Microsoft Intune ervaringentopic

[HKLM_]

Kraz schreef op maandag 3 juli 2023 @ 10:59:
[...]


Nice!
Gaat dat ook werken als je BIOS wachtwoorden hebt ingesteld?

Volgens mij stond daar iets over op de learning page van Microsoft (dacht ik)

Zie https://learn.microsoft.c...s-driver-updates-overview

What about drivers that update a BIOS that is password locked. How does this work?

Updates that are published to Windows Update have a requirement to use a Windows mechanism that enables securely updating the firmware or driver without requiring the BIOS/UEFI to be unlocked.

[ Voor 42% gewijzigd door HKLM_ op 03-07-2023 11:02 ]

[HKLM_]

TheVMaster schreef op maandag 3 juli 2023 @ 10:58:
[...]


Maar volgens mij is 'BIOS' een 'oude naam' voor firmware, althans mijn Surface devices krijgen alleen maar firmware updates en dat slaat vaak op (een deel van) 'de bios'. En ik vraag me ook af of alle leveranciers onderhand hun bios/firmwares via Windows Updates (en dus via Intune) aanbieden.

Ik dacht ergens een pagina gezien te hebben met vendors waar Microsoft mee samenwerkte voor deze functie maar die kan ik niet meer vinden

[HKLM_]

TheVMaster schreef op maandag 3 juli 2023 @ 10:59:
[...]


Ja, daar kunnen die firmware updates omheen werken, heb daar ergens een bron van gezien trouwens. Eens kijken of ik die kan vinden.

Hier en hier staat wel iets over password security m.b.t. BIOS/UEFI, maar dat is dan niet specifiek op Intune gericht maar meer op de manier hoe Device Firmware Configuration Interface (DFCI) profiles werken met Windows

Dit gaat over DFCI dat is buiten de Surface lijn alleen ondersteund door HP volgens mij.
HP is ook de enige die in het partner kopje staat als je in intune kijkt.

[DarkSide]

Ja ik ga nog even verder induiken
Ik hoorde idd dat men zich moet houden aan de standaard en dus ww geen issue moeten zijn.

voor wat betreft firmware en bios. Is idd misschien wat verrwarrend.
Maar hoor via via dat een kennis wel een upgrade van 1.51 naar 1.53 kreeg.

mogelijk nog niet alle hardware goed gescant.

Verder werkt de tool wel nice vind ik

[TheVMaster]

HKLM_ schreef op maandag 3 juli 2023 @ 11:04:
[...]


Dit gaat over DFCI dat is buiten de Surface lijn alleen ondersteund door HP volgens mij.
HP is ook de enige die in het partner kopje staat als je in intune kijkt.

Ja, dat was ook niet de bron waar ik het vandaan had. Dat was een 'mondelinge' bron, maar goed dat werkt niet echt als je een geschreven bron wilt aanhalen.

[HKLM_]

TheVMaster schreef op maandag 3 juli 2023 @ 11:05:
[...]


Ja, dat was ook niet de bron waar ik het vandaan had. Dat was een 'mondelinge' bron, maar goed dat werkt niet echt als je een geschreven bron wilt aanhalen.

Wel jammer dat dat DFCI niet heel lekker van de grond lijkt te komen... Ik heb er ooit eens over gesproken met Dell zou eind 2022 ook in de portal komen maar helaas schiet het niet echt op

[PEBKAC]

Nopheros schreef op vrijdag 30 juni 2023 @ 10:51:
[...]


Vind de term "nieuwe manier van werken" wel mooi, die komt ook elke paar jaar terug om een nieuwe techniek te beschrijven. Wij gebruiken Intune sinds 2017, niet echt nieuw meer.

Voor een locatie waar bijna alles nog on-prem draait en O365 een heel nieuwe concept is, is dit toch echt de ''nieuwe manier van werken''

[MADG0BLIN]

Ik zit een beetje met een uitdaging.
Wij maken gebruik van software van een leverancier welke op zijn minst gezegd niet zo flexibel is.
Ze stellen hierbij een ook APK beschikbaar welke we installeren op de mobiele devices. Dit is altijd handmatig gedaan bij nieuwe uitrol omdat er niet echt een andere optie was maar daar ben ik klaar mee.

Deze zou ik graag willen uitrollen via Intune zoals we met de rest van de software doen, maar we lopen daar tegen het volgende aan.
De app is niet beschikbaar in de Play Store en komt daar ook voorlopig niet. Daar zeur ik en met mij andere bedrijven die de software gebruiken al jaren om, maar helaas nog geen resultaat.

Nu heb ik de optie gebruikt hem toe te voegen als private app, daar krijg ik echter de volgende melding.
The package name naam software is already used by another application. Iemand heeft hem dus ooit al toegevoegd in de Play Store, echter zorgt dit ervoor dat anderen dat niet meer kunnen.

Dit is dus ook geen oplossing.

Hem toevoegen als LOB applicatie kan wel in Intune, echter wordt deze dan niet geïnstalleerd omdat de installatie en uitrol van de devices gedaan wordt als Corporate-owned dedicated devices met kiosk modus. Dit wordt niet ondersteund door Microsoft lees ik helaas.

Ook al een poging gedaan met APKtool om hem opnieuw te packagen, echter wil dat al helemaal niet vanwege signing errors.

Hebben mensen hier misschien nog een idee hoe ik dit toch automatisch kan installeren?

[TheVMaster]

MADG0BLIN schreef op donderdag 21 september 2023 @ 14:46:
Ik zit een beetje met een uitdaging.
Wij maken gebruik van software van een leverancier welke op zijn minst gezegd niet zo flexibel is.
Ze stellen hierbij een ook APK beschikbaar welke we installeren op de mobiele devices. Dit is altijd handmatig gedaan bij nieuwe uitrol omdat er niet echt een andere optie was maar daar ben ik klaar mee.

Deze zou ik graag willen uitrollen via Intune zoals we met de rest van de software doen, maar we lopen daar tegen het volgende aan.
De app is niet beschikbaar in de Play Store en komt daar ook voorlopig niet. Daar zeur ik en met mij andere bedrijven die de software gebruiken al jaren om, maar helaas nog geen resultaat.

Nu heb ik de optie gebruikt hem toe te voegen als private app, daar krijg ik echter de volgende melding.
The package name naam software is already used by another application. Iemand heeft hem dus ooit al toegevoegd in de Play Store, echter zorgt dit ervoor dat anderen dat niet meer kunnen.

Dit is dus ook geen oplossing.

Hem toevoegen als LOB applicatie kan wel in Intune, echter wordt deze dan niet geïnstalleerd omdat de installatie en uitrol van de devices gedaan wordt als Corporate-owned dedicated devices met kiosk modus. Dit wordt niet ondersteund door Microsoft lees ik helaas.

Ook al een poging gedaan met APKtool om hem opnieuw te packagen, echter wil dat al helemaal niet vanwege signing errors.

Hebben mensen hier misschien nog een idee hoe ik dit toch automatisch kan installeren?

Waarom leveren zij die applicatie niet 'gewoon' via de Playstore?

[Unknown Alien]

HKLM_ schreef op maandag 3 juli 2023 @ 10:32:
[...]


Bios updates kunnen ook inderdaad. Ik zag een twitter post van Johan langs hobbelen.

[Afbeelding]

Dit kan al heel lang zo.

Wij updaten onze BIOS van de endpoints ook, samen met de patches.

Kraz schreef op maandag 3 juli 2023 @ 10:59:
[...]
Nice!
Gaat dat ook werken als je BIOS wachtwoorden hebt ingesteld?

Ja als je het wachtwoord weet wel
Dus eindgebruikers die dit niet weten komen op een schemr te staan, voer wachtwoord in.

[MADG0BLIN]

TheVMaster schreef op donderdag 21 september 2023 @ 14:47:
[...]


Waarom leveren zij die applicatie niet 'gewoon' via de Playstore?

Dat zou inderdaad de meest makkelijkste optie zijn en daar ben ik al ruim 2 jaar voor aan het lobbyen, maar wat ik al schreef, zo flexibel als een eikenhouten deur..

Er zijn ongeveer 4 of 5 verschillende builds in omloop voor de verschillende versies van de software is de reden die ze opgeven. Meer krijg ik er helaas niet uit. Dat is dus vervelend genoeg geen oplossing.

Wij gaan binnenkort over van een wat oudere versie van de software naar 3 builds nieuwer. Daar hoort een nieuwe versie van de app bij, maar je raad het al, die moet ik dan handmatig overal laten installeren. Daar heb ik geen zin meer in, vandaar mijn zoektocht. Maar ik ben nu een aantal dagen bezig maar krijg het niet voor elkaar.

[TheVMaster]

MADG0BLIN schreef op donderdag 21 september 2023 @ 14:52:
[...]


Dat zou inderdaad de meest makkelijkste optie zijn en daar ben ik al ruim 2 jaar voor aan het lobbyen, maar wat ik al schreef, zo flexibel als een eikenhouten deur..

Er zijn ongeveer 4 of 5 verschillende builds in omloop voor de verschillende versies van de software is de reden die ze opgeven. Meer krijg ik er helaas niet uit. Dat is dus vervelend genoeg geen oplossing.

Wij gaan binnenkort over van een wat oudere versie van de software naar 3 builds nieuwer. Daar hoort een nieuwe versie van de app bij, maar je raad het al, die moet ik dan handmatig overal laten installeren. Daar heb ik geen zin meer in, vandaar mijn zoektocht. Maar ik ben nu een aantal dagen bezig maar krijg het niet voor elkaar.

Wat is dat dan voor idiote software, dat ze in 2023 geen manier hebben om het ook goed te kunnen deployen en beheren.

Weet niet of je hem misschien kunt wrappen : https://learn.microsoft.c...le-application-management

En als je certificaten nodig hebt, de leverancier vragen om hieraan mee te werken?

[ Voor 10% gewijzigd door TheVMaster op 21-09-2023 14:54 ]

[MADG0BLIN]

TheVMaster schreef op donderdag 21 september 2023 @ 14:53:
[...]


Wat is dat dan voor idiote software, dat ze in 2023 geen manier hebben om het ook goed te kunnen deployen en beheren.

Don't get me started...

Weet niet of je hem misschien kunt wrappen : https://learn.microsoft.c...le-application-management

Hier heb ik nog niet naar gekeken, thanks, dat ga ik ff proberen.

En als je certificaten nodig hebt, de leverancier vragen om hieraan mee te werken?

Gezien de eerdere ervaringen heb ik hier weinig vertrouwen in.

[Schrikbeest]

MADG0BLIN schreef op donderdag 21 september 2023 @ 14:46:
Ik zit een beetje met een uitdaging.
Wij maken gebruik van software van een leverancier welke op zijn minst gezegd niet zo flexibel is.
Ze stellen hierbij een ook APK beschikbaar welke we installeren op de mobiele devices. Dit is altijd handmatig gedaan bij nieuwe uitrol omdat er niet echt een andere optie was maar daar ben ik klaar mee.

Deze zou ik graag willen uitrollen via Intune zoals we met de rest van de software doen, maar we lopen daar tegen het volgende aan.
De app is niet beschikbaar in de Play Store en komt daar ook voorlopig niet. Daar zeur ik en met mij andere bedrijven die de software gebruiken al jaren om, maar helaas nog geen resultaat.

Nu heb ik de optie gebruikt hem toe te voegen als private app, daar krijg ik echter de volgende melding.
The package name naam software is already used by another application. Iemand heeft hem dus ooit al toegevoegd in de Play Store, echter zorgt dit ervoor dat anderen dat niet meer kunnen.

Dit is dus ook geen oplossing.

Hem toevoegen als LOB applicatie kan wel in Intune, echter wordt deze dan niet geïnstalleerd omdat de installatie en uitrol van de devices gedaan wordt als Corporate-owned dedicated devices met kiosk modus. Dit wordt niet ondersteund door Microsoft lees ik helaas.

Ook al een poging gedaan met APKtool om hem opnieuw te packagen, echter wil dat al helemaal niet vanwege signing errors.

Hebben mensen hier misschien nog een idee hoe ik dit toch automatisch kan installeren?

Exact hetzelfde gehad bij een leverancier, de melding: "The package name naam software is already used by another application." kan vrij simpel worden opgelost in de APK" is relatief makkelijk te fixen door de leverancier door hem een andere naam te geven, wellicht jullie organisatie naam verkort er in opnemen oid.

Uiteindelijk zijn wij wel overgestapt op Managed Google Playstore icm de generic app van de leverancier en niet meer Android Administrator .

[MADG0BLIN]

TheVMaster schreef op donderdag 21 september 2023 @ 14:53:
[...]


Wat is dat dan voor idiote software, dat ze in 2023 geen manier hebben om het ook goed te kunnen deployen en beheren.

Weet niet of je hem misschien kunt wrappen : https://learn.microsoft.c...le-application-management

En als je certificaten nodig hebt, de leverancier vragen om hieraan mee te werken?

Lijkt erop dat ik hiervoor ook de certificaten nodig hebt, maar ik ga nog even verder spelen.

[MADG0BLIN]

TheVMaster schreef op donderdag 21 september 2023 @ 14:53:
[...]


Wat is dat dan voor idiote software, dat ze in 2023 geen manier hebben om het ook goed te kunnen deployen en beheren.

Weet niet of je hem misschien kunt wrappen : https://learn.microsoft.c...le-application-management

En als je certificaten nodig hebt, de leverancier vragen om hieraan mee te werken?

Inderdaad de certificaten benodigd.

If the app has been deployed previously with a different signing certificate, the app can't be uploaded to Intune after upgrade. App upgrade scenarios will be broken if your app is signed with a different certificate than the one the app is built with. As such, any new signing certificates should be maintained for app upgrades.

[TheVMaster]

MADG0BLIN schreef op donderdag 21 september 2023 @ 15:39:
[...]


Lijkt erop dat ik hiervoor ook de certificaten nodig hebt, maar ik ga nog even verder spelen.

Volgens mij kun je daar dus eigen certificaten voor gebruiken, die je vervolgens kunt laten vertrouwen door root cert via Intune te deployen, maar pin me daar niet op vast. Heb dat nog nooit gebruikt in de praktijk. Dat werkt dus niet als de app al is gesigned door die leverancier van jullie

[ Voor 9% gewijzigd door TheVMaster op 21-09-2023 16:34 ]

[MADG0BLIN]

TheVMaster schreef op donderdag 21 september 2023 @ 16:34:
[...]


Volgens mij kun je daar dus eigen certificaten voor gebruiken, die je vervolgens kunt laten vertrouwen door root cert via Intune te deployen, maar pin me daar niet op vast. Heb dat nog nooit gebruikt in de praktijk. Dat werkt dus niet als de app al is gesigned door die leverancier van jullie

Dat dus.. Ik krijg het verder ook niet voor elkaar. Ga er maar weer eens een boos mailtje aan wagen.

Volgens mij zijn er verder geen opties meer. Tenzij ik iets over het hoofd zie, maar bedankt voor het meedenken. Echt 99% kan automatisch uitgerold worden, allemaal perfect, behalve deze app.

[HKLM_]

Unknown Alien schreef op donderdag 21 september 2023 @ 14:50:
[...]

Dit kan al heel lang zo.

Wij updaten onze BIOS van de endpoints ook, samen met de patches.
[...]

Ja als je het wachtwoord weet wel
Dus eindgebruikers die dit niet weten komen op een schemr te staan, voer wachtwoord in.

Dan heb je in een preview gezeten, want die functie is nog niet heel lang GA toen ik dat poste

[Urk]

FREAKJAM schreef op vrijdag 30 juni 2023 @ 20:52:
Microsoft maakt het ons ook graag lastig. Bitlocker policies kan je ook op talloze manieren regelen, maar wat nou de best practise is weten ze zelf nog volgens mij ook niet.

Kan mij voorstellen dat je bijv. een settings catalog policy aanmaakt waar je al je update policies in hebt gedefinineerd. Denk o.a. ook aan Defender AV updates etc. (Remember ASRmegeddon?)

Grappig dat je dat zegt. Ik heb zelf InTune meer dan 8 jaar geleden getest. Toen vond ik het nog zwaar tegenvallen tov GPO's. Veel kon toen niet. Nu bij een klant weer begonnen met InTune/Endpoint Manager maar sommige dingen vallen me nog zwaar tegen:

1. Je kan niet direct in InTune registry keys instellen zo lijkt het, zoals dat in GPO wel makkelijk kan, zo te zien kan dat alleen via scripting
2. Ik wil Bitlocker PIN implementeren maar ook dat lijkt niet native volledig te kunnen, wat ik heb gelezen is dat je er altijd 3rd party tools of script voor nodig hebt, klopt dat?

[FREAKJAM]

Urk schreef op donderdag 21 september 2023 @ 19:07:
[...]

Grappig dat je dat zegt. Ik heb zelf InTune meer dan 8 jaar geleden getest. Toen vond ik het nog zwaar tegenvallen tov GPO's. Veel kon toen niet. Nu bij een klant weer begonnen met InTune/Endpoint Manager maar sommige dingen vallen me nog zwaar tegen:

1. Je kan niet direct in InTune registry keys instellen zo lijkt het, zoals dat in GPO wel makkelijk kan, zo te zien kan dat alleen via scripting
2. Ik wil Bitlocker PIN implementeren maar ook dat lijkt niet native volledig te kunnen, wat ik heb gelezen is dat je er altijd 3rd party tools of script voor nodig hebt, klopt dat?

Mijn advies is om het 'oude' los te laten wanneer je aan de slag gaat met Intune. Hoe je het vroeger deed zonder Intune, wil niet zeggen dat het nu ook zo moet. Laat het oude los en probeer ook niet alles te 'migreren' naar Intune qua instellingen op de werkplek. Start vanaf scratch; hiermee voorkom je ook dat je mogelijk allemaal instellingen gaat migreren die mogelijk niet meer relevant zijn.

Intune gebruikt zijn eigen policy engine, gebaseerd op CSP. Dit is een service provider waarmee je instellingen kunt beheren op een Intune device. Advies is om dit te doen met de settings catalog of administrative templates die beschikbaar zijn in Intune. Als je echt een hele specifieke setting wilt pushen die niet native beschikbaar is, dan moet je inderdaad gaan scripten of met remedations aan de slag. Met een script verlies je wel de controle over de registry key nadat je deze hebt ingesteld met het script. Met de remedation optie houd je nog enigzins de controle; dit is meer op basis van een desired state.

Mocht je een admx hebben van de key die je wilt setten, dan kan dat eventueel ook nog trouwens.

Wat betreft je Bitlocker vraag. Wat is de behoefte? Waarom wil je een Bitlocker PIN vereisen? Bitlocker gebruikt standaard je TPM chip om je drive te unlocken. Dat is mijn ogen secure genoeg. Vroeger hadden veel Windows devices nog geen TPM chip en dan is het gebruiken van een bitlocker PIN veel logischer.

[ Voor 12% gewijzigd door FREAKJAM op 21-09-2023 19:33 ]

[TheVMaster]

Urk schreef op donderdag 21 september 2023 @ 19:07:
[...]

Grappig dat je dat zegt. Ik heb zelf InTune meer dan 8 jaar geleden getest. Toen vond ik het nog zwaar tegenvallen tov GPO's. Veel kon toen niet. Nu bij een klant weer begonnen met InTune/Endpoint Manager maar sommige dingen vallen me nog zwaar tegen:

1. Je kan niet direct in InTune registry keys instellen zo lijkt het, zoals dat in GPO wel makkelijk kan, zo te zien kan dat alleen via scripting
2. Ik wil Bitlocker PIN implementeren maar ook dat lijkt niet native volledig te kunnen, wat ik heb gelezen is dat je er altijd 3rd party tools of script voor nodig hebt, klopt dat?

Doel je dan op GPO preferences? Daar heb je Remediations voor. Heb er toevallig net voor een klant een gemaakt.

Waarom schrijf je trouwens InTune? 🤯 Ow en het heet geen Endpoint Manager meer. 🤓

[ Voor 5% gewijzigd door TheVMaster op 21-09-2023 19:40 ]

[Urk]

TheVMaster schreef op donderdag 21 september 2023 @ 19:39:
[...]


Doel je dan op GPO preferences? Daar heb je Remediations voor. Heb er toevallig net voor een klant een gemaakt.

Waarom schrijf je trouwens InTune? 🤯 Ow en het heet geen Endpoint Manager meer. 🤓

Oh sorry, bedoel je Intune en geen InTune....?! Tja, Microsoft en namen...
Je gaat me toch niet vertellen dat het dit was: Microsoft Intune > Microsoft Endpoint Manager > Microsoft Intune?
Intune is toch het programma en Endpoint Manager het platform?

[HKLM_]

Urk schreef op donderdag 21 september 2023 @ 20:11:
[...]

Oh sorry, bedoel je Intune en geen InTune....?! Tja, Microsoft en namen...
Je gaat me toch niet vertellen dat het dit was: Microsoft Intune > Microsoft Endpoint Manager > Microsoft Intune?
Intune is toch het programma en Endpoint Manager het platform?

Ja zo is het gegaan inderdaad

Effective October 12, 2022, Microsoft Intune becomes the name of the endpoint management family with the name Microsoft Endpoint Manager no longer being used.

Een bitlocker pin is trouwens prima via een intune bitlocker policy af te dwingen. Ik deed dat via een configuratie policy (ook de rest van bitlocker trouwens)

[ Voor 13% gewijzigd door HKLM_ op 21-09-2023 20:29 ]

[Urk]

FREAKJAM schreef op donderdag 21 september 2023 @ 19:27:
[...]


Mijn advies is om het 'oude' los te laten wanneer je aan de slag gaat met Intune. Hoe je het vroeger deed zonder Intune, wil niet zeggen dat het nu ook zo moet. Laat het oude los en probeer ook niet alles te 'migreren' naar Intune qua instellingen op de werkplek. Start vanaf scratch; hiermee voorkom je ook dat je mogelijk allemaal instellingen gaat migreren die mogelijk niet meer relevant zijn.

Bedankt voor je antwoord en feedback
Dat heb ik juist gedaan, ben van scratch begonnen met Intune maar wil wel bepaalde registry keys toepassen zodat ik dat altijd makkelijk kon doen met GPO Preferences idd.

FREAKJAM schreef op donderdag 21 september 2023 @ 19:27:
[...]
Intune gebruikt zijn eigen policy engine, gebaseerd op CSP. Dit is een service provider waarmee je instellingen kunt beheren op een Intune device. Advies is om dit te doen met de settings catalog of administrative templates die beschikbaar zijn in Intune. Als je echt een hele specifieke setting wilt pushen die niet native beschikbaar is, dan moet je inderdaad gaan scripten of met remedations aan de slag. Met een script verlies je wel de controle over de registry key nadat je deze hebt ingesteld met het script. Met de remedation optie houd je nog enigzins de controle; dit is meer op basis van een desired state.

Het meeste wat je hier noemt ken ik, behalve Remedations, daar zal ik eens over gaan lezen... tnx. Ik wist inderdaad ook dat ik ADMX-en kon importeren.

FREAKJAM schreef op donderdag 21 september 2023 @ 19:27:
[...]
Wat betreft je Bitlocker vraag. Wat is de behoefte? Waarom wil je een Bitlocker PIN vereisen? Bitlocker gebruikt standaard je TPM chip om je drive te unlocken. Dat is mijn ogen secure genoeg. Vroeger hadden veel Windows devices nog geen TPM chip en dan is het gebruiken van een bitlocker PIN veel logischer.

In mijn optiek is Bitlocker zonder PIN absoluut niet veilig genoeg. Sterker nog: ik begrijp niet waarom dat überhaupt bestaat. Als een laptop wordt gestolen of je raakt hem kwijt is niet ondenkbaar dat je er met fysieke toegang tot de laptop niet bij de data op de laptop kan komen. (OK, toegegeven deze truc werkt niet als bitlocker actief is zonder PIN). Immers je data is ontsleuteld zodra Windows opstart. Desnoods paar maanden wachten en de nodige kwetsbaarheden zijn bekend om het systeem aan te vallen zodra Windows is gestart.

[Edit]: Bitlocker PIN is ook vereist voor Bitlocker anti-hammering protection.
Bij een aantal klanten heb ik complex BIOS password + Bitlocker PIN geimplementeerd, dat is imho erg veilig.

[ Voor 7% gewijzigd door Urk op 21-09-2023 21:07 ]

[HKLM_]

Urk schreef op donderdag 21 september 2023 @ 19:07:
[...]

• Je kan niet direct in InTune registry keys instellen zo lijkt het, zoals dat in GPO wel makkelijk kan, zo te zien kan dat alleen via scripting
[li
[/list]

Als je registery keys wilt uitrollen dan is een detect en remediation script inderdaad een goede oplossing zoals @TheVMaster ook al aangeeft.

Momenteel doe ik er niks mee maar in het verleden heb ik deze “tool” https://rzander.azurewebs...powershell-converter/amp/ wel eens gebruikt.

Daar plak je je regkey in en die genereert dan een detect en remediation script welke je kunt uitrollen.

[HKLM_]

Urk schreef op donderdag 21 september 2023 @ 20:30:
[...]

In mijn optiek is Bitlocker zonder PIN absoluut niet veilig genoeg. Sterker nog: ik begrijp niet waarom dat überhaupt bestaat. Als een laptop wordt gestolen of je raakt hem kwijt is niet ondenkbaar dat je er met fysieke toegang tot de laptop niet bij de data op de laptop kan komen. (OK, toegegeven deze truc werkt niet als bitlocker actief is zonder PIN). Immers je data is ontsleuteld zodra Windows opstart. Desnoods paar maanden wachten en de nodige kwetsbaarheden zijn bekend om het systeem aan te vallen zodra Windows is gestart.

Je kan ook zeggen ik skip heel het bitlocker verhaal en ga Personal Data Encryption + WHFB doen.

Sowieso stel dat ze binnenkomen op een laptop dan heb je als het goed is je data security (information protection etc etc) welke je een beschermingen laag bied.

[ Voor 9% gewijzigd door HKLM_ op 21-09-2023 20:44 ]

[Urk]

HKLM_ schreef op donderdag 21 september 2023 @ 20:27:
[...]


Ja zo is het gegaan inderdaad


[...]


Een bitlocker pin is trouwens prima via een intune bitlocker policy af te dwingen. Ik deed dat via een configuratie policy (ook de rest van bitlocker trouwens)

Whahaha, ja typisch Microsoft en namen, dat is toch één groot drama mensen
Office 365 Business Essentials werd Microsoft 365 Business Basic
Office 365 Business Premium werd Microsoft 365 Business Standard
Microsoft 365 Business werd Microsoft 365 Business Premium
Microsoft Azure AD wordt Microsoft Entra ID (en geen klant, maar ook echt bijna geen klant vind dat een goed idee! Reacties zijn hilarisch!)

Wat je zegt over Bitlocker pin weet ik dat inderdaad maar is het ook bij een Autopilot setup direct te vragen en te kiezen door te gebruiker. Of dit afdwingen. Bij MBAM heb ik dit werkend in een OnPrem omgeving en werkt prima..

[FREAKJAM]

Vergeet Pluton niet en Azure Attestation komt er ook aan. Wel Windows 11 only.

[ Voor 48% gewijzigd door FREAKJAM op 21-09-2023 20:46 ]

[Urk]

HKLM_ schreef op donderdag 21 september 2023 @ 20:42:
[...]


Je kan ook zeggen ik skip heel het bitlocker verhaal en ga Personal Data Encryption + WHFB doen.

Sowieso stel dat ze binnenkomen op een laptop dan heb je als het goed is je data security (information protection etc etc) welke je een beschermingen laag bied.

Interessant, ken ik nog niet. Ga ik inlezen maar zie dat het pas werkt vanaf Windows 11 22H2. Maar is het inloggen dan niet de zwakke schakel? Stel een gebruiker heeft als pincode 123456 of zijn geboortedatum gekozen, dan worden zijn files toch alsnog gedecrypt. Bij Bitlocker pin weet je vaak niet wie de gebruiker is, bij een Windows login scherm weet je vaak al iets meer (soms organisatie en naam kan al voldoende zijn).

[Edit]: PDE is ook AzureAD joined only (of moet eigenlijk zeggen Entry ID joined only ) en niet Hybrid Azure AD joined mogelijk, dus kan soms daardoor al afvallen...
[Edit2]: Nog een groot nadeel van PDE lees ik net is dat het niet wordt ondersteund in Windows Pro, alleen Enterprise/Education NEXT...!

[ Voor 15% gewijzigd door Urk op 21-09-2023 21:04 ]

[FREAKJAM]

Urk schreef op donderdag 21 september 2023 @ 20:46:
[...]

Interessant, ken ik nog niet. Ga ik inlezen maar zie dat het pas werkt vanaf Windows 11 22H2. Maar is het inloggen dan niet de zwakke schakel? Stel een gebruiker heeft als pincode 123456 of zijn geboortedatum gekozen, dan worden zijn files toch alsnog gedecrypt. Bij Bitlocker pin weet je vaak niet wie de gebruiker is, bij een Windows login scherm weet je vaak al iets meer (soms organisatie en naam kan al voldoende zijn)

Why a PIN is better than an online password

[HKLM_]

Urk schreef op donderdag 21 september 2023 @ 20:46:
[...]

Interessant, ken ik nog niet. Ga ik inlezen maar zie dat het pas werkt vanaf Windows 11 22H2. Maar is het inloggen dan niet de zwakke schakel? Stel een gebruiker heeft als pincode 123456 of zijn geboortedatum gekozen, dan worden zijn files toch alsnog gedecrypt. Bij Bitlocker pin weet je vaak niet wie de gebruiker is, bij een Windows login scherm weet je vaak al iets meer (soms organisatie en naam kan al voldoende zijn)

Pin 123456 etc moet je onmogelijk maken met complex pin. Dit is wel interessant voor je

https://learn.microsoft.c...n-is-better-than-password

[FREAKJAM]

Haha @HKLM_ . Great minds think alike

[Urk]

HKLM_ schreef op donderdag 21 september 2023 @ 20:49:
[...]


Pin 123456 etc moet je onmogelijk maken met complex pin. Dit is wel interessant voor je

https://learn.microsoft.c...n-is-better-than-password

Ja, het was even als voorbeeld, ik gok dat 123456 standaard al geblocked wordt.
Ik weet zeker het verschil al tussen online password en PIN (device only).

[ Voor 6% gewijzigd door Urk op 21-09-2023 20:51 ]

[TheVMaster]

Urk schreef op donderdag 21 september 2023 @ 20:11:
[...]

Oh sorry, bedoel je Intune en geen InTune....?! Tja, Microsoft en namen...
Je gaat me toch niet vertellen dat het dit was: Microsoft Intune > Microsoft Endpoint Manager > Microsoft Intune?
Intune is toch het programma en Endpoint Manager het platform?

Tja, het is nooit InTune geweest. En endpoint manager is de oude naam, nu heet het product/platform Intune.

[TheVMaster]

HKLM_ schreef op donderdag 21 september 2023 @ 20:42:
[...]


Je kan ook zeggen ik skip heel het bitlocker verhaal en ga Personal Data Encryption + WHFB doen.

Sowieso stel dat ze binnenkomen op een laptop dan heb je als het goed is je data security (information protection etc etc) welke je een beschermingen laag bied.

Ik zie werkelijk geen enkele klant die pre-boot PIN gebruikt. Geen grote enterprise, geen overheid en geen high secure klanten. 🤷‍♂️

[TheVMaster]

Urk schreef op donderdag 21 september 2023 @ 20:43:
[...]


Whahaha, ja typisch Microsoft en namen, dat is toch één groot drama mensen
Office 365 Business Essentials werd Microsoft 365 Business Basic
Office 365 Business Premium werd Microsoft 365 Business Standard
Microsoft 365 Business werd Microsoft 365 Business Premium
Microsoft Azure AD wordt Microsoft Entra ID (en geen klant, maar ook echt bijna geen klant vind dat een goed idee! Reacties zijn hilarisch!)

Wat je zegt over Bitlocker pin weet ik dat inderdaad maar is het ook bij een Autopilot setup direct te vragen en te kiezen door te gebruiker. Of dit afdwingen. Bij MBAM heb ik dit werkend in een OnPrem omgeving en werkt prima..

Dat is algemeen bekend dat MS nogal eens namen wijzigt. Maar het heeft nooit InTune geheten, het product is natuurlijk perfect In Tune, maar zo heet het niet 😂😂😂

[HKLM_]

TheVMaster schreef op vrijdag 22 september 2023 @ 00:59:
[...]


Ik zie werkelijk geen enkele klant die pre-boot PIN gebruikt. Geen grote enterprise, geen overheid en geen high secure klanten. 🤷‍♂️

Dat jij ze niet ziet, wilt niet zeggen dat ze er niet zijn he

[TheVMaster]

HKLM_ schreef op vrijdag 22 september 2023 @ 07:04:
[...]


Dat jij ze niet ziet, wilt niet zeggen dat ze er niet zijn he

Ik doelde meer op, als grote high secure (en 'grote targets') dat soort functionaliteiten al niet gebruiken zegt dat wel wat. Snap nooit zo goed waarom een gemiddeldde MKB'er in NL dan zou denken dat ze dat soort 'security' measures niet nodig hebben.

Soms bij die grote enterprises zie je dan wel dat VIP's (Dus de C-level mensen) het nog gebruiken, maar dat is het dan wel.

[Urk]

TheVMaster schreef op vrijdag 22 september 2023 @ 11:23:
[...]


Ik doelde meer op, als grote high secure (en 'grote targets') dat soort functionaliteiten al niet gebruiken zegt dat wel wat. Snap nooit zo goed waarom een gemiddeldde MKB'er in NL dan zou denken dat ze dat soort 'security' measures niet nodig hebben.

Soms bij die grote enterprises zie je dan wel dat VIP's (Dus de C-level mensen) het nog gebruiken, maar dat is het dan wel.

Eigenlijk bizar dat je dat dan nooit ziet! Want het is echt een stuk veiliger! Microsoft zelf en diverse security sites geven aan dat het meer veiligheid geeft. Vergeet ook niet: de functionaliteit is er niet voor niets! Dat niet alleen maar stel nu dat een laptop van welk bedrijf dan ook wordt gestolen. In mijn optiek zou dat gemeld moeten worden als datalek. Met Bitlocker PIN beveiliging lijkt me dat veel minder snel noodzakelijk want de kans dat de vinder dan bij de data kan is vijrwel nihil imho. Ik ga zelfs nog een stapje verder dat ik er bij sommige klanten eraan denk om als de laptop wordt dichtgeklapt Hibernation wordt uitgevoerd en niet slaapstand. Bij slaapstand vraagt BItlocker niet opnieuw om PIN bij Hibernation wel. Een gebruiker kan je het verschil moeilijk uitleggen en die gaan daar toch niet op letten.

[Edit]: Als er geen bedrijfsdata of mailboxen op de laptop actief zijn en men bijv. gebruik maakt van een RDS server is de noodzaak natuurlijk ook veel minder....

[ Voor 5% gewijzigd door Urk op 22-09-2023 16:40 ]

[HKLM_]

Urk schreef op vrijdag 22 september 2023 @ 16:34:
[...]

Eigenlijk bizar dat je dat dan nooit ziet! Want het is echt een stuk veiliger! Microsoft zelf en diverse security sites geven aan dat het meer veiligheid geeft. Vergeet ook niet: de functionaliteit is er niet voor niets! Dat niet alleen maar stel nu dat een laptop van welk bedrijf dan ook wordt gestolen. In mijn optiek zou dat gemeld moeten worden als datalek. Met Bitlocker PIN beveiliging lijkt me dat veel minder snel noodzakelijk want de kans dat de vinder dan bij de data kan is vijrwel nihil imho. Ik ga zelfs nog een stapje verder dat ik er bij sommige klanten eraan denk om als de laptop wordt dichtgeklapt Hibernation wordt uitgevoerd en niet slaapstand. Bij slaapstand vraagt BItlocker niet opnieuw om PIN bij Hibernation wel. Een gebruiker kan je het verschil moeilijk uitleggen en die gaan daar toch niet op letten.

[Edit]: Als er geen bedrijfsdata of mailboxen op de laptop actief zijn en men bijv. gebruik maakt van een RDS server is de noodzaak natuurlijk ook veel minder....

Als ze echt bij je data willen dan trekken ze de keys gewoon rechtstreeks uit de TPM chip.

https://pulsesecurity.co.nz/articles/TPM-sniffing

[DarkSide]

Maar daarvoor moet je toch juist de PIN bij opstarten aanzetten?

Wij hebben dat ook.
meegeken met Pentest en het is heel simpel om de key te halen en in te loggen.
Omdat je voorbij de UEFI al bent en je idd de code kunt onderscheppen.
Dat is toen gedaan met een Wifi insteek kaartje.

Dus temperprotection en pincode on start staan aan.
En idd geen sleepmode bij laptop dichtklappen.

[TheVMaster]

Urk schreef op vrijdag 22 september 2023 @ 16:34:
[...]

Eigenlijk bizar dat je dat dan nooit ziet! Want het is echt een stuk veiliger! Microsoft zelf en diverse security sites geven aan dat het meer veiligheid geeft. Vergeet ook niet: de functionaliteit is er niet voor niets! Dat niet alleen maar stel nu dat een laptop van welk bedrijf dan ook wordt gestolen. In mijn optiek zou dat gemeld moeten worden als datalek. Met Bitlocker PIN beveiliging lijkt me dat veel minder snel noodzakelijk want de kans dat de vinder dan bij de data kan is vijrwel nihil imho. Ik ga zelfs nog een stapje verder dat ik er bij sommige klanten eraan denk om als de laptop wordt dichtgeklapt Hibernation wordt uitgevoerd en niet slaapstand. Bij slaapstand vraagt BItlocker niet opnieuw om PIN bij Hibernation wel. Een gebruiker kan je het verschil moeilijk uitleggen en die gaan daar toch niet op letten.

[Edit]: Als er geen bedrijfsdata of mailboxen op de laptop actief zijn en men bijv. gebruik maakt van een RDS server is de noodzaak natuurlijk ook veel minder....

Nee, het is niet een stuk veiliger Waar zegt Microsoft dat dan precies, ze gebruiken het zelf niet eens op hun ‘gemiddelde’ kantoorwerkplek volgens mij? Overigens gaat het vaak ook om een mix van veiligheid en gebruikersvriendelijkheid

Maar jij hebt blijkbaar graag erg tevreden gebruikers? Ik bedoel, hebben ze allemaal bedrijfsgeheimen op hun werk machines? Pfff…RDS, welkom in de wereld van de Moderne Werkplek. Nee, ik kan je verzekeren dat steeds minder klanten dat soort technieken (pre-boot pin en RDS) gebruiken.

[ Voor 12% gewijzigd door TheVMaster op 22-09-2023 18:47 ]

[TheVMaster]

DarkSide schreef op vrijdag 22 september 2023 @ 17:55:
Maar daarvoor moet je toch juist de PIN bij opstarten aanzetten?

Wij hebben dat ook.
meegeken met Pentest en het is heel simpel om de key te halen en in te loggen.
Omdat je voorbij de UEFI al bent en je idd de code kunt onderscheppen.
Dat is toen gedaan met een Wifi insteek kaartje.

Dus temperprotection en pincode on start staan aan.
En idd geen sleepmode bij laptop dichtklappen.

Maar ff nieuwsgierig, gewone ‘kantoor werkplekken. Of zijn dat PAW’s waar je dat doet, want daarvoor kan ik het nog wel begrijpen. Maar voor de ‘gemiddelde kantoorwerkplek’ weegt het echt niet op tegen het gebruikersgemak. Vooral als men niet met zwaar vertrouwelijke data werkt.

Overigens heb ik ook meegekeken bij een pentest bij een buitenlandse overheidsinstelling waar de pre-boot pin niet gebruikt werd en daar zagen ze niet echt grote problemen. Het is bij moderne laptops al best ingewikkeld (lees: het kost teveel moeite) om eenvoudig even toegang tot een bitlocker versleutelde hdd te krijgen. Let op: Ik zeg niet onmogelijk he, maar de investering die het vergt is natuurlijk alleen interessant als je weet dat je zwaar vertrouwelijke bedrijfsmatige kunt buitmaken.

[ Voor 24% gewijzigd door TheVMaster op 22-09-2023 18:51 ]

[DarkSide]

Kantoor doen we het niet inderdaad.
Teveel user impact. Verder wel Secure boot. Tamper protection en vele andere maatregelen.
Voor OT doen we het wel. Na (vele) overleggen met de ciso werdt het daar wel een eis.

[TheVMaster]

DarkSide schreef op vrijdag 22 september 2023 @ 19:17:
Kantoor doen we het niet inderdaad.
Teveel user impact. Verder wel Secure boot. Tamper protection en vele andere maatregelen.
Voor OT doen we het wel. Na (vele) overleggen met de ciso werdt het daar wel een eis.

Ja snap ik. Secure Boot en al die andere zaken zijn natuurlijk ook wel standaard. 😇

[HKLM_]

Ik heb dus bij een bedrijf gewerkt waar we het aan hadden staan voor 700 man.

Dit stamde nog uit het windows 7 tijdperk geloof ik, de nieuwe CISO heeft daar een eind aan gemaakt en via Intune heb ik de pin toen uit gezet bij iedereen.

[Urk]

HKLM_ schreef op vrijdag 22 september 2023 @ 16:57:
[...]


Als ze echt bij je data willen dan trekken ze de keys gewoon rechtstreeks uit de TPM chip.

https://pulsesecurity.co.nz/articles/TPM-sniffing

Nee, niet dus... Dan heb je je eigen artikel volgens mij niet gelezen...
Er staat onderaan duidelijk:

Defense
Enabling BitLocker with a TPM+PIN protector should mitigate this vulnerability, however user’s will be required to enter a PIN at boot. Smart cards or USB keys used as an additional pre-boot authentication in addition to the TPM should mitigate this issue as well. I’d need to take a closer look at the different protector modes to be able to say for certain, maybe some future work.

Sterker nog: de methoden hier genoemd om de Bitlocker key (zonder gebruik met BL PIN) te sniffen vereisten dan flink wat werk, solderen en zeer complexe tools imho

[Urk]

TheVMaster schreef op vrijdag 22 september 2023 @ 18:45:
[...]

Nee, het is niet een stuk veiliger Waar zegt Microsoft dat dan precies, ze gebruiken het zelf niet eens op hun ‘gemiddelde’ kantoorwerkplek volgens mij? Overigens gaat het vaak ook om een mix van veiligheid en gebruikersvriendelijkheid

Maar jij hebt blijkbaar graag erg tevreden gebruikers? Ik bedoel, hebben ze allemaal bedrijfsgeheimen op hun werk machines? Pfff…RDS, welkom in de wereld van de Moderne Werkplek. Nee, ik kan je verzekeren dat steeds minder klanten dat soort technieken (pre-boot pin en RDS) gebruiken.

Ja, tuurlijk is het veel veiliger. Dacht je dat ze bij Microsoft dachten: laten we een functie toevoegen om je Bitlocker boot/systeem volume te ontgrendelen met een pincode maar het eigenlijk geen nut heeft
Hier zegt Microsoft dat oa op deze pagina heel duidelijk:

Pre-boot authentication
Pre-boot authentication with BitLocker is a policy setting that requires the use of either user input, such as a PIN, a startup key, or both to authenticate prior to making the contents of the system drive accessible.
[...]
Pre-boot authentication is designed to prevent the encryption keys from being loaded to system memory without the trusted user supplying another authentication factor such as a PIN or startup key. This feature helps mitigate DMA and memory remanence attacks.

Memory remanence
Enable secure boot and mandatorily prompt a password to change BIOS settings. For customers requiring protection against these advanced attacks, configure a TPM+PIN protector, disable Standby power management, and shut down or hibernate the device before it leaves the control of an authorized user.

Attacker with skill and lengthy physical access

Targeted attack with plenty of time; this attacker will open the case, will solder, and will use sophisticated hardware or software.
Mitigation:
- Pre-boot authentication set to TPM with a PIN protector (with a sophisticated alphanumeric PIN [enhanced pin] to help the TPM anti-hammering mitigation).

Andere links:
Stack Exchange Information Security 1
Stack Exchange Information Security 2:

In addition, you can require a pin code or password, which will improve security quite a lot, as the pin code or password will be required in addition to the TPM if configured correctly.

En ja, tuurlijk heeft de gemiddelde werknemer bedrijfsgeheimen op zijn laptop staan. Denk aan offertes, inkoopkosten/prijzen en verkoopkosten/prijzen, persoongegevens etc. Als het remote staat op een cloud of RDS omgeving kan dat natuurlijk anders zijn. Maar ik kom dan toch regelmatig tegen dat mensen data toch even op hun eigen laptop zetten.
En uiteraard gaat misschien het merendeel van mensen die een laptop stelen of vinden niet heel veel werk stoppen in toegang zoeken tot de data.
Ik gebruik Bitlocker pre-boot PIN ook alleen op laptops, op desktops/workstations wordt wel Bitlocker encryptie gebruikt zonder PIN omdat die het pand niet verlaten en dus veel minder kans op datalek. Waar ik wel benieuwd naar ben is of je als een medewerker zijn laptop kwijtraakt of wordt gestolen dit moet melden als datalek... hier lijken ze van wel te zeggen. Maar met Bitlocker PIN lijkt het mij absoluut niet nodig.

Tot slot, uiteraard uitgaande dat er (bedrijfs)data op een laptop staat. Als een laptop met Bitlocker zonder PIN opstart is het hele volume toch ontgrendeld. Op het loginscherm kan je de laptop al direct verbinden met WiFi of natuurlijk via een netwerkkabel. Als er ergens in het OS of software een lek zit die bekend is kan je die uitbuiten om wellicht toegang te krijgen tot het volume (afhankelijk van het type lek). Maar het kan ook eenvoudig een user fout zijn, bijv iemand die file sharing iets te ver open heeft staan of zijn firewall even heeft uitgezet oid..
Tja, misschien allemaal ver gezocht maar voor mijn gebruikers is de Bitlocker pincode meestal hetzelfde als de Windows pincode, Nou nou wat een moeite voor gebruikers om de pincode 1 keer extra in te moeten voeren zeg...

Moderne werkplek: wat versta jij daaronder? Voor mij is het een marketing hype term. We werken toch al jaren zo dat je overal kan werken...
Google eens op Moderne Werkplek of Modern Workplace: het blijft allemaal een vaag marketing verhaal waarin vaak alleen wordt genoemd dat je in Microsoft 365 draait. Ja duh... wie niet?!
De Moderne Werkplek is imho ook verzonnen om ons IT dienstverleners (veel) meer geld te laten verdienen over de rug van hun klanten.

[ Voor 13% gewijzigd door Urk op 24-09-2023 01:00 ]

[Urk]

DarkSide schreef op vrijdag 22 september 2023 @ 19:17:
Kantoor doen we het niet inderdaad.
Teveel user impact. Verder wel Secure boot. Tamper protection en vele andere maatregelen.
Voor OT doen we het wel. Na (vele) overleggen met de ciso werdt het daar wel een eis.

Ja, dat is ook een keuze om veiligheid in te leveren voor minder user impact c.q. meer gemak...

[TheVMaster]

Urk schreef op zondag 24 september 2023 @ 00:35:
[...]

Ja, tuurlijk is het veel veiliger. Dacht je dat ze bij Microsoft dachten: laten we een functie toevoegen om je Bitlocker boot/systeem volume te ontgrendelen met een pincode maar het eigenlijk geen nut heeft
Hier zegt Microsoft dat oa op deze pagina heel duidelijk:


[...]


Andere links:
Stack Exchange Information Security 1
Stack Exchange Information Security 2:

[...]


En ja, tuurlijk heeft de gemiddelde werknemer bedrijfsgeheimen op zijn laptop staan. Denk aan offertes, inkoopkosten/prijzen en verkoopkosten/prijzen, persoongegevens etc. Als het remote staat op een cloud of RDS omgeving kan dat natuurlijk anders zijn. Maar ik kom dan toch regelmatig tegen dat mensen data toch even op hun eigen laptop zetten.
En uiteraard gaat misschien het merendeel van mensen die een laptop stelen of vinden niet heel veel werk stoppen in toegang zoeken tot de data.
Ik gebruik Bitlocker pre-boot PIN ook alleen op laptops, op desktops/workstations wordt wel Bitlocker encryptie gebruikt zonder PIN omdat die het pand niet verlaten en dus veel minder kans op datalek. Waar ik wel benieuwd naar ben is of je als een medewerker zijn laptop kwijtraakt of wordt gestolen dit moet melden als datalek... hier lijken ze van wel te zeggen. Maar met Bitlocker PIN lijkt het mij absoluut niet nodig.

Tot slot, uiteraard uitgaande dat er (bedrijfs)data op een laptop staat. Als een laptop met Bitlocker zonder PIN opstart is het hele volume toch ontgrendeld. Op het loginscherm kan je de laptop al direct verbinden met WiFi of natuurlijk via een netwerkkabel. Als er ergens in het OS of software een lek zit die bekend is kan je die uitbuiten om wellicht toegang te krijgen tot het volume (afhankelijk van het type lek). Maar het kan ook eenvoudig een user fout zijn, bijv iemand die file sharing iets te ver open heeft staan of zijn firewall even heeft uitgezet oid..
Tja, misschien allemaal ver gezocht maar voor mijn gebruikers is de Bitlocker pincode meestal hetzelfde als de Windows pincode, Nou nou wat een moeite voor gebruikers om de pincode 1 keer extra in te moeten voeren zeg...

Moderne werkplek: wat versta jij daaronder? Voor mij is het een marketing hype term. We werken toch al jaren zo dat je overal kan werken...
Google eens op Moderne Werkplek of Modern Workplace: het blijft allemaal een vaag marketing verhaal waarin vaak alleen wordt genoemd dat je in Microsoft 365 draait. Ja duh... wie niet?!
De Moderne Werkplek is imho ook verzonnen om ons IT dienstverleners (veel) meer geld te laten verdienen over de rug van hun klanten.

De moderne werkplek is zeker geen verzonnen iets, maar goed dat mag je natuurlijk blijven geloven.

Neemt niet weg dat het toepassen van een pre-boot PIN op alle (mobiele) werkplekken veel te ver doorslaat. Zoals ik al eerder zei, geen enkele multinational (grote banken/overheden) gebruikt het voor de gemiddelde kantoorwerkplek. 🙄 Als je trouwens niet wilt dat je data niet (kan) lek(ken), dan zijn DLP en encryptie van je data veel betere oplossingen dan een pre-boot pin. 🤷‍♂️

Ow en ‘This feature helps mitigate DMA and memory remanence attacks.’ Er zijn modernere methoden om dit af te vangen, die pre-boot pin is daar in veel gevallen niet voor nodig. 😎

[Urk]

TheVMaster schreef op zondag 24 september 2023 @ 01:44:
[...]


De moderne werkplek is zeker geen verzonnen iets, maar goed dat mag je natuurlijk blijven geloven.

Neemt niet weg dat het toepassen van een pre-boot PIN op alle (mobiele) werkplekken veel te ver doorslaat. Zoals ik al eerder zei, geen enkele multinational (grote banken/overheden) gebruikt het voor de gemiddelde kantoorwerkplek. 🙄 Als je trouwens niet wilt dat je data niet (kan) lek(ken), dan zijn DLP en encryptie van je data veel betere oplossingen dan een pre-boot pin. 🤷‍♂️

Ow en ‘This feature helps mitigate DMA and memory remanence attacks.’ Er zijn modernere methoden om dit af te vangen, die pre-boot pin is daar in veel gevallen niet voor nodig. 😎

Do I need to say more?: BitLocker: TPM pre-boot PIN versus UEFI / BIOS boot wachtwoord: Precies hoe ik er ook over denk!
En hoe weet je zeker dat alle multinationals dit niet gebruiken...? Lijkt me een vreemde aanname.
Misschien niet voor de gemiddelde kantoorwerkplek (want die staat op kantoor ) maar misschien wel voor de gemiddelde mobiele werkplek (laptops).

DLP kost geld, BItlocker PIN is simpel en gratis en Bitlocker PIN is encryptie van je data. Wederom zoals genoemd afhankelijk waar je data staat natuurlijk. Maar vergeet ook niet dat een laptop waar wellicht zelf geen data op staat wellicht misschien wel RDP/Citrix of M365 connecties in de browser heeft zonder verder te hoeven inloggen cq met opgeslagen credentials. Je kan nog leuk 2FA hebben maar dat wordt niet gevraagd op een AzureAD joined laptop wanneer je je MS Edge opent.
Je hoeft door een lek dat al bestaat of na verloop van tijd maar 1 bestandje te kunnen kopieren en je logt zo in Windows in zonder wachtwoord

[ Voor 19% gewijzigd door Urk op 24-09-2023 02:49 ]

[TheVMaster]

Urk schreef op zondag 24 september 2023 @ 02:31:
[...]

Do I need to say more?: BitLocker: TPM pre-boot PIN versus UEFI / BIOS boot wachtwoord: Precies hoe ik er ook over denk!
En hoe weet je zeker dat alle multinationals dit niet gebruiken...? Lijkt me een vreemde aanname.
Misschien niet voor de gemiddelde kantoorwerkplek (want die staat op kantoor ) maar misschien wel voor de gemiddelde mobiele werkplek (laptops).

DLP kost geld, BItlocker PIN is simpel en gratis en Bitlocker PIN is encryptie van je data. Wederom zoals genoemd afhankelijk waar je data staat natuurlijk. Maar vergeet ook niet dat een laptop waar wellicht zelf geen data op staat wellicht misschien wel RDP/Citrix of M365 connecties in de browser heeft zonder verder te hoeven inloggen cq met opgeslagen credentials. Je kan nog leuk 2FA hebben maar dat wordt niet gevraagd op een AzureAD joined laptop wanneer je je MS Edge opent.
Je hoeft door een lek dat al bestaat of na verloop van tijd maar 1 bestandje te kunnen kopieren en je logt zo in Windows in zonder wachtwoord

Nou, ik heb het natuurlijk niet over alle, want ik kom niet bij alle grote internationals. Maar de tientallen waar ik de afgelopen jaren binnen ben geweest hebben het eigenlijk geen van allen. En met kantoorwerkplekken bedoel ik natuurlijk de werkplekken (wel bijzonder dat ik dat nog moet verduidelijken btw), gemiddelde grote klant heeft maar weinig desktops meer hoor. Het gros van de werkplekken is daar gewoon een laptop die dus veelal buiten het pand komt. En dat DLP geldt kost, dat maakt die klanten niet zo heel veel uit (blijkbaar).

Snap niet helemaal waarom je een MFA prompt zou willen hebben op een AAD joined machine zodra je Edge opent? Wat is de exacte use-case hier? Je kunt natuurlijk met CA van alles afdwingen als je in Edge in je Werkprofiel op een werk website probeert aan te loggen.

Ow en er is niets mis met een pre-boot PIN op Bitlocker he, ik zeg alleen maar dat het voor het gros van de werkplekken voor kantoormedewerkers (is het zo wat duidelijker?) volledige overbodig is. Het heeft een negatieve impact op de gebruikerservaring en het lost niet echt een groot issue op.

Als ik het zo lees dan heb je alleen baat bij een pre-boot PIN als de aanvaller dit profiel heeft Attacker with skill and lengthy physical access.

En daar komen we weer bij mijn eerdere uitspraken. Iets met kosten versus baten. Het moet dus (voordat je daar dus veel tijd in gaat stoppen) wel een heel interessant target zijn, lees : iemand op C-level etc waarbij er dus een grote kans is dat er interessante data gevonden gaat worden.

Dus voor de gemiddelde kantoormedewerker is het gebruik van een pre-boot pin compleet overbodig.

[ Voor 20% gewijzigd door TheVMaster op 24-09-2023 10:54 ]

[HKLM_]

DLP kost geld, BItlocker PIN is simpel en gratis en Bitlocker PIN is encryptie van je data. Wederom zoals genoemd afhankelijk waar je data staat natuurlijk. Maar vergeet ook niet dat een laptop waar wellicht zelf geen data op staat wellicht misschien wel RDP/Citrix of M365 connecties in de browser heeft zonder verder te hoeven inloggen cq met opgeslagen credentials. Je kan nog leuk 2FA hebben maar dat wordt niet gevraagd op een AzureAD joined laptop wanneer je je MS Edge opent.
Je hoeft door een lek dat al bestaat of na verloop van tijd maar 1 bestandje te kunnen kopieren en je logt zo in Windows in zonder wachtwoord

Managed bitlocker is ook niet gratis want daar heb je Intune voor nodig, Data security zit ook in veel licenties maar de meeste in E3,E5 dat dan weer wel ja. Eventueel add-ons voor lagere licenties zijn er ook dus er is keuze genoeg voor iedereen. Alleen het kost wel geld ja.

Wat betreft je RDS of Citrix, ik zie steeds en steeds meer dat een citrix of RDS omgeving uitgefaseerd word bij het gaan naar de moderne werkplek. Als er toch iets nodig is van “remote desktop” dan komt er Azure Virtual Desktop op Windows 365 Cloud PC voor terug. Het Cloud Boot verhaal van nu GA is echt een hele mooie stap vooruit hierin, ik zie een grote toekomst voor Cloud Boot + Cloud PC

Je kan nog leuk 2FA hebben maar dat wordt niet gevraagd op een AzureAD joined laptop wanneer je je MS Edge opent.

Waarom zou je MFA willen bij het openen van edge?
Wat wil je überhaupt bereiken met edge? Een persoon die een “rol” heeft in M365 heeft PIM op zijn account zitten en standaard geen rechten. OneDrive en SharePoint hebben DLP en extra verificatie bij aanmelden vanuit de browsers. Defender for Cloud App blockkeerd het downloaden van bestanden en eventueel nog meer Wat wil je nog meer?

Heel eerlijk hoe realistisch is het dat iemand met bitlocker (zonder pin) zijn laptop verliest, henk deze in de trein ziet liggen en deze vervolgens gaat lopen hacken? Iemand die zijn laptop verliest heeft dit al lang gemeld bij IT welke vervolgens een remote wipe / lock uitvoert via intune en klaar.

Windows opnieuw installeren gaat ze niet eens lukken want je loopt tegen autopilot aan welke vraagt om de credentials.

[Urk]

HKLM_ schreef op zondag 24 september 2023 @ 14:17:
[...]


Managed bitlocker is ook niet gratis want daar heb je Intune voor nodig, Data security zit ook in veel licenties maar de meeste in E3,E5 dat dan weer wel ja. Eventueel add-ons voor lagere licenties zijn er ook dus er is keuze genoeg voor iedereen. Alleen het kost wel geld ja.

Ja, of GPO/MBAM is nog supported tot april 2026. In in Microsoft termen kan InTune+Bitlocker implementaie tegen die tijd ook wel weer de nek omgedraaid zijn of compleet veranderd. Bij Microsoft weet het je nooit Verder heb je natuurlijk helemaal gelijk...

[ Voor 3% gewijzigd door Urk op 16-10-2023 13:36 ]

[Urk]

HKLM_ schreef op zondag 24 september 2023 @ 14:17:
[...]
Wat betreft je RDS of Citrix, ik zie steeds en steeds meer dat een citrix of RDS omgeving uitgefaseerd word bij het gaan naar de moderne werkplek. Als er toch iets nodig is van “remote desktop” dan komt er Azure Virtual Desktop op Windows 365 Cloud PC voor terug. Het Cloud Boot verhaal van nu GA is echt een hele mooie stap vooruit hierin, ik zie een grote toekomst voor Cloud Boot + Cloud PC

Ja, dat hoor ik ook vaak. Maar wat is technisch gezien voor jou precies een Moderne Werkplek? Voor mij zijn het vaak mooie marketing verhalen maar een eenduidig antwoord krijg je niet zo snel behalve dat het een PC is gekoppeld aan M365 BP + InTune, OneDrive, Sharepoint en misschien in de cloud draait (Remote Desktop) etc... En dat je overal kan werken. Maar dat kan 10 jaar geleden toch ook prima...?
Cloud PC is toch helemaal niets nieuws... Je kan dat toch al jaren ook gewoon in een virtual private desktop in een Private Cloud krijgen?

[Urk]

HKLM_ schreef op zondag 24 september 2023 @ 14:17:
[...]
Waarom zou je MFA willen bij het openen van edge?
Wat wil je überhaupt bereiken met edge? Een persoon die een “rol” heeft in M365 heeft PIM op zijn account zitten en standaard geen rechten. OneDrive en SharePoint hebben DLP en extra verificatie bij aanmelden vanuit de browsers. Defender for Cloud App blockkeerd het downloaden van bestanden en eventueel nog meer Wat wil je nog meer?

Oh, nee sorry zeker niet bij het openen van Edge. Ik bedoel meer dat de M365 portal al ingelogd is via de browser. Ik weet dat MS via MFA/Conditional Access diverse scenario's controleert en op basis daarvan MFA opnieuw vraagt. Maar toevallig heb ik laatst hierover een artikel gelezen dat dat helemaal niet zo duidelijk is en zeker niet volle betrouwbaarheid geeft. Daarom altijd het advies MFA per user geforceerd aan te zetten. Ik zoek het artikel even op als ik het nog kan vinden....
Het was een artikel waarin werd getest om een sessie via de browser van een bepaalde M365 user in te loggen. Er werd niet om MFA gevraagd. Paar minuten later loggen ze in via een ander contitent op precies datzelfde Microsoft account en weer werd er geen MFA gevraagd. Het is dus (wellicht bewust natuurlijk) wat het beleid van Microsoft hier is.
Ik kreeg laatst zelfs bij het opzetten van een nieuwe M365 tenant als Global Admin geen MFA verzoeken de eerste paar uur. Vond ik ook bijzonder....

[ Voor 19% gewijzigd door Urk op 16-10-2023 13:27 ]

[TheVMaster]

Urk schreef op maandag 16 oktober 2023 @ 12:31:
[...]

Ja, of GPO/MBAM is nog supported tot april 2026. In in Microsoft termen kan InTune+Bitlocker implementaie tegen die tijd ook wel weer de nek omgedraaid zijn of compleet veranderd. Bij Microsoft weet het je nooit Verder heb je natuurlijk helemaal gelijk...

Mwah ik denk dat dat wel mee gaat vallen. Overigens schrijf je Intune verkeerd

[TheVMaster]

Urk schreef op maandag 16 oktober 2023 @ 13:14:
[...]

Ja, dat hoor ik ook vaak. Maar wat is technisch gezien voor jou precies een Moderne Werkplek? Voor mij zijn het vaak mooie marketing verhalen maar een eenduidig antwoord krijg je niet zo snel behalve dat het een PC is gekoppeld aan M365 BP + InTune, OneDrive, Sharepoint en misschien in de cloud draait (Remote Desktop) etc... En dat je overal kan werken. Maar dat kan 10 jaar geleden toch ook prima...?
Cloud PC is toch helemaal niets nieuws... Je kan dat toch al jaren ook gewoon in een virtual private desktop in een Private Cloud krijgen?

Tja, een Moderne Werkplek is zeker geen 'domme pc' waarmee je vervolgens naar een Citrix omgeving gaat connecten.

Cloud PC is best wel nieuw. Het is een pc uit de muur. Heb je het uberhaupt wel eens gezien?

[Gr4mpyC3t]

Urk schreef op maandag 16 oktober 2023 @ 13:14:
[...]

Ja, dat hoor ik ook vaak. Maar wat is technisch gezien voor jou precies een Moderne Werkplek? Voor mij zijn het vaak mooie marketing verhalen maar een eenduidig antwoord krijg je niet zo snel behalve dat het een PC is gekoppeld aan M365 BP + InTune, OneDrive, Sharepoint en misschien in de cloud draait (Remote Desktop) etc... En dat je overal kan werken. Maar dat kan 10 jaar geleden toch ook prima...?
Cloud PC is toch helemaal niets nieuws... Je kan dat toch al jaren ook gewoon in een virtual private desktop in een Private Cloud krijgen?

Uiteraard, maar Cloud PC tilt de beheerlaag nog een niveau hoger. Dus ook een Citrix of Azure Virtual Desktop omgeving hoef je niet meer omhoog te houden. Dat doet Microsoft dan voor je.

Combineer dat met Windows 365 Frontline en je hebt wellicht een oplossing voor je klantenservice, part-time medewerkers, inhuur, leveranciers...

[ralpje]

Urk schreef op maandag 16 oktober 2023 @ 13:19:
[...]

Het was een artikel waarin werd getest om een sessie via de browser van een bepaalde M365 user in te loggen. Er werd niet om MFA gevraagd. Paar minuten later loggen ze in via een ander contitent op precies datzelfde Microsoft account en weer werd er geen MFA gevraagd. Het is dus (wellicht bewust natuurlijk) wat het beleid van Microsoft hier is.

En dat is nou weer precies waar continuous access evaluation voor is uitgevonden

[HKLM_]

Urk schreef op maandag 16 oktober 2023 @ 13:14:
[...]

Ja, dat hoor ik ook vaak. Maar wat is technisch gezien voor jou precies een Moderne Werkplek? Voor mij zijn het vaak mooie marketing verhalen maar een eenduidig antwoord krijg je niet zo snel behalve dat het een PC is gekoppeld aan M365 BP + InTune, OneDrive, Sharepoint en misschien in de cloud draait (Remote Desktop) etc... En dat je overal kan werken. Maar dat kan 10 jaar geleden toch ook prima...?
Cloud PC is toch helemaal niets nieuws... Je kan dat toch al jaren ook gewoon in een virtual private desktop in een Private Cloud krijgen?

Ik kan een hele case uitschrijven maar voor mij is een moderne werkplek een samenhangsel van de Microsoft 365 tools waarbij onderstaande producten een core functie zijn wat mij betreft.

Entra ID Identity
Intune
SharePoint / OneDrive
Microsoft Defender for Endpoint
Microsoft Defender for Office
Defender for Cloud Apps
Passwordless
Conditional Access
Data Security (DLP, labels, Insider risk etc)
Microsoft Sentinel

De moderne werkplek is voor een deel zichtbaar in de frontend voor de gebruiker, maar een groot gedeelte zit ook in de backend maar is wel zo belangrijk. Een laptop met een connectie naar citrix is wat mij betreft geen moderne werkplek.

[ Voor 10% gewijzigd door HKLM_ op 16-10-2023 14:50 ]

[TheVMaster]

HKLM_ schreef op maandag 16 oktober 2023 @ 14:49:
[...]


Ik kan een hele case uitschrijven maar voor mij is een moderne werkplek een samenhangsel van de Microsoft 365 tools waarbij onderstaande producten een core functie zijn wat mij betreft.

Entra ID Identity
Intune
SharePoint / OneDrive
Microsoft Defender for Endpoint
Microsoft Defender for Office
Defender for Cloud Apps
Passwordless
Conditional Access
Data Security (DLP, labels, Insider risk etc)
Microsoft Sentinel

De moderne werkplek is voor een deel zichtbaar in de frontend voor de gebruiker, maar een groot gedeelte zit ook in de backend maar is wel zo belangrijk. Een laptop met een connectie naar citrix is wat mij betreft geen moderne werkplek.

AMEN!

[HKLM_]

TheVMaster schreef op maandag 16 oktober 2023 @ 17:01:
[...]


AMEN!

Naja Teams en het Power platform mogen er eigenlijk ook nog wel bij

[TheVMaster]

HKLM_ schreef op maandag 16 oktober 2023 @ 17:44:
[...]


Naja Teams en het Power platform mogen er eigenlijk ook nog wel bij

Vooruit dan maar

[Harmen]

Druk bezig met een Intune project. Echter loop ik tegen het issue aan dat men nog veel onprem software/shares gebruiken. In eerste instantie willen we de machines Hybrid AD joinen. Ben mij druk aan het inlezen. Voorheen deed ik alleen ad joined ipv de hybride oplossing, veel makkelijker.
Wordt een hybrid ad joined device gelijk door intune onder handen genomen (policies etc) als deze geonboard wordt?

[xven0mxz]

Sterkte met HAADJ. Met een goede VPN en drivemapping koppeling is AADJ ook gewoon mogelijk.

[ Voor 16% gewijzigd door xven0mxz op 18-10-2023 10:17 ]

[TheVMaster]

Harmen schreef op woensdag 18 oktober 2023 @ 10:07:
Druk bezig met een Intune project. Echter loop ik tegen het issue aan dat men nog veel onprem software/shares gebruiken. In eerste instantie willen we de machines Hybrid AD joinen. Ben mij druk aan het inlezen. Voorheen deed ik alleen ad joined ipv de hybride oplossing, veel makkelijker.
Wordt een hybrid ad joined device gelijk door intune onder handen genomen (policies etc) als deze geonboard wordt?

Eh, je zegt dat men nog veel on-prem shares en software gebruikt? Je weet dat je ook met AAD joined machines gewoon on-prem shares kunt benaderen he. En wat voor software gaat het om? Is dat software die echt een vorm van device authentication gebruikt?

Als je Hybrid kunt voorkomen, dan zou ik dat zeker doen.

[TheVMaster]

xven0mxz schreef op woensdag 18 oktober 2023 @ 10:17:
Sterkte met HAADJ. Met een goede VPN en drivemapping koppeling is AADJ ook gewoon mogelijk.

Het ligt iets genuanceerder dan dat, maar in veel gevallen kan je idd gewoon AADJ doen (eventueel met VPN en/of AAD Application Proxy).

[Harmen]

Thanks voor jullie antwoorden. Men maakt nog veel gebruik van de ouderwetse driveletters voor het inzien van de bestanden. Daarnaast werkt men met constructie software, te denken aan: AutoCAD, Revit, Kabel++, Solibri Site etc. Deze software wordt nu voornamelijk door werkplekbeheer geïnstalleerd (1-2u per werkplek).

Men heeft plannen om Intune te gaan gebruiken om de werkplekken te beheren. De wens is dat alle software automatisch geïnstalleerd wordt. Ik zie daar nog een flinke uitdaging. (+/- 100 applicaties)

[TheVMaster]

Harmen schreef op woensdag 18 oktober 2023 @ 12:06:
Thanks voor jullie antwoorden. Men maakt nog veel gebruik van de ouderwetse driveletters voor het inzien van de bestanden. Daarnaast werkt men met constructie software, te denken aan: AutoCAD, Revit, Kabel++, Solibri Site etc. Deze software wordt nu voornamelijk door werkplekbeheer geïnstalleerd (1-2u per werkplek).

Men heeft plannen om Intune te gaan gebruiken om de werkplekken te beheren. De wens is dat alle software automatisch geïnstalleerd wordt. Ik zie daar nog een flinke uitdaging. (+/- 100 applicaties)

Eh, ook drive mappings kun je gewoon maken voor Intune devices. Die applicaties zou je dus inderdaad via Intune moeten deployen (hou er even rekening mee dat er 'officieel' een limiet is van 8 GB per Win32 package, maar dat kan je m.b.v. MS Support wel gefixt krijgen).

Hoe deploy je overigens nu je applicaties? Als dat SCCM is, of een vergelijkbare tool dan kun je die installaties (als ze unattended zijn) meestal wel hergebruiken voor Intune deployment. Je moet ze alleen even 'wrappen' in een .IntuneWin file. Overigens is 100 applicaties een eitje, ik heb klanten die er een paar duizend hebben.

Zeg je nu dat op alle werkplekken al die 100 applicaties geinstalleerd moeten worden? Mijn eerste vraag is WHY?. Ik kan me bijna geen reden voorstellen dat alle medewerkers 100 verschillende applicaties gebruiken tijdens hun werk.

[ Voor 11% gewijzigd door TheVMaster op 18-10-2023 12:15 ]

[Harmen]

Even voor jullie beeld, ik ben pas sinds vorige maand hier werkzaam. (inhuur) Zal eens in de drive mappings via aad duiken, thanks.

Niet iedereen gebruikt dezelfde software, we gaan op basis van groepen de software uitrollen. 8GB limiet kwam ik ook al tegen, zal eens inventariseren hoe groot de software is.
Helaas maken ze geen gebruiken sccm oid, old skool via het handje.

[xven0mxz]

Deze gebruiken we inmiddels bij meerdere klanten naar tevredenheid.

https://intunedrivemapping.azurewebsites.net/

[HKLM_]

xven0mxz schreef op woensdag 18 oktober 2023 @ 13:49:
Deze gebruiken we inmiddels bij meerdere klanten naar tevredenheid.

https://intunedrivemapping.azurewebsites.net/

Die ken ik ik vondt daar echt veel te veel onzin inzitten in de Powershell code.
Zelf gebruik ik een ADMX en custom OMI url vanuit Intune

[xven0mxz]

HKLM_ schreef op woensdag 18 oktober 2023 @ 13:59:
[...]


Die ken ik ik vondt daar echt veel te veel onzin inzitten in de Powershell code.
Zelf gebruik ik een ADMX en custom OMI url vanuit Intune

Ik heb gedeeltes in de code ook herschreven. Alles wat we überhaupt niet gebruiken eruit gehaald.

[Csotranme]

Harmen schreef op woensdag 18 oktober 2023 @ 12:23:
Even voor jullie beeld, ik ben pas sinds vorige maand hier werkzaam. (inhuur) Zal eens in de drive mappings via aad duiken, thanks.

Niet iedereen gebruikt dezelfde software, we gaan op basis van groepen de software uitrollen. 8GB limiet kwam ik ook al tegen, zal eens inventariseren hoe groot de software is.
Helaas maken ze geen gebruiken sccm oid, old skool via het handje.

Je zou ook nog naar iets van Liquit kunnen kijken voor het deployen van software ipv direct vanuit Intune.
Ik blijf de standaard software deployment vanuit Intune echt nog steeds ruk vinden.
Liquit heeft me daarmee al heel veel tijd, pijn en moeite gescheeld.

[TheVMaster]

Csotranme schreef op woensdag 18 oktober 2023 @ 16:05:
[...]


Je zou ook nog naar iets van Liquit kunnen kijken voor het deployen van software ipv direct vanuit Intune.
Ik blijf de standaard software deployment vanuit Intune echt nog steeds ruk vinden.
Liquit heeft me daarmee al heel veel tijd, pijn en moeite gescheeld.

Ik ben zelf niet echt een voorstander van allerhande 3rd party oplossingen die dingen buiten Intune om doen. PatchMyPC kan ik dan wel weer waarderen, dat integreert mooi in Intune en kan ook veel schelen.

Nu komen er volgens mij wel wat van dat soort functionaliteiten naar Intune zelf toe, maar goed.

Wat werkt er volgens jou dan niet goed aan de software deployment in Intune?

[ Voor 9% gewijzigd door TheVMaster op 18-10-2023 16:12 ]

[Csotranme]

TheVMaster schreef op woensdag 18 oktober 2023 @ 16:11:
[...]


Ik ben zelf niet echt een voorstander van allerhande 3rd party oplossingen die dingen buiten Intune om doen. PatchMyPC kan ik dan wel weer waarderen, dat integreert mooi in Intune en kan ook veel schelen.

Nu komen er volgens mij wel wat van dat soort functionaliteiten naar Intune zelf toe, maar goed.

Wat werkt er volgens jou dan niet goed aan de software deployment in Intune?

Mijn ergernissen zijn voornamelijk de, voor mij, te beperkte mogelijkheden. Je moet er al snel een pakket van 200mb+ van gaan maken als het geen rechtoe rechtaan install is.

Daarnaast het eindeloze gehannes met AutoPilot.
Soms krijg je al een time out op enkel Office installatie en laat staan als je verschillende soorten installaties door elkaar gebruikt.

En, dat was met SCCM ook al, je kan er geen peil op trekken wanneer Intune eens besluit wat te gaan doen.
Soms is het instant en soms begin ik aan mezelf te twijfelen of ik wat fout gedaan heb omdat er niks gebeurd...

En wat je zegt: ik ben ook niet zo'n fan van voor alles maar een 3rd party tool in te gaan zetten maar Liquit was voor mij wel een no brainer.
Scheelt me sowieso een paar toetsenborden per jaar .

[TheVMaster]

Csotranme schreef op woensdag 18 oktober 2023 @ 17:19:
[...]


Mijn ergernissen zijn voornamelijk de, voor mij, te beperkte mogelijkheden. Je moet er al snel een pakket van 200mb+ van gaan maken als het geen rechtoe rechtaan install is.

Daarnaast het eindeloze gehannes met AutoPilot.
Soms krijg je al een time out op enkel Office installatie en laat staan als je verschillende soorten installaties door elkaar gebruikt.

En, dat was met SCCM ook al, je kan er geen peil op trekken wanneer Intune eens besluit wat te gaan doen.
Soms is het instant en soms begin ik aan mezelf te twijfelen of ik wat fout gedaan heb omdat er niks gebeurd...

En wat je zegt: ik ben ook niet zo'n fan van voor alles maar een 3rd party tool in te gaan zetten maar Liquit was voor mij wel een no brainer.
Scheelt me sowieso een paar toetsenborden per jaar .

huh? Sorry, maar een Intunewin zal niet groter worden dan de originele sources van je installatie. Met betrekking tot Autopilot hangt dat natuurlijk weer erg af van je internetverbinding en of je Delivery Optimization etc gebruikt. Een Office installatie is inderdaad best groot qua omvang, maar op een fatsoenlijke verbinding is de 60 min timeout meer dan voldoende. Als je natuurlijk tijdens je enrollment 20+ pakketten als required laat installeren, dan zul je de timeout natuurlijk ook moeten ophogen. Of je moet zorgen dat je niet wacht tot alle apps geinstalleerd zijn (tijdens de ESP). En anders pre-provisioning gebruiken, het is allemaal niet zo heel ingewikkeld.

Bij Intune is het vrij eenvoudig hoor, standaard doet een machine elke 8 uur een checkin en je kunt natuurlijk forceren, door handmatig een sync te doen. Daarnaast doet hij vlak na een Enrollment elke 10 min een sync geloof ik.
Tja, iedereen is er natuurlijk vrij in om z'n eigen oplossingen te kiezen. Maar misschien is het ook handig dat je je een beetje verdiept in de technologie van Intune en dus weet hoe zaken werken (inchecken etc).

[ Voor 11% gewijzigd door TheVMaster op 18-10-2023 19:43 ]

[Csotranme]

TheVMaster schreef op woensdag 18 oktober 2023 @ 19:41:
[...]


huh? Sorry, maar een Intunewin zal niet groter worden dan de originele sources van je installatie. Met betrekking tot Autopilot hangt dat natuurlijk weer erg af van je internetverbinding en of je Delivery Optimization etc gebruikt. Een Office installatie is inderdaad best groot qua omvang, maar op een fatsoenlijke verbinding is de 60 min timeout meer dan voldoende. Als je natuurlijk tijdens je enrollment 20+ pakketten als required laat installeren, dan zul je de timeout natuurlijk ook moeten ophogen. Of je moet zorgen dat je niet wacht tot alle apps geinstalleerd zijn (tijdens de ESP). En anders pre-provisioning gebruiken, het is allemaal niet zo heel ingewikkeld.

Bij Intune is het vrij eenvoudig hoor, standaard doet een machine elke 8 uur een checkin en je kunt natuurlijk forceren, door handmatig een sync te doen. Daarnaast doet hij vlak na een Enrollment elke 10 min een sync geloof ik.
Tja, iedereen is er natuurlijk vrij in om z'n eigen oplossingen te kiezen. Maar misschien is het ook handig dat je je een beetje verdiept in de technologie van Intune en dus weet hoe zaken werken (inchecken etc).

Laat ik eerst even voorop stellen dat ik momenteel eigenlijk alleen Adroid/iOS doe.
Daar doet Intune gewoon wat het moet doen.

Intunewin is leuk maar dat hele wrappen is wmb al een onnodige stap en gehannes.
En wil je dat er zaken vooraf of achteraf van de install gedaan wordt dan zit je al in de richting van PSADT (en dus een veel grotere package).

Tijdens ESP wil je zo min mogelijk deployen maar in de praktijk kom ik tegen dat er toch best een pakket geïnstalleerd moet worden.
Ik adviseer van niet maar als de klant het wil, tja...

Pre-provisioning is een optie voor sommige organisaties. Niet voor alle.
Heb een situatie gehad waar vanuit NL besteld werd en laptop direct bij gebruiker ergens op de wereld afgeleverd werd.
Zelfs daar gezien dat een timeout van 60min al te kort was met een minimale package (office + browser en nog een kleine agent).
Sommige zaten gewoon op een belabberde lijn waar je niks aan kan doen.
AutoPilot failed, gebruiker over de zeik etc.

En die handmatige sync, leuk maar ook dat werkt dus niet in alle situaties. Vereist weer een manuele actie.
En mijn ervaring is dat je dan soms nog steeds maar moet afwachten of er daadwerkelijk wat gebeurt.

Met Liquit heb ik gewoon vele malen meer vrijheid en is instant ook echt instant. Ik kan daar van op aan.
Ik vertrouw Intune daar gewoon niet op. Het is te wisselvallig.
Overigens heeft Intune ook geen library met veel gebruikte applicaties.
Je kan die nog steeds zelf gaan wrappen en updaten.
Met een tool als Liquit heb je daar ook geen omkijken naar.

Edit: wellicht mis ik bepaalde trucjes hoor voor Windows, dan hoor ik dat heel graag. Kan ik weer van leren. Zijn hier om elkaar te helpen toch?

[D_Jeff]

HKLM_ schreef op maandag 16 oktober 2023 @ 14:49:
[...]


Ik kan een hele case uitschrijven maar voor mij is een moderne werkplek een samenhangsel van de Microsoft 365 tools waarbij onderstaande producten een core functie zijn wat mij betreft.

Entra ID Identity
Intune
SharePoint / OneDrive
Microsoft Defender for Endpoint
Microsoft Defender for Office
Defender for Cloud Apps
Passwordless
Conditional Access
Data Security (DLP, labels, Insider risk etc)
Microsoft Sentinel

De moderne werkplek is voor een deel zichtbaar in de frontend voor de gebruiker, maar een groot gedeelte zit ook in de backend maar is wel zo belangrijk. Een laptop met een connectie naar citrix is wat mij betreft geen moderne werkplek.

DLP?

Wist niet dat je tijd teveel had?

[HKLM_]

D_Jeff schreef op woensdag 18 oktober 2023 @ 21:05:
[...]

DLP?

Wist niet dat je tijd teveel had?

Ik ook niet maar mijn collega’s welke vooral data security doen die dromen dat joh.

[TheVMaster]

Csotranme schreef op woensdag 18 oktober 2023 @ 20:07:
[...]


Met Liquit heb ik gewoon vele malen meer vrijheid en is instant ook echt instant. Ik kan daar van op aan.
Ik vertrouw Intune daar gewoon niet op. Het is te wisselvallig.
Overigens heeft Intune ook geen library met veel gebruikte applicaties.
Je kan die nog steeds zelf gaan wrappen en updaten.
Met een tool als Liquit heb je daar ook geen omkijken naar.

Edit: wellicht mis ik bepaalde trucjes hoor voor Windows, dan hoor ik dat heel graag. Kan ik weer van leren. Zijn hier om elkaar te helpen toch?

Je weet dat er ingetraties met Winget onderweg zijn en met de nieuwe Microsoft Store integratie heb je al veel meer applicaties die je eenvoudig via Intune kunt deployen (geen wrappen nodig).

Daarnaast zijn er verbeteringen onderweg die waarschijnlijk de problemen gaan oplossen die jij aanhaalt. Snap overigens wel dat je tot die tijd naar oplossingen als PatchMyPC of Liquit kijkt. Ik ken Liquit niet overigens en heb sinds kort een NFR licentie van PatchMyPC gefixt en dat werkt best aardig. Die tool maakt zelf Intune applicaties aan (en ook updates voor die apps), kun je zelf configurerne via hun applicatie (die je dan op een VM of in je on-prem omgeving draait).

[ralpje]

TheVMaster schreef op woensdag 18 oktober 2023 @ 22:42:
[...]


Ik ken Liquit niet overigens en heb sinds kort een NFR licentie van PatchMyPC gefixt en dat werkt best aardig. Die tool maakt zelf Intune applicaties aan (en ook updates voor die apps), kun je zelf configurerne via hun applicatie (die je dan op een VM of in je on-prem omgeving draait).

Ik gebruik (ik geloof dat ik zelfs reseller ben?) nog wel eens Scappman. Is inmiddels overgenomen door PatchMyPC geloof ik. Heeft een hele grote database aan kant-en-klare apps die je zo kunt toevoegen (en die ook netjes door hen worden geupdate als dat nodig is). Voordeel van dit soort oplossingen vind ik vooral dat het gewoon via de Graph API tegen Intune praat. Uiteindelijk ben je dus, ondanks de coole hippe webportal van bijvoorbeeld Scappman) gewoon W32 apps in Intune aan het publishen. Ga je ooit stoppen met die 3rd party aanbieder, dan blijven de apps in Intune dus gewoon bestaan omdat alles gewoon de MS standaard volgt. Da's best een prettige gedachte.

[TheVMaster]

ralpje schreef op woensdag 18 oktober 2023 @ 22:49:
[...]


Ik gebruik (ik geloof dat ik zelfs reseller ben?) nog wel eens Scappman. Is inmiddels overgenomen door PatchMyPC geloof ik. Heeft een hele grote database aan kant-en-klare apps die je zo kunt toevoegen (en die ook netjes door hen worden geupdate als dat nodig is). Voordeel van dit soort oplossingen vind ik vooral dat het gewoon via de Graph API tegen Intune praat. Uiteindelijk ben je dus, ondanks de coole hippe webportal van bijvoorbeeld Scappman) gewoon W32 apps in Intune aan het publishen. Ga je ooit stoppen met die 3rd party aanbieder, dan blijven de apps in Intune dus gewoon bestaan omdat alles gewoon de MS standaard volgt. Da's best een prettige gedachte.

Inderdaad. Dat is ook de reden dat ik een product als PatchMyPC (en dus ook Scappman) wel kan waarderen. Als ik de site van Liquit zo lees, dan integreren ze niet met Intune maar zijn ze een soort van 3rd party oplossing. Zo een die dan ook een 'eigen agent' op een Windows machine moet hebben draaien. Tja, ik ben daar niet zo'n fan van.

[HKLM_]

TheVMaster schreef op woensdag 18 oktober 2023 @ 22:42:
[...]

Daarnaast zijn er verbeteringen onderweg die waarschijnlijk de problemen gaan oplossen die jij aanhaalt.

Inderdaad, is alleen nog NDA (helaas)

[TheVMaster]

HKLM_ schreef op donderdag 19 oktober 2023 @ 03:40:
[...]


Inderdaad, is alleen nog NDA (helaas)

Zat jij ook in die call? Volgens mij is niet alles NDA, tenminste de Store functionaliteiten stonden volgens mij een jaar geleden al in een aankondiging of in ieder geval een deel hiervan.

[ Voor 29% gewijzigd door TheVMaster op 19-10-2023 09:21 ]

[xven0mxz]

TheVMaster schreef op donderdag 19 oktober 2023 @ 09:21:
[...]


Zat jij ook in die call? Volgens mij is niet alles NDA, tenminste de Store functionaliteiten stonden volgens mij een jaar geleden al in een aankondiging of in ieder geval een deel hiervan.

Wanneer we alle drie in dezelfde sessie (CCP>Teams) aanwezig waren, gold er een geheimhoudingsovereenkomst (NDA) voor alles wat besproken werd en werd getoond.

[HKLM_]

TheVMaster schreef op donderdag 19 oktober 2023 @ 09:21:
[...]


Zat jij ook in die call? Volgens mij is niet alles NDA, tenminste de Store functionaliteiten stonden volgens mij een jaar geleden al in een aankondiging of in ieder geval een deel hiervan.

Als je de airlift call van van de week bedoeld dan ja

[HKLM_]

xven0mxz schreef op donderdag 19 oktober 2023 @ 09:26:
[...]


Wanneer we alle drie in dezelfde sessie (CCP>Teams) aanwezig waren, gold er een geheimhoudingsovereenkomst (NDA) voor alles wat besproken werd en werd getoond.

CCP zit ik ook in inderdaad maar er is meer

[TheVMaster]

HKLM_ schreef op donderdag 19 oktober 2023 @ 09:43:
[...]


Als je de airlift call van van de week bedoeld dan ja

Airlift was minder diepgaand dan CCP. Maar CCP is NDA idd. Maar ik doelde niet op CCP, maar op deze (oude) blogpost.

[xven0mxz]

TheVMaster schreef op donderdag 19 oktober 2023 @ 16:17:
[...]


Airlift was minder diepgaand dan CCP. Maar CCP is NDA idd. Maar ik doelde niet op CCP, maar op [ur=https://techcommunity.microsoft.com/t5/windows-it-pro-blog/evolving-the-microsoft-store-for-business-and-education/bc-p/2577546/highlight/true]deze[/url] (oude) blogpost.

Linkje is dood.

[TheVMaster]

xven0mxz schreef op donderdag 19 oktober 2023 @ 16:21:
[...]


Linkje is dood.

nee toch?

[xven0mxz]

TheVMaster schreef op donderdag 19 oktober 2023 @ 16:42:
[...]


nee toch?

Werkt weer!

[TheVMaster]

xven0mxz schreef op donderdag 19 oktober 2023 @ 16:45:
[...]


Werkt weer!

Ja, had linkje niet goed geplaatst blijkbaar.

[HKLM_]

TheVMaster schreef op donderdag 19 oktober 2023 @ 16:17:
[...]


Airlift was minder diepgaand dan CCP. Maar CCP is NDA idd. Maar ik doelde niet op CCP, maar op deze (oude) blogpost.

Dat is er toch al helemaal? Ik dacht dat je op iets anders doelde iig

[Harmen]

Ook ik heb de taak gekregen een tenant te documenteren. Het script van https://github.com/ThomasKur/IntuneDocumentation heb er al op los gelaten. Echter wordt het er niet echt overzichtelijker van, 151+ pagina's.

Ben nu m'n Excel skills aan het opvijzelen, zet alle in Exel en verschillende tabs. Dat lijkt voor nu de meest overzichtelijke oplossing. Later dit jaar zal ik alle settings doorlopen met het it team.
Iemand nog andere tips of tricks?

@HKLM_ Zeker overzichtelijk, maar niet echt goed leesbaar vind ik persoonlijk. Vandaar Exel of iets dergelijks.

[ Voor 11% gewijzigd door Harmen op 24-10-2023 14:46 ]

[HKLM_]

Harmen schreef op dinsdag 24 oktober 2023 @ 13:45:
Ook ik heb de taak gekregen een tenant te documenteren. Het script van https://github.com/ThomasKur/IntuneDocumentation heb er al op los gelaten. Echter wordt het er niet echt overzichtelijker van, 30+ pagina's.

Ben nu m'n Excel skills aan het opvijzelen, zet alle in Exel en verschillende tabs. Dat lijkt voor nu de meest overzichtelijke oplossing. Later dit jaar zal ik alle settings doorlopen met het it team.
Iemand nog andere tips of tricks?

Dat word document is toch super overzichtelijk? Je link naar een oud script van hem je kan beter deze https://www.wpninjas.ch/2...crosoft365-documentation/ gebruiken.

[ Voor 12% gewijzigd door HKLM_ op 24-10-2023 13:48 ]

[TheVMaster]

HKLM_ schreef op dinsdag 24 oktober 2023 @ 13:48:
[...]


Dat word document is toch super overzichtelijk? Je link naar een oud script van hem je kan beter deze https://www.wpninjas.ch/2...crosoft365-documentation/ gebruiken.

Het is inderdaad een enorm document en als je Intune niet snapt/kent dan lijkt het onoverzichtelijk. Maar het is super overzichtelijk en alles staat erin.

Het gaat er ook om dat het goed documenteerd is volgens mij, niet dat elke leek ook snapt wat er staat :-)

[Harmen]

Ja inderdaad, dan komt de zoekfunctie goed van pas. Excel is goed gevuld, binnenkort maar eens bespreken en er een klap op geven. Daarna gaan we de testfase in.