:strip_exif()/u/290839/crop5b757283a589c_cropped.gif?f=community)
Of je gebruikt gewoon de OMI URI settings om een Share te mappen.
Cloud ☁️
Persoonlijk vind ik die scripts prima werken, vooral omdat je de huidige ad omprem access groepen kunt blijven gebruiken en jouw netwerkschijf krijgt een kruis zodra je niet op het bedrijfsnetwerk zit.. dus er verandert weinig voor beheer+gebruiker.:
[...]
Of je gebruikt gewoon de OMI URI settings om een Share te mappen.
Ik ben niet zo gek op die oma uris.
[ Voor 1% gewijzigd door ReZpie op 28-03-2024 19:04 . Reden: Typos ]
:strip_icc():strip_exif()/u/335968/crop57d2c94ca341d_cropped.jpeg?f=community)
/u/97359/crop64803232ade4a_cropped.png?f=community)
Voor die mapping (shares en printers) gebruikte in het verleden nog wel eens https://github.com/tabs-n...e.Logonscript.FunctionApp.
Een kleine scheduled task op je laptop die een call doet naar een function app in je Azure omgeving. Die function app doet een Graph API call, haalt je groupmemberships op en parsed op basis daarvan een JSON file waarin alle mogelijk mappings staan. Je krijgt dus, op basis van je groupmemberships, een XML file terug met de te mappen drives / printers.
Voordeel: je hoeft maar één keer te deployen naar je endpoints en als er een mapping bij of af moet is het een kwestie van de gebruiker in de juiste groep zitten. Zonder te wachten op syncs van policies etc. krijg je dan vanzelf bij een reboot (of reconnect met het netwerk) de juiste drives. Het is dus ook maar één te deployen app in Intune, in plaats van een policy / setting per mogelijke drive-map op basis van de groups. Zeker in grotere omgevingen scheelt dat een hoop extra instellingen en kan de 1e / 2e lijns gewoon mensen in groepen stoppen om drives toe te voegen, zoals ze gewend zijn
Voor de auth: hybrid cloud trust is inderdaad wat je wil. Geen gedoe met PKI infra etc. Een line-of-sight met je DC is wel nodig, maar die VPN zul je toch nodig hebben om überhaupt je fileserver te kunnen zien
Een kleine scheduled task op je laptop die een call doet naar een function app in je Azure omgeving. Die function app doet een Graph API call, haalt je groupmemberships op en parsed op basis daarvan een JSON file waarin alle mogelijk mappings staan. Je krijgt dus, op basis van je groupmemberships, een XML file terug met de te mappen drives / printers.
Voordeel: je hoeft maar één keer te deployen naar je endpoints en als er een mapping bij of af moet is het een kwestie van de gebruiker in de juiste groep zitten. Zonder te wachten op syncs van policies etc. krijg je dan vanzelf bij een reboot (of reconnect met het netwerk) de juiste drives. Het is dus ook maar één te deployen app in Intune, in plaats van een policy / setting per mogelijke drive-map op basis van de groups. Zeker in grotere omgevingen scheelt dat een hoop extra instellingen en kan de 1e / 2e lijns gewoon mensen in groepen stoppen om drives toe te voegen, zoals ze gewend zijn
Voor de auth: hybrid cloud trust is inderdaad wat je wil. Geen gedoe met PKI infra etc. Een line-of-sight met je DC is wel nodig, maar die VPN zul je toch nodig hebben om überhaupt je fileserver te kunnen zien
[ Voor 8% gewijzigd door ralpje op 29-03-2024 09:33 ]
Freelance (Microsoft) Cloud Consultant & Microsoft Certified Trainer
/u/1387186/crop65f2f1901e7f0_cropped.png?f=community)
Klinkt goed, en hoe regel je dan de drivers voor de betreffende printers? Of worden die automatisch naar de client toegehaald dmv de printserver?:
Voor die mapping (shares en printers) gebruikte in het verleden nog wel eens https://github.com/tabs-n...e.Logonscript.FunctionApp.
Een kleine scheduled task op je laptop die een call doet naar een function app in je Azure omgeving. Die function app doet een Graph API call, haalt je groupmemberships op en parsed op basis daarvan een JSON file waarin alle mogelijk mappings staan. Je krijgt dus, op basis van je groupmemberships, een XML file terug met de te mappen drives / printers.
Voordeel: je hoeft maar één keer te deployen naar je endpoints en als er een mapping bij of af moet is het een kwestie van de gebruiker in de juiste groep zitten. Zonder te wachten op syncs van policies etc. krijg je dan vanzelf bij een reboot (of reconnect met het netwerk) de juiste drives. Het is dus ook maar één te deployen app in Intune, in plaats van een policy / setting per mogelijke drive-map op basis van de groups. Zeker in grotere omgevingen scheelt dat een hoop extra instellingen en kan de 1e / 2e lijns gewoon mensen in groepen stoppen om drives toe te voegen, zoals ze gewend zijn
Voor de auth: hybrid cloud trust is inderdaad wat je wil. Geen gedoe met PKI infra etc. Een line-of-sight met je DC is wel nodig, maar die VPN zul je toch nodig hebben om überhaupt je fileserver te kunnen zien
Tesla Model 3 (Highland) LR AWD Ultra Red
:strip_exif()/u/301133/crop6737b754ae5aa_cropped.gif?f=community)
Ik ken meerdere van dit soort scripts en ik blijf echt moeite houden hiermee, blijft beunhazen vindt ik haha
Heb nu een canon printer en ook zo'n script en dan loopt die weer te zeuren dat die de pnputil.exe niet kan openen ofzo.
Geef mij maar gewoon Universal Print werkt een stuk makkelijker.. Dat je een script met 201 lines nodig hebt voor een "f*ng"Pinter zegt al genoeg toch
[ Voor 5% gewijzigd door HKLM_ op 29-03-2024 12:02 ]
Cloud ☁️
/u/30465/billgates2.PNG?f=community)
Persoonlijk snap ik uberhaupt niet waarom mensen anno 2024 nog zouden willen printen. Al zijn er natuurlijk altijd branches waar printen nog redelijk normaal is.:
[...]
Ik ken meerdere van dit soort scripts en ik blijf echt moeite houden hiermee, blijft beunhazen vindt ik haha
Heb nu een canon printer en ook zo'n script en dan loopt die weer te zeuren dat die de pnputil.exe niet kan openen ofzo.
Geef mij maar gewoon Universal Print werkt een stuk makkelijker.. Dat je een script met 201 lines nodig hebt voor een "f*ng"Pinter zegt al genoeg toch
:strip_exif()/u/18101/cartmanklein.gif?f=community)
:strip_icc():strip_exif()/u/782695/crop671b96fb75045_cropped.jpg?f=community)
Verwijderd
ja precies dat had ik ook al gelezen en het bericht geeft aan dat MS geen officiele bypass maakt/heeft maar soms zijn mensen zo slim om een oplossing te vinden
Nadeel hier is nu dat niet nog alle apps hier dus lekker mee werken. zeker op windows 10 met Universal print levert dit nu bij ons best wat gezeur op...
:strip_icc():strip_exif()/u/236735/crop55c262a179dbc_cropped.jpeg?f=community)
20 dollar per maand gemiddeld, of hosted voor 99 dollar. 99 dollar bevat ook e-mail support etc.
huuggeeee mistake. CIPP gaat ervan uit op consumption te draaien door gebruik van durable functions, waarmee extreem geschaalt wordt. Door op EP1 of andere modellen te draaien jaag je jezelf alleen maar meer op kosten, en maak je de applicatie stukken trager. In onze laatste metingen zelfs tot 400% verschil in performance.
Tags reageer ik nog op
[ Voor 12% gewijzigd door TeGek op 28-04-2024 21:14 ]
PoSh Fan? Automation? RMM? blog - op zoek naar een nieuwe job? kijk dan hier.
@TeGek Jij bent ontwikkelaar aan CIPP? 20 dollar is peanuts om te hebben als de applicatie doet wat ik zou willen.
Ik ben een beetje aan het stoeien geweest met Powershell en Autopilot registratie..
Ik heb een script gemaakt die ik gebruik om dmv RMM tooling uit te rollen naar apparaten die in AP ingeschreven moeten worden. Het maakt gebruik van een appregistratie in Entra. Het is ook handig om OOBE apparaten naar de betreffende tenant in te schrijven als je het script op USB zet, zodat je medewerkers of collega's geen accountgegevens van een admin account hoeft te geven.
Permissie van de Entra registered app is schrijven en lezen van Intune devices.
Alleen dat kon ook automatisch dacht ik, dus ben ik daar mee gaan stoeien. En nu heb ik een script gebouwd die je eenmalig hoeft te runnen om een 2e script te krijgen die je in RMM of handmatig kan aftrappen op een device om deze in Autopilot te schrijven.
Door gebruik te maken van 'least privilege' principe is het in mijn ogen veililg genoeg om app secret mee te geven, als je misbruik vermoed kan je eenvoudig een nieuw script genereren waarbij de bestaande app vervalt. Of je verwijderd de secret waarbij deze onbruikbaar is.
Indien belangstelling, wil ik wel kijken of ik het script kan uploaden op Github, kan ik feedback krijgen of er verbeteringen nodig zijn en scheelt het jullie tijd met importeren van bestaande / nieuwe AP devices.
Ik ben een beetje aan het stoeien geweest met Powershell en Autopilot registratie..
Ik heb een script gemaakt die ik gebruik om dmv RMM tooling uit te rollen naar apparaten die in AP ingeschreven moeten worden. Het maakt gebruik van een appregistratie in Entra. Het is ook handig om OOBE apparaten naar de betreffende tenant in te schrijven als je het script op USB zet, zodat je medewerkers of collega's geen accountgegevens van een admin account hoeft te geven.
Permissie van de Entra registered app is schrijven en lezen van Intune devices.
Alleen dat kon ook automatisch dacht ik, dus ben ik daar mee gaan stoeien. En nu heb ik een script gebouwd die je eenmalig hoeft te runnen om een 2e script te krijgen die je in RMM of handmatig kan aftrappen op een device om deze in Autopilot te schrijven.
Door gebruik te maken van 'least privilege' principe is het in mijn ogen veililg genoeg om app secret mee te geven, als je misbruik vermoed kan je eenvoudig een nieuw script genereren waarbij de bestaande app vervalt. Of je verwijderd de secret waarbij deze onbruikbaar is.
Indien belangstelling, wil ik wel kijken of ik het script kan uploaden op Github, kan ik feedback krijgen of er verbeteringen nodig zijn en scheelt het jullie tijd met importeren van bestaande / nieuwe AP devices.
Alles went behalve een Twent.
⏩ PVOutput☀️
Autopilot registration wil je eigenlijk helemaal niet via een entra id app registratie laten verlopen maar alleen laten toestaan van mensen of devices welke geconfigureerd zijn in de MDM settings. Dit om BPRT token spraying te voorkomen. (Iets wat iedere user met een intune licentie kan):
@TeGek Jij bent ontwikkelaar aan CIPP? 20 dollar is peanuts om te hebben als de applicatie doet wat ik zou willen.
Ik ben een beetje aan het stoeien geweest met Powershell en Autopilot registratie..
Ik heb een script gemaakt die ik gebruik om dmv RMM tooling uit te rollen naar apparaten die in AP ingeschreven moeten worden. Het maakt gebruik van een appregistratie in Entra. Het is ook handig om OOBE apparaten naar de betreffende tenant in te schrijven als je het script op USB zet, zodat je medewerkers of collega's geen accountgegevens van een admin account hoeft te geven.
Permissie van de Entra registered app is schrijven en lezen van Intune devices.
Alleen dat kon ook automatisch dacht ik, dus ben ik daar mee gaan stoeien. En nu heb ik een script gebouwd die je eenmalig hoeft te runnen om een 2e script te krijgen die je in RMM of handmatig kan aftrappen op een device om deze in Autopilot te schrijven.
Door gebruik te maken van 'least privilege' principe is het in mijn ogen veililg genoeg om app secret mee te geven, als je misbruik vermoed kan je eenvoudig een nieuw script genereren waarbij de bestaande app vervalt. Of je verwijderd de secret waarbij deze onbruikbaar is.
Indien belangstelling, wil ik wel kijken of ik het script kan uploaden op Github, kan ik feedback krijgen of er verbeteringen nodig zijn en scheelt het jullie tijd met importeren van bestaande / nieuwe AP devices.
Cloud ☁️
Leuk op papier maar in de praktijk ga je toch persoonlijke data tegen komen en hoe ga je om met aangekochte apps?
Geloof me ik snap je probleem
Maar als jij zomaar personal data gaat verwijderen dat breekt de hell los in je organisatie getekend papiertje of niet wees je daar van bewust.
Cloud ☁️
Daarom de vraag over wat er gebeurt met persoonlijke Apple IDs die niet binnen de grace period worden gewijzigd. Worden die verwijderd? Als de accounts blijven bestaan, maar je kunt bijv. niet meer inloggen totdat je je Apple ID wijzigt, dan is er sowieso geen probleem. Maar ik begrijp dus dat je na het starten van de federatie precies kunt zien welke accounts nog conflicteren. Dan wordt het een paar uitzendkrachten inhuren en die op locatie sturen (de telefoons zijn verspreid over bijna alle 50 staten).:
[...]
Leuk op papier maar in de praktijk ga je toch persoonlijke data tegen komen en hoe ga je om met aangekochte apps?
[...]
Geloof me ik snap je probleem
Duidelijk, thanks
Het zit toch iets anders in elkaar:
https://support.apple.com/en-gb/102159
[ Voor 38% gewijzigd door ibmpc op 30-04-2024 21:49 ]
:strip_icc():strip_exif()/u/26028/penguin.jpg?f=community)
:strip_icc():strip_exif()/u/430260/viskip1.jpg?f=community)
Wij hebben dit nog niet doorgevoerd maar staat nog wel op de planning. Meen mij alleen te herinneren dat er geen configuratie profiel (is dat de vertaling
?) is om een ABM Apple profiel te forceren. Wij zouden namelijk graag het ABM profiel willen forceren maar wel met de mogelijkheid dat gebruikers in de App Store een privé account kunnen gebruiken.
PS/XBL: Nogne
Multi MAM staat op de roadmap voor GA deze zomer
https://www.microsoft.com.../roadmap?featureid=109560
Meer kan ik er op dit moment niet over zeggen helaas want NDA.
[ Voor 4% gewijzigd door HKLM_ op 02-05-2024 23:08 ]
Cloud ☁️
Sommige gebruikers zitten er op te wachten om met twee telefoons rond te lopen, sommigen niet. Van een vrijwilligersorganisatie met alleen parttimers, kun je niet verwachten dat de vrijwilligers met een extra zakelijke telefoon willen rondlopen. Maar ik begrijp het en meestal geef ik dit advies ook gewoon.
https://www.microsoft.com...lters=&searchterms=109560 Dit? Excuses, ik zag je link over het hoofd. Ik zag trouwens nog een enorm leuke staan, nummer 383952:
[...]
Multi MAM staat op de roadmap voor GA deze zomer
https://www.microsoft.com.../roadmap?featureid=109560
Meer kan ik er op dit moment niet over zeggen helaas want NDA.
[ Voor 34% gewijzigd door ibmpc op 02-05-2024 23:22 ]
Volgens mij zeg jij dan al teveel. 😎:
[...]
Multi MAM staat op de roadmap voor GA deze zomer
https://www.microsoft.com.../roadmap?featureid=109560
Meer kan ik er op dit moment niet over zeggen helaas want NDA.
:strip_icc():strip_exif()/u/78725/train-icon3.jpg?f=community)
Ja, dat kan dus op iOS ook allemaal alleen werkt dat dus anders :-) Ik krijg als ik mijn 'prive' profiel aanzet op iOS ook geen werk notificaties. Of als ik mijn 'Gaming' profiel aanzet, dan krijg ik alleen notificaties van discord, of mijn Autorij-profiel. Alleen werkt het bij iOS allemaal net iets anders dan op Android.
[ Voor 9% gewijzigd door TheVMaster op 08-05-2024 17:24 ]
Nope full EID. Is een test tenant van ons die puur voor lering en de vermaeck van ons is opgezet tbv Intune, Autopilot. Vrij nieuw overigens omdat ik dat graag wilde. Dus vrij basic ingericht vooralsnog.
Ook aan de hand van eerdere feedback hier om intunebackup en import te gebruiken. Dus deze tenant is ook direct een template straks.
Alles went behalve een Twent.
⏩ PVOutput☀️
Het is een combinatie van Focus Profielen in iOS en die dus koppelen aan je ‘werk’ of ‘Persoonlijke’ profiel in Outlook. En op het moment dat je dan een Focus Profiel in Outlook inschakelt, dan zie je dus alleen de profielen die gekoppeld zijn.
:fill(white):strip_exif()/f/image/Q5xTSslF9yjHn1hPgkWFBPZj.png?f=user_large) | :fill(white):strip_exif()/f/image/43iFyH0dJ3VLQefBAARTw9eJ.png?f=user_large) | :fill(white):strip_exif()/f/image/Dy9qkry38ghxrwEPCLrYwgkI.png?f=user_large) |
[ Voor 3% gewijzigd door TheVMaster op 09-05-2024 14:12 ]
HP ProBook met 11th gen i5 met 8GB RAM en 256GB NVMe SSD.
Dik voldoende.
Maar is opgelost, de TPM even leegemaakt, nu knalt het perfect door.
Alles went behalve een Twent.
⏩ PVOutput☀️
Moet je daar bij HP eigenlijk ook de F12 voor indrukken bij de reboot zoals bij Dell?:
[...]
HP ProBook met 11th gen i5 met 8GB RAM en 256GB NVMe SSD.
Dik voldoende.
Maar is opgelost, de TPM even leegemaakt, nu knalt het perfect door.
Wat bedoel je precies? Je wilt met phishing resistant inloggen in je oobe voor autopilot?
Je kan al een fidokey gebruiken
Maar ik zou zeggen start een Entra topic ik wil je wel helpen
[ Voor 11% gewijzigd door HKLM_ op 13-05-2024 18:29 ]
Cloud ☁️
Met fidokey inloggen in OOBE werkt prima, ook voor Windows 10. Ik bedoel precies de nieuwe preview Phishing Resistant Authenticator push, die nu in preview is. Of ook de passkey genoemd in je MS Authenticator. Momenteel werkt dat voor veel, behalve in OOBE.:
[...]
Wat bedoel je precies? Je wilt met phishing resistant inloggen in je oobe voor autopilot?
Je kan al een fidokey gebruiken
Maar ik zou zeggen start een Entra topic ik wil je wel helpen
[ Voor 4% gewijzigd door ibmpc op 13-05-2024 19:10 ]
Je kunt toch ook gewoon Phone Registration configureren. Geen FIDO2 key nodig hoor.:
[...]
Wat bedoel je precies? Je wilt met phishing resistant inloggen in je oobe voor autopilot?
Je kan al een fidokey gebruiken
Maar ik zou zeggen start een Entra topic ik wil je wel helpen
Wordt gewaardeerd
Klopt, maar dat wordt niet als phishing resistant gezien. Momenteel staan wij authenticator push wel toe voor OOBE, waarna je phishing resistant Windows Hello for Business kunt (moet) instellen. Maar dit is wel een security dingetje, omdat je hiermee dus zonder phishing resistant methode een phishing resistant login kunt instellen.
Verrek, inderdaad die valt er niet onder. Maar is dat security wise dan echt een dingetje? Ik denk dat het meer een theoretisch issue is, want hoe groot is de kans dat er misbruik van gemaakt (kan) worden?:
[...]
Wordt gewaardeerd
[...]
Klopt, maar dat wordt niet als phishing resistant gezien. Momenteel staan wij authenticator push wel toe voor OOBE, waarna je phishing resistant Windows Hello for Business kunt (moet) instellen. Maar dit is wel een security dingetje, omdat je hiermee dus zonder phishing resistant methode een phishing resistant login kunt instellen.
En welke use-case heb je precies waarbij dit een issue is? Ik weet dat ik veel klanten TAP gebruiken als ze een pc opnieuw moeten installeren (en je dus geen Passwordless met Phone Sign-in wilt gebruiken).
Ik zit op dit moment in een groot project waarbij we zeker (de mannen uit de Identity/Security track) wel voor de beste oplossing gaan.
[ Voor 5% gewijzigd door TheVMaster op 13-05-2024 19:45 ]
Ik denk dat de misbruik kans heel klein is inderdaad maar non-phishing restant methodes moeten eigenlijk zsm een organisatie uit en als je dan 1 methode hebt die op alles werkt is dat wel ideaal.
Waarom zeg ik dit
Alles wat non-phishing restent is is dusdanig makkelijk te phishen dat je het eigenlijk niet wilt gebruiken. Er zijn mensen die roepen dat de Microsoft Authenticator met number matching veilig is.. geef me 5 minuten en ik laat je zien dat ik je gebruikersnaam, wachtwoord en sessie tolen in een teams chat binnen kan krijgen.Nu weet ik wel dat jij dit ook weet ik ik je dat niet hoef te vertellen maar de vraag van @ibmpc zet wel tot nadenken wat mij betreft
Cloud ☁️
Volgens mij is MS Authenticator Push met numbermatching niet bestand tegen Evilginx2.
Tijd om een Entra topic te openen, want technisch gezien is dit Entra gepraat is echt offtopic:
[...]
Maar ik zou zeggen start een Entra topic ik wil je wel helpen
[ Voor 37% gewijzigd door ibmpc op 13-05-2024 20:06 ]
Evilginx2 zou kunnen maar verwacht het niet het is iig niet bestand tegen https://zolder.io/aitm-attacks-using-cloudflare-workers/ weet ik en laat ik soms aan klanten zien hoe makkelijk de authenticator app met number marching is te phishen.:
Volgens mij is MS Authenticator Push met numbermatching niet bestand tegen Evilginx2.
[...]
Tijd om een Entra topic te openen, want technisch gezien is dit Entra gepraat is echt offtopic
Kijk het filmpje maar eens hoe makkelijk het is.
[ Voor 6% gewijzigd door HKLM_ op 13-05-2024 20:13 ]
Cloud ☁️
Klopt! Alleen ik kom heeeeeel veel bedrijven tegen die dat niet op orde hebben
of überhaupt geen CA op orde hebben…
[ Voor 4% gewijzigd door HKLM_ op 13-05-2024 20:19 ]
Cloud ☁️
Niet alleen foutief, er zijn ook organisaties waar de keuze is gemaakt om bijv. wel toegang via een browser toe te staan, dus dat de compliant device policy alleen geldt voor Modern Auth apps. Omdat het bijvoorbeeld wordt toegestaan om op een thuiscomputer wel via de Office Web Apps te werken.:
[...]
Klopt! Alleen ik kom heeeeeel veel bedrijven tegen die dat niet op orde hebben