[Microsoft Entra ID] - Ervaringen & Discussie

[denpries]

ok, users > active users > manage sign in details > wissel naar domein.onmicrosoft.com.
Dit keer geen error > nu staat alleen in het https://admin.microsoft.com/ domain settings de onmicrosoft versie nog


>> alvast een followup vraag : straks moet ik zeker ook weer die dsn van mijn website aanpassen ter verificatie op de nieuwe tenant?

[Quad]

@denpries die tenant kan je an sich nog wel ff aanhouden, ik verwacht eerlijk gezegd dat Microsoft namelijk een cooldown periode doet bij het opheffen van het onmicrosoft domein.

Dit fallback domein kan je niet verwijderen zonder de gehele tenant te verwijderen.
Dus lekker een nieuwe tenant aanmaken met een voor jou herkenbare fallback domain en gaan.

Ja, je moet je eigen .nl domein opnieuw verifiëren, maar dat is zo gedaan.

[denpries]

@Quad dankjewel voor je antwoorden.

>> en nog een vraag naar aanleiding van de nieuwe tenant guide via @HKLM_ :

Nadat u zich hebt aangemeld bij Azure Portal, kunt u een nieuwe tenant voor uw organisatie maken. Uw nieuwe tenant vertegenwoordigt uw organisatie en helpt u bij het beheren van een specifiek exemplaar van Microsoft Cloud-services voor uw interne en externe gebruikers.

Log ik daar (portal.azure.com) in met mijn [e-mail] account die ik net had, of [e-mail]?

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 20:04:
[...]


maar hoe weet ik nou zeker dat alles niet weer op peru komt

Als het goed is defect Microsoft dat je uit de EU komt en moet die daar dan de tenant aanmaken.

[denpries]

HKLM_ schreef op dinsdag 11 juni 2024 @ 20:19:
[...]


Als het goed is defect Microsoft dat je uit de EU komt en moet die daar dan de tenant aanmaken.

Ik denk dat ik sowieso de nomenclatuur niet helemaal OK heb.
Een tenant is gelijk aan een domein, of fallback domein, toch?
Dus domeinnl.onmicrosoft.com is een tenant, maar domein.nl die ik net had gekoppeld ook? Of is dat alleen een gekoppeld domein aan de tenant? ik heb mij lang niet zo dom gevoeld

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 20:21:
[...]


Ik denk dat ik sowieso de nomenclatuur niet helemaal OK heb.
Een tenant is gelijk aan een domein, of fallback domein, toch?
Dus domeinnl.onmicrosoft.com is een tenant, maar domein.nl die ik net had gekoppeld ook? Of is dat alleen een gekoppeld domein aan de tenant? ik heb mij lang niet zo dom gevoeld

Een *.onmicrosoft.com kan je inderdaad zien als een tenant en dat is eigen kleine eilandje binnen microsoft met al hun services. Je domein koppel je vervolgens aan de tenant zodat bijvoorbeeld je mail daar kan binnenkomen.

[denpries]

HKLM_ schreef op dinsdag 11 juni 2024 @ 20:28:
[...]


Een *.onmicrosoft.com kan je inderdaad zien als een tenant en dat is eigen kleine eilandje binnen microsoft met al hun services. Je domein koppel je vervolgens aan de tenant zodat bijvoorbeeld je mail daar kan binnenkomen.

ok, maar nu moet ik dus eerst een nieuwe tenant maken, want kennelijk zit die oude al aan peru vast.
Dan ga ik naar portal.azure.com om een nieuwe tenant te maken, en dan wordt me gevraagd in te loggen. Moet ik daar dan alsnog inloggen met mijn bestaande *.onmicrosoft.com account, of met het gewenste #domain# account wat ik eerder gebruikte? Of moet je eigenlijk niet inloggen maar een hele nieuwe user hebben ofzo

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 21:47:
[...]


ok, maar nu moet ik dus eerst een nieuwe tenant maken, want kennelijk zit die oude al aan peru vast.
Dan ga ik naar portal.azure.com om een nieuwe tenant te maken, en dan wordt me gevraagd in te loggen. Moet ik daar dan alsnog inloggen met mijn bestaande *.onmicrosoft.com account, of met het gewenste #domain# account wat ik eerder gebruikte? Of moet je eigenlijk niet inloggen maar een hele nieuwe user hebben ofzo

Je hebt eigenlijk die azure portal helemaal niet nodig. Probeer het eens via deze link: https://signup.microsoft....re=nl-nl&country=nl&ali=1 je maakt dan een tenant aan met een trial licentie van Busines Basic. Maakt verder helemaal niks uit, licentie kan je of afnemen of laten verlopen of een andere licentie nemen.

[denpries]

@HKLM_ ik ben bang dat ik wel die portal nodig heb. Want in het begin ben ik dit begonnen om een custom visual op appsource te kunnen publiceren voor Power BI, en daar volgde ik een guide voor om uberhaupt een tenant te maken. Of ik dat uiteindelijk echt nodig heb geen idee overigens.

Ik heb nu eens ingelogd met het onmicrosoft account en vind daar bij entra ID > overview > manage tenants 1 tenant:

Organization name mijndomein.nl (Default)
Domain name mijndomein.onmicrosoft.com
Tenant type Microsoft Entra ID

Bij properties:
Country or region Peru
Data location United States datacenters


Ik kan vanuit manage tenants in ieder geval niet nog een tenant maken, want :
Customers must own a paid license to create Microsoft Entra Workforce tenant.
You must have a subscription in order to create an Azure AD B2C tenant.

Dus het lijkt me dat ik in ieder geval niet moet proberen in te loggen met dat onmicrosoft account dat ik al heb?

[denpries]

HKLM_ schreef op dinsdag 11 juni 2024 @ 21:50:
[...]


Je hebt eigenlijk die azure portal helemaal niet nodig. Probeer het eens via deze link: https://signup.microsoft....re=nl-nl&country=nl&ali=1 je maakt dan een tenant aan met een trial licentie van Busines Basic. Maakt verder helemaal niks uit, licentie kan je of afnemen of laten verlopen of een andere licentie nemen.

Ik heb jouw link gevolgd nu, en daar een account gemaakt op [e-mail]
Daarna vroeg ie weer om een naam van zo een onmicrosoft domein en gaf hij als suggestie mijndomein.onmicrosoft.com >> die heb ik veranderd naar mijndomeinBV.onmicrosoft.com, omdat zonder BV natuurlijk al bestaat. Username werd [e-mail]

Gegevens ingevuld, 1 proef licentie genomen, CC gegevens want kost geld in de toekomst, en geklikt op proefversie starten.

Daarna incognito window geopend > ingelogd met [e-mail], daar zie ik in ieder geval geen PERU maar hetgeen ik net ingevuld heb, plaats in nederland.
Betalingswijze staat er bij, en bij producten '[e-mail]'

Daarna genavigeerd naar https://portal.azure.com/#home > werd gelijk ingelogd met bovenstaande account.
Geklikt op view entra id > overview > manage tenants > yay! ik heb kennelijk ook al een tenant 'mijndomeinBV'

Wat ik nou NIET snap helemaal, is dat ik begonnen ben na het kliken op de link van @HKLM_ , met [e-mail], welke ik ook daarvoor welk gebruikt had, maar welke daarna ontkoppeld moesten worden etc.

Die hele user zie ik nergens meer terug

[denpries]

ik heb het vermoeden trouwens dat er sowieso tijd zit tussen systemen van microsoft. Want ik kan nog wel inloggen met [e-mail] (dus niet die nieuwe mijndomeinbv.onmicrosoft) op azure portal maar dan flipt ie de pan uit met error messages en issues met auth tokens.

Kijk morgen nog wel eens

[Quad]

denpries schreef op dinsdag 11 juni 2024 @ 22:45:
ik heb het vermoeden trouwens dat er sowieso tijd zit tussen systemen van microsoft. Want ik kan nog wel inloggen met [e-mail] (dus niet die nieuwe mijndomeinbv.onmicrosoft) op azure portal maar dan flipt ie de pan uit met error messages en issues met auth tokens.

Kijk morgen nog wel eens

Je moet jouw eigen domein wel koppelen aan de nieuwe tenant natuurlijk.

https://admin.microsoft.com/#/Domains/Wizard

[denpries]

Quad schreef op dinsdag 11 juni 2024 @ 22:46:
[...]

Je moet jouw eigen domein wel koppelen aan de nieuwe tenant natuurlijk.

https://admin.microsoft.com/#/Domains/Wizard

Yes, die snapte ik.
Daar was ik toevallig na wat lezen mee bezig, maar DNS aanpassen doet mijn hostingprovider en die is er morgen weer maar dat gaat vast goed komen dus.

Waar ik op doelde is dat 'officieel' die [e-mail] al weg zou moeten zijn, want die heb ik een aantal berichten geleden 'verschoven naar de onmicrosoft tenant'. Ik kon echter wel nog inloggen en dan krijg je heel heel heel veel foutmeldingen

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 23:01:
[...]


Yes, die snapte ik.
Daar was ik toevallig na wat lezen mee bezig, maar DNS aanpassen doet mijn hostingprovider en die is er morgen weer maar dat gaat vast goed komen dus.

Waar ik op doelde is dat 'officieel' die [e-mail] al weg zou moeten zijn, want die heb ik een aantal berichten geleden 'verschoven naar de onmicrosoft tenant'. Ik kon echter wel nog inloggen en dan krijg je heel heel heel veel foutmeldingen

Een domein verwijderen uit je tenant kan volgens mij 24 tot 72 uur duren. In de praktijk gaat het veel sneller zeker als er heel weinig ontkoppeling moet plaatsvinden op de achtergrond zoals bij jou.

[denpries]

@HKLM_ @Quad dank jullie wel.
Die link https://signup.microsoft....re=nl-nl&country=nl&ali=1 heeft supergoed geholpen om alles op te zetten.

Users nu toegevoegd, domain gekoppeld, het werkt
Ik zal vast nog wel eens iets geks komen vragen

[ Voor 7% gewijzigd door denpries op 12-06-2024 16:31 ]

[HKLM_]

denpries schreef op woensdag 12 juni 2024 @ 16:30:
@HKLM_ @Quad dank jullie wel.
Die link https://signup.microsoft....re=nl-nl&country=nl&ali=1 heeft supergoed geholpen om alles op te zetten.

Users nu toegevoegd, domain gekoppeld, het werkt
Ik zal vast nog wel eens iets geks komen vragen

Topper!

Wat voor licentie heb je nu actief? (Gekocht)

[denpries]

De Microsoft 365 Business Basic Trial, via die link. Dat wordt straks geen trial maar normale subscriptie.
Kan ik dit later in het jaar upgraden ook naar een volwaardige office licentie met lokale apps supported?

[Gr4mpyC3t]

denpries schreef op donderdag 13 juni 2024 @ 08:37:
De Microsoft 365 Business Basic Trial, via die link. Dat wordt straks geen trial maar normale subscriptie.
Kan ik dit later in het jaar upgraden ook naar een volwaardige office licentie met lokale apps supported?

Jazeker. Wel per maand betalen dan, dat is het makkelijkst. Vanuit de portal kan je een licentie upgraden met een wizard.

[ibmpc]

Ik heb zojuist de preview van Windows Server 2025 lokaal (niet in Azure) geinstalleerd, maar ik krijg hem met geen mogelijkheid Entra Joined. Enkele opties missen in Settings en Install-ProvisioningPackage faalt met "Package installation failed, error code = -2147024769 (8007007F)"

Is het iemand anders al gelukt om de preview van Windows Server 2025 aan Entra te joinen?

[Blokker_1999]

HKLM_ schreef op dinsdag 11 juni 2024 @ 21:50:
[...]


Je hebt eigenlijk die azure portal helemaal niet nodig. Probeer het eens via deze link: https://signup.microsoft....re=nl-nl&country=nl&ali=1 je maakt dan een tenant aan met een trial licentie van Busines Basic. Maakt verder helemaal niks uit, licentie kan je of afnemen of laten verlopen of een andere licentie nemen.

Opletten, die licenties verlopen niet maar gaan over in een betaalde licentie. Dus op tijd zelf annuleren. Bij het aanmaken van de tenant moet je namelijk reeds je kredietkaartinformatie invoeren, dus aanrekenen kunnen ze zonder problemen.

Sowieso kan je een trial altijd met 1 maand verlengen, al gaat de verlenging wel in op de dag dat je ze aanvraagt en niet op het einde van de subscription geloof ik. En na die 2 maanden kan je ook nog eens een trial E3 en daarna E5 proberen om zo bijna een half jaar gratis met azure te werken. Daarna moet je beslissen wat je gaat doen, welke licentie je gaat nemen. In mijn specifieke geval zal dat een Exchange Online Plan 1 worden

[denpries]

Blokker_1999 schreef op donderdag 13 juni 2024 @ 21:19:
[...]

Opletten, die licenties verlopen niet maar gaan over in een betaalde licentie. Dus op tijd zelf annuleren. Bij het aanmaken van de tenant moet je namelijk reeds je kredietkaartinformatie invoeren, dus aanrekenen kunnen ze zonder problemen.

Sowieso kan je een trial altijd met 1 maand verlengen, al gaat de verlenging wel in op de dag dat je ze aanvraagt en niet op het einde van de subscription geloof ik. En na die 2 maanden kan je ook nog eens een trial E3 en daarna E5 proberen om zo bijna een half jaar gratis met azure te werken. Daarna moet je beslissen wat je gaat doen, welke licentie je gaat nemen. In mijn specifieke geval zal dat een Exchange Online Plan 1 worden

[Afbeelding]

Dank voor je antwoord. Ik heb in het begin alleen behoefte aan teams online, wellicht outlook erbij.
Daarna wellicht ook office op de computer zelf

[ibmpc]

Weet iemand waarom het nodig is om SSPR te deactiveren om de moderne MFA migratie te voltooien en direct daarna SSPR weer in te schakelen?

[Blokker_1999]

Dat zou niet noodzakelijk mogen zijn, anders zouden bedrijven het moeilijk hebben met SSPR aan te bieden aan gebruikers.

[Quad]

ibmpc schreef op dinsdag 25 juni 2024 @ 20:27:
Weet iemand waarom het nodig is om SSPR te deactiveren om de moderne MFA migratie te voltooien en direct daarna SSPR weer in te schakelen?

SSPR maakt anders ook gebruik van de legacy authenticatie methodes.

Je moet de legacy opties volgens mij uiteindelijk uitzetten en daarna de migratie voltooien.

https://learn.microsoft.c...entication-methods-manage

[Mitssz]

Ik heb ook nog nooit SSPR moeten uitzetten om de MFA migratie te voltooien.
Je hoeft alleen alle legacy opties uit te zetten in de "Per user MFA" portal.

[HKLM_]

Entra Suite licentie is beschikbaar in de tenants

[Quad]

Vraag mij af wat dit allemaal toevoegt, het is toch hetzelfde als met Entra P1 en Entra p2 samen?

[HKLM_]

Quad schreef op dinsdag 2 juli 2024 @ 20:30:
Vraag mij af wat dit allemaal toevoegt, het is toch hetzelfde als met Entra P1 en Entra p2 samen?

Nope dit heeft zo te zien geen P2 functies maar alleen de functies die beschreven staan in de descriptie.
Er is ook een step-up licentie van 10 euro als je al op P2 zit.

[Quad]

Nja ik zie het voordeel voor mkb vooralsnog niet hierin. Naast wat al beschikbaar is met standaard Entra P1.

[HKLM_]

Quad schreef op dinsdag 2 juli 2024 @ 20:38:
Nja ik zie het voordeel voor mkb vooralsnog niet hierin. Naast wat al beschikbaar is met standaard Entra P1.

Denk dat de functies die hierin genoemd worden niet veel toevoegen voor het mkb nee.

[denpries]

Hallo allen. Nadat ik vorige keer goed op weg geholpen was met het opnieuw maken van een tenant en toewijzen van o365 licenties nadat de eerdere tenant op een verkeerd land stond, heb ik nu een nieuw probleem.

Ik wil me enrollen als microsoft partner, omdat ik graag een custom visual voor power bi wil publiceren op appsource (marketplace.)

Dikke drama echter. Na invullen van wat gegevens blijft het altijd hangen op een error (zie onder). Support is niet te bereiken en na enkele dagen ben ik geen steek verder. Iemand ervaring hier mee?

Microsoft runs on trust. We engage in a rigorous set of evaluation and certification processes; as a result your request was blocked. If you require further information please reach out to Microsoft support with reference number: 715-123160 and transaction ID: 6ac14cf7-27ae-4762-84c8-3b86d1cfa3e2.

Added: nog iets gevonden. Partners are required to enforce MFA for all user accounts in their partner tenant, including guest users. Nu is mijn account sowieso mfa denk ik, en de global admin ook (want na inloggen krijg ik een push op authenticator op mobiel) maar weet niet of dit betekent dat ik aan die voorwaarde voldoe.

[ Voor 16% gewijzigd door denpries op 14-08-2024 20:57 ]

[denpries]

Ik bedoel, ik heb wel MFA, maar er staat bij settings MFA dat ik een premium nodig heb. Enfin, misschien is dit wel helemaal niet het euvel voor dat parner centrum

[ibmpc]

denpries schreef op woensdag 14 augustus 2024 @ 20:45:
...

Wat is je tenant licentie level?
Entra Free, P1 of P2?
Ik ben er niet zeker van, maar volgens mij kun je met Azure AD Free alleen Security Defaults aanzetten (of de legacy MFA die er volgend jaar uit gaat). Security Defaults is geen always enabled MFA.

[ibmpc]

Ik heb een vraag over dit stukje documentatie:
You must disable multifactor authentication (MFA) on the Microsoft Entra app representing the storage account.
Ik ervaar dit een beetje anders. Het klopt dat als je met een wachtwoord inlogt op een Entra joined device, dat de file share niet benaderbaar is als je geen uitzondering in je CA policies hebt.

Log je in met Windows Hello wat MFA is, dan is de file share wel bereikbaar zonder uitzondering in je CA policies. Ik heb een voorkeur voor deze methode, maar is dit een ondersteunde oplossing? Of is het toch beter om een CA uitzondering te maken?

[denpries]

ibmpc schreef op woensdag 14 augustus 2024 @ 23:46:
[...]

Wat is je tenant licentie level?
Entra Free, P1 of P2?
Ik ben er niet zeker van, maar volgens mij kun je met Azure AD Free alleen Security Defaults aanzetten (of de legacy MFA die er volgend jaar uit gaat). Security Defaults is geen always enabled MFA.

Moest het ff opzoeken, maar: Microsoft Entra ID Free

[ibmpc]

denpries schreef op donderdag 15 augustus 2024 @ 07:20:
[...]


Moest het ff opzoeken, maar: Microsoft Entra ID Free

Pas vanaf Entra P1 kun je gebruik maken van Conditional Access.

Entra Free heeft alleen Security Defaults, wat geen MFA is voor je non privileged accounts.

Welke licenties neem je nu af? De goedkoopste all-in licentie voor kleine organisaties is M365 Business Premium. Daar zit Entra P1 en Intune bij.

[ Voor 14% gewijzigd door ibmpc op 15-08-2024 07:32 ]

[denpries]

Stel ik wil P1 functionaliteit, dan kan ik kennelijk OF P1 los aanschaffen (6 euro per user per maand los), OF Microsoft 365 Business Premium nemen in plaats van Microsoft 365 Business Basic die ik nu heb, zover ik kan lezen. Ook chatgpt gevraagd en die komt met hetzelfde. Maar met business premium ga ik wel per user 20+ euro betalen ipv 6 euro per maand nu. In het eerste geval lijk ik 2 losse producten te hebben, in het tweede geval 1 geheel product.

Qua licentie behoefte, begrijp ik het goed dat als ik voor de O365 business premium approach ga, ik voor beide echte users (X en Y) die office enzo gebruiken een licentie nodig heb, en voor de global admin (Z@onmicrosoft) niet, maar dat die laatste wel gewoon settings kan aanpassen etc?

[ibmpc]

Klopt. Een privileged account hoeft technisch geen licentie te hebben. Officieel moet je volgens mij wel een licentie toekennen omdat het privileged account gebruik maakt van Conditional Access, maar in de praktijk zie ik vaak named privileged accounts zonder licentie. De privileged accounts kunnen gewoon in alle admincenters en heel veel, bijna alle, admintaken kunnen worden verricht zonder een licentie toe te kennen.

[ Voor 22% gewijzigd door ibmpc op 15-08-2024 07:38 ]

[Quad]

Privileged account hoeft natuurlijk geen gebruik te maken van CA. Microsoft komt bij configuratie ook naar voren dat je je admin uit moet sluiten (advies) om te voorkomen dat je jezelf uitsluit.

Zeker als je niet heel bekend bent met 365 adviseer ik om zeker één of twee extra admin accounts aan te maken, waarvan één een 'breaking glass' account is.

[denpries]

Quad schreef op donderdag 15 augustus 2024 @ 07:43:
Privileged account hoeft natuurlijk geen gebruik te maken van CA. Microsoft komt bij configuratie ook naar voren dat je je admin uit moet sluiten (advies) om te voorkomen dat je jezelf uitsluit.

Zeker als je niet heel bekend bent met 365 adviseer ik om zeker één of twee extra admin accounts aan te maken, waarvan één een 'breaking glass' account is.

wacht ff. Die ene account laat je dan buiten conditional rules oid? of wat doe je daarmee

[Quad]

denpries schreef op donderdag 15 augustus 2024 @ 14:06:
[...]


wacht ff. Die ene account laat je dan buiten conditional rules oid? of wat doe je daarmee

Klopt, op een breaking glass account zet je een wachtwoord van 10 miljoen tekens (bij wijze van), dat is met bruteforce niet te doen. Het wachtwoord sla je officiëel gezien dan offline (uitgeschreven) ergens op.

Gebeurt niets mee.

[Hoianddoei]

Quad schreef op donderdag 15 augustus 2024 @ 14:10:
[...]

Klopt, op een breaking glass account zet je een wachtwoord van 10 miljoen tekens (bij wijze van), dat is met bruteforce niet te doen. Het wachtwoord sla je officiëel gezien dan offline (uitgeschreven) ergens op.

Gebeurt niets mee.

Sinds kort zijn er wel wat aanpassingen geweest vanuit Microsoft dat alle accounts die inloggen in Azure portals (dus bijv. Entra), een MFA verplichting hebben. Mocht je break-glass accounts nu dus excluden van alle policies en enkel een wachtwoord gebruiken, heb je hier dus binnenkort zomaar MFA voor nodig. Microsoft raadt zelf aan om FIDO2 te gaan gebruiken voor deze accounts. Break glass accounts excluden van MFA an sich is dus niet meer voldoende.

Bron: https://techcommunity.mic...zure-sign-in/ba-p/4177584

[denpries]

Hoianddoei schreef op donderdag 15 augustus 2024 @ 14:13:
[...]


Sinds kort zijn er wel wat aanpassingen geweest vanuit Microsoft dat alle accounts die inloggen in Azure portals (dus bijv. Entra), een MFA verplichting hebben. Mocht je break-glass accounts nu dus excluden van alle policies en enkel een wachtwoord gebruiken, heb je hier dus binnenkort zomaar MFA voor nodig. Microsoft raadt zelf aan om FIDO2 te gaan gebruiken voor deze accounts. Break glass accounts excluden van MFA an sich is dus niet meer voldoende.

Bron: https://techcommunity.mic...zure-sign-in/ba-p/4177584

Ok, dankje. Enfin, om dat allemaal te kunnen doen heb ik dus wel P1 entra nodig, ofwel moet ik minimaal mijn 2 basic licenses om gaan zetten naar business premium. Nu zijn dat voor mijn bedrijf nou ook weer geen massive kosten, maar zowat 500 euro per jaar aan licenties die ik niet gebruik, anders en alleen om een partner te kunnen worden (als dat al nodig is op deze manier) en een gratis custom visual aan te bieden op appsource lijkt een beetje zonde.

[ibmpc]

denpries schreef op donderdag 15 augustus 2024 @ 20:49:
[...]


Ok, dankje. Enfin, om dat allemaal te kunnen doen heb ik dus wel P1 entra nodig, ofwel moet ik minimaal mijn 2 basic licenses om gaan zetten naar business premium. Nu zijn dat voor mijn bedrijf nou ook weer geen massive kosten, maar zowat 500 euro per jaar aan licenties die ik niet gebruik, anders en alleen om een partner te kunnen worden (als dat al nodig is op deze manier) en een gratis custom visual aan te bieden op appsource lijkt een beetje zonde.

Entra P1.

[denpries]

Thanks

[Gr4mpyC3t]

denpries schreef op woensdag 14 augustus 2024 @ 20:45:
Hallo allen. Nadat ik vorige keer goed op weg geholpen was met het opnieuw maken van een tenant en toewijzen van o365 licenties nadat de eerdere tenant op een verkeerd land stond, heb ik nu een nieuw probleem.

Ik wil me enrollen als microsoft partner, omdat ik graag een custom visual voor power bi wil publiceren op appsource (marketplace.)

Dikke drama echter. Na invullen van wat gegevens blijft het altijd hangen op een error (zie onder). Support is niet te bereiken en na enkele dagen ben ik geen steek verder. Iemand ervaring hier mee?

Microsoft runs on trust. We engage in a rigorous set of evaluation and certification processes; as a result your request was blocked. If you require further information please reach out to Microsoft support with reference number: 715-123160 and transaction ID: 6ac14cf7-27ae-4762-84c8-3b86d1cfa3e2.

Added: nog iets gevonden. Partners are required to enforce MFA for all user accounts in their partner tenant, including guest users. Nu is mijn account sowieso mfa denk ik, en de global admin ook (want na inloggen krijg ik een push op authenticator op mobiel) maar weet niet of dit betekent dat ik aan die voorwaarde voldoe.

Balen dat je via de Microsoft Support-afdeling niet verder lijkt te komen. Typisch Microsoft.

Heb je ook al in het Admin Center gekeken of je daar een proefperiode kunt activeren voor de P1-licentie? Het lijkt er op basis van vanaf deze pagina op dat dit kan.Scheelt je centen en kun je het in ieder geval testen.

Edit: Zie dat @ibmpc de link ook al gedeeld heeft.

[denpries]

Gr4mpyC3t schreef op vrijdag 16 augustus 2024 @ 10:39:
[...]


Balen dat je via de Microsoft Support-afdeling niet verder lijkt te komen. Typisch Microsoft.

Heb je ook al in het Admin Center gekeken of je daar een proefperiode kunt activeren voor de P1-licentie? Het lijkt er op basis van vanaf deze pagina op dat dit kan.Scheelt je centen en kun je het in ieder geval testen.

Edit: Zie dat @ibmpc de link ook al gedeeld heeft.

Thanks! Inmiddels heb ik geleerd dat het niets met MFA en P1 etc te maken heeft gehad. Kennelijk stond mijn naam van het bedrijf in de org settings niet 100% hetzelfde als bij Dun and Bradstreet wat ze als soort van leidraad aanhouden bij partner center. Daar kwam ik zelf per toeval achter, dat had die error me wel mogen vertellen

[ibmpc]

ibmpc schreef op woensdag 14 augustus 2024 @ 23:50:
Ik heb een vraag over dit stukje documentatie:
You must disable multifactor authentication (MFA) on the Microsoft Entra app representing the storage account.
Ik ervaar dit een beetje anders. Het klopt dat als je met een wachtwoord inlogt op een Entra joined device, dat de file share niet benaderbaar is als je geen uitzondering in je CA policies hebt.

Log je in met Windows Hello wat MFA is, dan is de file share wel bereikbaar zonder uitzondering in je CA policies. Ik heb een voorkeur voor deze methode, maar is dit een ondersteunde oplossing? Of is het toch beter om een CA uitzondering te maken?

Heeft iemand wellicht hierover een advies? Is de "unsupported" WHFB methode beter? Of kan ik beter de exclusion maken in CA? Iets uitzonderen van MFA is namelijk best complex, niet in Intune zelf, maar om alle documentatie bij te werken is veel werk en het voelt niet veilig.

[Quad]

@ibmpc geen specifieke reactie op je vraag, maar qua documentatie van een omgeving exporteer ik dit naar een html document met deze Intune Management tool.

Geniale app.

[Gr4mpyC3t]

ibmpc schreef op vrijdag 16 augustus 2024 @ 21:13:
[...]

Heeft iemand wellicht hierover een advies? Is de "unsupported" WHFB methode beter? Of kan ik beter de exclusion maken in CA? Iets uitzonderen van MFA is namelijk best complex, niet in Intune zelf, maar om alle documentatie bij te werken is veel werk en het voelt niet veilig.

Zelf volg ik (meestal) de lijn die Microsoft schetst. Als WHFB niet officieel ondersteunt wordt dan zou ik dat ook niet gebruiken.

Wat als een eindgebruiker geen WHFB configureert of even niet beschikbaar is? Dan kan de gebruiker er niet meer bij denk ik? Het hele proces rondom authenticatie is sowieso brak.

Hoe ziet je infrastructuur er verder uit? Wellicht dat je het Storage Account met Azure Private Link configureren zodat je het alleen vanaf het ‘interne’ Azure-netwerk kunt benaderen met VPN/ExpressRoute? Zo verklein je risico’s toch nog wat.

De Enterprise App die je gebruikt ook enkel beschikbaar maken voor (desnoods via een Entra ID groep) gebruikers die de share mogen benaderen.

[ Voor 7% gewijzigd door Gr4mpyC3t op 17-08-2024 13:14 ]

[HKLM_]

Quad schreef op zaterdag 17 augustus 2024 @ 12:00:
@ibmpc geen specifieke reactie op je vraag, maar qua documentatie van een omgeving exporteer ik dit naar een html document met deze Intune Management tool.

Geniale app.

Inderdaad zeer mooie app! Ik zelf gebruik voor documentatie altijd https://github.com/ThomasKur/IntuneDocumentation krijg je een mooi uitgewerkt word document:)

[Quad]

HKLM_ schreef op zaterdag 17 augustus 2024 @ 13:54:
[...]


Inderdaad zeer mooie app! Ik zelf gebruik voor documentatie altijd https://github.com/ThomasKur/IntuneDocumentation krijg je een mooi uitgewerkt word document:)

Die IntuneManagement kan ook exporteren naar Word. Is maar net wat je wilt natuurlijk.

[ibmpc]

Gr4mpyC3t schreef op zaterdag 17 augustus 2024 @ 13:12:
[...]


Zelf volg ik (meestal) de lijn die Microsoft schetst. Als WHFB niet officieel ondersteunt wordt dan zou ik dat ook niet gebruiken.

Het gaat gelukkig om een archiefapplicatie die helaas op een fileshare moet draaien. Als de applicatie een paar dagen niet werkt dan is dat maar zo.

Wat als een eindgebruiker geen WHFB configureert of even niet beschikbaar is? Dan kan de gebruiker er niet meer bij denk ik? Het hele proces rondom authenticatie is sowieso brak.

Pech voor ze. Er is een CA policy die WHFB or Yubikey als minimale authenticatie vereist voor de Office 365 apps.

Hoe ziet je infrastructuur er verder uit? Wellicht dat je het Storage Account met Azure Private Link configureren zodat je het alleen vanaf het ‘interne’ Azure-netwerk kunt benaderen met VPN/ExpressRoute? Zo verklein je risico’s toch nog wat.

De Enterprise App die je gebruikt ook enkel beschikbaar maken voor (desnoods via een Entra ID groep) gebruikers die de share mogen benaderen.

Omgeving is super simpel en is eigenlijk ook een beetje een test in hoeverre Azure Files kan worden ingezet als er een file share nodig is, omdat SharePoint geen fileserver is. Het is een kerk met vrijwilligers die apetrots zijn als ze kunnen laten zien hoe ze hun Yubikey tegen hun iPhone houden om te authenticeren met Outlook Er is niet eens MDM of MAM, alleen een deprecated Approved Client App policy. De file share is alleen over de S2S VPN bereikbaar via een private link.

Vandaar dat ik in deze situatie wel durf af te wijken van wat Microsoft voorschrijft, alleen heb ik een beetje het idee dat WHFB niet unsupported is maar gewoon is vergeten te benoemen in het document. Omdat Azure Files blijkbaar wel MFA tokens accepteert.

[HKLM_]

Zijn er hier personen die Global Secure Access hebben uitgerold binnen de organisatie of een organisatie?

[Quad]

HKLM_ schreef op maandag 23 december 2024 @ 19:55:
Zijn sr hier personen die Global Secure Access hebben uitgerold binnen de organisatie of een organisatie?

Voor een interne applicatie?
Ik gebruik het bij één klant om een Synology NAS met archief te benaderen. 2fa via Synology voor 150 man is wat te bewerkelijk.

[HKLM_]

Quad schreef op maandag 23 december 2024 @ 19:57:
[...]

Voor een interne applicatie?
Ik gebruik het bij één klant om een Synology NAS met archief te benaderen. 2fa via Synology voor 150 man is wat te bewerkelijk.

Beetje late reactie Ja voor interne applicaties, of fileshares of het internet verkeer met de webfilter?
Wij zijn zelf bezig met GSA om interne servers te kunnen benaderen.

[Blokker_1999]

Hoe gaat men hier om met het updaten van apps in Intune? Zijn er mensen die alles handmatig doen? Die misschien PSADT gebruiken? Of platformen zoals Scappman/Patch My Pc/... ?

[Quad]

Wij zijn deels afgestapt van apps via Intune. Klanten die Intune afnemen, nemen ook ons NinjaOne RMM pakket af inclusief SentinelOne.

Daarmee kunnen we voor 3rd party apps, of custom apps, altijd de laatste versie aanbieden vanuit 1 platform. Biedt ons veel meer gemak dan alles handmatig in Intune uploaden en wachten. Met NinjaOne is het uploaden, aftrappen en met 5 minuten* staat een pakket op alle aangesloten systemen van de klant.

*eea hangt af van de grootte van het pakket. Maar een programma als Google Chrome is haast secondenwerk qua uitrol.

[HKLM_]

Blokker_1999 schreef op zaterdag 4 januari 2025 @ 17:09:
Hoe gaat men hier om met het updaten van apps in Intune? Zijn er mensen die alles handmatig doen? Die misschien PSADT gebruiken? Of platformen zoals Scappman/Patch My Pc/... ?

Ik doen het eigenlijk via Intune momenteel omdat ik dingen in 1 platform wil proberen te houden. Eventueel met eam

NinjaRMM gebruiken we voor onze MSP en software gaat daarmee ook soms weet ik.

Verder adviseer ik klanten recast als ze iets anders willen dan intune eigenlijk.

[Tusk]

Een conditional XS vraagje:

Ik wil voor een groep users alleen toegang geven tot de Teams App en de rest alleen via browser toestaan.

Ik maak een block regel met als
Condition: Client apps alles aangevinkt behalve browser.

resource:
include: All resources (formerly 'All cloud apps')
exclude: Microsoft Teams Services, Skyp for business online. Office 365 Sharepoint Online (er stond dat dit ook Teams services in zich heeft).

Maar helaas geen resultaat. Ik mag Teams niet gebruiken. Report zegt dat ik dan de 'All recources' regel match.
Als ik Office 365 Exchange Online exclude, mag ik wel Outlook gebruiken. Dus het idee is verder goed, alleen vind ik niet de juiste app exclusion voor Teams...

Zonder succes

[HKLM_]

Tusk schreef op donderdag 23 januari 2025 @ 13:37:
Een conditional XS vraagje:

Ik wil voor een groep users alleen toegang geven tot de Teams App en de rest alleen via browser toestaan.

Ik maak een block regel met als
Condition: Client apps alles aangevinkt behalve browser.

resource:
include: All resources (formerly 'All cloud apps')
exclude: Microsoft Teams Services, Skyp for business online. Office 365 Sharepoint Online (er stond dat dit ook Teams services in zich heeft).

Maar helaas geen resultaat. Ik mag Teams niet gebruiken. Report zegt dat ik dan de 'All recources' regel match.
Als ik Office 365 Exchange Online exclude, mag ik wel Outlook gebruiken. Dus het idee is verder goed, alleen vind ik niet de juiste app exclusion voor Teams...

Zonder succes

Ik hoop dat ik je goed snap, als ik een CA policy aanmaak als onderstaand

Users -> All users
Resources -> Include - All resources
Resources -> Exclude - Teams,Skype,Sharepoint
Conditions -> Mobile Apps and desktop, Exchange ActiveSync, Other Clients
Grant Block

[ibmpc]

Tusk schreef op donderdag 23 januari 2025 @ 13:37:
Een conditional XS vraagje:

Ik wil voor een groep users alleen toegang geven tot de Teams App en de rest alleen via browser toestaan.

Ergens verstopt in de Microsoft documentatie staat dat de exclusion voor de Teams App niet werkt. Dit vanwege alle afhankelijkheden met andere apps, dus je zal ook Exchange, SharePoint en nog een app moeten toestaan. Dus alleen Teams toestaan is helaas niet mogelijk.

Wat je kunt doen is gebruikers Teams als PWA installeren.

[Tusk]

@HKLM_ klopt!

@ibmpc Weet je heel toevallig welke andere app er nog meer voor nodig om het wel werkend te krijgen?

[wagenveld]

Je moet eigenlijk de 'Office 365' Cloud app collection gebruiken, vanwege idd alle afhankelijkheden. Maar ik begrijp dat je Outlook specifiek niet wilt toestaan?

https://learn.microsoft.c...ess-cloud-apps#office-365

[ Voor 27% gewijzigd door wagenveld op 27-01-2025 10:44 ]

[ibmpc]

Tusk schreef op maandag 27 januari 2025 @ 09:11:

@ibmpc Weet je heel toevallig welke andere app er nog meer voor nodig om het wel werkend te krijgen?

Ja, ik meen mij te herinneren. Vroeggebonden:
• Skype for Business (ja echt)
• Exchange
• SharePoint

Laatgebonden:
• Microsoft Planner
• Microsoft Stream
• Microsoft Whiteboard

Vroeggebonden betekent een afhankelijk bij het inloggen in Teams. Laatgebonden betekent dat er een afhankelijkheid is later in de app. Ik zoek de bron later voor je op

[Tusk]

Ik heb onderstaande excluded, zonder resultaat helaas.
In de log zie ik dat de resource 'Microsoft Teams' is gematched en dus wordt geblocked.

Microsoft Teams Services
Office 365 Exchange Online
Office 365 SharePoint Online
Skype for Business Online

Ik heb hier meer info gevonden over vroeg- en laatgebonden @ibmpc
https://learn.microsoft.c...cess/service-dependencies

Het praat hier ook over SharePoint online service als je de webportal benaderd. Maar geldt dit dan ook als je via OneDrive inlogt? Ik dacht van wel, maar door dit artikel twijfel ik daar nu aan.

[ Voor 7% gewijzigd door Tusk op 29-01-2025 09:40 ]

[ibmpc]

We hebben een Conditional Access policy die Device code flow blokkeert voor all users en all cloud apps.

Ik ben voornemers hier een uitzondering op te maken:
Include all networks, exclude trusted networks.

Trusted networks zijn bij ons meestal niet de kantoor IP adressen, tenzij er een gedocumenteerde business reason voor bestaat. Wel voegen we vaak Azure IP adressen toe.

Stel, de volgende flow:
A. Mijn computer (untrusted IP)
B. Mijn MS Authenticator passkey (untrusted IP)
C. Tijdelijke Azure VM (trusted IP) met browser naar https://microsoft.com/devicelogin
D. IoT device (untrusted IP)

Als ik vanaf A inlog op C met RDP en authenticeer met B. Gaat D dan inloggen?

[Blokker_1999]

Waarom zou D inloggen? Je doet de auth op C, die kan en mag door de CA gaan, maar D zit nog altijd op een niet vertrouwd netwerk en een login daarvan gaat dus door je CA geblokkeerd worden lijkt mij. Zelfs als je vanaf C, die aangemeld is, een actie gaat triggeren op D, zal D nog altijd ook moeten aanmelden door diezelfde CA policy.

[Gr4mpyC3t]

Blokker_1999 schreef op donderdag 22 mei 2025 @ 06:09:
Waarom zou D inloggen? Je doet de auth op C, die kan en mag door de CA gaan, maar D zit nog altijd op een niet vertrouwd netwerk en een login daarvan gaat dus door je CA geblokkeerd worden lijkt mij. Zelfs als je vanaf C, die aangemeld is, een actie gaat triggeren op D, zal D nog altijd ook moeten aanmelden door diezelfde CA policy.

Ja, dat lijkt me ook. Waar komt D in dit verhaal dan voor? Je logt tenslotte in op C en krijgt daar dan ook na authenticatie een access token, of in ieder geval een geslaagde authenticatie, terug.

Wat is je beoogde doel met D, @ibmpc?

Edit: Trouwens, ik vraag me af of het waar is wat ik net schrijf. Ik plak wel eens een device code vanuit een VDI-omgeving op mijn eigen omgeving. Log dan lokaal via de laptop in en raak volgens mij wel degelijk ingelogd op de VDI-omgeving. Om dat zeker te weten moet ik dat eerst even testen...

[ Voor 17% gewijzigd door Gr4mpyC3t op 23-05-2025 11:11 ]

[grimson]

ConsentFix

ConsentFix laat zien dat “user consent uitzetten” geen volledige mitigatie is, omdat Microsoft‑first‑party apps in elke Entra‑tenant al pre‑consent hebben en dus geen toestemming meer hoeven te vragen. Een aanvaller kan zo’n trusted app gebruiken in een legitieme OAuth authorization‑code flow, de gebruiker echt laten inloggen, en vervolgens via social engineering de authorization code buitmaken. Omdat de app al trusted is, wordt er geen consent‑prompt getoond en geen CA‑policy getriggerd, waardoor de hele aanval buiten het consent‑model om plaatsvindt.

Interessant hoe dit werkt en vernuftig.. maar toch weer begrijpelijk .
Aan de bak om deze potentiële phishing methode te dichten.

[Gr4mpyC3t]

grimson schreef op zondag 1 maart 2026 @ 10:59:
ConsentFix

ConsentFix laat zien dat “user consent uitzetten” geen volledige mitigatie is, omdat Microsoft‑first‑party apps in elke Entra‑tenant al pre‑consent hebben en dus geen toestemming meer hoeven te vragen. Een aanvaller kan zo’n trusted app gebruiken in een legitieme OAuth authorization‑code flow, de gebruiker echt laten inloggen, en vervolgens via social engineering de authorization code buitmaken. Omdat de app al trusted is, wordt er geen consent‑prompt getoond en geen CA‑policy getriggerd, waardoor de hele aanval buiten het consent‑model om plaatsvindt.

Interessant hoe dit werkt en vernuftig.. maar toch weer begrijpelijk .
Aan de bak om deze potentiële phishing methode te dichten.

Goede tip, dank! Ik had deze methode al eerder gespot en eerlijk gezegd vind ik het hele consent-verhaal ook brak geïmplementeerd in Entra ID. Ik heb nog nooit een gebruiker gezien/gehoord die zich afvroeg waarom consent verleent moet worden en of hij/zij wel gemachtigd is dit te doen. Er wordt blind op de knop gedrukt.

Alle apps, Microsoft of niet, zouden standaard geconfigureerd moeten worden met 'Assignment Required'.

[HKLM_]

Entra ID Backup preview is aan het landen in de tenants, 5 automatische backups welke je kan restoren



Dit zijn de zaken in een back-up

[ Voor 19% gewijzigd door HKLM_ op 19-03-2026 12:55 ]

[grimson]

Remove enterprise apps that you can't delete

Mijn eerste poging om een (test trial MS Business Premiun) tenant te verwijderen loopt uit op een fiasco . Een simpele tenant zonder Azure subscription.

Getracht via PS maar dit lukt helaas ook niet, enkele tientalle 'native' registraties kan ik niet verwijderen.
Diverse posts en blogs gelezen maar dit helpt helaas ook niet.
De andere subscription melding is dat deze nu de status 'disabled' heeft en na 30 dagen de status 'deprovisioned' zou moeten krijgen waarbij dit vinkje op groen zou komen te staan. Alleen dus die verrekte Enterprise apps melding.

Microsoft is aware that customers with certain tenant configurations might be unable to successfully delete their Microsoft Entra organization. Microsoft is working to address this problem. If you need more information, contact Microsoft support.

Ik heb maar een case geopend in deze gehavende tenant om te zien of dit gaat werken.

Iemand eenzelfde ervaring bij het verwijderen van een tenant?

[Blokker_1999]

Eens zien of hier nog iemand een idee heeft.

Om ondersteuning te geven op de het product dat wij verkopen aan onze klanten (en dat zijn grote bedrijven, geen consumentenspul) hebben we een standaard oplossing om aan de servers bij de klant te komen, maar we zijn flexibel. Wij hebben evenwel de vereiste dat wij van onze kant uit, op automatische wijze, onze gebruikers (zowel support specialisten als consultants in geval van implementaties) toegang moeten kunnen geven en ontnemen. Heb je geen project, ticket of bug, dan hoor je geen toegang te hebben tot die klant.

1 van onze klanten wenst nu evenwel geen gebruik te maken van onze standaard oplossing omdat dat niet in hun beveiligingsmodel past maar wil dat onze mensen gaan verbinden via Azure Virtual Desktops met behulp van een guest account in hun tenant. Ik zie evenwel geen enkele mogelijkheid langs mijn kant om accounts wel of geen toestemming te geven om als guest aan te melden in die specifieke tenant. Weet er iemand of daar wel een mogelijkheid voor is?

[F_J_K]

@Blokker_1999 ik mag van mezelf (of de auditor ) niet de rechten hebben om het in onze tenant te checken, maar kan dat niet via Cross-tenant access settings? En dan onder outbound voor de betreffende andere omgeving alleen de juiste mensen het toestaan.

[Blokker_1999]

Ik heb gelukkig een test tenant om mee te spelen en te proberen, voordeel van een Visual Studio subscription te hebben

[Blokker_1999]

Nope, not gonna work. De setting voorkomt dat gebruikers uitgenodigd kunnen worden, maar eenmaal uitgenodigd, en daarna op de block list, blokkeert het hun authenticatie naar de externe tenant niet.

[HKLM_]

Blokker_1999 schreef op zaterdag 28 maart 2026 @ 18:49:
Nope, not gonna work. De setting voorkomt dat gebruikers uitgenodigd kunnen worden, maar eenmaal uitgenodigd, en daarna op de block list, blokkeert het hun authenticatie naar de externe tenant niet.

Ik denk dat jij dit niet kan doen vanuit je tenant, als zij met een guest account aanmelden op een andere tenant (AVD) dan ligt de autorisatie bij de andere tenant en zijn zij in charge m.b.t conditional access bijvoorbeeld.

Enige waar ik nog aan denk is iets met IP whitelisting (hun IP's) van hun AVD aan jullie kant maar dat is wel een beetje beunhazen denk ik.

[ Voor 11% gewijzigd door HKLM_ op 28-03-2026 19:08 ]

[Blokker_1999]

Klopt, daar lijkt het op. Rottigste is dat ik wel netjes op de bron tenant in de sign-in logs kan zien dat er een authenticatie plaatsvindt, en die gaat ook netjes door mijn standaard CA policies, maar ik krijg geen controle om selectief om te springen met welke gebruikers naar welke externe tenant mogen. Had MS nu ook niet even de resource tenant als een mogelijk doelwit aan de CA policies kunnen toevoegen? Dan was dit in 5 seconden opgelost. Want voor inkomende guest gebruikers kan je wel policies aanmaken, zelfs per tenant als je wenst.

Wat mis ik mijn vorige werkgever, waar we dit soort problemen niet op een technische manier probeerden op te lossen, maar puur met geschreven policies.

[ Voor 12% gewijzigd door Blokker_1999 op 28-03-2026 19:11 ]

[F_J_K]

Dat laatste is hier sowieso aan de orde, als de andere kant zich verantwoordelijk heeft gemaakt voor de autorisaties.

[HKLM_]

Blokker_1999 schreef op zaterdag 28 maart 2026 @ 19:10:
Klopt, daar lijkt het op. Rottigste is dat ik wel netjes op de bron tenant in de sign-in logs kan zien dat er een authenticatie plaatsvindt, en die gaat ook netjes door mijn standaard CA policies, maar ik krijg geen controle om selectief om te springen met welke gebruikers naar welke externe tenant mogen. Had MS nu ook niet even de resource tenant als een mogelijk doelwit aan de CA policies kunnen toevoegen? Dan was dit in 5 seconden opgelost. Want voor inkomende guest gebruikers kan je wel policies aanmaken, zelfs per tenant als je wenst.

Wat mis ik mijn vorige werkgever, waar we dit soort problemen niet op een technische manier probeerden op te lossen, maar puur met geschreven policies.

Geen idee of het past maar even droppen: Kan je dan niet een conditional access policy maken welke vanuit de network selectie een block doet naar de IP'adressen van de klant zijn AVD met standaard een block access tenzij je vanuit jullie proces in een CA wordt gezet welke het wel toe staat?

[Gr4mpyC3t]

Blokker_1999 schreef op zaterdag 28 maart 2026 @ 12:13:
Eens zien of hier nog iemand een idee heeft.

Om ondersteuning te geven op de het product dat wij verkopen aan onze klanten (en dat zijn grote bedrijven, geen consumentenspul) hebben we een standaard oplossing om aan de servers bij de klant te komen, maar we zijn flexibel. Wij hebben evenwel de vereiste dat wij van onze kant uit, op automatische wijze, onze gebruikers (zowel support specialisten als consultants in geval van implementaties) toegang moeten kunnen geven en ontnemen. Heb je geen project, ticket of bug, dan hoor je geen toegang te hebben tot die klant.

1 van onze klanten wenst nu evenwel geen gebruik te maken van onze standaard oplossing omdat dat niet in hun beveiligingsmodel past maar wil dat onze mensen gaan verbinden via Azure Virtual Desktops met behulp van een guest account in hun tenant. Ik zie evenwel geen enkele mogelijkheid langs mijn kant om accounts wel of geen toestemming te geven om als guest aan te melden in die specifieke tenant. Weet er iemand of daar wel een mogelijkheid voor is?

Als die organisatie dat wil, dan zit je al snel in de Identity Governance hoek, waar zij onder andere met Access Packages aan de slag moeten.

De access package is dan de aanvraag/onboarding van je collega’s in de tenant van de klant, waarna via automatische groepslidmaatschap (op basis van die access package) iets met Privileged Identity Management moet gebeuren.

Maar dat is nogal een proces en kom ik eerlijk gezegd weinig tegen bij organisaties. Dan moet zo’n klant wel in staat zijn om zo’n proces te bedenken en ook om te zetten in techniek.

Ik wil dat best wat verder uitdiepen voor je als ik tenminste je vraag goed begrepen heb.

[Quad]

Wat is tegenwoordig zo'n beetje de best-practice om gebruikers op phishing-resistant MFA over te stappen?
Met de default MFA krijg je automatisch een implementatie voor de gebruiker om stappen te volgen, maar bij toegangssleutels mis ik dat een beetje.

Iemand een idee?

[HKLM_]

Quad schreef op vrijdag 3 april 2026 @ 09:05:
Wat is tegenwoordig zo'n beetje de best-practice om gebruikers op phishing-resistant MFA over te stappen?
Met de default MFA krijg je automatisch een implementatie voor de gebruiker om stappen te volgen, maar bij toegangssleutels mis ik dat een beetje.

Iemand een idee?

Als je passkeys afdwingt krijg je toch ook zo’n setup schermpje met stappen, vergelijkbaar met de Authenticator of bedoel je dat niet?

[Quad]

HKLM_ schreef op vrijdag 3 april 2026 @ 09:24:
[...]


Als je passkeys afdwingt krijg je toch ook zo’n setup schermpje met stappen, vergelijkbaar met de Authenticator of bedoel je dat niet?

Als ik dat afdwing met CA dan krijgt de gebruiker gewoon een block en kan de gebruiker niets. Dus idd, ik zoek de optie dat gebruikers automatisch de prompt krijgen om toegangssleutels in te stellen.

[HKLM_]

Quad schreef op vrijdag 3 april 2026 @ 09:30:
[...]

Als ik dat afdwing met CA dan krijgt de gebruiker gewoon een block en kan de gebruiker niets. Dus idd, ik zoek de optie dat gebruikers automatisch de prompt krijgen om toegangssleutels in te stellen.

Maar nadat je gebruikers dus al door een MFA setup heen zijn geweest? Ik zou het in de System-preferred authentication zoeken als iemand dan een Authentication strengths heeft met Phishing-resistent MFA zou die moeten triggeren. Eventueel met een CA policy for Register security informatiom.

Registration campaign is ook nog het uitzoeken waard.

[ Voor 26% gewijzigd door HKLM_ op 03-04-2026 09:42 ]

[HKLM_]

Wat zijn jullie ervaringen met de passkey as default voor de users die sms/voice aan hebben staan. Hebben jullie je voorbereid/ er last van in de organisatie?

[Blokker_1999]

Heb het uitgesteld . We beginnen binnen 2 weken met de uitrol van Windows Hello for Business en ook passkeys worden dan in 1 keer meegepakt.

Wel hebben enkele specifieke gebruikers toch de registratiecampagne gezien, en ik begrijp niet goed waarom net die groep gebruikers hem te zien krijgt. Maar als die breed zichtbaar zou zijn voor gebruikers, dan was het tickets aan het regenen, en dat gebeurt gelukkig ook niet.

[F_J_K]

HKLM_ schreef op maandag 28 september 2026 @ 19:16:
Wat zijn jullie ervaringen met de passkey as default voor de users die sms/voice aan hebben staan. Hebben jullie je voorbereid/ er last van in de organisatie?

We hebben sms/voice een tijd geleden al geblokkeerd. Eerst een tijdje broadcasten wat de betere manieren zijn. Daarna de 20% rest actief benaderen via mail, even later de 5% met CC leidinggevenden en uiteindelijk sms/voice via CA geblokkeerd. Waarna een procent (een of twee dozijn) kwam vragen waarom ze niet meer konden inloggen en kwam dat ook goed.

Maar dat was naar authenticator, volgende stap is naar passkey.

[wagenveld]

Is prima en ik snap het ook voor MFA, maar hoe doen jullie dat met SSPR? Want ik meen vanuit CIS wordt aangeraden om minimaal 2 methodes voor SSPR te gebruiken, waar we nu veelal authenticator + SMS gebruiken blijven er nu niet veel opties meer over. Persoonlijke email is niet een praktisch alternatief.

Passwordless is natuurlijk de end state, maar veel organisaties zijn daar nog niet en hebben nog steeds een wachtwoordbeleid wat elke 6 maanden of elk jaar verloopt. Hier dus ook uitgesteld voor een aantal klanten totdat er meer duidelijkheid vanuit MS komt. Hier staan de inmiddels bekende telefoon providers: Choose a telephony provider for SMS and voice authentication - Microsoft Entra ID | Microsoft Learn

[grimson]

wagenveld schreef op dinsdag 29 september 2026 @ 11:41:
Passwordless is natuurlijk de end state, maar veel organisaties zijn daar nog niet en hebben nog steeds een wachtwoordbeleid wat elke 6 maanden of elk jaar verloopt.

Zover ik heb begrepen verloopt het wachtwoord niet automatisch in Entra ID, ook al heb je Entra ID Connect Sync in gebruik met het lokale AD. Het AD‑password policy wordt standaard namelijk niet gesynchroniseerd; alleen de hash gaat mee. Dus binnen Entra ID moet je expliciet een password policy instellen op verloop of Connect Sync instellen de policy te synchroniseren (iig sinds enkele jaren default).

Dat gezegd hebbende, ik ben benieuwd hoe jullie dit doen qua notificaties.

Stel je gebruikt Windows Hello for Business én Entra ID‑wachtwoordverloop: hoe signaleren jullie gebruikers dat hun Entra‑wachtwoord verloopt? WHfB toont immers geen waarschuwing omdat het wachtwoord niet wordt gebruikt tijdens sign‑in. Zover ik kan nagaan is hier native geen oplossing voor (corrigeer mij svp ) maar er is toch vraag om een verlopen password te wijzigen naar aanleiding van een notificatie.

[wagenveld]

Volgens mij gebruiken ze daar een tooltje van manageengine voor - en idd die vlag in Entra Connect. Voor de WHfB gebruikers idd niet zo relevant, maar dat is maar een klein deel van de populatie.

[Quad]

F_J_K schreef op maandag 28 september 2026 @ 22:46:
[...]

Maar dat was naar authenticator, volgende stap is naar passkey.

Ik heb voor een organisatie de registrationcampaign aangezet voor Passkey (FIDO2). Maar tot op heden zie ik in een week tijd slechts 2 nieuwe registraties. Dat lijkt me niet de bedoeling. Het is mij niet helemaal duidelijk wanneer de trigger voor het registreren plaatsvindt.

[F_J_K]

Quad schreef op woensdag 30 september 2026 @ 08:53:
[...]

Ik heb voor een organisatie de registrationcampaign aangezet voor Passkey (FIDO2). Maar tot op heden zie ik in een week tijd slechts 2 nieuwe registraties. Dat lijkt me niet de bedoeling. Het is mij niet helemaal duidelijk wanneer de trigger voor het registreren plaatsvindt.

Wij hebben de campaign even gestopt, kregen foutmeldingen bij registreren van passkeys in bijv. iOS. Eerst zien waar het aan schort.

[Blokker_1999]

Hoewel het een eigen topic zou kunnen maken is het probleem waarmee ik zit zo specifiek dat het mij verspilling van database ruimte lijkt. Benieuwd of iemand dit ooit is tegen gekomen, en even geduld, want het heeft wel degelijk met Entra te maken.

We zijn begonnen met het uitrollen van onze eerste Privileged Access Workstations via AVD. Om hierop aan te melden gebruiken we niet onze standaard gebruikersaccount, maar een admin account. We hebben hierop een conditional access policy geplaatst waarmee we afdwingen dat

• phishing resistant authenticatie gebruikt moet worden
• er elke keer geauthenticeerd moet worden (dus 5 minuten grace period en daarna opnieuw authenticeren)

Dit heeft relatief weinig invloed want als je sessie naar de remote desktop eenmaal is opgezet, wordt er in de basis niet om herauthenticatie gevraagd. Je kan heel de dag in die sessie werken, of totdat je te lang idle bent en dan wordt je er ook af gegooid.

Maar wanneer die verbinding uit zichzelf verbreekt, gaat de Windows App proberen deze verbinding te herstellen, hiervoor heb je een herautenticatie. Als je daar niet op reageert en tot een timeout laat komen, bijvoorbeeld omdat je niet achter je computer zit op dat moment, dan loopt het mis.

Wil je daarna alsnog authenticeren, ongeacht in welke applicatie of met welke gebruiker, met een passkey of Windows Hello for Business, dan opent je browservenster om te gaan aanmelden maar krijg je een relatief generieke foutmelding dat er iets is misgelopen.

Na veel zoekwerk, en met behulp van Copilot gevonden dat het authenticatieprocess ergens vast loopt en blijft hangen. Als ik dan Microsoft.AAD.Brokerplugin.exe kill in taakbeheer, dan werkt de authenticatie opnieuw. Ook wanneer ik CredentialUIBroker.exe de nek omwring kan ik opnieuw verder. Beide processen blijven actief, wat niet hoort.

2 maanden terug een case geopend bij Microsoft, na heel weinig feedback van hun kant uit, vandaag de melding gekregen dat het Directory Services team het ticket niet kan opnemen omdat het foutief zou aangemaakt zijn. Ik moet dus van voor af aan herbeginnen met heel hun support, dat gaat me weer weken kosten om door die first line te zwemmen. Maar het feit dat het dus tot bij het DS team geraakt is, is de reden dat ik de vraag ook even hier stel.

Als test heb ik ook op mijn admin account een passkey aangemaakt en deze opgeslagen in mijn standaard gebruiker zijn Windows Hello for Business container. Als ik dat gebruik om te authenticeren, dan zie ik dit probleem niet, omdat bij herauthenticatie de passkey zelf wel bereikbaar is, althans dat is mijn vermoeden. Maar daar passkeys op dit moment niet in WHfB kunnen in combinatie met attestation is het niet de route die we op dit moment willen nemen. Gebruikers zijn vrij om een fysieke security key te gebruiken danwel de passkey in de authenticator app van Microsoft, ongeacht welke van de 2 methodes gebruikt wordt, het probleem blijft bestaan.

Is er iemand bij wie dit probleem bekend in de oren klinkt?

[Gr4mpyC3t]

Blokker_1999 schreef op vrijdag 9 oktober 2026 @ 19:21:
Hoewel het een eigen topic zou kunnen maken is het probleem waarmee ik zit zo specifiek dat het mij verspilling van database ruimte lijkt. Benieuwd of iemand dit ooit is tegen gekomen, en even geduld, want het heeft wel degelijk met Entra te maken.

We zijn begonnen met het uitrollen van onze eerste Privileged Access Workstations via AVD. Om hierop aan te melden gebruiken we niet onze standaard gebruikersaccount, maar een admin account. We hebben hierop een conditional access policy geplaatst waarmee we afdwingen dat

• phishing resistant authenticatie gebruikt moet worden
• er elke keer geauthenticeerd moet worden (dus 5 minuten grace period en daarna opnieuw authenticeren)

Dit heeft relatief weinig invloed want als je sessie naar de remote desktop eenmaal is opgezet, wordt er in de basis niet om herauthenticatie gevraagd. Je kan heel de dag in die sessie werken, of totdat je te lang idle bent en dan wordt je er ook af gegooid.

Maar wanneer die verbinding uit zichzelf verbreekt, gaat de Windows App proberen deze verbinding te herstellen, hiervoor heb je een herautenticatie. Als je daar niet op reageert en tot een timeout laat komen, bijvoorbeeld omdat je niet achter je computer zit op dat moment, dan loopt het mis.

Wil je daarna alsnog authenticeren, ongeacht in welke applicatie of met welke gebruiker, met een passkey of Windows Hello for Business, dan opent je browservenster om te gaan aanmelden maar krijg je een relatief generieke foutmelding dat er iets is misgelopen.

Na veel zoekwerk, en met behulp van Copilot gevonden dat het authenticatieprocess ergens vast loopt en blijft hangen. Als ik dan Microsoft.AAD.Brokerplugin.exe kill in taakbeheer, dan werkt de authenticatie opnieuw. Ook wanneer ik CredentialUIBroker.exe de nek omwring kan ik opnieuw verder. Beide processen blijven actief, wat niet hoort.

2 maanden terug een case geopend bij Microsoft, na heel weinig feedback van hun kant uit, vandaag de melding gekregen dat het Directory Services team het ticket niet kan opnemen omdat het foutief zou aangemaakt zijn. Ik moet dus van voor af aan herbeginnen met heel hun support, dat gaat me weer weken kosten om door die first line te zwemmen. Maar het feit dat het dus tot bij het DS team geraakt is, is de reden dat ik de vraag ook even hier stel.

Als test heb ik ook op mijn admin account een passkey aangemaakt en deze opgeslagen in mijn standaard gebruiker zijn Windows Hello for Business container. Als ik dat gebruik om te authenticeren, dan zie ik dit probleem niet, omdat bij herauthenticatie de passkey zelf wel bereikbaar is, althans dat is mijn vermoeden. Maar daar passkeys op dit moment niet in WHfB kunnen in combinatie met attestation is het niet de route die we op dit moment willen nemen. Gebruikers zijn vrij om een fysieke security key te gebruiken danwel de passkey in de authenticator app van Microsoft, ongeacht welke van de 2 methodes gebruikt wordt, het probleem blijft bestaan.

Is er iemand bij wie dit probleem bekend in de oren klinkt?

Als eerst respect dat je het voor elkaar hebt gekregen om PA-workstations te introduceren en dan ook nog eens met phishing restant MFA. Dat zouden meer organisaties moeten doen.

Ik heb de oplossing niet, maar ik herken het gedrag wel. Dit speelt niet specifiek voor die phising resistant MFA constructie, maar ook al voor CA-policies met een session lifetime. Voor mijn gevoel zit het echt in die Windows app. Sinds de introductie daarvan is er alleen maar gedoe geweest met authenticatie en sessies überhaupt in leven houden.

[Blokker_1999]

Hey, de verhuis naar Azure heeft zijn positieve kanten . Maar op zich is dat niet nieuw binnen de onderneming. We hebben vandaag 2 andere manieren waarop mensen met on-prem VMs kunnen verbinden. De eenvoudigste systemen zijn een RDP sessie via de Netscaler, en ook daar is het elke keer dat je aanmeld MFA. De tool die we zelf gebruiken om te verbinden met klanten of onze vendors te laten verbinden met onze omgeving vereist ook bij elke authenticatie MFA. Dat doorzetten bij onze PA AVDs was dan ook een no-brainer in de organisatie. Al heb ik in de pilot groep wel 1 collega die klaagt over de frequente vragen om te herautenticeren.

[grimson]

Iemand dit Identity Secure Score item al tegengekomen? Beide zijn MS Apps maar ik kan zover mogelijk niet zien wat 'er mis aan is'.

[Clavis]

HKLM_ schreef op donderdag 2 januari 2025 @ 09:10:
[...]


Beetje late reactie Ja voor interne applicaties, of fileshares of het internet verkeer met de webfilter?
Wij zijn zelf bezig met GSA om interne servers te kunnen benaderen.

Werkt dit een beetje? Ik sta aan de vooravond om dit uit te zoeken voor al onze klanten. Gebruiken nu nog SSL VPN van Fortinet, of bij wat recentere klanten ipsec. GSA (Entra Private Access) lijkt mij een mooie vervanger.

[grimson]

Clavis schreef op dinsdag 13 oktober 2026 @ 16:26:
[...]

Werkt dit een beetje? Ik sta aan de vooravond om dit uit te zoeken voor al onze klanten. Gebruiken nu nog SSL VPN van Fortinet, of bij wat recentere klanten ipsec. GSA (Entra Private Access) lijkt mij een mooie vervanger.

Idem bij de MSP waar ik voor werk ... althans deze suggestie heb ik opgegeven want vermoedelijk moet er toch betaald worden straks voor die FG VPN shizz. Waarom niet meteen deze manier evalueren. Offtopic maar de SSL->ipsec omzetting verloopt niet echt fijn zo te horen.