Microsoft Intune ervaringentopic

[Grvy]

Hero of Time schreef op woensdag 25 december 2024 @ 22:08:
[...]

Nou, enige wat ik als antwoord kreeg is "je doet het fout", "begin er niet aan", "stom dat je dit doet", etc. Niks behulpzaams aan. Vooral omdat ik al aangaf dat ik bewust ben van de hybrid join adviezen. Dan verwacht ik niet door meerdere personen nogmaals de les te worden gelezen zonder zinvolle antwoorden. Als je (algemeen gesproken) niet constructief kan helpen, zeg dan niks.

Ik begrijp werkelijk waar niet, echt niet. Waarom je die reacties als niet behulpzaam ziet? Echt. Continue worden je redenen waarom je nog hybrid wilt onderuit gegooid hier en kom je als een "Ja, maar toch doe ik het want flutreden X/Y/Z" terug.

Accepteer het native gedrag (en gewenste!) van MS en stop met op ze bashen omdat jij de keuze maakt om een tussen en tijdelijke oplossing te gebruiken van 2018 toen dat nog gewenst was of wees een vent en zeg tegen je organisatie dat je meer tijd nodig hebt om dit goed en future proof neer te zetten.

Echt, je hebt 1x getest kwam tegen iets lulligs aan als local admins accounts (wat je idd gewoon even goed moet neerzetten) en als een kind kwam je weer hoor met "Het is niet goed! Kon Helemaal niks meer! meh meh meh" ipv gewoon even onderzoeken en aanpassen en weer verder gaan.

Dat was geen goede test en dat weet je zelf dondersgoed want je bent een slimme kerel, laat nu die mentale blokkade eens gaan en stel jezelf open.

Met alle liefde proberen we je te helpen door je te laten begrijpen dat je simpelweg de VERKEERDE keuze aan het maken bent. Iemand die in 2024 nog komt met "Ik wil deze Windows 98 computer aan het internet hangen" krijgt dezelfde strekking qua reacties.

Dat is wie jij nu bent, iemand die een Windows 98 aan het internet wilt hangen omdat je denkt dat e.a. applicatie anders niet werkt maar je hebt het nooit getest, hebt er geen zin en wilt gewoon dat het meteen werkt.

Zoals gezegd, we hebben een paar on-prem applicaties en we hebben niet getest of die überhaupt met een Entra-only systeem werken. We hebben nu niet de tijd om dit alsnog te gaan testen. Dit is o.a. de reden voor de vereiste van hybrid.

Maar er is wel tijd om een hele flow van MS onderuit te scripten en allemaal pleisters te plakken? In de long run ben je straks 2x bezig. 1x naar Hybrid en 1x naar Entra en geloof me, ik kan het weten want in jouw schoenen stond ik ook 2/3 jaar geleden. Dat wil je niet. Dat kost je twee keer tijd.

Denk dat iedereen in de Systeembeheer community je wel kent en je met alle liefde wilt helpen en dat proberen we ook maar je gaat inderdaad niet het antwoord krijgen wat je wilt want dat kan simpelweg niet zonder heel veel hand en spanwerk en dat is echt niet wat je wilt.

[ Voor 33% gewijzigd door Grvy op 26-12-2024 13:08 ]

[Blokker_1999]

Ik begrijp de frustratie van Hero of Time heel goed. Het omgooien van zo een project van het ene naar het andere brengt heel wat vertraging en onzekerheid met zich mee. Het helpt ook niet met het huidige probleem van het hernoemen van apparaten dat faalt terwijl er een pallet laptops klaarstaat om ermee te gaan beginnen.

Het is duidelijk voor iedereen dat non-hybrid de toekomst is en het zal hopelijk ook een doelstelling zijn om de volgende jaren naartoe te werken, maar op dit moment helpt het niet.

We leren het best met vallen en opstaan, door tegen problemen aan te lopen en oplossingen te zoeken. Het helpt ons ook om anderen te overtuigen wanneer we met goede voorbeelden kunnen aantonen waarom we ons nu toch echt moeten aanpassen. En dan moeten we ook nog eens de tijd vinden om dat traject te starten.

En veel meer bedrijven zitten vandaag met hybride setups dan zonder. Iedereen die geen Autopilot gebruikt, maar andere manieren voor imaging maar wel de devices via on-prem AD in Azure laat uitkomen en daarna in Intune registreert zit met een hybdride setup. En dat mag dan wel ouderwets zijn, het werkt gewoon en wordt nog doorgewoon ondersteund door Microsoft. Net zoals WSUS nog altijd een geldige optie is voor het verdelen van Windows Updates in je bedrijf ondanks dat Intune ook die taak kan overnemen, en al helemaal nu we eindelijk caching servers hebben.

Ik stel vooral voor dat we de discussie rondom hybride of niet laten rusten.

@Hero of Time, heb je al eens geprobeerd met deze regkey op een PC die je wenst te hernoemen? Dat kan ons op het spoor zetten van een oplossing als het werkt.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa] "NetJoinLegacyAccountReuse"=dword:00000001

[Hero of Time]

Die reg key kan ik nog proberen, ben ik nergens in m'n zoeken tegen gekomen.

[Sjod]

Hero of Time schreef op donderdag 26 december 2024 @ 14:36:
Die reg key kan ik nog proberen, ben ik nergens in m'n zoeken tegen gekomen.

Dan ben ik benieuwd naar de uitkomst. 😀

[Grvy]

Blokker_1999 schreef op donderdag 26 december 2024 @ 14:32:
En veel meer bedrijven zitten vandaag met hybride setups dan zonder. Iedereen die geen Autopilot gebruikt, maar andere manieren voor imaging maar wel de devices via on-prem AD in Azure laat uitkomen en daarna in Intune registreert zit met een hybdride setup. En dat mag dan wel ouderwets zijn, het werkt gewoon en wordt nog doorgewoon ondersteund door Microsoft. Net zoals WSUS nog altijd een geldige optie is voor het verdelen van Windows Updates in je bedrijf ondanks dat Intune ook die taak kan overnemen, en al helemaal nu we eindelijk caching servers hebben.

WSUS is al deprecated en ik voorzie dat dat met Hybrid ook gaat gebeuren. Zie: https://techcommunity.mic...-wsus-deprecation/4250436

Daarnaast dat er soms als iets al opgezet is en alles goede redenen voor zijn (en daarom supported is..) betekent niet dat je een nieuwe flow ook zo moet laten lopen.

Ik ga iemand in ieder geval niet helpen met vallen, zo ben ik niet. Ik voorkom liever de val in zijn geheel.
Vond alleen deze argumentatie een beetje zwak.

[TheVMaster]

Grvy schreef op donderdag 26 december 2024 @ 15:04:
[...]


WSUS is al deprecated en ik voorzie dat dat met Hybrid ook gaat gebeuren. Zie: https://techcommunity.mic...-wsus-deprecation/4250436

Daarnaast dat er soms als iets al opgezet is en alles goede redenen voor zijn (en daarom supported is..) betekent niet dat je een nieuwe flow ook zo moet laten lopen.

Ik ga iemand in ieder geval niet helpen met vallen, zo ben ik niet. Ik voorkom liever de val in zijn geheel.
Vond alleen deze argumentatie een beetje zwak.

Voorkomen is beter dan genezen inderdaad. Als het traject net gaat beginnen en je dus de komende jaren aan deze setup vast blijft zitten, dan zou ik liever een stap terug doen. Wat zaken uitzoeken en dan vervolgens met frisse moet een weloverwogen beslissing nemen en dus die route gaan bewandelen. Nu komt het een beetje over alsof dit ineens boven water kwam (dus niet goed is onderzocht) en je nu met de gebakken peren zit.

En natuurlijk zitten veel klanten nog in een Hybride setup, zoals @Blokker_1999 ook al aangeeft. Maar dit betekend niet dat je dan maar op die voet zou moeten doorgaan. Elk moment is een goed moment om (langzaam) een beweging weg te maken van Hybride setups.

[Blokker_1999]

De laatste weken de connected cache zitten uitrollen in die locaties waar het kan, en ondanks dat er niet veel mensen op kantoor aanwezig zijn moet ik zeggen dat er toch al enkele honderden GB aan internetverkeer zijn bespaard .

Nu nog eens de documentatie induiken om na te gaan of dit ook simpelweg werkt met GPOs en WSUS op servers, want dan kunnen we vermoedelijk beter dit als caching gebruiken ipv de WSUS servers waar we vandaag de dag updates terug uitvinken om op te kuisen voor zover ik weet (WSUS wordt niet door mij beheerd, al weet ik wel dat oude updates bij ons terug onbeschikbaar worden gemaakt)

[Quad]

Wat kost de connected cache? Je hebt toch Azure resources nodig? Ik zie de teller daarvoor dan al oplopen.

[FREAKJAM]

Quad schreef op vrijdag 27 december 2024 @ 11:06:
Wat kost de connected cache? Je hebt toch Azure resources nodig? Ik zie de teller daarvoor dan al oplopen.

Je moet ook kijken wat je er voor terug krijgt. Stel dat al het volgende 20% sneller wordt toegepast op alle werkplekken krijg je er ook heel wat voor terug en daarmee verhoogde productiviteit van je personeel.

• Snellere autopilot deployments
• Het sneller leveren van updates. (dus niet alleen verhoogde productiviteit, maar ook versneld mitigeren van risico's als het om kritieke patches gaat).
• Geen hardware nodig voor branche locaties (mocht je nu nog de SCCM-variant gebruiken)
• Minder resources nodig voor beheer & onderhoud
• Voorkomen van overbelasting van internetlijn.

Vast nog wel wat meer voordelen. Tijdens de public preview zijn de azure resources in ieder geval gratis, dus zeker het uitproberen waard.

[ Voor 7% gewijzigd door FREAKJAM op 27-12-2024 11:23 ]

[Blokker_1999]

Quad schreef op vrijdag 27 december 2024 @ 11:06:
Wat kost de connected cache? Je hebt toch Azure resources nodig? Ik zie de teller daarvoor dan al oplopen.

Niets, het klopt dat je er een azure resource aan moet koppelen, maar die is gratis en hoort ook gratis te blijven.


Niet vergeten dat de service uiteindelijk op jouw eigen hardware draait als je het on-prem gebruikt en dat je net Microsoft helpt met het besparen op internetverkeer.

[Gr4mpyC3t]

Blokker_1999 schreef op vrijdag 27 december 2024 @ 12:33:
[...]

Niets, het klopt dat je er een azure resource aan moet koppelen, maar die is gratis en hoort ook gratis te blijven.
[Afbeelding]

Niet vergeten dat de service uiteindelijk op jouw eigen hardware draait als je het on-prem gebruikt en dat je net Microsoft helpt met het besparen op internetverkeer.

Weet je het zeker? Op de Microsoft Docs staat het volgende:

The Azure resources used for Connected Cache will be free to you during this public preview.

Bron: https://learn.microsoft.c...es#licensing-requirements

Dat impliceert dat er na de Public Preview kosten aan verbonden (kunnen) zijn.

Edit: Nevermind, in de FAQ een stukje verderop staat dan weer dit:

Is there a charge to create Connected Cache resources and cache node on Azure?

No. You won't be charged to create Connected Cache resource and cache nodes on Azure. However, you need an Azure pay-as-you-go subscription to create the resources but there is no charge for the resource itself.

[ Voor 16% gewijzigd door Gr4mpyC3t op 27-12-2024 12:39 ]

[Blokker_1999]

Niets is voor eeuwig zullen we maar zeggen. En wie weet waar we op temrijn naartoe gaan.


Maar ik vraag me af wat er met die hosts gaat gebeuren als ik morgen die Azure resource verwijder. Ik vermoed namelijk dat die gewoon gaan blijven werken. Ze gaan alleen nier meer kunnen raporteren.

[ Voor 53% gewijzigd door Blokker_1999 op 27-12-2024 13:17 ]

[HKLM_]

Blokker_1999 schreef op vrijdag 27 december 2024 @ 10:39:
De laatste weken de connected cache zitten uitrollen in die locaties waar het kan, en ondanks dat er niet veel mensen op kantoor aanwezig zijn moet ik zeggen dat er toch al enkele honderden GB aan internetverkeer zijn bespaard .

Nu nog eens de documentatie induiken om na te gaan of dit ook simpelweg werkt met GPOs en WSUS op servers, want dan kunnen we vermoedelijk beter dit als caching gebruiken ipv de WSUS servers waar we vandaag de dag updates terug uitvinken om op te kuisen voor zover ik weet (WSUS wordt niet door mij beheerd, al weet ik wel dat oude updates bij ons terug onbeschikbaar worden gemaakt)

Ik gebruik ook MCC op een aantal locaties en ben er ook wel te spreken over. Alleen wat ik zie is dat voor Windows Update Delivery Optimization via peer-peer ook al veel deed onderling tussen de client dus de traffic is niet heel veel veranderd vanaf de internet pijp.

Zelf had ik voor MCC wel verwacht dat er een log analytics workspace aangekoppeld diende te worden voor de data die zichtbaar is in Azure.

[ Voor 6% gewijzigd door HKLM_ op 27-12-2024 15:29 ]

[Blokker_1999]

Wat voor mij het belangrijkste is, is dat wanneer we een groep starters hebben, en die moeten allemaal op ongeveer hetzelfde moment dezelfde packages hebben vanuit Windows Update/Intune/... dat dat vanuit een lokale cache kan. Ik verwacht dat dat de deployments via AutoPilot een stuk kan versnellen. Zeker wanneer volgend jaar we de optie krijgen om updates mee te laten installeren als odnerdeel van het OOBE process hoop ik dat we op die manier niet te veel tijd gaan verliezen, want ICT heeft maar een beperkt tijdsslot op de dag dat mensen starten.

[Gr4mpyC3t]

Blokker_1999 schreef op vrijdag 27 december 2024 @ 15:52:
Wat voor mij het belangrijkste is, is dat wanneer we een groep starters hebben, en die moeten allemaal op ongeveer hetzelfde moment dezelfde packages hebben vanuit Windows Update/Intune/... dat dat vanuit een lokale cache kan. Ik verwacht dat dat de deployments via AutoPilot een stuk kan versnellen. Zeker wanneer volgend jaar we de optie krijgen om updates mee te laten installeren als odnerdeel van het OOBE process hoop ik dat we op die manier niet te veel tijd gaan verliezen, want ICT heeft maar een beperkt tijdsslot op de dag dat mensen starten.

Hoe ziet het proces er bij jullie nu uit? Starten nieuwe collega's zelf met het installatieproces of stop je ze allemaal in een vergaderzaal en mogen ze het dan gezamenlijk in orde maken?

[Blokker_1999]

Het process bevat meer dan alleen de laptop opzetten bij ons, dus als het een groep is gaan ze 1 of meerdere vergaderzalen in, als het een individu is dan is het hier aan de service desk. En dan wordt met hen o.a. de laptop opgezet, iPhone opgezet, enkele processen uitgelegd en mogen ze onmiddelijk aan hun security quiz beginnen want zonder succesvolle voltooing daarvan hebben ze bijna nergens toegang toe en wordt ook hun badge niet geactiveerd.

[ibmpc]

Komt Self Deployment eigenlijk naar AutoPilot v2? Ik heb steeds meer het gevoel dat je AutoPilot v1 en AutoPilot v2 naast elkaar zal blijven gebruiken en dat AutoPilot v2 eigenlijk alleen geschikt is voor organisaties met veel BYOD.

[HKLM_]

ibmpc schreef op vrijdag 27 december 2024 @ 19:57:
Komt Self Deployment eigenlijk naar AutoPilot v2? Ik heb steeds meer het gevoel dat je AutoPilot v1 en AutoPilot v2 naast elkaar zal blijven gebruiken en dat AutoPilot v2 eigenlijk alleen geschikt is voor organisaties met veel BYOD.

Microsoft werk aan dit soort functies momenteel net als OEM integratie als bij V1.

Persoonlijk had ik daar meer snelheid in verwacht maar self deployment is wat lastig omdat het profiel pas na de user login wordt opgehaald waarbij dit met v1 ging op basis van de device hash voor de user login.

[ Voor 20% gewijzigd door HKLM_ op 27-12-2024 20:01 ]

[ibmpc]

HKLM_ schreef op vrijdag 27 december 2024 @ 19:59:
[...]


Microsoft werk aan dit soort functies momenteel net als OEM integratie als bij V1.

Persoonlijk had ik daar meer snelheid in verwacht maar self deployment is wat lastig omdat het profiel pas na de user login wordt opgehaald waarbij dit met v1 ging op basis van de device hash voor de user login.

Wel gaaf aan AutoPilot v2 is dat je volledig wachtwoordloos kunt gaan met Authenticator Push. Bij AutoPilot v1 kan dat alleen als je de ESP uitschakelt.

[HKLM_]

ibmpc schreef op vrijdag 27 december 2024 @ 20:09:
[...]

Wel gaaf aan AutoPilot v2 is dat je volledig wachtwoordloos kunt gaan met Authenticator Push. Bij AutoPilot v1 kan dat alleen als je de ESP uitschakelt.

Nu moeten ze autopilot nog even laten werken met device bound passkeys en dan komen we ergens

[ibmpc]

HKLM_ schreef op vrijdag 27 december 2024 @ 20:11:
[...]


Nu moeten ze autopilot nog even laten werken met device bound passkeys en dan komen we ergens

Hoe moet ik mij dat voorstellen? Bij de initiele OOBE zul je toch leeg beginnen, zonder passkeys?

[HKLM_]

In ander News iemand de POC Entra Device Compliance Bypass gezien of al geprobeerd?

https://github.com/zh54321/PoCEntraDeviceComplianceBypass

[HKLM_]

ibmpc schreef op vrijdag 27 december 2024 @ 20:12:
[...]

Hoe moet ik mij dat voorstellen? Bij de initiele OOBE zul je toch leeg beginnen, zonder passkeys?

Ik bedoel er mee aanmelden in autopilot de passkey staat op je iPhone of iOS device in de Authenticator app.

[ibmpc]

HKLM_ schreef op vrijdag 27 december 2024 @ 20:12:
In ander News iemand de POC Entra Device Compliance Bypass gezien of al geprobeerd?

https://github.com/zh54321/PoCEntraDeviceComplianceBypass

Ben benieuwd, ik ga dit eens proberen.

-edit-
Is dit niet behavior by design? De Intune Company Portal moet wel exempt zijn van compliance policies, anders is enrollment toch restricted?

HKLM_ schreef op vrijdag 27 december 2024 @ 20:16:
[...]


Ik bedoel er mee aanmelden in autopilot de passkey staat op je iPhone of iOS device in de Authenticator app.

Dit?
Vreemd dat je inderdaad niet kunt kiezen voor Authenticator passkey. En wel voor WHFB PIN, maar dat kan toch helemaal niet als je die nu juist moet gaan instellen?

[ Voor 9% gewijzigd door ibmpc op 27-12-2024 20:27 ]

[TheVMaster]

ibmpc schreef op vrijdag 27 december 2024 @ 20:12:
[...]

Hoe moet ik mij dat voorstellen? Bij de initiele OOBE zul je toch leeg beginnen, zonder passkeys?

Je Passkey zit toch al in je Authenticator app. Of anders zul je dan moet een TAP moeten beginnen.

[TheVMaster]

ibmpc schreef op vrijdag 27 december 2024 @ 20:24:
[...]

[...]

Dit?
[Afbeelding]Vreemd dat je inderdaad niet kunt kiezen voor Authenticator passkey. En wel voor WHFB PIN, maar dat kan toch helemaal niet als je die nu juist moet gaan instellen?

Maar de PIN/Face/Security Key, dat is toch de variant waarbij je ook een Passkey vanaf een ander device kunt gebruiken (in dit geval dus degene in de Authenticator app).

[ibmpc]

TheVMaster schreef op vrijdag 27 december 2024 @ 23:07:
[...]


Maar de PIN/Face/Security Key, dat is toch de variant waarbij je ook een Passkey vanaf een ander device kunt gebruiken (in dit geval dus degene in de Authenticator app).

Nee, dat lukt dus helaas niet. Pas na de OOBE kun je de passkey in je Authenticator app gebruiken, niet tijdens de OOBE helaas.

[Gerwinnn]

ibmpc schreef op vrijdag 27 december 2024 @ 23:12:
[...]

Nee, dat lukt dus helaas niet. Pas na de OOBE kun je de passkey in je Authenticator app gebruiken, niet tijdens de OOBE helaas.

Is er eigenlijk een mogelijkheid om een passkey te gebruiken om in te loggen op windows zelf?
Ik kan het zo snel niet vinden.

Zou een mooie MFA/Phising resistend method zijn voor shared device mode.

[ Voor 10% gewijzigd door Gerwinnn op 29-12-2024 22:02 ]

[HKLM_]

Gerwinnn schreef op zondag 29 december 2024 @ 21:58:
[...]


Is er eigenlijk een mogelijkheid om een passkey te gebruiken om in te loggen op windows zelf?
Ik kan het zo snel niet vinden.

Zou een mooie MFA/Phising resistend method zijn voor shared device mode.

Je kan met een fidokey inloggen op Windows, passkey vanuit de Authenticator app volgens mij niet tenzij web sign-in dat ondertussen kan.

[ Voor 11% gewijzigd door HKLM_ op 29-12-2024 22:06 ]

[Gerwinnn]

HKLM_ schreef op zondag 29 december 2024 @ 22:05:
[...]


Je kan met een fidokey inloggen op Windows

Yes die kende ik, ik zou het een mooie optie vinden om het via de Authenticator app ook te kunnen doen.

[Quad]

Gerwinnn schreef op zondag 29 december 2024 @ 22:06:
[...]


Yes die kende ik, ik zou het een mooie optie vinden om het via de Authenticator app ook te kunnen doen.

Kan ook wel, met websignin en passwordless MFA via de Authenticator app.

[HKLM_]

Quad schreef op zondag 29 december 2024 @ 22:08:
[...]

Kan ook wel, met websignin en passwordless MFA via de Authenticator app.

Passwordless MFA met number-matching? bedoel je dan, dat is geen passkey.

[ibmpc]

HKLM_ schreef op zondag 29 december 2024 @ 22:05:
[...]


Je kan met een fidokey inloggen op Windows, passkey vanuit de Authenticator app volgens mij niet tenzij web sign-in dat ondertussen kan.

Web sign in kan intussen wel veel meer dan vroeger, misschien dat als het vanaf 24H2 wordt gefixt, dat het wel met passkeys kan inloggen. Wij gebruiken fidosleutels voor de initiele inlog, daarna kan men er voor kiezen om WHFB in te stellen zodat de fidokey niet meer nodig is.

Op macOS lukt het initiele inloggen mij niet met fidokey, en bovendien is er iets raars met macOS, namelijk de enrollment in je organisatie wordt door Entra gezien als een Browser ipv Modern Auth.

[ Voor 6% gewijzigd door ibmpc op 29-12-2024 22:44 ]

[Gerwinnn]

ibmpc schreef op zondag 29 december 2024 @ 22:44:
[...]

Web sign in kan intussen wel veel meer dan vroeger, misschien dat als het vanaf 24H2 wordt gefixt, dat het wel met passkeys kan inloggen. Wij gebruiken fidosleutels voor de initiele inlog, daarna kan men er voor kiezen om WHFB in te stellen zodat de fidokey niet meer nodig is.

Op macOS lukt het initiele inloggen mij niet met fidokey, en bovendien is er iets raars met macOS, namelijk de enrollment in je organisatie wordt door Entra gezien als een Browser ipv Modern Auth.

Ik had wat tijd over vandaag, dus even gespeeld in mijn test tenant.
Als je web sign in aanzet en dit gebruikt om in te loggen op het Windows lock screen. kun je met je ingestelde passkey werken.

Dit werkt natuurlijk niet op een VM vanwege de Bluetooth connectie die hiervoor nodig is.

Getest op Windows 11 23H2 Enterprise.

[Blokker_1999]

@Hero of Time , vandaag had een collega hetzelfde probleem als jij. Hij probeerde enkele machines te hernoemen en 1 van die machines kwam ook af met een melding dat de naam reeds bestond. Op een gegeven moment konden we een andere melding triggeren dat de SPN niet uniek zou zijn in het forrest. Dit heeft ons op de goede weg gezet.

Met PowerShell op zoek gegaan naar een conflicterende SPN

code:

Get-ADComputer -Filter {serviceprincipalname -like '*computername*'} -properties serviceprincipalname

En dat toonde mij dat zowel de DNSHostName als 1 van de SPNs van het object reeds de nieuwe naam hadden terwijl de rename toch gefaald was. Eenmaal dat dat gecorrigeerd was, was ons probleem van de baan en werkte een rename wel.

[HKLM_]

Iemand hier die WDAC heeft geïmplementeerd en zijn ervaring wilt delen?

[Blokker_1999]

Ooit overwogen en staat nog altijd op de planning om op een dag opnieuw op te nemen. Maar er zit een groot nadeel aan WDAC. Van zodra je het activeert in Intune, gaan alle laptops die de policy krijgen herstarten 10 minuten nadat ze de policy hebben binnengekregen. En daar is niets aan te doen.

Dat heeft me destijds het project in de kast doen steken, in de hoop dat dit in de toekomst anders zou zijn.

[ZeRoC00L]

Blokker_1999 schreef op vrijdag 27 december 2024 @ 15:52:
Wat voor mij het belangrijkste is, is dat wanneer we een groep starters hebben, en die moeten allemaal op ongeveer hetzelfde moment dezelfde packages hebben vanuit Windows Update/Intune/... dat dat vanuit een lokale cache kan. Ik verwacht dat dat de deployments via AutoPilot een stuk kan versnellen. Zeker wanneer volgend jaar we de optie krijgen om updates mee te laten installeren als odnerdeel van het OOBE process hoop ik dat we op die manier niet te veel tijd gaan verliezen, want ICT heeft maar een beperkt tijdsslot op de dag dat mensen starten.

Klopt, ik heb het gebruikt bij uitrol van systemen op verschillende locaties.
Zag dat de machine waarop MCC staat veel meer netwerk verkeer had op het moment dat de systemen in de applicatie fase waren op de Enrollment Status Page.
Al die pakketten hoefden dus niet via internet gedownload te worden.

[FREAKJAM]

HKLM_ schreef op dinsdag 7 januari 2025 @ 19:04:
Iemand hier die WDAC heeft geïmplementeerd en zijn ervaring wilt delen?

Weinig ervaring mee, maar houd er wel rekening mee dat het inmiddels app control for business heet voor zakelijke devices. Je kunt de managed installer van Intune opnemen in je wdac policy en zo automatisch all de apps approven die gedeployed worden via Intune.

Ref:
https://michaelsendpoint.com/intune/app_locker

Wellicht een betere vraag:
Wat is het doel en wat wil je bereiken? Dit om te voorkomen dat we mogelijk direct in technische oplossingen denken zonder dat de use case bekend is.

[HKLM_]

FREAKJAM schreef op dinsdag 7 januari 2025 @ 19:40:
[...]


Weinig ervaring mee, maar houd er wel rekening mee dat het inmiddels app control for business heet voor zakelijke devices. Je kunt de managed installer van Intune opnemen in je wdac policy en zo automatisch all de apps approven die gedeployed worden via Intune.

Ref:
https://michaelsendpoint.com/intune/app_locker

Wellicht een betere vraag:
Wat is het doel en wat wil je bereiken? Dit om te voorkomen dat we mogelijk direct in technische oplossingen denken zonder dat de use case bekend is.

Opzich ben ik er bekent mee, ik heb namelijk een Microsoft security background en WDAC / App controll for business is voor het verhogen van je Endpoint security en dat willen we.

Afgelopen weken is ook duidelijk geworden dat de red teams WDAC sterker zijn dan de blue teams qua kennis en het proberen te bypassen van wdac. Daarom adviseert Microsoft bijvoorbeeld ook om je wdac config te signen met een code sign certificaat.

Vandaar dat ik benieuwd ben hoe andere zo’n uitrol ervaren en of ze het doen.

[Blokker_1999]

Verdomme, ik herstart net mijn eigen laptop terug in mijn company image en alle apps zijn gewoon geblokkeerd door ... Application Control for Business

@HKLM_, ben je in mijn omgeving aan het testen zonder iets te vragen?

Ik heb letterlijk geen enkel idee hoe dit ineens komt. Er zijn geen policies in onze omgeving die WDAC zouden aanzetten, als ik naar de Application Control for Enterprise (preview) blade ga zie ik daar ook niets staan. Geen enkel idee wat er met die PC aan de hand is, temeer daar mijn private install wel op de canary biuld zit, maar de corporate image gewoon op de productie build zit. Dit is op een Copilot+ systeem (enige PC die ik heb met ARM en Copilot+ om de gekte voor te zijn, vandaar een private computer aan het misbruiken), maar idt is uiteraard niet leuk.

Iemand dit al tegengekomen? Want vraag me nu hard af of het iets te maken kan hebben met dat het een Copilot+ PC is. Morgen even de enige andere non-hybrid PC testen die ik heb, maar die ligt op kantoor.

Wel moet ik bij het opstarten mijn Bitlocker recovery key ingeven omdat er iets zou zijn aangepast aan de secure boot omgeving (mogelijks firmware update vanuit de andere image), maar ook dat zou geen trigger mogen zijn om in 1 keer alles te blokkeren.

[FREAKJAM]

Blokker_1999 schreef op woensdag 8 januari 2025 @ 19:53:
Verdomme, ik herstart net mijn eigen laptop terug in mijn company image en alle apps zijn gewoon geblokkeerd door ... Application Control for Business

@HKLM_, ben je in mijn omgeving aan het testen zonder iets te vragen?

Ik heb letterlijk geen enkel idee hoe dit ineens komt. Er zijn geen policies in onze omgeving die WDAC zouden aanzetten, als ik naar de Application Control for Enterprise (preview) blade ga zie ik daar ook niets staan. Geen enkel idee wat er met die PC aan de hand is, temeer daar mijn private install wel op de canary biuld zit, maar de corporate image gewoon op de productie build zit. Dit is op een Copilot+ systeem (enige PC die ik heb met ARM en Copilot+ om de gekte voor te zijn, vandaar een private computer aan het misbruiken), maar idt is uiteraard niet leuk.

Iemand dit al tegengekomen? Want vraag me nu hard af of het iets te maken kan hebben met dat het een Copilot+ PC is. Morgen even de enige andere non-hybrid PC testen die ik heb, maar die ligt op kantoor.

Wel moet ik bij het opstarten mijn Bitlocker recovery key ingeven omdat er iets zou zijn aangepast aan de secure boot omgeving (mogelijks firmware update vanuit de andere image), maar ook dat zou geen trigger mogen zijn om in 1 keer alles te blokkeren.

Is je autopilot hashkey veranderd en je device niet meer getagged als zakelijk oid? Kijk simpelweg eens bij settings op je windows device of smart app control aan staat? Ik heb wel eens meegemaakt dat dit gebeurt, zelfs bij zakelijke devices (dat smart app control is ingeschakeld terwijl dat niet zou mogen). Via defender for endpoint timeline toen ook kunnen nagaan dat het later wordt uitgezet (gezocht op regkey). Smart app control wordt iig standaard ingeschakeld op verse non-enterprise installaties en na evaluatie mogelijk weer uitgeschakeld als het systeem teveel heeft geflagged

[ Voor 4% gewijzigd door FREAKJAM op 08-01-2025 20:00 ]

[Blokker_1999]

Deze is niet eens opgezet met AutoPilot, maar simpelweg als gebruiker toegevoegd. Ik ben ook de enige gebruiker die zoiets kan in onze omgeving Daarnaast is een AutoPilot hash net een device hash en nooit afhankelijk van software, En het heeft ook netjes een sync gedaan met Intune.

[FREAKJAM]

Blokker_1999 schreef op woensdag 8 januari 2025 @ 20:01:
Deze is niet eens opgezet met AutoPilot, maar simpelweg als gebruiker toegevoegd. Ik ben ook de enige gebruiker die zoiets kan in onze omgeving Daarnaast is een AutoPilot hash net een device hash en nooit afhankelijk van software, En het heeft ook netjes een sync gedaan met Intune.

Dat weet ik. Maar als je je systeem om een bitlocker recovery key vraagt wijst mogelijk op een hardware wijziging. Maar, wat zegt smart app control in je settings?

https://learn.microsoft.c...requently-asked-questions

[ Voor 8% gewijzigd door FREAKJAM op 08-01-2025 20:05 ]

[Blokker_1999]

Smart App Control staat zoals verwacht gewoon uit, wat ik ook verwacht had nadat ik online screenshot heb gezien die duidelijk aangeven dat wanneer die iets tegenhoudt er ook gewoon de correcte naam boven staat. Dit zijn letterlijk blokkeringen die ik nu zie van App Control for Business en dat ik met vragen mijn admin moet contacteren.

Leuk, ik ben de admin

Ding heeft zelfs de VPN client van het werk die als admin is geinstalleerd geblokkeerd.

[HKLM_]

Blokker_1999 schreef op woensdag 8 januari 2025 @ 20:59:
Smart App Control staat zoals verwacht gewoon uit, wat ik ook verwacht had nadat ik online screenshot heb gezien die duidelijk aangeven dat wanneer die iets tegenhoudt er ook gewoon de correcte naam boven staat. Dit zijn letterlijk blokkeringen die ik nu zie van App Control for Business en dat ik met vragen mijn admin moet contacteren.

Leuk, ik ben de admin

Ding heeft zelfs de VPN client van het werk die als admin is geinstalleerd geblokkeerd.

Heb je de MDM Security baseline vanuit Intune uitgerolt op het systeem, zo ja kijk dan eens naar deze setting.

MDM Security Baseline -> Local Policies Security Options -> Standard user evaluation prompt behavior. If you have set it to: "Automatically deny evaluation requests" then the users will prompted with that message

[aGraPusher]

Onze organisatie wil graag een standaardthema (wallpaper, accentkleuren van de taakbalk en donkere modus) per Windows-apparaat instellen. Het lukt mij echter niet om dit op een fatsoenlijke manier via Intune te regelen.

Dit moet gelden voor zowel gedeelde apparaten als normale vaste laptops.

Weet iemand vanuit welke hoek ik dit moet aanpakken? Ik loop er namelijk steeds tegenaan dat policies niet goed werken, vooral wanneer ik met andere gebruikers inlog. Of moeten we echt voor zoals simpels als een wallpaper naar een E3 licentie gaan?

[Davidas]

aGraPusher schreef op donderdag 9 januari 2025 @ 16:55:
Onze organisatie wil graag een standaardthema (wallpaper, accentkleuren van de taakbalk en donkere modus) per Windows-apparaat instellen. Het lukt mij echter niet om dit op een fatsoenlijke manier via Intune te regelen.

Dit moet gelden voor zowel gedeelde apparaten als normale vaste laptops.

Weet iemand vanuit welke hoek ik dit moet aanpakken? Ik loop er namelijk steeds tegenaan dat policies niet goed werken, vooral wanneer ik met andere gebruikers inlog. Of moeten we echt voor zoals simpels als een wallpaper naar een E3 licentie gaan?

Misschien heb je hier wat aan. https://github.com/mtniehaus/AutopilotBranding

[Quad]

Wij gebruiken daarvoor Advanced installer, daar pakken we de images mee in en passen het register ermee aan. Werkt perfect.

[HKLM_]

aGraPusher schreef op donderdag 9 januari 2025 @ 16:55:
Onze organisatie wil graag een standaardthema (wallpaper, accentkleuren van de taakbalk en donkere modus) per Windows-apparaat instellen. Het lukt mij echter niet om dit op een fatsoenlijke manier via Intune te regelen.

Dit moet gelden voor zowel gedeelde apparaten als normale vaste laptops.

Weet iemand vanuit welke hoek ik dit moet aanpakken? Ik loop er namelijk steeds tegenaan dat policies niet goed werken, vooral wanneer ik met andere gebruikers inlog. Of moeten we echt voor zoals simpels als een wallpaper naar een E3 licentie gaan?

Wij doen dat met powershell scripts.

[Blokker_1999]

Enige wat we aanpassen is de wallpaper en dat is met een PowerShell script gezet bij de uitrol. En wanneer onze marketing afdeling even tijdelijk een andere background wenst overschrijven we met behulp van een app de huidige afbeelding.

[Blokker_1999]

HKLM_ schreef op donderdag 9 januari 2025 @ 14:28:
[...]


Heb je de MDM Security baseline vanuit Intune uitgerolt op het systeem, zo ja kijk dan eens naar deze setting.

MDM Security Baseline -> Local Policies Security Options -> Standard user evaluation prompt behavior. If you have set it to: "Automatically deny evaluation requests" then the users will prompted with that message

Ook daar niets te vinden wat dit ineens verklaard. Dit weekend eens verder naar zoeken wanneer ik wat meer tijd heb.

[Blokker_1999]

Heb de oorzaak van mijn issue gevonden dankzij een reddit post die ik eerst had genegeerd.

De laptop in kwestie is een dual boot device. Er staat een private Windows install op alsook een corporate image, dit omdat het de enige arm based laptop is die ik heb en ik wil een antwoord kunnen geven op de dag dat management afkomt met de vraag of arm iets voor ons zou zijn. Daarom de regels even negeren en een company build op een private laptop gezet met alle voorzorgen zoals alle partities van BitLocker voorzien.

De private image had ik aan het begin van het jaar omgezet naar de canary build naar aanleiding van een post in het topic over de SL7/SP11 dat MS de emulatie van x64 sterk aan het verbeteren is. In principe mag dat geen invloed hebben op de andere build en worst case vereist dat een herinstallatie van de eerste.

Maar nu blijkt er in die meest recente build een bug te zitten in de bootloader die dus dit gedrag veroorzaakt wanneer je een oudere versie (ouder dan de laatste canary build) probeert op te starten (in de reddit post en MS artikel ten gevolge van een rollback). Er wordt dan ook aanbevolen om voor een rollback naar een vorige versie enkele bestanden uit de EFI partitie te verwijderen om dit te voorkomen. Deze bestanden heb ik zonet verwijderd en mijn corporate image werkt nu dus weer. Al weet ik nog niet wat de schade aan die andere boot gaat zijn. Die moet ik nog eens opstarten op een later moment.

[Blokker_1999]

Ineens zien we bij AutoPilot deployments dat er regelmatig failures optreden met TPM attestation time-out. Nog iemand die dit ziet?

Ik kan reddit posts vinden van 3 jaar terug, en toen ging het om een DNS issue aan de kant van Microsoft.

[HKLM_]

Blokker_1999 schreef op woensdag 15 januari 2025 @ 10:22:
Ineens zien we bij AutoPilot deployments dat er regelmatig failures optreden met TPM attestation time-out. Nog iemand die dit ziet?

Ik kan reddit posts vinden van 3 jaar terug, en toen ging het om een DNS issue aan de kant van Microsoft.

Nee zegt mij niks momenteel, TPM Clear lost het ook niet op?


@Blokker_1999 Ik zie rudy ooms net iets hierover posten. https://patchtuesday.com/...d-out-on-windows-11-24h2/

[ Voor 15% gewijzigd door HKLM_ op 15-01-2025 10:49 ]

[kromme]

Is er binnen Intune een makkelijke manier om een custom snelkoppeling te pushen naar alle gebruikers?

We kijken met veel gebruikers mee via Quick Assist, alleen ben je bij veel mensen al minuten kwijt om die applicatie opgestart te krijgen.

Ik zou dus graag een snelkoppeling maken naar Quick assist met de benaming "Hulp op Afstand".

Nu vind ik we l handleidingen op internet maar deze lijken me zo complex dat ik me af vroeg of er geen simpele manier is.

[Quad]

Is het zo lastig voor ze om in Start: "Quick Assist", in te tikken?

[TheVMaster]

kromme schreef op woensdag 15 januari 2025 @ 11:01:
Is er binnen Intune een makkelijke manier om een custom snelkoppeling te pushen naar alle gebruikers?

We kijken met veel gebruikers mee via Quick Assist, alleen ben je bij veel mensen al minuten kwijt om die applicatie opgestart te krijgen.

Ik zou dus graag een snelkoppeling maken naar Quick assist met de benaming "Hulp op Afstand".

Nu vind ik we l handleidingen op internet maar deze lijken me zo complex dat ik me af vroeg of er geen simpele manier is.

Mensen aanleren dat ze op start moeten klikken en dan 'Quick Assist' typen....dat kost ff moeite, maar uiteindelijk is iedereen daarmee geholpen.

[Quad]

Geen idee hoe groot de organisatie is en of er soms interne mailings de deur uit gaan, maar je zou dat in een maandelijkse nieuwsbrief of intranet mee kunnen geven.

[GrasshopperNL]

kromme schreef op woensdag 15 januari 2025 @ 11:01:
Is er binnen Intune een makkelijke manier om een custom snelkoppeling te pushen naar alle gebruikers?

We kijken met veel gebruikers mee via Quick Assist, alleen ben je bij veel mensen al minuten kwijt om die applicatie opgestart te krijgen.

Ik zou dus graag een snelkoppeling maken naar Quick assist met de benaming "Hulp op Afstand".

Nu vind ik we l handleidingen op internet maar deze lijken me zo complex dat ik me af vroeg of er geen simpele manier is.

Je zou gebruikers ook de shortcut CTRL + Windows + Q kunnen laten gebruiken voor het opstarten van Quickassist.

[Blokker_1999]

@HKLM_, dat beschrijft inderdaad het probleem dat we zien. Wel grappig om te lezen dat het updaten van de firmware mede een oorzaak van het probleem is. Ik zeg hier al zo lang dat men niet zomaar blindelings firmwares moet updaten, maar ze blijven het maar doen.

[Blokker_1999]

kromme schreef op woensdag 15 januari 2025 @ 11:01:
Is er binnen Intune een makkelijke manier om een custom snelkoppeling te pushen naar alle gebruikers?

We kijken met veel gebruikers mee via Quick Assist, alleen ben je bij veel mensen al minuten kwijt om die applicatie opgestart te krijgen.

Ik zou dus graag een snelkoppeling maken naar Quick assist met de benaming "Hulp op Afstand".

Nu vind ik we l handleidingen op internet maar deze lijken me zo complex dat ik me af vroeg of er geen simpele manier is.

Ik weet dat er ooit gesproken is over hiervoor de functionaliteit te voorzien in Intune, maar die is nooit gerealiseerd. Dus wordt je beste kans via een script dat je in de achtergrond "installeert" als app. Zo heb ik zelf al meerdere scripts, en dat is eigenlijk niet veel werk.

[nextware]

kromme schreef op woensdag 15 januari 2025 @ 11:01:
Is er binnen Intune een makkelijke manier om een custom snelkoppeling te pushen naar alle gebruikers?

We kijken met veel gebruikers mee via Quick Assist, alleen ben je bij veel mensen al minuten kwijt om die applicatie opgestart te krijgen.

Ik zou dus graag een snelkoppeling maken naar Quick assist met de benaming "Hulp op Afstand".

Nu vind ik we l handleidingen op internet maar deze lijken me zo complex dat ik me af vroeg of er geen simpele manier is.

Ik heb dat uiteindelijk opgelost met een Powershell script. Als je wil kan ik kijken of ik dit nog ergens terug kan vinden. Was een snelkoppeling naar de Intune Company Portal maar dit moet volgens mij eenvoudig om te zetten zijn naar de Quick Assist.

[kromme]

Ja het is voor die mensen erg lastig om soms de start knop te vinden, om quick in te typen zonder dat ik het spel. En we hebben 2000 mensen in dienst waar de computer niet hun prio heeft.
Vandaar dat ik het ze makkelijk wil maken.@nextware Als je zou willen kijken zou ik dat waarderen.
@Blokker_1999 Heb jij toevallig de procedure script nog?

[TheVMaster]

kromme schreef op woensdag 15 januari 2025 @ 16:35:
Ja het is voor die mensen erg lastig om soms de start knop te vinden, om quick in te typen zonder dat ik het spel. En we hebben 2000 mensen in dienst waar de computer niet hun prio heeft.
Vandaar dat ik het ze makkelijk wil maken.@nextware Als je zou willen kijken zou ik dat waarderen.
@Blokker_1999 Heb jij toevallig de procedure script nog?

Ik snap dat eigenlijk nooit zo heel goed. Ook voor mensen waarbij computer niet de hun prio heeft weten echt wel hoe ze iets moeten doen. Ze hebben waarschijnlijk allemaal een smartphone en kunnen na 2 x proberen apps installeren. Dus ik zou ze niet teveel pamperen en ze proberen wat educatie te geven, daar is iedereen uiteindelijk bij gebaat he.

[Blokker_1999]

@kromme, zelf zou ik ook op het internet op zoek moeten gaan daar ik zelf geen shortcuts op onze desktop plaats. In tegendeel, ik lever de end-user systemen liefst zo kaal mogelijk af in mijn ontwerp. Maar ik heb wel al wat scriptjes verpakt in win32 apps in Intune, en dat is op zich niet veel werk. Het maken van zo een snelkoppeling kan ook niet veel werk zijn denk ik dan. Al zou ik het zelf niet snel doen voor iets als de Quick Assist net omdat mensen zouden moeten leren om dat vanuit het start menu te openen.

[kromme]

TheVMaster schreef op woensdag 15 januari 2025 @ 16:48:
[...]


Ik snap dat eigenlijk nooit zo heel goed. Ook voor mensen waarbij computer niet de hun prio heeft weten echt wel hoe ze iets moeten doen. Ze hebben waarschijnlijk allemaal een smartphone en kunnen na 2 x proberen apps installeren. Dus ik zou ze niet teveel pamperen en ze proberen wat educatie te geven, daar is iedereen uiteindelijk bij gebaat he.

Sommige mensen zijn niet op te voeden of educatie te geven.

Ik loop hier iedere dag tegen aan en ik zeg bij hel veel mensen (steeds dezelfde mensen) vaak hetzelfde. Natuurlijk probeer je mensen niet te pamperen maar als het mij en de eindgebruiker een paar minuten per keer kost om "Quick Assist" opgestart te krijgen gaat dit ook van mijn en de zorgmedewerker haar tijd af. Deze tijd kan beter aan een client besteed worden, los van het feit dat die onder zo een gesprek al de aandacht vraag. Ik snap jullie opmerkingen over "opvoeden" en "pamperen", maar ik wil het mezelf en de medewerker makkelijker maken.

Ook "CTRL"+"Win"+q is geen oplossing omdat ze vaak al niet snappen wat de windows toets is. Hetzelfde als start knop.
Het niveau van deze mensen is, als ik iedere dag op rood icoon klik en deze is morgen blauw....IT Bellen.

[ Voor 25% gewijzigd door kromme op 16-01-2025 12:21 ]

[TheVMaster]

kromme schreef op donderdag 16 januari 2025 @ 12:18:
[...]


Sommige mensen zijn niet op te voeden of educatie te geven.

Ik loop hier iedere dag tegen aan en ik zeg bij hel veel mensen (steeds dezelfde mensen) vaak hetzelfde. Natuurlijk probeer je mensen niet te pamperen maar als het mij en de eindgebruiker een paar minuten per keer kost om "Quick Assist" opgestart te krijgen gaat dit ook van mijn en de zorgmedewerker haar tijd af. Deze tijd kan beter aan een client besteed worden, los van het feit dat die onder zo een gesprek al de aandacht vraag. Ik snap jullie opmerkingen over "opvoeden" en "pamperen", maar ik wil het mezelf en de medewerker makkelijker maken.

Ook "CTRL"+"Win"+q is geen oplossing omdat ze vaak al niet snappen wat de windows toets is. Hetzelfde als start knop.
Het niveau van deze mensen is, als ik iedere dag op rood icoon klik en deze is morgen blauw....IT Bellen.

I know, maar dat betekend niet dat je er maar vanuit moet gaan dat helemaal niemand het snapt. Het gros van de mensen snapt echt wel hoe het werkt, mogelijk moet je dan ook zorgen dat je een goede FAQ op je intranet beschikbaar hebt, waarnaar je ze kunt verwijzen (eventueel met filmpjes)?

[Davidas]

TheVMaster schreef op donderdag 16 januari 2025 @ 13:28:
[...]


I know, maar dat betekend niet dat je er maar vanuit moet gaan dat helemaal niemand het snapt. Het gros van de mensen snapt echt wel hoe het werkt, mogelijk moet je dan ook zorgen dat je een goede FAQ op je intranet beschikbaar hebt, waarnaar je ze kunt verwijzen (eventueel met filmpjes)?

Exact, zorg voor een portal waar je kennisitems kwijt kan met duidelijke screenshots / video's.

[TheVMaster]

Davidas schreef op donderdag 16 januari 2025 @ 13:38:
[...]

Exact, zorg voor een portal waar je kennisitems kwijt kan met duidelijke screenshots / video's.

Anders leren mensen het nooit en daarnaast is het fijn als mensen zelfredzaam zijn. De mensen die er echt niet uitkomen kunnen dan of de FAQ checken, of alsnog de helpdesk bellen. Maar het grootste deel komt er wel uit verwacht ik.

[kromme]

Davidas schreef op donderdag 16 januari 2025 @ 13:38:
[...]

Exact, zorg voor een portal waar je kennisitems kwijt kan met duidelijke screenshots / video's.

die zijn er....kijkt geen hond naar.
Maar ik kan niet als ik aan de telefoon ben met iemand eerst vragen om de uitleg op intranet te kijken.
Dus om het punt niet voorbij te lopen, ik wil een snelkoppeling uitrollen in intune.

[asing]

kromme schreef op donderdag 16 januari 2025 @ 15:33:
[...]


die zijn er....kijkt geen hond naar.
Maar ik kan niet als ik aan de telefoon ben met iemand eerst vragen om de uitleg op intranet te kijken.
Dus om het punt niet voorbij te lopen, ik wil een snelkoppeling uitrollen in intune.

Ik voel je pijn, er zijn mensen die compleet niet tech-savy zijn, alles met knopjes negeren en in woede of complete paniek uitbarsten als ze moeten interacten met een computer of bijvoorbeeld een mobiele telefoon. Die mensen vind je in iedere bevolkingsgroep en mensen worden aangenomen voor een taak en die taak is meestal niet primair het bedienen van een PC.

Anyway, er is een manier om snelkoppelingen te pinnen op het start menu : https://www.anoopcnair.co...start-menu-layout-intune/

[akimosan]

Allereerst, ik ben het eens met de genoemde argumenten, stop met mensen "dom" te houden, maar ik snap je argument. Niet iedereen is IT-er of gefocust op computergebruik. Tegelijkertijd hebben we ook leren fietsen, veters strikken en klok kijken. Er zijn dus best dingen die je kunt leren die je in het dagelijks leven verder helpen. Basis dingen op een computer doen en bepaalde instructies volgen m.i. hoort ook daarbij..

Met 2000 gebruikers kun je waarschijnlijk beter kijken naar een andere Quick Assist / Remote Helpdesk oplossing, één die minder afhankelijk is van de skills van personen en minder gebruikers interactie vraagt en daarmee voor jou beter functioneert.

Een bekende is Teamviewer Tensor, al dan niet Teamviewer Host, dit kun je ook uitrollen via Intune en je kunt het zo instellen dat deze al op de achtergrond gestart is en de gebruiker alleen maar de connectie hoeft te accepteren, jij bepaalt hoe de policies en dergelijke ingesteld moeten worden
Ja het is een betaalde optie, en er zijn lovers and haters en andere oplossingen voor weer andere budgetten maar ga die kant eens opkijken in plaats van je te blijven behelpen.

Licentie kosten gebruik Teamviewer voor 2000 devices zijn misschien 2000 euro per jaar, dat kan prima te verantwoorden zijn.

Als laatste, om je toch te helpen met wat je vraagt, hier een stukje powershell script (deploy als Platform script) om middels COM object een shortcut aan te maken op de Desktop

Je volgende uitdaging gaat zijn hoe mensen ook alweer bij de Desktop komen als andere vensters full screen geopend zijn of mensen met meerdere monitoren werken..

https://stackoverflow.com...lnk-file-using-powershell

code:

$wshShell = New-Object -ComObject "WScript.Shell"
$urlShortcut = $wshShell.CreateShortcut(
  (Join-Path $wshShell.SpecialFolders.Item("AllUsersDesktop") "Kladblok.lnk")
)
$urlShortcut.TargetPath = "%WINDIR%\System32\notepad.exe"
$urlShortcut.Save()

[ Voor 17% gewijzigd door akimosan op 16-01-2025 16:11 ]

[Quad]

Of je kijkt naar een MSP RMM oplossing.
Voor 2000 devices ben je bij NinjaOne RMM qua kosten ca 1,50 per device per maand kwijt. Heb je wel heel wat meer features die je nu niet nodig hebt wellicht.

[HKLM_]

Er lijkt een soort bug in Edge te zitten, sinds vandaag worden mijn cookies iedere keer verwijderd als ik edge afsluit.. resultaat iedere keer die cookie melding, en weer aanmelden op o.a Tweakers.

Dacht vanmorgen dat het aan mijn werk laptop lag maar nu zie ik het ook op mijn prive laptop.

[Blokker_1999]

Oplossing: Edge niet afsluiten

[akimosan]

Check je settings bij

edge://settings/content/cookies?search=cookies

Sites kunnen cookiegegevens opslaan en lezen (aanbevolen)
(schuifje aan?)
Wissen bij afsluiten
(Site van Tweakers toegevoegd?)
of
edge://settings/clearBrowsingDataOnClose
Cookies en andere sitegegevens
(schuifje staat aan?)

[DDX]

Bijzonder, macbook die in intune overzicht staat met macos versie 14.5 (23F79)
Geraagd aan gebruiker om even te kijken naar updates, gisteren had die 15.1 en hij heeft geupdate naar 15.2.
Last check in half uur geleden...

Iemand dit wel eens meegemaakt/oplossing ?

En volgens mij heb ik nog een 2e macbook die hier last van heeft.
(we hebben intune policy ingesteld voor updates, dus erg bijzonder als iemand een zo'n oude versie kan draaien)

[ Voor 25% gewijzigd door DDX op 22-01-2025 10:39 ]

[ibmpc]

Kan iemand voor mij bevestigen of het onderstaande klopt?

Intune Fresh Start:
C:\Recovery\OEM wordt ook leeggemaakt.

Intune Wipe:
C:\Recovery\OEM blijft behouden. Als je bijvoorbeeld je remote tools en je guest wifi voorafgaand hierin plaatst, dan kun je gebruikers door het OOBE proces heen helpen. Gebruiker hoeft niet op F12 te drukken.

Local Machine System Reset zonder Wipe:
C:\Recovery\OEM blijft behouden. Als je bijvoorbeeld je remote tools en je guest wifi voorafgaand hierin plaatst, dan kun je gebruikers door het OOBE proces heen helpen. Gebruiker hoeft niet op F12 te drukken.

Local Machine System Reset met Wipe:
C:\Recovery\OEM blijft behouden. Als je bijvoorbeeld je remote tools en je guest wifi voorafgaand hierin plaatst, dan kun je gebruikers door het OOBE proces heen helpen. Maar de gebruiker zal wel op F12 moeten drukken om de TPM te clearen.

Klopt mijn conclusie?

[Blokker_1999]

Vandaag ineens een laptop in ons kantoor in China die niet door zijn provisioning komt. De eerste keer komt er letterlijk een melding op dat het systeem niet weet wat er mis is gegaan. Ik kijk de config na, vind niet direct iets dat mis is, maar zie wel dat er een app ontbrak in de vereiste applicaties voor de Chinese laptops. Ik voeg die app toe. En enkele uren later krijg ik foto's te zien dat de laptop bezig is met het installeren van app 3 van 25 terwijl er slechts 18 apps assigned staan, waarvan meerdere niet eens de requirements gaan triggeren (updates voor apps) ...

En weer een failure in deploy. Prachtig toch. Geen veranderingen aan de config, en alles faalt alsnog.

[HKLM_]

Blokker_1999 schreef op donderdag 23 januari 2025 @ 19:03:
Vandaag ineens een laptop in ons kantoor in China die niet door zijn provisioning komt. De eerste keer komt er letterlijk een melding op dat het systeem niet weet wat er mis is gegaan. Ik kijk de config na, vind niet direct iets dat mis is, maar zie wel dat er een app ontbrak in de vereiste applicaties voor de Chinese laptops. Ik voeg die app toe. En enkele uren later krijg ik foto's te zien dat de laptop bezig is met het installeren van app 3 van 25 terwijl er slechts 18 apps assigned staan, waarvan meerdere niet eens de requirements gaan triggeren (updates voor apps) ...

En weer een failure in deploy. Prachtig toch. Geen veranderingen aan de config, en alles faalt alsnog.

Heb je op een falende laptop get-autopilotdiagnostics wel eens gedraaid om te zien waar het mis gaat?

[FREAKJAM]

Blokker_1999 schreef op donderdag 23 januari 2025 @ 19:03:
Vandaag ineens een laptop in ons kantoor in China die niet door zijn provisioning komt. De eerste keer komt er letterlijk een melding op dat het systeem niet weet wat er mis is gegaan. Ik kijk de config na, vind niet direct iets dat mis is, maar zie wel dat er een app ontbrak in de vereiste applicaties voor de Chinese laptops. Ik voeg die app toe. En enkele uren later krijg ik foto's te zien dat de laptop bezig is met het installeren van app 3 van 25 terwijl er slechts 18 apps assigned staan, waarvan meerdere niet eens de requirements gaan triggeren (updates voor apps) ...

En weer een failure in deploy. Prachtig toch. Geen veranderingen aan de config, en alles faalt alsnog.

Die aantallen zijn niet persé vreemd. Is mede afhankelijk van de settings ook die zijn ingesteld in ESP. Als er een primary user is assigned houdt hij bovendien rekening met apps assigned aan device én user.

https://learn.microsoft.c...-application-is-installed

[Blokker_1999]

@HKLM_, nog niet. Gaat allemaal via tussenpersonen.

@FREAKJAM, al onze deploys gaan op eenzelfde manier. In China verwachten we bij de device setup fase 6 apps te zien, in alle andere regio's zijn het er altijd 7.

[Blokker_1999]

En nu hebben ze die zelfde laptop deze ochtend opnieuw gedeployed en is deze er zonder problemen doorgeraakt ... ik heb letterlijk niets veranderd. We zullen het maar weer op Microsoft steken.

[ibmpc]

Blokker_1999 schreef op vrijdag 24 januari 2025 @ 08:00:
En nu hebben ze die zelfde laptop deze ochtend opnieuw gedeployed en is deze er zonder problemen doorgeraakt ... ik heb letterlijk niets veranderd. We zullen het maar weer op Microsoft steken.

Heb je weleens getest met de ESP uitgeschakeld als het probleem zich weer voordoet? Wij zijn gestopt met de ESP om twee redenen:
1. Volledig wachtwoordloos werken is ingewikkelder met ESP
2. Sommige consumentenrouters blokkeren app deployments tijdens de ESP, maar zonder ESP worden die apps alsnog na OOBE uitgerold. Switchen naar bijv. een hotspot lost dit altijd op, maar de ESP uitschakelen ook.

[Blokker_1999]

En nogmaals teleurgesteld in de support afdeling van Microsoft. Komen ze vandaag terug met de resultaten van het bekijken van de log files van zo een Dell machine die faalt op zijn TPM attestation zoals beschreven in de blogpost waar @HKLM_ naar linkte, zeggen ze gewoon: maar als je enkele keren herprobeert zal het wel lukken.

Maar een bericht teruggestuurd met de vraag hoe dat dan ineens zou werken. Want uit de analyse die ik zelf maak, net zoals in de blogpost, is duidelijk dat het probleem ontstaat door een mismatch tussen het certificaat in de TPM en een exemplaat dat is opgeslagen in de TPM NVR en dat er zelfs nooit communicatie gebeurt naar de servers van MS. Sterker nog, de eigen analyse die werd meegestuurd toont aan dat tijdens de onboarding het systeem zelf 3x probeert een attestatie vast te krijgen. Dus de herhaalde pogingen zijn al gedaan.

Benieuwd waar ze nu mee gaan terugkomen. Heb letterlijk gemeld dat dit een probleem is dat MS samen met Dell en STM moet bekijken en dat wij niet in staat zijn om onze workaround (23H2 installeren) te blijven toepassen op lange termijn.

[kromme]

Ik heb de snelkoppeling werkend op het bureaublad via de W32 App.

Onderstaand powershell script.

code:

# Define the AppUserModelID for Quick Assist
$appUserModelID = "MicrosoftCorporationII.QuickAssist_8wekyb3d8bbwe!App"

# Define the path to the Public Desktop where the shortcut will be created
$publicDesktop = "C:\Users\Public\Desktop"

# Define the shortcut name
$shortcutName = "Hulp op afstand (Informatisering).lnk"

# Create a WScript.Shell COM object
$wshShell = New-Object -ComObject WScript.Shell

# Create the shortcut
$shortcut = $wshShell.CreateShortcut("$publicDesktop\$shortcutName")
$shortcut.TargetPath = "%windir%\explorer.exe"
$shortcut.Arguments = "shell:AppsFolder\$appUserModelID"

# Set the icon location to the Quick Assist app's icon
$quickAssistIconPath = "$env:ProgramFiles\WindowsApps\MicrosoftCorporationII.QuickAssist_8wekyb3d8bbwe\QuickAssist.exe"
$shortcut.IconLocation = "$quickAssistIconPath, 0"

$shortcut.Save()

Alleen krijg ik het logo niet gefix in de regel # Set the icon location to the Quick Assist app's icon

Als ik deze regel weg laat laat hij het verkenner logo zien, maar opent dan wel quickassist.

Weet iemand hoe ik het goede logo erbij krijg?

[akimosan]

Het pad naar het bestand waar hij dat logo uittrekt, verandert iedere keer (want de quick assist wordt op de achtergrond bijgewerkt)

Zo is het pad naar de Quick Assist bij mij :

C:\Program Files\WindowsApps\MicrosoftCorporationII.QuickAssist_2.0.32.0_x64__8wekyb3d8bbwe\Microsoft.RemoteAssistance.QuickAssist\QuickAssist.exe

. Kl0te he?

3 opties:

Simpel 1:

Een custom logo naar een fixed path wat wel altijd hetzelfde is, zoals een logo uit een standaard library als shell32.dll

Simpeler 2:
Extract icon uit de executable en sla deze op als een ICO bestand. (hier zijn utilities voor)
Distribueer ICO bestand met je app en sla deze ergens op waar het blijft staan (ergens in een mapje in programdata of zo..
Pas iconpath aan naar : <path>\icon.ico


Moeilijker:
Een custom (remediation?) script welke IEDERE keer de shortcut overschrijft en het iconpath resolved naar het correcte path, maar ja dat moet je dan ook weer in je detection bouwen met een custom detection script.

iets met

Resolve-Path "C:\Program Files\WindowsApps\MicrosoftCorporationII.QuickAssist_*_*__8wekyb3d8bbwe\Microsoft.RemoteAssistance.QuickAssist\QuickAssist.exe"


Ik zou gaan voor de simpele(r) oplossing. Je wilt een shortcut op de desktop. Gelukt!
F*ck de icon

[kromme]

akimosan schreef op donderdag 6 februari 2025 @ 11:50:
Het pad naar het bestand waar hij dat logo uittrekt, verandert iedere keer (want de quick assist wordt op de achtergrond bijgewerkt)

Zo is het pad naar de Quick Assist bij mij :

C:\Program Files\WindowsApps\MicrosoftCorporationII.QuickAssist_2.0.32.0_x64__8wekyb3d8bbwe\Microsoft.RemoteAssistance.QuickAssist\QuickAssist.exe

. Kl0te he?

3 opties:

Simpel 1:

Een custom logo naar een fixed path wat wel altijd hetzelfde is, zoals een logo uit een standaard library als shell32.dll

Simpeler 2:
Extract icon uit de executable en sla deze op als een ICO bestand. (hier zijn utilities voor)
Distribueer ICO bestand met je app en sla deze ergens op waar het blijft staan (ergens in een mapje in programdata of zo..
Pas iconpath aan naar : <path>\icon.ico


Moeilijker:
Een custom (remediation?) script welke IEDERE keer de shortcut overschrijft en het iconpath resolved naar het correcte path, maar ja dat moet je dan ook weer in je detection bouwen met een custom detection script.

iets met

Resolve-Path "C:\Program Files\WindowsApps\MicrosoftCorporationII.QuickAssist_*_*__8wekyb3d8bbwe\Microsoft.RemoteAssistance.QuickAssist\QuickAssist.exe"


Ik zou gaan voor de simpele(r) oplossing. Je wilt een shortcut op de desktop. Gelukt!
F*ck de icon

Voor optie 2 zal ik ergens het logo online moeten zetten wat ik dan kopieer naar de machine?
En hoezo wijzigt die locatie steeds in optie 1? Je zou toch verwachten dat het op 1 locatie blijft staan.

Met onderstaand werkt het nu met logo, echter veranderd dat nummer natuurlijk en zal er actief beheer op moeten zijn.

Vandaar je methode 2.

Was aan het kijken of het logo niet vanuit een blob storage opgehaald kan worden, alleen daar zitten natuurlijk flinke kosten aan.

[ Voor 7% gewijzigd door kromme op 06-02-2025 14:17 ]

[akimosan]

Voor optie 2 zal ik ergens het logo online moeten zetten wat ik dan kopieer naar de machine?
Ja, gewoon meepackagen met je win32 app in de intunewin file en in je script opnemen dat het even gekopieerd wordt naar bijvoorbeeld "C:\ProgramData\MyAppShortcuts\quickassist.ico"

Kan, en kosten vallen wel mee? Hangt een beetje af van hoeveel storage.
Vind het een beetje overkill voor een icoontje van een paar KB

[Quad]

Je kan advanced installer gebruiken. Pack je een logo en shortcut mee, verwijs je die naar het lokale pad. Voordeel, stop je met quick assist, zet je de groep in intune bij uninstall en alles verdwijnt weer, magisch.

[kromme]

akimosan schreef op donderdag 6 februari 2025 @ 15:42:
Voor optie 2 zal ik ergens het logo online moeten zetten wat ik dan kopieer naar de machine?
Ja, gewoon meepackagen met je win32 app in de intunewin file en in je script opnemen dat het even gekopieerd wordt naar bijvoorbeeld "C:\ProgramData\MyAppShortcuts\quickassist.ico"

Kan, en kosten vallen wel mee? Hangt een beetje af van hoeveel storage.
Vind het een beetje overkill voor een icoontje van een paar KB

Waar kan ik die anders plaatsen?

Quad schreef op donderdag 6 februari 2025 @ 16:01:
Je kan advanced installer gebruiken. Pack je een logo en shortcut mee, verwijs je die naar het lokale pad. Voordeel, stop je met quick assist, zet je de groep in intune bij uninstall en alles verdwijnt weer, magisch.

Ik moet het doen met de tools die ik heb.

[Quad]

Advanced installer kost niets, en maakt je vraagstuk makkelijker zonder scripts.

[DDX]

DDX schreef op woensdag 22 januari 2025 @ 10:38:
Bijzonder, macbook die in intune overzicht staat met macos versie 14.5 (23F79)
Geraagd aan gebruiker om even te kijken naar updates, gisteren had die 15.1 en hij heeft geupdate naar 15.2.
Last check in half uur geleden...

Iemand dit wel eens meegemaakt/oplossing ?

En volgens mij heb ik nog een 2e macbook die hier last van heeft.
(we hebben intune policy ingesteld voor updates, dus erg bijzonder als iemand een zo'n oude versie kan draaien)

Heb hier al even een supportcase voor lopen, maar echt veel verder kom ik nog niet bij Microsoft.
Er werd even geroepen reinstall die mac maar, maar gaf aan dat ik daar (/de eindgebruiker) daar weinig zin in heb.
Nu al paar keer handmatige sync moeten doen en screenshots moeten doorturen...

[kromme]

Quad schreef op donderdag 6 februari 2025 @ 16:50:
Advanced installer kost niets, en maakt je vraagstuk makkelijker zonder scripts.

Free trial...lijkt me dat je daana moet betalen.

[Quad]

kromme schreef op donderdag 6 februari 2025 @ 18:57:
[...]


Free trial...lijkt me dat je daana moet betalen.

Freeware na 30 dagen.
https://www.advancedinstaller.com/trial.html

Staat tegenwoordig wel verstopt.. Eerder had je directe link naar de standaard gratis variant.

[HKLM_]

Updates komen weer naar oobe mid 2025

https://techcommunity.mic...of-box-experience/4374291

[Blokker_1999]

Zucht, ineens hier een stomme discussie over "Fast Startup". Iemand hier een mooie oplossing om dat uit te schakelen? Of zal het met scripts moeten?

[Blokker_1999]

HKLM_ schreef op donderdag 6 februari 2025 @ 20:13:
Updates komen weer naar oobe mid 2025

https://techcommunity.mic...of-box-experience/4374291

Finally, mijn CISO blijft hier maar over vragen sinds hij weet dat dit eraan gaat komen.

[Davidas]

Blokker_1999 schreef op vrijdag 7 februari 2025 @ 15:24:
Zucht, ineens hier een stomme discussie over "Fast Startup". Iemand hier een mooie oplossing om dat uit te schakelen? Of zal het met scripts moeten?

Script inderdaad.

# Configure fast startup
log "Disable fast startup"
reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Power" /v "HiberbootEnabled" /t REG_DWORD /d 0 /f | Out-Host