Windows Autopilot werkt niet zoals gewenst.

[Ger0nim0]

Hoe zorg ik ervoor dat wanneer ik een nieuw apparaat installeer, dat hij automatisch registreert bij zowel Azure AD als het lokale domein. Een hybride omgeving dus.

Ik heb alles correct ingesteld binnen Windows Autopilot, maar ik denk dat ik iets mis, er onbreekt iets. Ik voer een schone installatie uit en klik dan op "toegang voor werk of school" en daarna log ik in met het administrator account om hem te koppelen, maar dan is hij alleen Azure AD joined en niet local domain joined. Hoe zorg ik ervoor dat dit automatisch gaat? Is er een manier om ervoor te zorgen dat wanneer ik met het admin account van Azure inlog dat hij ook automatisch registreert bij het lokale domein? Ik wil dit namelijk volledig automatiseren.

Alvast bedankt

[Question Mark]

Ger0nim0 schreef op vrijdag 22 september 2023 @ 11:31:
Ik heb alles correct ingesteld binnen Windows Autopilot, maar ik denk dat ik iets mis, er onbreekt iets.

De grote vraag is natuurlijk: wat heb je ingesteld?

Daarnaast is er best wel wat leesvoer, zie bijvoorbeeld:

https://www.anoopcnair.co...hybrid-domain-join-guide/

Hybrid Azure AD is domain joined plus Azure AD registered devices. So you will need to have connectivity to the on-prem active directory, and you also will need to have additional components such as Intune Connector for Active Directory.

[Hann1BaL]

Zoals @Question Mark het aangeeft is ook zoals wij het doen.
Daarnaast draaien we nog scripts om te zorgen dat de onprem AD ook weer de computer heeft gesynced naar AAD.

Powershell script wat we draaien, nadat de VPN tunnel er is (anders werkt het alleen op het interne netwerk)

code:

reg.exe add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CDJ\AAD" /v TenantID /t REG_SZ /d "TENANTID" /f /reg:64 | Out-Null
reg.exe add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\CDJ\AAD" /v TenantName /t REG_SZ /d "tenantname.onmicrosoft.com" /f /reg:64  | Out-Null
Start-Sleep -Seconds 5
Start-ScheduledTask "\Microsoft\Windows\Workplace Join\Automatic-Device-Join"

En de AD connector in intune.

Later in het enrollmentproces draaien we dan een script WaitForUserDeviceRegistration.ps1
Versie 1.6 van Steve Prentice (dan gaat Github je wel helpen)

Alle individuele stappen hebben we in een volgorde gezet (met apps deployments) en standaard doet AP dit niet, maar wij hebben er een lange dependency chain van gemaakt.

Dus we deployen Z, maar Z heeft dependency Y en Y heeft dependency X enzovoorts zodat je de volgorde van alle apps en scripts zelf in de hand hebt.

En wat nog een van de betere stappen is, om stap 1 een logreader (neem die van SCCM) op de client te zetten zodat je makkelijk de logs kunt lezen en troubleshooten (intunemanagementextension.log)

[ Voor 38% gewijzigd door Hann1BaL op 22-09-2023 12:01 ]

[Ger0nim0]

@Question Mark

Allereerst bedankt voor je input en het handige leesvoer. Dit gaat zeker helpen.

Ik heb de devices aan de hand van een HWHash in Windows Autopilot gezet.
Die devices staan gekoppeld aan een profiel die weer verteld dat devices moeten joinen als Hybrid Azure AD.

Wat wij willen is dat wanneer wij inloggen met het admin account van Azure AD tijdens de installatie, is dat hij zowel AAD als AD joined. Het liefst allemaal automatisch.

[ Voor 10% gewijzigd door Ger0nim0 op 22-09-2023 12:24 ]

[Question Mark]

Ger0nim0 schreef op vrijdag 22 september 2023 @ 12:14:
@Question Mark
Wat wij willen is dat wanneer wij inloggen met het admin account van Azure AD tijdens de installatie, is dat hij zowel AAD als AD joined.

Dat lijkt op het eerste gezicht een vreemd scenario. De meest gebruikte usecase is om een standaard user een device te geven, waar hij zichzelf dan helemaal mee kan redden. Mits goed ingeregeld kan dat device zelfs nieuw uit de doos komen.

Hence the name "autopilot".

Waarom zou je dan als beheerder alsnog zelf die laptop willen gaan inspoolen of inrichten?

[Ger0nim0]

@Question Mark

Ja het liefst willen wij dat ook, dat alles geheel automatisch gaat, maar dat krijgen we nog niet helemaal lekker voor elkaar. Ik heb dit eerder moeten doen voor een klant, alleen dat was een volledige Azure omgeving en aan die devices zit een user gekoppeld, maar dat is nou net wat we niet willen. We willen er geen user aan koppelen.

[Hann1BaL]

Ger0nim0 schreef op vrijdag 22 september 2023 @ 13:22:
@Question Mark

Ja het liefst willen wij dat ook, dat alles geheel automatisch gaat, maar dat krijgen we nog niet helemaal lekker voor elkaar. Ik heb dit eerder moeten doen voor een klant, alleen dat was een volledige Azure omgeving en aan die devices zit een user gekoppeld, maar dat is nou net wat we niet willen. We willen er geen user aan koppelen.

Dat is wat wij doen middels de AD connector in intune en daarna de scripts.
Dan is het device voleldig hybrid joined, alles wordt geinstalleerd en het eindresultaat is een computer met AD domain login (dmv een machine based limited VPN tunnel zodat er een line of sight naar AD is) en daarna user based een volledige VPN tussen beschikbaar is.

Daar is verder geen azure ad admin account voor nodig.

Wij kiezen er vooral voor om het meeste via de Pre-Provisioning te doen, zodat gebruikers niet lang naar een provisioning scherm zitten te gluren. Laptops uit de doos zijn dus al gereed als ze in de handen komen van gebruikers.

[ Voor 11% gewijzigd door Hann1BaL op 22-09-2023 15:07 ]

[Ger0nim0]

@Hann1BaL

Wij kiezen er vooral voor om het meeste via de Pre-Provisioning te doen, zodat gebruikers niet lang naar een provisioning scherm zitten te gluren. Laptops uit de doos zijn dus al gereed als ze in de handen komen van gebruikers.

Ja dit willen wij dus ook, maar we komen er momenteel nog niet helemaal uit.

[Hann1BaL]

Zoals gezegd:
AD connector
Hybrid jon profiel.
Alles wat we deployen heeft een fix volgorde door gebruik te maken van dependencies.

Stap 1 is wat configuratie en logreader op het systeem zetten
Stap 2 Een machine VPN tunnel
Stap 3 het eerste script
Stap 4 t/m weet ik niet, zeg 14: Alle verschillende applicaties
Stap 15: het 2e script

En dat is het. Meer kan ik je niet helpen, maar een beetje in die hoek zoeken.

[HKLM_]

Even heel bot maar waarom heb je hybride join nodig? Heb je specifiek iets on-prem staan wat dat vereist?

Autopilot werkt het beste met AAD en dan heb je ook de vrijheid om te installeren waar je maar wilt. (Dus ook thuis bijvoorbeeld) dat je een hybride opzet hebt hoeft namelijk niet te betekenen dat je devices ook Hybride moet joinen dit kan heel vaak gewoon als AAD

[ Voor 60% gewijzigd door HKLM_ op 23-09-2023 08:36 ]

[Ger0nim0]

@HKLM_

Ja wij hebben bepaalde policies op onze DC staan die wij willen pushen, dus vandaar.
Ja je kan ook policies pushen via Azure, maar er zal vast wel een reden zijn waarom ze bepaalde policies pushen via een DC en de andere via Azure.

[HKLM_]

Ger0nim0 schreef op maandag 25 september 2023 @ 17:55:
@HKLM_

Ja wij hebben bepaalde policies op onze DC staan die wij willen pushen, dus vandaar.
Ja je kan ook policies pushen via Azure, maar er zal vast wel een reden zijn waarom ze bepaalde policies pushen via een DC en de andere via Azure.

Je pushed geen policy’s via azure intune heeft tegenwoordig een prima optie om on-prem policies te importeren en om te zetten naar Intune policy’s.

https://learn.microsoft.c...e-templates-import-custom


Om in deze tijd nog naar hybride te gaan moet je een hele sterke business case hebben tegenover full aad voor je mobile devices. Hybride is meer een last dan een zegen

@TheVMaster kan dat vast beter uitleggen dan mij

[ Voor 9% gewijzigd door HKLM_ op 25-09-2023 18:34 ]

[Ger0nim0]

@HKLM_

Owh, dat wist ik nog niet, maar daar zal ik dan maar eens even naar gaan kijken.
Maar goed, ik kreeg de opdracht om een hybride omgeving op te zetten, dus dan doe ik dat maar haha.

[TheVMaster]

Ger0nim0 schreef op vrijdag 22 september 2023 @ 11:31:
Hoe zorg ik ervoor dat wanneer ik een nieuw apparaat installeer, dat hij automatisch registreert bij zowel Azure AD als het lokale domein. Een hybride omgeving dus.

Ik heb alles correct ingesteld binnen Windows Autopilot, maar ik denk dat ik iets mis, er onbreekt iets. Ik voer een schone installatie uit en klik dan op "toegang voor werk of school" en daarna log ik in met het administrator account om hem te koppelen, maar dan is hij alleen Azure AD joined en niet local domain joined. Hoe zorg ik ervoor dat dit automatisch gaat? Is er een manier om ervoor te zorgen dat wanneer ik met het admin account van Azure inlog dat hij ook automatisch registreert bij het lokale domein? Ik wil dit namelijk volledig automatiseren.

Alvast bedankt

Is er een reden dat je Hybrid wilt gaan? Zijn er technische requirements om dit te willen en zo ja wat zijn die dan?

[TheVMaster]

Question Mark schreef op vrijdag 22 september 2023 @ 12:37:
[...]

Dat lijkt op het eerste gezicht een vreemd scenario. De meest gebruikte usecase is om een standaard user een device te geven, waar hij zichzelf dan helemaal mee kan redden. Mits goed ingeregeld kan dat device zelfs nieuw uit de doos komen.

Hence the name "autopilot".

Waarom zou je dan als beheerder alsnog zelf die laptop willen gaan inspoolen of inrichten?

Deze snap ik ook niet. Ik zit toevallig nu bij een klant waar ze ook 'zoiets' doen. Nou, als ik straks klaar ben dan hebben ze Autopilot met Pre-provisioning draaien. Sorry, maar handmatig allerhande zaken gaan doen slaat nergens op, echt niet.

[TheVMaster]

Ger0nim0 schreef op vrijdag 22 september 2023 @ 13:22:
@Question Mark

Ja het liefst willen wij dat ook, dat alles geheel automatisch gaat, maar dat krijgen we nog niet helemaal lekker voor elkaar. Ik heb dit eerder moeten doen voor een klant, alleen dat was een volledige Azure omgeving en aan die devices zit een user gekoppeld, maar dat is nou net wat we niet willen. We willen er geen user aan koppelen.

Wat lukt er niet dan? Gebrek aan kennis/ervaring op het vlak van Autopilot/Intune?

[TheVMaster]

HKLM_ schreef op maandag 25 september 2023 @ 18:08:
[...]


Je pushed geen policy’s via azure intune heeft tegenwoordig een prima optie om on-prem policies te importeren en om te zetten naar Intune policy’s.

https://learn.microsoft.c...e-templates-import-custom


Om in deze tijd nog naar hybride te gaan moet je een hele sterke business case hebben tegenover full aad voor je mobile devices. Hybride is meer een last dan een zegen

@TheVMaster kan dat vast beter uitleggen dan mij

U riep?

Nee, Hybrid moet je echt niet meer willen. Ik kan persoonlijk geen enkele reden verzinnen (Oke, als je te maken hebt met oude applicaties die nog echt kerberos authenticatie willen en niet om kunnen gaan met accounts/machines die niet bestaan in AD). Maar dan nog, misschien tijd om die applicaties te vervangen?

[TheVMaster]

Ger0nim0 schreef op vrijdag 22 september 2023 @ 15:16:
@Hann1BaL


[...]


Ja dit willen wij dus ook, maar we komen er momenteel nog niet helemaal uit.

Heb je geen recht op support uren vanuit Microsoft ofzo? Ik weet dat partners toch vaak wel recht hebben op trainingen etc?

[TheVMaster]

Ger0nim0 schreef op maandag 25 september 2023 @ 17:55:
@HKLM_

Ja wij hebben bepaalde policies op onze DC staan die wij willen pushen, dus vandaar.
Ja je kan ook policies pushen via Azure, maar er zal vast wel een reden zijn waarom ze bepaalde policies pushen via een DC en de andere via Azure.

Eh, die GPO's kun je vaak wel migreren naar Intune d.m.v de Group Policy Analytics. En let er dan wel even op dat je niet alle legacy bagger vanuit GPO's naar Intune wilt overzetten. Dit is namelijk een goed moment om een kritisch naar je policies te kijken en alle legacy te laten waar het hoort, on-prem!

[TheVMaster]

Ger0nim0 schreef op maandag 25 september 2023 @ 18:41:
@HKLM_

Owh, dat wist ik nog niet, maar daar zal ik dan maar eens even naar gaan kijken.
Maar goed, ik kreeg de opdracht om een hybride omgeving op te zetten, dus dan doe ik dat maar haha.

Van wie kreeg je die opdracht precies iemand die onderzoek heeft gedaan en tot de conclusie kwam dat native AAD niet kan? Of is het gewoon van, we hebben nu alles on-prem en denken zelf dat de volgende stap Hybrid zou kunnen zijn?

Sorry voor al mijn kritische vragen hoor, maar dit is nu precies mijn werkgebied en ik ben hier nu net bij 2 (grote) klanten mee bezig. Dus zit er volledig in op dit moment.

[ Voor 14% gewijzigd door TheVMaster op 25-09-2023 18:51 ]

[HKLM_]

TheVMaster schreef op maandag 25 september 2023 @ 18:45:
[...]


U riep?

Nee, Hybrid moet je echt niet meer willen. Ik kan persoonlijk geen enkele reden verzinnen (Oke, als je te maken hebt met oude applicaties die nog echt kerberos authenticatie willen en niet om kunnen gaan met accounts/machines die niet bestaan in AD). Maar dan nog, misschien tijd om die applicaties te vervangen?

Zeker, ik dacht dit is een topic voor jou op het lijf geschreven

[Grvy]

Om @HKLM_ en @TheVMaster nog wat te ondersteunen.
Je wilt Autopilot niet combineren met HAADJ dat is echt ten dode opgeschreven.

https://joymalya.com/just-another-haadj-vs-aadj-blog-post/

HKLM_ schreef op maandag 25 september 2023 @ 19:15:
[...]


Ik zou echt terug gaan en zeggen wat is de keuze om niet full AAD te gaan? Ik heb zelf ervaring met AutoPilot en hybride en vindt het een ramp. Wij dachten eerst ook dat we niet naar full AAD konden maar na een kritische blik en een tip van een externe zijn we toch over op AAD en dat werkt een stuk fijner kan ik je vertellen.

Dit was precies onze ervaring ook. Allemaal issues met HAADJ externe "Expert" uitgenodigd en die daagde ons uit om eens kritisch te kijken.

Brainstorm sessie erbij; 5 man intern van ons versus hem. Alles wat we zeiden was "oh, dat doe je zo in Intune" of "oh, maar waarom wil je dit? wat is het nut?" en opeens.. was het duidelijk.

Ter info internationaal bedrijf: 88 locaties, 4200 werkplekken.

[ Voor 69% gewijzigd door Grvy op 25-09-2023 19:19 ]

[HKLM_]

Ger0nim0 schreef op maandag 25 september 2023 @ 18:41:
@HKLM_

Owh, dat wist ik nog niet, maar daar zal ik dan maar eens even naar gaan kijken.
Maar goed, ik kreeg de opdracht om een hybride omgeving op te zetten, dus dan doe ik dat maar haha.

Ik zou echt terug gaan en zeggen wat is de keuze om niet full AAD te gaan? Ik heb zelf ervaring met AutoPilot en hybride en vindt het een ramp. Wij dachten eerst ook dat we niet naar full AAD konden maar na een kritische blik en een tip van een externe zijn we toch over op AAD en dat werkt een stuk fijner kan ik je vertellen.

[TheVMaster]

HKLM_ schreef op maandag 25 september 2023 @ 19:13:
[...]


Zeker, ik dacht dit is een topic voor jou op het lijf geschreven

Ja, ach er zijn vast meer mensen die er een mening over hebben. Maar eh, ik heb er zeker ook een.

[TheVMaster]

HKLM_ schreef op maandag 25 september 2023 @ 19:15:
[...]


Ik zou echt terug gaan en zeggen wat is de keuze om niet full AAD te gaan? Ik heb zelf ervaring met AutoPilot en hybride en vindt het een ramp. Wij dachten eerst ook dat we niet naar full AAD konden maar na een kritische blik en een tip van een externe zijn we toch over op AAD en dat werkt een stuk fijner kan ik je vertellen.

Ik heb bij klanten gezeten die ook Hybrid wilden (i.c.m. ConfigMgr Co-Management). Maar uiteindelijk werd het Native AAD en Intune managed En dat zijn dan klanten van een serieus formaat met een hele bak legacy en als zij het kunnen dan kan iedereen het.

[TheVMaster]

Grvy schreef op maandag 25 september 2023 @ 19:15:
Om @HKLM_ en @TheVMaster nog wat te ondersteunen.
Je wilt Autopilot niet combineren met HAADJ dat is echt ten dode opgeschreven.

https://joymalya.com/just-another-haadj-vs-aadj-blog-post/


[...]


Dit was precies onze ervaring ook. Allemaal issues met HAADJ externe "Expert" uitgenodigd en die daagde ons uit om eens kritisch te kijken.

Brainstorm sessie erbij; 5 man intern van ons versus hem. Alles wat we zeiden was "oh, dat doe je zo in Intune" of "oh, maar waarom wil je dit? wat is het nut?" en opeens.. was het duidelijk.

Ter info internationaal bedrijf: 88 locaties, 4200 werkplekken.

Ja, dat was nog een redelijk 'klein' bedrijf. Ik zie dezelfde soort eh, brainstorm sessies bij bedrijven met 20.000+ werkplekken. Uiteindelijk is het een verandering van denken. Met AAD native ben je tegenwoordig eigenlijk niet meer beperkt, (bijna) alles werkt gewoon zoals je zou verwachten (zelfs als je on-prem bent en wilt printen of fileshares wilt benaderen).

[Ger0nim0]

@TheVMaster

Is er een reden dat je Hybrid wilt gaan? Zijn er technische requirements om dit te willen en zo ja wat zijn die dan?

Ja, de voornamelijkste reden is omdat we GPO's van de DC willen pushen.

Wat lukt er niet dan? Gebrek aan kennis/ervaring op het vlak van Autopilot/Intune?

Zodra we een OODB scenario nabootsen doet hij niet wat we hebben ingesteld, het automatisch uitrollen van alles.

Heb je geen recht op support uren vanuit Microsoft ofzo? Ik weet dat partners toch vaak wel recht hebben op trainingen etc?

Jawel, dat hebben we wel.

Eh, die GPO's kun je vaak wel migreren naar Intune d.m.v de Group Policy Analytics. En let er dan wel even op dat je niet alle legacy bagger vanuit GPO's naar Intune wilt overzetten. Dit is namelijk een goed moment om een kritisch naar je policies te kijken en alle legacy te laten waar het hoort, on-prem!

Nou, dan gaan we daar even naar kijken. Bedankt voor je input!

Van wie kreeg je die opdracht precies iemand die onderzoek heeft gedaan en tot de conclusie kwam dat native AAD niet kan? Of is het gewoon van, we hebben nu alles on-prem en denken zelf dat de volgende stap Hybrid zou kunnen zijn?

Een senior wilde dit perse en was/is ervan overtuigd dat dit het beste model was voor ons intern.

Sorry voor al mijn kritische vragen hoor, maar dit is nu precies mijn werkgebied en ik ben hier nu net bij 2 (grote) klanten mee bezig. Dus zit er volledig in op dit moment.

Geen probleem, zo houden we elkaar scherp!

[TheVMaster]

Ger0nim0 schreef op woensdag 27 september 2023 @ 10:21:
@TheVMaster


[...]

Ja, de voornamelijkste reden is omdat we GPO's van de DC willen pushen.

Eh, waarom zou je dit willen?

[...]

Zodra we een OODB scenario nabootsen doet hij niet wat we hebben ingesteld, het automatisch uitrollen van alles.

een OOBE nabootsen? Waarom zou je dat willen nabootsen? En wat rolt hij dan niet precies automatisch uit?

[...]

Jawel, dat hebben we wel.

Nou dan zou ik je account manager eens vragen om een MS meneer of mevrouw eens te laten meedenken. Die mensen hebben er namelijk best wel verstand van, komen bij veel (grote) klanten en kunnen je vast wel van advies voorzien hoe je met eventuele blockers om moet gaan.

[...]


Nou, dan gaan we daar even naar kijken. Bedankt voor je input!


[...]

Een senior wilde dit perse en was/is ervan overtuigd dat dit het beste model was voor ons intern.

Eh, omdat een senior het wil is niet echt een reden. Enige reden om dit te willen is als er technische beperkingen zijn om het niet te kunnen doen.

[...]

Geen probleem, zo houden we elkaar scherp!

[ Voor 14% gewijzigd door TheVMaster op 27-09-2023 11:07 ]

[Ger0nim0]

Eh, waarom zou je dit willen?

Ja we(het bedrijf) wilt een hybride omgeving zodat we Lokale GPO policies kunnen pushen.
Ik heb ze ook al gevraagd waarom we niet alles in Azure zetten of alles lokaal op een DC, maar daar kreeg ik niet echt een duidelijk antwoord op.. iets met dat het mogelijk te duur zou zijn..

Nou dan zou ik je account manager eens vragen om een MS meneer of mevrouw eens te laten meedenken. Die mensen hebben er namelijk best wel verstand van, komen bij veel (grote) klanten en kunnen je vast wel van advies voorzien hoe je met eventuele blockers om moet gaan.

Dan ga ik dat maar eens even doen.

Eh, omdat een senior het wil is niet echt een reden. Enige reden om dit te willen is als er technische beperkingen zijn om het niet te kunnen doen.

Het zal ongetwijfeld met meer man besproken zijn, maar even los daarvan, hij heeft zijn redenen en ik moest het uitzoeken.

[TheVMaster]

Ger0nim0 schreef op woensdag 27 september 2023 @ 14:04:
[...]

Ja we(het bedrijf) wilt een hybride omgeving zodat we Lokale GPO policies kunnen pushen.
Ik heb ze ook al gevraagd waarom we niet alles in Azure zetten of alles lokaal op een DC, maar daar kreeg ik niet echt een duidelijk antwoord op.. iets met dat het mogelijk te duur zou zijn..


[...]

Dan ga ik dat maar eens even doen.


[...]

Het zal ongetwijfeld met meer man besproken zijn, maar even los daarvan, hij heeft zijn redenen en ik moest het uitzoeken.

Dat zodat we lokale policies kunnen pushen snap ik niet zo goed. Waarom zou je dat niet via Intune willen doen? Het is niet zo dat native Intune duurder is of andere licenties nodig heeft dan Hybrid. Dat laatst is zelfs complexer en bewerkelijker. 🤷‍♂️

[Ger0nim0]

@TheVMaster
Ja dat vraag ik me dus ook af....

De achterliggende gedachte is dus dat ze bepaalde policies op de lokale DC hebben en die willen pushen en die willen ze niet in óók Azure hebben, want dat is dubbel werk, want dan moet je de policies zowel in Azure als op de DC aanmaken, maar dat slaat ook nergens op, want dat proces kun je ook automatiseren...

Vanochtend tehoren gekregen dat ze dit toch maar niet willen gaan doen, ze gaan kijken of ze alles vanuit ons huidige RMM pakket kunnen uitvoeren.

Ik dank iedereen voor zijn input, ik ben er wel wijzer op geworden...

[TheVMaster]

Ger0nim0 schreef op woensdag 27 september 2023 @ 14:24:
@TheVMaster
Ja dat vraag ik me dus ook af....

De achterliggende gedachte is dus dat ze bepaalde policies op de lokale DC hebben en die willen pushen en die willen ze niet in óók Azure hebben, want dat is dubbel werk, want dan moet je de policies zowel in Azure als op de DC aanmaken, maar dat slaat ook nergens op, want dat proces kun je ook automatiseren...

Vanochtend tehoren gekregen dat ze dit toch maar niet willen gaan doen, ze gaan kijken of ze alles vanuit ons huidige RMM pakket kunnen uitvoeren.

Ik dank iedereen voor zijn input, ik ben er wel wijzer op geworden...

`
Eh, maar rare gedachte wel dat je je werkplekken in Intune wilt hebben, maar dan toch nog policies vanuit GPO's wilt pushen. Nu besluiten ze om het niet te gaan doen? Want ze hebben al een RMM (Remote Mobile Management?) pakket, maar hebben ook Intune licenties. Lekker dubbel betalen en de helft niet gebruiken, daar zal Microsoft wel blij mee zijn :-)

Overigens moet je zaken als Intune Config Profiles helemaal niet in sync willen houden met on-prem GPO policies, maar goed. De meeste zaken (als het al niet alles is) kun je gewoon vanuit Intune regelen, dus geen reden meer om on-prem shit te managen (voor policies etc).

Maar als ze een andere oplossing hebben, dan ben ik trouwens wel benieuwd welke oplossing dat is en kan het zijn dat die oplossing zaken niet kan die Intune wel zou kunnen, maar willen ze toch liever blijven bij die 3rd party oplossing die alles net niet helemaal kan. Maar waarvan de beheerders wel precies weten hoe het werkt.

[ Voor 17% gewijzigd door TheVMaster op 27-09-2023 15:13 ]

[Nogne]

@Ger0nim0 je geeft aan dat tijdens OOBE je de optie selecteert voor "toegang voor werk of school". Als je die optie ziet, dan is je Autopilot profiel niet goed ingesteld op het apparaat.

En als je een hybrid enrollment wil realiseren (wat ik zeker afraad), dan moet je zoals hier eerder is aangegeven zorgen dat na de offline domain join er ook een sync plaats vind zodat je AD en Entra ID beide het apparaat kennen voordat de gebruiker aanmeld.

[Hann1BaL]

Nogne schreef op woensdag 27 september 2023 @ 15:17:
@Ger0nim0 je geeft aan dat tijdens OOBE je de optie selecteert voor "toegang voor werk of school". Als je die optie ziet, dan is je Autopilot profiel niet goed ingesteld op het apparaat.

En als je een hybrid enrollment wil realiseren (wat ik zeker afraad), dan moet je zoals hier eerder is aangegeven zorgen dat na de offline domain join er ook een sync plaats vind zodat je AD en Entra ID beide het apparaat kennen voordat de gebruiker aanmeld.

Op zich kun je AP nog steeds starten als uiteindgebruiker met dat OOBE scherm. Ik zou er sowieso voor kiezen om de hardwareIDs te registreren om niet eens de keuze te hoeven maken. Dat geeft je ook pre-provisioning mogelijkheden, wat met hybrid zeker wel een goed idee is, maar je kunt het nog steeds user geïnitieerd maken en dan de enrollment doen, met de sync stap in het proces en als het klaar is kun je inloggen met je AD account.

Het account waar je de AP enrollment mee start hangt niet direct samen met het AD account waar je uiteindelijk mee in logt, maar je wilt wel dat het dezelfde gebruiker is, om de primaire gebruiker goed in Intune te hebben,

Je geeft nog weinig aan wat er geprobeerd is:
Voor dit scenario dien je echt te zorgen voor een specifieke deployment volgorde (wat default geen volgorde heeft) door te werken met de dependencies: hebben jullie dat al?
Zorg dat elke stap een een log output heeft die je in de IntuneManagementExtension map gooit.
Gooi bijv CMtrace.exe in eerste stap op de clients zodat je makkelijk logs kunt meelezen tijdens het proces.

[ Voor 14% gewijzigd door Hann1BaL op 27-09-2023 15:28 ]

[Ger0nim0]

Maar als ze een andere oplossing hebben, dan ben ik trouwens wel benieuwd welke oplossing dat is en kan het zijn dat die oplossing zaken niet kan die Intune wel zou kunnen, maar willen ze toch liever blijven bij die 3rd party oplossing die alles net niet helemaal kan. Maar waarvan de beheerders wel precies weten hoe het werkt.

Heel eerlijk, ik durf het je niet te zeggen. Mij persoonlijk lijkt alles intern in Azure pleuren het makkelijkst + over die kennis beschikken we grotendeels al, dus ik snap niet waarom we ineens iets anders willen gaan gebruiken, maar goed, zo zijn er nog wel meer beslissingen binnen deze firma waar ik niet helemaal achter sta.. maar dat terzijde..

[Ger0nim0]

@Nogne

Ik heb ze vanochtend al wat andere opties voorgesteld en de nadelen verteld van een Hybrid omgeving,
maar ze bleven bij hun punt. Even later werd er besloten dat we dit toch niet gingen doen.. "We gaan kijken of we alles kunnen realiseren door optimaal gebruik te gaan maken van ons RMM pakket, sinds dat hetgeen is wat centraal moet komen te staan"

[TheVMaster]

Ger0nim0 schreef op woensdag 27 september 2023 @ 16:38:
@Nogne

Ik heb ze vanochtend al wat andere opties voorgesteld en de nadelen verteld van een Hybrid omgeving,
maar ze bleven bij hun punt. Even later werd er besloten dat we dit toch niet gingen doen.. "We gaan kijken of we alles kunnen realiseren door optimaal gebruik te gaan maken van ons RMM pakket, sinds dat hetgeen is wat centraal moet komen te staan"

Als ze nu gewoon even met hun MS contact bellen, die kunnen je zo advies geven (zo zonde dat ze dan die support uren hebben, maar het niet gebruiken).

[Nogne]

Hann1BaL schreef op woensdag 27 september 2023 @ 15:23:
[...]


Op zich kun je AP nog steeds starten als uiteindgebruiker met dat OOBE scherm.

Beetje off-topic voor dit onderwerp, maar zou je hier misschien wat meer informatie over kunnen delen? Want ik ging er altijd vanuit dat als je de "internet-check" hebt gedaan dat je dan niet meer het AP profiel kan laten ophalen door het apparaat.

[Hann1BaL]

Nogne schreef op woensdag 27 september 2023 @ 17:06:
[...]


Beetje off-topic voor dit onderwerp, maar zou je hier misschien wat meer informatie over kunnen delen? Want ik ging er altijd vanuit dat als je de "internet-check" hebt gedaan dat je dan niet meer het AP profiel kan laten ophalen door het apparaat.

User based enrollment kan op elk apparaat dat niet geregistreerd is in een tenant.
Pre-provisioning werkt alleen op apparaten die geregistreerd zijn in een tenant.
De registratie heeft als voordeel dat op het moment een een gebruiker bij het OOBE scherm de wifi verbindt, je het bedrijfsenrollment scherm krijgt waar je kunt inloggen.

Voor pre-provisioning kun je via het cmd.exe (Shift +F10) de netwerk settings openen en dan verbinding voordat je verder gaat met de provisioning.

(Doe je door: “start ms-settings:” (er is ook een directere methode, maar zou je evt nog andere settings kunnen doen)

[HKLM_]

Hann1BaL schreef op woensdag 27 september 2023 @ 18:35:
[...]


User based enrollment kan op elk apparaat dat niet geregistreerd is in een tenant.
Pre-provisioning werkt alleen op apparaten die geregistreerd zijn in een tenant.
De registratie heeft als voordeel dat op het moment een een gebruiker bij het OOBE scherm de wifi verbindt, je het bedrijfsenrollment scherm krijgt waar je kunt inloggen.

Voor pre-provisioning kun je via het cmd.exe (Shift +F10) de netwerk settings openen en dan verbinding voordat je verder gaat met de provisioning.

(Doe je door: “start ms-settings:” (er is ook een directere methode, maar zou je evt nog andere settings kunnen doen)

Je hebt het bij pre-provisioning wel over intune toch? Daar kan je gewoon na het verbinden met de Wi-Fi in het oobe scherm 5x op de Windows toets drukken en dan kiezen voor pre-provisioning. Je Shift + F10 en dan verbinden is niet nodig hiervoor

[HKLM_]

Nogne schreef op woensdag 27 september 2023 @ 17:06:
[...]


Beetje off-topic voor dit onderwerp, maar zou je hier misschien wat meer informatie over kunnen delen? Want ik ging er altijd vanuit dat als je de "internet-check" hebt gedaan dat je dan niet meer het AP profiel kan laten ophalen door het apparaat.

Je registreerd eerst de devices welke je met autopilot wilt enrollen in Intune met de HWID's hierna krijgen ze in intune het deployment profile gekoppeld (met de settings die je wilt) Als je vervolgens een laptop pakt of installeert en verbinding maakt met het netwerk kan je of aanmelden met je work credentials of via pre-boot (5x windows key > kiezen voor pre-provision) de Autopilot starten. De laptop zal zelf de weg naar je Intune tenant vinden en het juiste profiel ophalen voor je laptop en verder gaan met de installatie.

[Nogne]

HKLM_ schreef op woensdag 27 september 2023 @ 19:11:
[...]


Je registreerd eerst de devices welke je met autopilot wilt enrollen in Intune met de HWID's hierna krijgen ze in intune het deployment profile gekoppeld (met de settings die je wilt) Als je vervolgens een laptop pakt of installeert en verbinding maakt met het netwerk kan je of aanmelden met je work credentials of via pre-boot (5x windows key > kiezen voor pre-provision) de Autopilot starten. De laptop zal zelf de weg naar je Intune tenant vinden en het juiste profiel ophalen voor je laptop en verder gaan met de installatie.

Dat is de normale flow van Autopilot, maar in de TS staat dat hij de keuze had om te verbinden met school/werk. Ik reageerde daar op dat als je die keuze krijgt dat dan je AP profiel niet goed provisioned is.

Daar reageerde @Hann1BaL op dat je op dat moment alsnog AP kan starten. Ik ben alleen bekend met user enrollment vanaf dat moment, omdat als een apparaat autopilot geregistreerd is je alleen kan aanmelden met je bedrijfsgegeven en helemaal geen keuze heb om lokaal verder te gaan of te verbinden met school/werk.

En device pre-provision word niet ondersteund icm hybrid enrollment (mogelijk is dit aangepast maar toen wij dit hebben opgezet werkte dit niet), gelukkig gaan wij binnenkort van onze hybrid omgeving af.

[Blokker_1999]

Grvy schreef op maandag 25 september 2023 @ 19:15:
Om @HKLM_ en @TheVMaster nog wat te ondersteunen.
Je wilt Autopilot niet combineren met HAADJ dat is echt ten dode opgeschreven.

https://joymalya.com/just-another-haadj-vs-aadj-blog-post/


[...]


Dit was precies onze ervaring ook. Allemaal issues met HAADJ externe "Expert" uitgenodigd en die daagde ons uit om eens kritisch te kijken.

Brainstorm sessie erbij; 5 man intern van ons versus hem. Alles wat we zeiden was "oh, dat doe je zo in Intune" of "oh, maar waarom wil je dit? wat is het nut?" en opeens.. was het duidelijk.

Ter info internationaal bedrijf: 88 locaties, 4200 werkplekken.

Damn, ik wou dat wij zo een expert hadden gevonden. Vorig jaar in de lente zijn wij aan ons avontuur begonnen en uiteindelijk hebben ze heel dat project in mijn nek gedraaid. Al snel zat ik voor HAADJ op een struikelblok waar ik niet om heen geraakte en mede door de vele bronnen die allemaal aanraden om niet voor hybride te kiezen dus de keuze gemaakt om het niet hybride te doen. Een jaar lang hard aan gewerkt, tot op het randje van een burnout. Ik ga met vakantie, krijg vanuit het werk volledige radiostilte tot ik er via een omweg achterkom dat men in mijn afwezigheid beslist had om terug naar hybrid om te schakelen. Ik kan je zeggen dat daar toch even een bom ontplofte voor mij.

En ja, we hebben 1 afhankelijkheid waarvoor hybrid vandaag onomkomelijk lijkt, maar had ik dat vorig jaar geweten, hadden we nu al een oplossing ervoor gehad, het aanpassen van die app en de releases rond krijgen neemt ongeveer een jaar in beslag. Dat heeft men mij ontnomen. Die blogpost had ik trouwens ook al tegengekomen en heb die zelfs gebruikt gehad om de keuze voor AADJ mee te verdedigen. Maar het mocht allemaal niet zijn. Nu zit ik in met een omgeving die volledig klaar is voor AADJ, op het verwijderen uit het on-prem domein na, omdat we 1 custom applicatie hebben die gaat nakijken wat het geregistreerde domein voor het apparaat is om na te gaan of deze mag starten.

@Hann1BaL, bedankt voor die tip van die dependency chain, daar had ik zelf nog niet aan gedacht om dat daarvoor te misbruiken. Wel een misser van MS dat er daar geen betere oplossing voor te vinden is.

[HKLM_]

Blokker_1999 schreef op woensdag 27 september 2023 @ 20:19:
[...]

Damn, ik wou dat wij zo een expert hadden gevonden. Vorig jaar in de lente zijn wij aan ons avontuur begonnen en uiteindelijk hebben ze heel dat project in mijn nek gedraaid. Al snel zat ik voor HAADJ op een struikelblok waar ik niet om heen geraakte en mede door de vele bronnen die allemaal aanraden om niet voor hybride te kiezen dus de keuze gemaakt om het niet hybride te doen. Een jaar lang hard aan gewerkt, tot op het randje van een burnout. Ik ga met vakantie, krijg vanuit het werk volledige radiostilte tot ik er via een omweg achterkom dat men in mijn afwezigheid beslist had om terug naar hybrid om te schakelen. Ik kan je zeggen dat daar toch even een bom ontplofte voor mij.

En ja, we hebben 1 afhankelijkheid waarvoor hybrid vandaag onomkomelijk lijkt, maar had ik dat vorig jaar geweten, hadden we nu al een oplossing ervoor gehad, het aanpassen van die app en de releases rond krijgen neemt ongeveer een jaar in beslag. Dat heeft men mij ontnomen. Die blogpost had ik trouwens ook al tegengekomen en heb die zelfs gebruikt gehad om de keuze voor AADJ mee te verdedigen. Maar het mocht allemaal niet zijn. Nu zit ik in met een omgeving die volledig klaar is voor AADJ, op het verwijderen uit het on-prem domein na, omdat we 1 custom applicatie hebben die gaat nakijken wat het geregistreerde domein voor het apparaat is om na te gaan of deze mag starten.

@Hann1BaL, bedankt voor die tip van die dependency chain, daar had ik zelf nog niet aan gedacht om dat daarvoor te misbruiken. Wel een misser van MS dat er daar geen betere oplossing voor te vinden is.

Dat is zonde inderdaad als je zo’n applicatie hebt, zeker als er dan half nagedacht wordt tijdens een afwezigheid en ze terug gaan naar iets wat gewoon anders had gekund en beter is voor de hele organisatie

[TheVMaster]

Hann1BaL schreef op woensdag 27 september 2023 @ 18:35:
[...]


User based enrollment kan op elk apparaat dat niet geregistreerd is in een tenant.
Pre-provisioning werkt alleen op apparaten die geregistreerd zijn in een tenant.
De registratie heeft als voordeel dat op het moment een een gebruiker bij het OOBE scherm de wifi verbindt, je het bedrijfsenrollment scherm krijgt waar je kunt inloggen.

Voor pre-provisioning kun je via het cmd.exe (Shift +F10) de netwerk settings openen en dan verbinding voordat je verder gaat met de provisioning.

(Doe je door: “start ms-settings:” (er is ook een directere methode, maar zou je evt nog andere settings kunnen doen)

Eh, maar als een device niet geregistreerd is, dan is het dus geen Autopilot. Daarvoor zal een hardware hash dus wel geregistreerd moeten zijn.

[Hann1BaL]

HKLM_ schreef op woensdag 27 september 2023 @ 19:04:
[...]


Je hebt het bij pre-provisioning wel over intune toch? Daar kan je gewoon na het verbinden met de Wi-Fi in het oobe scherm 5x op de Windows toets drukken en dan kiezen voor pre-provisioning. Je Shift + F10 en dan verbinden is niet nodig hiervoor

Wij zien toch dat dat vaak niet werkt, waarschijnlijk omdat mensen als bevestiging toch dan 1x op Next klikken en je geen intune pre-provisioning meer kan doen. De ervaring is dus toch net anders.

(We doen het overigens meestal via LAN om het gezeur te voorkomen)

[Hann1BaL]

TheVMaster schreef op donderdag 28 september 2023 @ 01:03:
[...]


Eh, maar als een device niet geregistreerd is, dan is het dus geen Autopilot. Daarvoor zal een hardware hash dus wel geregistreerd moeten zijn.

Eh ja! Dat was nogal een brainfart van mijn kant. Bedankt voor de correctie

[TheVMaster]

Hann1BaL schreef op donderdag 28 september 2023 @ 08:36:
[...]


Wij zien toch dat dat vaak niet werkt, waarschijnlijk omdat mensen als bevestiging toch dan 1x op Next klikken en je geen intune pre-provisioning meer kan doen. De ervaring is dus toch net anders.

(We doen het overigens meestal via LAN om het gezeur te voorkomen)

Pre-provisioning werkt toch officieel (nog steeds) niet via wifi als ik het goed heb?

[HKLM_]

TheVMaster schreef op donderdag 28 september 2023 @ 09:59:
[...]


Pre-provisioning werkt toch officieel (nog steeds) niet via wifi als ik het goed heb?

Op de microsoft page staat

Network connectivity. Using wireless connectivity requires selecting region, language and keyboard before you're able to connect and start provisioning.

[Hann1BaL]

TheVMaster schreef op donderdag 28 september 2023 @ 09:59:
[...]


Pre-provisioning werkt toch officieel (nog steeds) niet via wifi als ik het goed heb?

het is niet supported voor zover ik weet. Maar het werkt prima. De reden dat het niet officieel ondersteund wordt is dan ook volgens mij dat je via omweg de Wifi moet connecten voordat je verder kunt (middels de eerder aangehaalde methode)

Dat is niet echt iets wat je standaard proces kan zijn.
Technisch gezien is er echt geen reden om een slechtere ervaring te hebben via Wi-Fi.

(Onze volledige enrollment duurt ongeveer 40 min, incl de AAD sync stap die soms wel 15 min kost, en via Wi-Fi gaat het misschien een minuut of 2 langzamer. De downloadsnelheid heeft maar een zeer beperkte impact.)

[Hann1BaL]

HKLM_ schreef op donderdag 28 september 2023 @ 10:14:
[...]


Op de microsoft page staat


[...]

Ja en dat is dus te vermijden met de Shift+F10 en dan “start ms-settings:” en dan verbinden met Wi-Fi. Zodra je de setup stappen van OOBE gaat doorlopen, werkt pre-provisioning niet meer.

[ Voor 13% gewijzigd door Hann1BaL op 28-09-2023 10:32 ]

[HKLM_]

Hann1BaL schreef op donderdag 28 september 2023 @ 10:31:
[...]


Ja en dat is dus te vermijden met de Shift+F10 en dan “start ms-settings:” en dan verbinden met Wi-Fi.

Dat is leuk maar dat ga je niet in bulk zitten doen toch?

[TheVMaster]

HKLM_ schreef op donderdag 28 september 2023 @ 10:32:
[...]


Dat is leuk maar dat ga je niet in bulk zitten doen toch?

Idd, leuk in een PoC of testopstelling, maar niet leuk in productie waarbij je 100+ devices per dag wilt pre-provisionen.

Maar goed, het kan maar is officieel niet gesupport. Dat was eigenlijk ook wat ik bedoelde. Ik gebruik altijd alleen maar supported oplossingen ;-)

[Hann1BaL]

HKLM_ schreef op donderdag 28 september 2023 @ 10:32:
[...]


Dat is leuk maar dat ga je niet in bulk zitten doen toch?

Voor bulk heb je uiteraard gewoon een setup met vaste netwerkaansluitingen. Zelf werk ik bij een bedrijf met zeer veel locaties waar het niet altijd eenvoudig is om even een vaste netwerkaansluiting te realiseren en test ik thuis ook veel en is het wel makkelijk dat het de laptops op het bureau kan zetten en aan kan zwengelen

We laten onze computerleveranciers, incl. De OEMs wereldwijd de preprovisioning doen voordat de laptops naar ons worden verscheept. Uiteraard moeten ze ook wel eens opnieuw geinstalleerd worden.

[TheVMaster]

Hann1BaL schreef op donderdag 28 september 2023 @ 10:44:
[...]


Voor bulk heb je uiteraard gewoon een setup met vaste netwerkaansluitingen. Zelf werk ik bij een bedrijf met zeer veel locaties waar het niet altijd eenvoudig is om even een vaste netwerkaansluiting te realiseren en test ik thuis ook veel en is het wel makkelijk dat het de laptops op het bureau kan zetten en aan kan zwengelen

We laten onze computerleveranciers, incl. De OEMs wereldwijd de preprovisioning doen voordat de laptops naar ons worden verscheept. Uiteraard moeten ze ook wel eens opnieuw geinstalleerd worden.

Dat laatste doe ik thuis ook, maar heb op m'n bureau gewoon een switchje staan Maar als je laptops opnieuw installeert, dan laat je een eindgebruiker toch gewoon een Autopilotreset of Wipe doen? Niet echt een reden om de pc te laten inleveren en dan IT een pre-provisioning te laten doen, toch?

[Hann1BaL]

TheVMaster schreef op donderdag 28 september 2023 @ 10:34:
[...]


Idd, leuk in een PoC of testopstelling, maar niet leuk in productie waarbij je 100+ devices per dag wilt pre-provisionen.

Maar goed, het kan maar is officieel niet gesupport. Dat was eigenlijk ook wat ik bedoelde. Ik gebruik altijd alleen maar supported oplossingen ;-)

Ja, ik denk altijd wel even na, en mee, wat supported betekent. Als je elke dag 100+ apparaten gaat doen, heb je wel meer nodig dan een bureautje.

De Wi-Fi mogelijkheid levert je vooral wat flexibiliteit op voor de randgevallen.

[TheVMaster]

Hann1BaL schreef op donderdag 28 september 2023 @ 10:47:
[...]


Ja, ik denk altijd wel even na, en mee, wat supported betekent. Als je elke dag 100+ apparaten gaat doen, heb je wel meer nodig dan een bureautje.

De Wi-Fi mogelijkheid levert je vooral wat flexibiliteit op voor de randgevallen.

Helemaal eens hoor. Het is handig dat het wel kan en gewoon werkt.

[Hann1BaL]

TheVMaster schreef op donderdag 28 september 2023 @ 10:47:
[...]


Dat laatste doe ik thuis ook, maar heb op m'n bureau gewoon een switchje staan Maar als je laptops opnieuw installeert, dan laat je een eindgebruiker toch gewoon een Autopilotreset of Wipe doen? Niet echt een reden om de pc te laten inleveren en dan IT een pre-provisioning te laten doen, toch?

Niet overal hebben wij IT, dus geven we iemand even de instructies om een laptop te pre-provisionen voor een nieuwe gebruiker. Het is niet altijd zinvol of mogelijk om laptops te verschepen naar IT. Dit wordt dan vaak door iemand gedaan met wat meer IT kennis en IT helpt.

Iemand van facilities bijvoorbeeld.

[TheVMaster]

Hann1BaL schreef op donderdag 28 september 2023 @ 10:49:
[...]


Niet overal hebben wij IT, dus geven we iemand even de instructies om een laptop te pre-provisionen voor een nieuwe gebruiker. Het is niet altijd zinvol of mogelijk om laptops te verschepen naar IT. Dit wordt dan vaak door iemand gedaan met wat meer IT kennis en IT helpt.

Iemand van facilities bijvoorbeeld.

Oke, interessant wel. Maar waarom zou je pre-provisioning doen dan? De user kan ook gewoon inloggen en dan even koffie gaan drinken/lunchen? Het proces is hetzelfde, of snappen gebruikers niet dat het dan 'even' kan duren?

[Hann1BaL]

TheVMaster schreef op donderdag 28 september 2023 @ 10:50:
[...]


Oke, interessant wel. Maar waarom zou je pre-provisioning doen dan? De user kan ook gewoon inloggen en dan even koffie gaan drinken/lunchen? Het proces is hetzelfde, of snappen gebruikers niet dat het dan 'even' kan duren?

Dat heeft een paar redenen. Je laatste vraag is het antwoord op 1 van de redenen.
Een andere is: Onderdeel van onboarding is MFA setup en die MFA is vereist om AP te kunnen starten als gebruiker. Dus kip-ei verhaal.

En managers van nieuwe starters denken echt dat hun starter op dag 1 meteen vol productief is, dus zien dat als verlies van tijd = geld. Veel starters zijn ook op afstand van managers en hun collega’s dus hun start met introducties vereist een werkende computer.

Ook het bieden van een warm welkom ipv “ga eerst je eigen PC maar eens fixen” is daar onderdeel van.

[ Voor 16% gewijzigd door Hann1BaL op 28-09-2023 10:54 ]

[TheVMaster]

Hann1BaL schreef op donderdag 28 september 2023 @ 10:52:
[...]

Dat heeft een paar redenen. Je laatste vraag is het antwoord op 1 van de redenen.
Een andere is: Onderdeel van onboarding is MFA setup en die MFA is vereist om AP te kunnen starten als gebruiker. Dus kip-ei verhaal.

Ook het bieden van een warm welkom ipv “ga eerst je eigen PC maar eens fixen” is daar onderdeel van.

Eh, maar onboarding van MFA kan toch gewoon in de OOBE? Of zit er een 'foutje' in jullie onboarding process?

Hoezo fix je dit trouwens met pre-provisioning dan?

[Hann1BaL]

TheVMaster schreef op donderdag 28 september 2023 @ 10:55:
[...]


Eh, maar onboarding van MFA kan toch gewoon in de OOBE? Of zit er een 'foutje' in jullie onboarding process?

Hoezo fix je dit trouwens met pre-provisioning dan?

Nee dat kan niet. Dat kan alleen als je MFA oplossing van MS zelf is en onze Infosec heeft daar een andere oplossing voor gekozen om het gecompliceerder te maken. Dat is dus geen foutje in onboarding.

Dat fix je door iemand een computer met login te geven waarna je als eerste je MFA kunt gaan instellen op het 3rd party platform.

Uiteraard doe ik er alles aan om dit te “fixen” maar ik kan het niet beslissen alleen aankaarten.

[TheVMaster]

Hann1BaL schreef op donderdag 28 september 2023 @ 10:57:
[...]


Nee dat kan niet. Dat kan alleen als je MFA oplossing van MS zelf is en onze Infosec heeft daar een andere oplossing voor gekozen om het gecompliceerder te maken. Dat is dus geen foutje in onboarding.

Dat fix je door iemand een computer met login te geven waarna je als eerste je MFA kunt gaan instellen op het 3rd party platform.

Uiteraard doe ik er alles aan om dit te “fixen” maar ik kan het niet beslissen alleen aankaarten.

Ik moet altijd glimlachen om bedrijven die een 3rd party Identity of MFA provider willen gebruiken. Het werkt vaak wel, maar altijd net iets minder smooth dan met MS haar standaard oplossingen.

[Blokker_1999]

Ik dacht dat pre-provisioning via wifi ondertussen wel degelijk ondersteund was door MS, sowieso moet je niet door de hoepel lopen via shift+F10 om naar je settings te gaan, heb de afgelopen weken voldoende laptops op die manier verwerkt voor testing en documentatiedoeleinden. Initieel hadden we nog wat problemen met onze captive portal op het guest netwerk, maar die zijn ook verdwenen.

MFA is een ander dingetje. Als je met pre-provisioning werkt is de eerste plaats waar de gebruiker zich aanmeld het gewone windows logon scherm en als je dan hybrid hebt (🤬) en je moet dan voor je VPN oplossing (LOS met de DC) door de MFA heb je ineens wel een probleem. Die VPN oplossing kan als PLAP namelijk geen Edge openen op dat logon screen dus moet deze zijn ingebouwde browser gebruiken, en die wil dan weer niet samenwerken met aka.ms/mfasetup. TAP to the rescue

En die MFA oplossing is niet slecht, maar als je elke dag tientallen keren een MFA moet bovenhalen dan wordt je die number matching ook wel moe.

[Hann1BaL]

TheVMaster schreef op donderdag 28 september 2023 @ 10:58:
[...]


Ik moet altijd glimlachen om bedrijven die een 3rd party Identity of MFA provider willen gebruiken. Het werkt vaak wel, maar altijd net iets minder smooth dan met MS haar standaard oplossingen.

Lach jij maar. Ik zit er mee
In een groot complex bedrijf zijn er allerlei redenen waarom dit is.

Dat geeft ook maar even aan waarom de stelling “doe maar even geen hybrid en ga maar full Entra ID only” veel te kort door de bocht is, maar dit is niet de plek om uiteen te zetten waarom dat bij ons even zo niet werkt, maar wel het doel is.

[Hann1BaL]

Blokker_1999 schreef op donderdag 28 september 2023 @ 12:47:
Ik dacht dat pre-provisioning via wifi ondertussen wel degelijk ondersteund was door MS, sowieso moet je niet door de hoepel lopen via shift+F10 om naar je settings te gaan, heb de afgelopen weken voldoende laptops op die manier verwerkt voor testing en documentatiedoeleinden. Initieel hadden we nog wat problemen met onze captive portal op het guest netwerk, maar die zijn ook verdwenen.

MFA is een ander dingetje. Als je met pre-provisioning werkt is de eerste plaats waar de gebruiker zich aanmeld het gewone windows logon scherm en als je dan hybrid hebt (🤬) en je moet dan voor je VPN oplossing (LOS met de DC) door de MFA heb je ineens wel een probleem. Die VPN oplossing kan als PLAP namelijk geen Edge openen op dat logon screen dus moet deze zijn ingebouwde browser gebruiken, en die wil dan weer niet samenwerken met aka.ms/mfasetup. TAP to the rescue

En die MFA oplossing is niet slecht, maar als je elke dag tientallen keren een MFA moet bovenhalen dan wordt je die number matching ook wel moe.

Dat hangt van je VPN implementatie af. Dat is geen gegeven. Hier werkt de machine tunnel prima voor eerste inlog en daarna moet de MFA worden geregistreerd.

[TheVMaster]

Hann1BaL schreef op donderdag 28 september 2023 @ 13:07:
[...]


Lach jij maar. Ik zit er mee
In een groot complex bedrijf zijn er allerlei redenen waarom dit is.

Dat geeft ook maar even aan waarom de stelling “doe maar even geen hybrid en ga maar full Entra ID only” veel te kort door de bocht is, maar dit is niet de plek om uiteen te zetten waarom dat bij ons even zo niet werkt, maar wel het doel is.

Ik werk ook met grote complexe bedrijven en weet dus wel waar je tegenaan loopt. Al heb ik ook wel regelmatig het idee dat de IT afdelingen het ook allemaal niet weten en dus maar roepen dat het niet kan, vaak omdat er slecht gedocumenteerd is of omdat er nog net die ene legacy applicatie is die niet gaat werken op een AAD only device.

Voor device enrollment zijn er trouwens niet echt superveel redenen om niet Entra ID only te gaan. Maar goed, het is voor een groot deel ook vaak een gebrek aan een goede roadmap, kennis en verzin het allemaal maar.

[TheVMaster]

Hann1BaL schreef op donderdag 28 september 2023 @ 13:08:
[...]


Dat hangt van je VPN implementatie af. Dat is geen gegeven. Hier werkt de machine tunnel prima voor eerste inlog en daarna moet de MFA worden geregistreerd.

Ach, het kan nog exotischer. Heb nu een klant die wel Hybrid wil gaan maar als ze het buiten het netwerk gaan doen (en dus VPN nodig hebben) dan kan de VPN verbinding niet opgezet worden, want dat werkt alleen voor devices die in een AD GROEP zitten. Eh, maar dat kan dus niet, want om die Domain Join te doen moet eerst die VPN worden opgezet. Kip en Ei dus. Daar moeten ze dus nog wel even een EI over leggen. Voor nu dus enrollments fysiek op het kantoornetwerk.

[Hann1BaL]

TheVMaster schreef op donderdag 28 september 2023 @ 13:35:
[...]


Ik werk ook met grote complexe bedrijven en weet dus wel waar je tegenaan loopt. Al heb ik ook wel regelmatig het idee dat de IT afdelingen het ook allemaal niet weten en dus maar roepen dat het niet kan, vaak omdat er slecht gedocumenteerd is of omdat er nog net die ene legacy applicatie is die niet gaat werken op een AAD only device.

Voor device enrollment zijn er trouwens niet echt superveel redenen om niet Entra ID only te gaan. Maar goed, het is voor een groot deel ook vaak een gebrek aan een goede roadmap, kennis en verzin het allemaal maar.

Ik heb het niet over niet kunnen in dat geval, maar vooral over: Het is geen prioriteit voor IT afdeling X, dus kunnen wij niet verder binnen afzienbare tijd.

Voor device enrollment en management zelf zou de keuze Entra ID only moeten zijn ja.
Helemaal mee eens

[TheVMaster]

Hann1BaL schreef op donderdag 28 september 2023 @ 15:21:
[...]


Ik heb het niet over niet kunnen in dat geval, maar vooral over: Het is geen prioriteit voor IT afdeling X, dus kunnen wij niet verder binnen afzienbare tijd.

Voor device enrollment en management zelf zou de keuze Entra ID only moeten zijn ja.
Helemaal mee eens

Dus omdat het geen prio is, modderenze maar voort op iets wat er al is en knopen ze daar dan maar AAD aan vast. Klinkt wel als een goede visie.

[ Voor 3% gewijzigd door TheVMaster op 28-09-2023 17:41 ]

[Hann1BaL]

TheVMaster schreef op donderdag 28 september 2023 @ 17:32:
[...]


Dus omdat het geen prio is, modderenze maar voort op iets wat er al is en knopen ze daar dan maar AAD aan vast. Klinkt wel als een goede visie.

Dit is te simpel. Zoals overal heb je voor alle plannen resources nodig en binnen IT moet je altijd afwegingen maken en het feit dat het voor ons fijner zou zijn, werkt het nu met hybrid ook, dus is het niet per se vreemd dat het voor andere teams geen directe prio heeft.

Gewoon teveel te doen

[TheVMaster]

Hann1BaL schreef op vrijdag 29 september 2023 @ 08:16:
[...]


Dit is te simpel. Zoals overal heb je voor alle plannen resources nodig en binnen IT moet je altijd afwegingen maken en het feit dat het voor ons fijner zou zijn, werkt het nu met hybrid ook, dus is het niet per se vreemd dat het voor andere teams geen directe prio heeft.

Gewoon teveel te doen

Het klinkt alsof het allemaal silo's zijn die lekker hun eigen ding doen en niet echt als een mooie consistente IT afdeling :-)

Maar het klinkt ook weer niet vreemd hoor, zo gebeurt het op veel plekken. Afdelingen die weinig samenwerken en vooral met hun eigen ding bezig zijn (en dat prio geven, daar al te weinig tijd voor hebben en dus al helemaal niet met andere afdelingen mee kunnen denken).

[Hann1BaL]

TheVMaster schreef op vrijdag 29 september 2023 @ 09:23:
[...]


Het klinkt alsof het allemaal silo's zijn die lekker hun eigen ding doen en niet echt als een mooie consistente IT afdeling :-)

Maar het klinkt ook weer niet vreemd hoor, zo gebeurt het op veel plekken. Afdelingen die weinig samenwerken en vooral met hun eigen ding bezig zijn (en dat prio geven, daar al te weinig tijd voor hebben en dus al helemaal niet met andere afdelingen mee kunnen denken).

Als je meer dan 1000 man in IT als geheel hebt werken, krijg je dat gewoon. Hoewel hard wordt getracht niet in silo’s te opereren heeft iedereen zijn doelstellingen en gelimiteerde resources. Inherent aan een groot bedrijf eerlijk gezegd

[TheVMaster]

Hann1BaL schreef op vrijdag 29 september 2023 @ 10:00:
[...]


Als je meer dan 1000 man in IT als geheel hebt werken, krijg je dat gewoon. Hoewel hard wordt getracht niet in silo’s te opereren heeft iedereen zijn doelstellingen en gelimiteerde resources. Inherent aan een groot bedrijf eerlijk gezegd

Tuurlijk, dat is waar. Maar dat maakt het toch vaak wel een stuk minder efficient, in het geval van zaken die dus de eigen 'eilandjes' overstijgt.

Maar goed, snap ook wel dat je dat probeert te voorkomen, maar dat voorkom je nooit helemaal helaas.

[Hann1BaL]

TheVMaster schreef op vrijdag 29 september 2023 @ 11:39:
[...]


Tuurlijk, dat is waar. Maar dat maakt het toch vaak wel een stuk minder efficient, in het geval van zaken die dus de eigen 'eilandjes' overstijgt.

Maar goed, snap ook wel dat je dat probeert te voorkomen, maar dat voorkom je nooit helemaal helaas.

Daarom is de realiteit dat je dingen moet bereiken door er omheen te werken en dan kom je niet bij je ideale situatie uit, maar uiteindelijk wel bij een gewenste situatie.

Zo ook met hybrid join AP. Het netwerkonafhankelijk kunnen provisionen zonder additionele infra is gewoon een grote winst.