. Indicator in Security Center maakt geen verschil, we maken geen gebruik van Defender for Endpoint oid. Heb inmiddels al een case bij MS geopend, nog niet echt veel verder, case is via intune naar het edge team gegaan.

Kijk hier eens naar: https://support.knowbe4.c...soft-Defender-SmartScreen

[Harmen]

@HKLM_ Thanks! Had op verzoek van MS reeds Internet Options, Trusted sites gevuld. Echter had ik ze met http en https erin staan. Dat even recht gezet, ook nog even SmartScreen uitgezet via gpo configuration profile in intune.

Wat een gemartel.

[HKLM_]

Harmen schreef op vrijdag 1 november 2024 @ 10:32:
@HKLM_ Thanks! Had op verzoek van MS reeds Internet Options, Trusted sites gevuld. Echter had ik ze met http en https erin staan. Dat even recht gezet, ook nog even SmartScreen uitgezet via gpo configuration profile in intune.

Wat een gemartel.

Wel helemaal gelukt ondertussen?

[HKLM_]

HKLM_ schreef op woensdag 30 oktober 2024 @ 18:05:
Voor wie wat grotere organisatie beheerd Microsoft Connected Cache gaat in public preview vandaag.

https://techcommunity.mic...tion-preview/ba-p/4277035

Vanuit Europe is het sinds vanmorgen mogelijk om nodes aan te maken maar in Redmond zijn ze nog aan het opstarten begreep ik van Andy en komen de zaken in de komende uren helemaal live voor de preview.

Zeker voor het aanbieden van applicaties kan MCC een mooie snelheids verbetering opleveren ik wat grotere organisaties. Je kan nodes aanmaken op barematal of een VM maar ook als branche cache in WSL 2 op client devices.

Ik kijk er iig naaruit om dit te gaan testen komende weken

Even een self quote

Vandaag een omgeving gevonden waar we dit op kunnen testen servertje opgetuigd MCC gedeployed met 1 node en via Intune de Delivery optimalisatie policy aangepast en naar 3K+ devices gestuurd.

Eerste metrics vanmiddag lieten zien dat de clients de weg naar de MCC iig wisten te vinden, nu eens zien wat het komende maand doet

[Harmen]

HKLM_ schreef op vrijdag 1 november 2024 @ 17:39:
[...]

Wel helemaal gelukt ondertussen?

Nog niet, volgende week maar verder zoeken. Bedankt voor je tips.

[HKLM_]

Iemand hier goede ervaringen met het managen van Google chrome in de organisatie via Intune. Ik heb de SSO plugin geinstalleerd dit werkt wel aardig maar ben vooral benieuwd hoe andere organisaties chrome managen.

[Quad]

Sync met Google uitzetten, dat zetten we vaak door, al hangt het af van de branche.

Verder opslaan van wachtwoorden uitschakelen bijvoorbeeld. Of vooraf ingestelde lijst met extensies toestaan.

Beetje standaard..

[ Voor 44% gewijzigd door Quad op 12-11-2024 19:34 ]

[HKLM_]

Quad schreef op dinsdag 12 november 2024 @ 19:32:
Sync met Google uitzetten, dat zetten we vaak door, al hangt het af van de branche.

Ja die sync met google had ik ook gevonden dan kan je niet aanmelden met je gmail account. Naja je kan wel aanmelden maar daarna krijg je een mooie melding. Ik ben eigenlijk voorstander geen chrome in te zetten want Edge maar.....

[Quad]

HKLM_ schreef op dinsdag 12 november 2024 @ 19:34:
[...]


Ja die sync met google had ik ook gevonden dan kan je niet aanmelden met je gmail account. Naja je kan wel aanmelden maar daarna krijg je een mooie melding. Ik ben eigenlijk voorstander geen chrome in te zetten want Edge maar.....

... De gebruiker.


In zulke gevallen zou ik wachtwoorden opslaan en sync uitschakelen.

Het probleem is gewoon dat Chrome installeert in een user profiel als beheerdersrechten ontbreekt. Dat is lastig tegen te houden helaas.

[ Voor 21% gewijzigd door Quad op 12-11-2024 19:37 ]

[HKLM_]

Quad schreef op dinsdag 12 november 2024 @ 19:35:
[...]

... De gebruiker.


In zulke gevallen zou ik wachtwoorden opslaan en sync uitschakelen.

Het probleem is gewoon dat Chrome installeert in een user profiel als beheerdersrechten ontbreekt. Dat is lastig tegen te houden helaas.

hehe je zit er niet ver naast meer een applicatie die zegt werk op chrome anders geen support....
Ik ben maar extern dus die battle ga ik niet voeren nu, ik las ook iets over de Enterprise console van google maar dat is nog wat vaag voor mij (eigenlijk de hele google suite) en dat hou ik liever ook zo haha

[Quad]

HKLM_ schreef op dinsdag 12 november 2024 @ 19:40:
[...]


hehe je zit er niet ver naast meer een applicatie die zegt werk op chrome anders geen support....
Ik ben maar extern dus die battle ga ik niet voeren nu, ik las ook iets over de Enterprise console van google maar dat is nog wat vaag voor mij (eigenlijk de hele google suite) en dat hou ik liever ook zo haha

Funfact, die applicaties werken vaak soepeler in Edge.

Ik snap je, heb dat zelf ook eens moeten doen. Ik dat geval heb ik accounts aanmelden, sync opties, default pagina enz aangepast.

Het idee was simpel, zoveel mogelijk blokkeren, iets vrijgeven kan daarna altijd wel..

Chrome niet aantrekkelijk maken voor gebruik, Edge wel.

Als die applicatie eventueel een url heeft, dan die als shortcut op een desktop plaatsen en Chrome daarmee openen.

code:

"C:\Program Files\Google\Chrome\Application\chrome.exe" --app=https://www.applicatieurl.nl

Krijg je een 'webapp' zonder tabbladen enz.

[ Voor 15% gewijzigd door Quad op 12-11-2024 19:55 ]

[ibmpc]

HKLM_ schreef op dinsdag 12 november 2024 @ 19:30:
Iemand hier goede ervaringen met het managen van Google chrome in de organisatie via Intune. Ik heb de SSO plugin geinstalleerd dit werkt wel aardig maar ben vooral benieuwd hoe andere organisaties chrome managen.

Wij hebben hier drie opties voor bij klanten:
1. Chrome in InCognito only via policy
2. Chrome met diverse syncs uitgeschakeld en geforceerde third party passwordmanager
3. Chrome unmanaged met risico op datalekken en met name wachtwoorden

We proberen altijd heel sterk te pushen op InCognito only, meestal wordt dit advies gevolgd.

Dit:

[ Voor 6% gewijzigd door ibmpc op 13-11-2024 01:28 ]

[ibmpc]

Ik ben heel benieuwd hoe jullie dit oplossen.

Ik heb het plan opgevat om niet meer drie verschillende Entra/Intune SKUs bij te houden, maar om één SKU te ontwikkelen met drie securitygroepen, voor elke SKU eentje. We hebben nu drie golden tenants met de namen SKU Small, SKU Medium en SKU Large. Veruit de meeste klanten van ons zitten in een van deze SKUs.

Stel klant neemt "SKU Small" af, dan zouden wel alle settings en configuraties van "SKU Large" aanwezig zijn in de tenant. Als klant zou upgraden naar "SKU Large" dan voegt men simpelweg de groep "All Devices" toe aan de securitygroup "SKU Large".

Het idee hierachter is upselling. SKU Basic heeft bijvoorbeeld geen ASR, geen Device Guard policies, geen uitgebreide auditing, geen MAM, geen PDE, geen MFA/legacyauth uitzonderingen, geen WHFB uitzonderingen en geen compatibility met legacy fileshares. Wil de klant naar "SKU Medium" dan hoeven we niet met onze tooling de hele tenantconfiguratie opnieuw te importeren, maar voeg ik gewoon de groep "All Devices" toe aan "SKU Medium" en dan volgen alle devices vanzelf.

In theorie zou ik dus ook een SKU verschil tussen devices onderling kunnen hebben, maar dat wil ik vooralsnog niet, behalve voor testen. Nested groups worden gewoon ondersteund. Dus dit zou gewoon moeten werken. Ik ben al een test gestart met een vierde golden tenant, maar ik ben heel erg benieuwd hoe jullie hiermee omgaan?

[HKLM_]

ibmpc schreef op donderdag 14 november 2024 @ 18:12:
Ik ben heel benieuwd hoe jullie dit oplossen.

Ik heb het plan opgevat om niet meer drie verschillende Entra/Intune SKUs bij te houden, maar om één SKU te ontwikkelen met drie securitygroepen, voor elke SKU eentje. We hebben nu drie golden tenants met de namen SKU Small, SKU Medium en SKU Large. Veruit de meeste klanten van ons zitten in een van deze SKUs.

Stel klant neemt "SKU Small" af, dan zouden wel alle settings en configuraties van "SKU Large" aanwezig zijn in de tenant. Als klant zou upgraden naar "SKU Large" dan voegt men simpelweg de groep "All Devices" toe aan de securitygroup "SKU Large".

Het idee hierachter is upselling. SKU Basic heeft bijvoorbeeld geen ASR, geen Device Guard policies, geen uitgebreide auditing, geen MAM, geen PDE, geen MFA/legacyauth uitzonderingen, geen WHFB uitzonderingen en geen compatibility met legacy fileshares. Wil de klant naar "SKU Medium" dan hoeven we niet met onze tooling de hele tenantconfiguratie opnieuw te importeren, maar voeg ik gewoon de groep "All Devices" toe aan "SKU Medium" en dan volgen alle devices vanzelf.

In theorie zou ik dus ook een SKU verschil tussen devices onderling kunnen hebben, maar dat wil ik vooralsnog niet, behalve voor testen. Nested groups worden gewoon ondersteund. Dus dit zou gewoon moeten werken. Ik ben al een test gestart met een vierde golden tenant, maar ik ben heel erg benieuwd hoe jullie hiermee omgaan?

Klinkt wel mooi, maar een klant ziet dan dus alles in de tenant maar waar die geen licentie voor heeft is niet assigned?

[ibmpc]

HKLM_ schreef op donderdag 14 november 2024 @ 18:38:
[...]


Klinkt wel mooi, maar een klant ziet dan dus alles in de tenant maar waar die geen licentie voor heeft is niet assigned?

Klopt. Maar alleen co-managed klanten krijgen Entra rollen en vrijwel nooit global admin. Zonder co-managed (veruit de meeste klanten) krijgt de klant alleen een breakglass account met Global Reader, Privileged Authentication en Privileged Role (geen global admin). Het is namelijk altijd hun tenant, dus moeten ze wel de mogelijkheid hebben om de rechten te verkrijgen zonder ze initieel te hebben.

We hebben deze discussie intern al gehad. Ook Microsoft heeft gewoon overzichtelijk wat er mogelijk is met een E5 licentie als je alleen Business Premium hebt. Dat alle settings zichtbaar zijn voor eventuele Global Readers maakt eigenlijk weinig uit. Zelfs als ze alles voor eigen gebruik kopieren, het is niet zo alsof Intune settings een bedrijfsgeheim zijn. Ze huren ons in omdat wij de relaties kunnen leggen tussen alle settings die wij hebben ontwikkeld en hun wensen. Niet omdat we blind wat settings erin plempen. Misschien is het zelfs een upsell omdat klant eventuele hogere SKUs kan zien.

[ Voor 3% gewijzigd door ibmpc op 14-11-2024 18:50 ]

[Blokker_1999]

HKLM_ schreef op woensdag 30 oktober 2024 @ 18:05:
Voor wie wat grotere organisatie beheerd Microsoft Connected Cache gaat in public preview vandaag.

https://techcommunity.mic...tion-preview/ba-p/4277035

Vanuit Europe is het sinds vanmorgen mogelijk om nodes aan te maken maar in Redmond zijn ze nog aan het opstarten begreep ik van Andy en komen de zaken in de komende uren helemaal live voor de preview.

Zeker voor het aanbieden van applicaties kan MCC een mooie snelheids verbetering opleveren ik wat grotere organisaties. Je kan nodes aanmaken op barematal of een VM maar ook als branche cache in WSL 2 op client devices.

Ik kijk er iig naaruit om dit te gaan testen komende weken

En dat released men dus als een mens op het vliegtuig zit

Ben er al heel lang op aan het wachten en nu maar snel beginnen spelen dus, hopelijk gaat dat ook wat dingen versnellen in ons netwerk. Gaat zeker voor enkele van onze kantoren, zoals in China, wel een verbetering zijn vermoed ik.

[HKLM_]

Blokker_1999 schreef op maandag 18 november 2024 @ 15:05:
[...]


En dat released men dus als een mens op het vliegtuig zit

Ben er al heel lang op aan het wachten en nu maar snel beginnen spelen dus, hopelijk gaat dat ook wat dingen versnellen in ons netwerk. Gaat zeker voor enkele van onze kantoren, zoals in China, wel een verbetering zijn vermoed ik.

Ik heb nu een aantal nodes geïnstalleerd en het werkt voor mij momenteel echt perfect 🤩

[Blokker_1999]

Draai je ze op Windows of op Linux?

[HKLM_]

Blokker_1999 schreef op maandag 18 november 2024 @ 16:21:
Draai je ze op Windows of op Linux?

Ik heb er twee in productie draaien op windows, 1 op een server OS en 1 op Windows 11 voordeel van Windows 11 is dat je Defender op WSL kan doen. Dat is voor servers nog niet supported

Ik heb ook nog een test node welke op server core draait. Een linux bakje staat nog op de planning net als een node in Azure

[ Voor 12% gewijzigd door HKLM_ op 18-11-2024 16:52 ]

[Blokker_1999]

En in onze omgeving dus weer een uitdaging, waarom gaat dat script valideren tegenover http://assets1.xboxlive.com/Z/routing/up.txt ? MS moet toch weten dat zulke domeinen bij meerdere bedrijven niet zomaar toegestaan zijn want Xbox is nu niet direct iets wat bedrijven altijd graag zien.

[HKLM_]

Aankondiging dat Enhanced hardware inventory GA is gegaan
Ziet er wel easy uit met een configuratie profiel welke je kunt deployen en na 24 uur zie je de resultaten. Ben benieuwd hoe snel het in de tenants gaat landen.

https://techcommunity.mic...nerally-available/4303744

[ Voor 28% gewijzigd door HKLM_ op 19-11-2024 15:39 ]

[HKLM_]

Blokker_1999 schreef op dinsdag 19 november 2024 @ 13:37:
En in onze omgeving dus weer een uitdaging, waarom gaat dat script valideren tegenover http://assets1.xboxlive.com/Z/routing/up.txt ? MS moet toch weten dat zulke domeinen bij meerdere bedrijven niet zomaar toegestaan zijn want Xbox is nu niet direct iets wat bedrijven altijd graag zien.

Mmm interessant, je kan dit eventueel als feedback op de blog pagina neerzetten en Andy een tag geven.
Ik denk zelf dat ze 1 validatie gebruiken MCC voor Enterprise en Education heeft geen Xbox support maar de ISP versie wel en dat zal een linkje hebben denk ik.

[xven0mxz]

Microsoft Intune news at Microsoft Ignite 2024

[ Voor 19% gewijzigd door xven0mxz op 19-11-2024 16:09 ]

[HKLM_]

xven0mxz schreef op dinsdag 19 november 2024 @ 16:08:
Microsoft Intune news at Microsoft Ignite 2024

Nice deze is Autopatch gerelateerd windows 11 hotpatch komt er aan!

https://techcommunity.mic...ows-11-enterprise/4302717

The first month of each quarter of the calendar year (i.e. January, April, July, and October), devices install the standard monthly security update and restart. This cumulative update contains the latest security fixes, new features, and enhancements. The following two months, devices are offered hotpatch updates, which include only security updates and install without the need to restart. At the start of the next quarter, the cycle repeats.

[ Voor 32% gewijzigd door HKLM_ op 19-11-2024 16:37 ]

[Quad]

Helaas niet voor het MKB.
Nu zie ik in inventory en autopatch sowieso weinig meerwaarde meer aangezien onze klanten met Entra id joined devices ook NinjaOne RMM erbij afnemen. Daar zitten onze baselines in zonder gedoe.

[HKLM_]

Quad schreef op dinsdag 19 november 2024 @ 16:39:
Helaas niet voor het MKB.
Nu zie ik in inventory en autopatch sowieso weinig meerwaarde meer aangezien onze klanten met Entra id joined devices ook NinjaOne RMM erbij afnemen. Daar zitten onze baselines in zonder gedoe.

Ja Business Premium komt er al een tijdje karig vanaf. Ik ken NinjaOne voor updates niet goed genoeg maar Autopatch met Hotpatch had wel tof geweest ook voor BP.

[Quad]

HKLM_ schreef op dinsdag 19 november 2024 @ 16:41:
[...]


Ja Business Premium komt er al een tijdje karig vanaf. Ik ken NinjaOne voor updates niet goed genoeg maar Autopatch met Hotpatch had wel tof geweest ook voor BP.

Argument van MS is dat werkplekken van 12 naar max 8 keer per jaar herstart hoeven te worden. Vind ik kul, gewoon je PC uit einde dag.

Wel is hotpatch mooi dat de kernel direct beveiligd is zonder een herstart nodig te hebben, wanneer bijvoorbeeld iets heftigs rondwaart.

[TheVMaster]

Blokker_1999 schreef op dinsdag 19 november 2024 @ 13:37:
En in onze omgeving dus weer een uitdaging, waarom gaat dat script valideren tegenover http://assets1.xboxlive.com/Z/routing/up.txt ? MS moet toch weten dat zulke domeinen bij meerdere bedrijven niet zomaar toegestaan zijn want Xbox is nu niet direct iets wat bedrijven altijd graag zien.

Die vervolgens resolved naar http //ic-2a09bac34d8600000000000000000000-0b34d2-xboxassets.s.loris.llnwd.net/llnhost_assets1.xboxlive.com/Z/routing/up.txt

[TheVMaster]

Quad schreef op dinsdag 19 november 2024 @ 16:45:
[...]

Argument van MS is dat werkplekken van 12 naar max 8 keer per jaar herstart hoeven te worden. Vind ik kul, gewoon je PC uit einde dag.

Wel is hotpatch mooi dat de kernel direct beveiligd is zonder een herstart nodig te hebben, wanneer bijvoorbeeld iets heftigs rondwaart.

Jij schakelt je laptop uit aan het eind van de dag? Een PC kan rustig in de slaapstand springen, er zijn niet echt noodzaken om je pc elke dag helemaal af te sluiten.

[HKLM_]

Quad schreef op dinsdag 19 november 2024 @ 16:45:
[...]

Argument van MS is dat werkplekken van 12 naar max 8 keer per jaar herstart hoeven te worden. Vind ik kul, gewoon je PC uit einde dag.

Wel is hotpatch mooi dat de kernel direct beveiligd is zonder een herstart nodig te hebben, wanneer bijvoorbeeld iets heftigs rondwaart.

Daar gaat het natuurlijk ook meer om, instant security. Niet wachten tot een reboot maar direct zonder een reboot de security fix actief.

[Quad]

TheVMaster schreef op dinsdag 19 november 2024 @ 19:46:
[...]


Jij schakelt je laptop uit aan het eind van de dag? Een PC kan rustig in de slaapstand springen, er zijn niet echt noodzaken om je pc elke dag helemaal af te sluiten.

Ik bij voorkeur wel, dan heb ik geen open vensters meer de volgende dag, een schone desktop is een schoon brein.

[TheVMaster]

Quad schreef op dinsdag 19 november 2024 @ 20:02:
[...]

Ik bij voorkeur wel, dan heb ik geen open vensters meer de volgende dag, een schone desktop is een schoon brein.

Raar, je kunt ook gewoon je browser ff afsluiten? maar als dat voor jou werkt, dan kan dat natuurlijk. Ik sluit altijd gewoon de browser en apps af.

[Blokker_1999]

En dan start je je laptop op, gaat Windows een hele hoop applicaties en bestanden uit zichzelf opnieuw openen

Ik reboot zelf ook alleen maar voor updates en ben blij dat we in de toekomst minder gaan moeten rebooten. Recent nog een gebruiker gevonden in ons bedrijf die een uptime van meer dan 200 dagen had. Was wel voldoende om eindelijk de GPO te mogen aanpassen om reboots te verplichten bij installatie van updates. GPO omdat onze Windows 10 systemen nog hun updates van onze on-prem WSUS halen en de settings via GPO gaan, pas met Win11 zijn we cloud first gegaan.

[HKLM_]

Blokker_1999 schreef op dinsdag 19 november 2024 @ 20:07:
En dan start je je laptop op, gaat Windows een hele hoop applicaties en bestanden uit zichzelf opnieuw openen

Ik reboot zelf ook alleen maar voor updates en ben blij dat we in de toekomst minder gaan moeten rebooten. Recent nog een gebruiker gevonden in ons bedrijf die een uptime van meer dan 200 dagen had. Was wel voldoende om eindelijk de GPO te mogen aanpassen om reboots te verplichten bij installatie van updates. GPO omdat onze Windows 10 systemen nog hun updates van onze on-prem WSUS halen en de settings via GPO gaan, pas met Win11 zijn we cloud first gegaan.

200 dagen systeem niet domain joined dan ofzo?

[HKLM_]

Ik had stiekem wel op iets meer gehoopt vanuit Intune en met name voor Intune suite. Had gehoopt dat ze met nog wat moois op de proppen kwamen om de prijs nog wat meer te rechtvaardigen.

[Blokker_1999]

HKLM_ schreef op dinsdag 19 november 2024 @ 20:09:
[...]


200 dagen systeem niet domain joined dan ofzo?

oh jawel, gewoon een laptop van een gebruiker.

Maar met de Windows 10 images en GPOs was het zo dat updates wel installeren, maar men vroeger de GPO zo had ingesteld dat Windows nooit uit zichzelf zou herstarten. Dat moest de gebruiker zelf doen. Men had schrik dat als Windows uit zichzelf herstart, dat dit mogelijks op een ongepast moment zou gebeuren, zoals tijdens een presentatie. Dus koos men ervoor om 1x per dag een melding te laten tonen aan de gebruiker via een pop-up die dan aangeeft dat herstart moest worden. En als de gebruiker dan nooit herstart worden er dus nooit updates geinstalleerd.

Was 1 van de eerste beslissingen die ik nam toen ik onze Win11 begon uit te tekenen: update beheer via intune en gewoon een grace period van 5 dagen waarna Windows automatisch herstart. Maar kreeg toen geen toestemming om dat voor Win10 ook zo aan te passen. Toen we enkele maanden terug eens gingen kijken welke systemen de hoogste uptime hadden in ons netwerk, en daar een handvol laptops vonden met een uptime van meerdere maanden was het ineens geen probleem meer om eindelijk die GPO aan te passen.

HKLM_ schreef op dinsdag 19 november 2024 @ 20:10:
Ik had stiekem wel op iets meer gehoopt vanuit Intune en met name voor Intune suite. Had gehoopt dat ze met nog wat moois op de proppen kwamen om de prijs nog wat meer te rechtvaardigen.

CoPilot is de nieuwe melkkoe van Microsoft, en wij gaan dit jaar onze pilot met Copilot afronden en alle licenties terug wegdoen

[Gr4mpyC3t]

HKLM_ schreef op dinsdag 19 november 2024 @ 20:10:
Ik had stiekem wel op iets meer gehoopt vanuit Intune en met name voor Intune suite. Had gehoopt dat ze met nog wat moois op de proppen kwamen om de prijs nog wat meer te rechtvaardigen.

Wat vind je van de nieuwe Windows 365 Link?

[TheVMaster]

Gr4mpyC3t schreef op dinsdag 19 november 2024 @ 20:22:
[...]


Wat vind je van de nieuwe Windows 365 Link?

Dat Is toch wel erg nice spul. Wat gaat dat kosten?

[HKLM_]

TheVMaster schreef op dinsdag 19 november 2024 @ 20:23:
[...]


Dat Is toch wel erg nice spul. Wat gaat dat kosten?

350 dollar dacht ik uit mijn hoofd

[Gr4mpyC3t]

TheVMaster schreef op dinsdag 19 november 2024 @ 20:23:
[...]


Dat Is toch wel erg nice spul. Wat gaat dat kosten?

Ik dacht 350 dollar gezien te hebben. Wel aan de prijs, maar ziet er uit als een mooi apparaatje met veel I/O en verder geen gezeik. Geen ventilator en het leest alsof er een speciale variant van Windows 11 opstaat dat puur een inlogvenster is voor Windows 365.

[HKLM_]

Gr4mpyC3t schreef op dinsdag 19 november 2024 @ 20:22:
[...]


Wat vind je van de nieuwe Windows 365 Link?

Die vind ik wel heel gaaf, zodra die leverbaar is in NL ga ik die wel aanschaffen denk

[TheVMaster]

HKLM_ schreef op dinsdag 19 november 2024 @ 20:25:
[...]


325 dollar dacht ik uit mijn hoofd

Ja, het staat in de blogpost

Maar eh, voelt wel wat prijzig voor een device wat alleen maar naar Windows 365 kan connecten. Ga m’n werkgever wel vragen om een exemplaar. Moet er toch mee testen i.c.m. Intune natuurlijk

[ Voor 14% gewijzigd door TheVMaster op 19-11-2024 20:27 ]

[HKLM_]

Gr4mpyC3t schreef op dinsdag 19 november 2024 @ 20:25:
[...]


Ik dacht 350 dollar gezien te hebben. Wel aan de prijs, maar ziet er uit als een mooi apparaatje met veel I/O en verder geen gezeik. Geen ventilator en het leest alsof er een speciale variant van Windows 11 opstaat dat puur een inlogvenster is voor Windows 365.

Niklas heeft er al wat moois over geschreven https://www.oceanleaf.ch/windows365link/

[Gr4mpyC3t]

TheVMaster schreef op dinsdag 19 november 2024 @ 20:26:
[...]


Ja, het staat in de blogpost

Maar eh, voelt wel wat prijzig voor een device wat alleen maar naar Windows 365 kan connecten. Ga m’n werkgever wel vragen om een exemplaar. Moet er toch mee testen i.c.m. Intune natuurlijk

Sure, maar puur voor kiosk/flex werkplekken eigenlijk een no-brainer, toch? Je hoeft kennelijk niets te beperken of te configureren. Aanzetten en inloggen maar.