[Microsoft Entra ID] - Ervaringen & Discussie

[Gr4mpyC3t]

ibmpc schreef op maandag 10 juni 2024 @ 21:25:
De eerste vraag dan maar, hoewel al gevraagd in het verkeerde topic

Hoe krijg je MFA ingeschakeld op een Entra Free tenant? Bijvoorbeeld een tenant waar alleen een Microsoft 365 Business Basic in zit? Ik ben bekend met Security Defaults, maar Security Defaults zet niet MFA aan. Conditional Access is pas mogelijk bij Entra P1.

Security Defaults vraagt namelijk niet om MFA als Microsoft vindt dat je op een "veilige" locatie bent, zoals een koffieshop waar je medewerkers vaak komen. Security Defaults is namelijk geen MFA=On policy.

En per-user MFA is deprecated en bestaat over een jaar niet meer.

Tweede vraag:
Ik zie in authentication methods onder FIDO2 nu dat Microsoft Authenticator als vinkje kan worden aangezet. Tevens kan Attestation ook aan, tegelijkertijd met Microsoft Authenticator. Kan Microsoft Authenticator inmiddels attesteren? Of moet attestation alsnog uit als je Microsoft Authenticator aanzet?

Iemand moet de eerste zijn, toch?

Wat je zegt klopt volgens mij wel. Als je die per-user MFA uitzet in je tenant dan ga je automatisch over op de nieuwe Microsoft MFA en heb je geen controle over het proces. Klinkt een beetje als 'enshittification' van Microsoft.

[HKLM_]

Gr4mpyC3t schreef op maandag 10 juni 2024 @ 21:59:
[...]


Iemand moet de eerste zijn, toch?

Wat je zegt klopt volgens mij wel. Als je die per-user MFA uitzet in je tenant dan ga je automatisch over op de nieuwe Microsoft MFA en heb je geen controle over het proces. Klinkt een beetje als 'enshittification' van Microsoft.

En daarom sturen ze aan op een P1 of een P2 licentie zodat je met CA kan gaan werken. Zelf vind ik dat CA onderdeel zou moeten zijn van De basic licentie eigenlijk.

[denpries]

Hi allen. Ik ben blij dat op mijn vertrouwde forum een plekje is om over microsoft entra te praten.

Ik ben (professioneel) power bi developer / data analyst en heb tot noch toe altijd op tenants van klanten meegespeeld. Maar nu wilde ik toch eigenlijk wel een klein beetje professionaliseren door ook een eigen teams / powerbi omgeving te maken.

Naja, best een zooi guides gevolgd, en toen kwam ik via portal.azure.com en wat andere help links er op uit dat ik naar https://admin.cloud.microsoft/#/homepage moest gaan (toen had ik al een entra tenant gemaakt - denk ik).

Die locatie vroeg mij om aan te tonen dat #domein.nl# echt wel mijn domein naam was, dus moest ik een key toevoegen aan mijn DSN van de website, waarna ik een admin account kon aanmaken. Dat lukte. Of in ieder geval: dat leek eerst een uur lang niet te lukken want het admin acount werd niet geaccepteerd, maar na een uur dus ineens wel.

Enfin. Omdat in het verleden 4 verschillende accounts op #domein.nl# al eens een keertje een free powerbi license gemaakt hadden zag ik die users in admin.cloud.microsoft staan. Twee wilde ik verwijderen > kon niet, foutmelding > kon pas later wel maar dan via entra. Zucht

Toen kwam ik al onderzoekend uit bij billing > billing account. Wat schetst mijn verbazing:

#domein#.nl
Billing account details
Sold to address:

*denpries
PE

PERU

Nou, ik heb dus zeker weten nooit ever ever Peru ergens gekozen. Ik heb ook helemaal nog geen subscriptions gemaakt, niets. De help zegt nu 'Peru kun je niet aanpassen, want billing en taxes en datacenter hangen daar aan, dan moet je maar weer een niew microsoft365 account maken en een andere locatie kiezen' (wut?)


Anyway, lang verhaal kort: ik weet het niet (meer). En ik heb het idee dat ik nu al uren (bijne een hele dag eigenlijk) aan het verdoen ben met iets wat voor iemand anders wellicht triviaal is.

Wie zou mij een beetje op weg kunnen helpen? Als het kan evt een keer via teams bellen zou helemaal mooi zijn.

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 16:50:
Hi allen. Ik ben blij dat op mijn vertrouwde forum een plekje is om over microsoft entra te praten.

Ik ben (professioneel) power bi developer / data analyst en heb tot noch toe altijd op tenants van klanten meegespeeld. Maar nu wilde ik toch eigenlijk wel een klein beetje professionaliseren door ook een eigen teams / powerbi omgeving te maken.

Naja, best een zooi guides gevolgd, en toen kwam ik via portal.azure.com en wat andere help links er op uit dat ik naar https://admin.cloud.microsoft/#/homepage moest gaan (toen had ik al een entra tenant gemaakt - denk ik).

Die locatie vroeg mij om aan te tonen dat depict-it.nl echt wel mijn domein naam was, dus moest ik een key toevoegen aan mijn DSN van de website, waarna ik een admin account kon aanmaken. Dat lukte. Of in ieder geval: dat leek eerst een uur lang niet te lukken want het admin acount werd niet geaccepteerd, maar na een uur dus ineens wel.

Enfin. Omdat in het verleden 4 verschillende accounts op depict-it.nl al eens een keertje een free powerbi license gemaakt hadden zag ik die users in admin.cloud.microsoft staan. Twee wilde ik verwijderen > kon niet, foutmelding > kon pas later wel maar dan via entra. Zucht

Toen kwam ik al onderzoekend uit bij billing > billing account. Wat schetst mijn verbazing:

depict-it.nl
Billing account details
Sold to address:

*denpries
PE

PERU

Nou, ik heb dus zeker weten nooit ever ever Peru ergens gekozen. Ik heb ook helemaal nog geen subscriptions gemaakt, niets. De help zegt nu 'Peru kun je niet aanpassen, want billing en taxes en datacenter hangen daar aan, dan moet je maar weer een niew microsoft365 account maken en een andere locatie kiezen' (wut?)


Anyway, lang verhaal kort: ik weet het niet (meer). En ik heb het idee dat ik nu al uren (bijne een hele dag eigenlijk) aan het verdoen ben met iets wat voor iemand anders wellicht triviaal is.

Wie zou mij een beetje op weg kunnen helpen? Als het kan evt een keer via teams bellen zou helemaal mooi zijn.

Als je naar deze link ga: https://admin.microsoft.c...tings/L1/DataLocationList

In welke regio staat je data volgens deze link? Het kan ook zijn dat alleen je biling account in peru staat maar niet je data.

[denpries]

HKLM_ schreef op dinsdag 11 juni 2024 @ 17:01:
[...]


Als je naar deze link ga: https://admin.microsoft.c...tings/L1/DataLocationList

In welke regio staat je data volgens deze link? Het kan ook zijn dat alleen je biling account in peru staat maar niet je data.

Meh. Nogmaals, nooit iets zelf gekozen
En heb ook nog geen data, denk ik.

Service
Geography

Exchange Online
South America

Exchange Online Protection
United States of America

[Quad]

Als deze tenant niet spannend is, zou je de domeinen kunnen ontkoppelen, de tenant kunnen laten opheffen en een nieuwe kunnen aanmaken binnen de westregio.

[ibmpc]

HKLM_ schreef op dinsdag 11 juni 2024 @ 05:41:
[...]


En daarom sturen ze aan op een P1 of een P2 licentie zodat je met CA kan gaan werken. Zelf vind ik dat CA onderdeel zou moeten zijn van De basic licentie eigenlijk.

Mee eens. Aan de andere kant zie ik in de meeste situaties het nut niet van alle licenties onder Microsoft 365 Business Premium, dus de licenties waarbij je geen P1 of P2 krijgt.

Behalve dus in deze specifieke situatie met een lokale winkel die via een browserwindow email en Teams berichten wilt communiceren. Eigenlijk zou Microsoft voor de Entra Free licenties bijv. een basic conditional access policy moeten toestaan met alleen MFA als control, alleen All Cloud Apps en altijd Browser+ModernAuth+EAS+Legacy.

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 17:04:
[...]


Meh. Nogmaals, nooit iets zelf gekozen
En heb ook nog geen data, denk ik.

Service
Geography

Exchange Online
South America

Exchange Online Protection
United States of America

Je tenant location is inderdaad helemaal South America + USA, gek want als jij in nederland de tenant heb aangemaakt zou dit niet moeten voorkomen. Tenzij je ooit in peru met powerbi trials hebt zitten proberen etc.

Die tenant verplaatsen naar de EU gaat niet, domein ontkoppelen en een nieuwe tenant aanmaken is je enige oplossing.

[denpries]

HKLM_ schreef op dinsdag 11 juni 2024 @ 17:42:
[...]


Je tenant location is inderdaad helemaal South America + USA, gek want als jij in nederland de tenant heb aangemaakt zou dit niet moeten voorkomen. Tenzij je ooit in peru met powerbi trials hebt zitten proberen etc.

Die tenant verplaatsen naar de EU gaat niet, domein ontkoppelen en een nieuwe tenant aanmaken is je enige oplossing.

nope, ales vanuit nederland gedaan, niet met een vage vpn, niks.
Hoe kan ik bereiken wat jij voorstelt in het doolhof van instellingen en setups?

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 17:46:
[...]


nope, ales vanuit nederland gedaan, niet met een vage vpn, niks.
Hoe kan ik bereiken wat jij voorstelt in het doolhof van instellingen en setups?

In admin.microsoft.com onder domeinen kan je je verifiëd domein verwijderen. Als deze met succes is verwijderd kan je deze aan een nieuwe tenant hangen.

Hier staat hoe het moet https://learn.microsoft.c...ant-for-your-organization

[denpries]

Check, ga ik straks proberen. Dankjewel @HKLM_ . Ik update hier hoe het ging

[denpries]

@HKLM_

die bovenste staat er bij sinds dat ik die dsn verificatie moest doen op admin.microsoft.com. Moet die dan weer weg dus? Maar wat is die onderste dan? Staat daar geen peru op dan oid?

[ Voor 92% gewijzigd door denpries op 11-06-2024 19:41 ]

[Quad]

@denpries ik adviseer je herleidbare informatie te blurren, niet iedereen hoeft te zien welke tenants en domeinen je hebt. My 2 cents.

Je .nl domein kan je daar verwijderen, tenzij je hem hebt gekocht via Microsoft.

[denpries]

Quad schreef op dinsdag 11 juni 2024 @ 19:31:
@denpries ik adviseer je herleidbare informatie te blurren, niet iedereen hoeft te zien welke tenants en domeinen je hebt. My 2 cents.

Je .nl domein kan je daar verwijderen, tenzij je hem hebt gekocht via Microsoft.

Ah, ja. Je hebt ook gelijk ook. Ik dacht alleen dat daar niet zo veel spannends op stond, gezien het natuurlijk gelijk is aan een website naam. Maar nu is het aan een tweakers account 'gekoppeld'

[denpries]

Quad schreef op dinsdag 11 juni 2024 @ 19:31:
@denpries ik adviseer je herleidbare informatie te blurren, niet iedereen hoeft te zien welke tenants en domeinen je hebt. My 2 cents.

Je .nl domein kan je daar verwijderen, tenzij je hem hebt gekocht via Microsoft.

ok, maar dan dien ik dus die domein naam te verwijderen, en dan een hele nieuwe tenant te maken, en daar dat domein weer aan te koppelen dan?

[Quad]

Correct. 👍

[denpries]

Quad schreef op dinsdag 11 juni 2024 @ 19:45:
Correct. 👍

maar hoe weet ik nou zeker dat alles niet weer op peru komt

[denpries]

We couldn't remove this domain because it's currently used in your username, [e-mail]. Go to Active Users to change the domain in your username, sign out of the admin center, then sign back in with your new username. When finished, come back here to remove domain.nl.

Oké. Weer iets nieuws ik ga wel ff kieken

There are users, groups, and apps in your organization that currently depend on this domain. If you automatically remove ‎#domein#.nl‎ domain, these users, groups and apps will be moved to your initial domain (‎#domeinNL#.onmicrosoft.com‎).

[denpries]

ok, users > active users > manage sign in details > wissel naar domein.onmicrosoft.com.
Dit keer geen error > nu staat alleen in het https://admin.microsoft.com/ domain settings de onmicrosoft versie nog


>> alvast een followup vraag : straks moet ik zeker ook weer die dsn van mijn website aanpassen ter verificatie op de nieuwe tenant?

[Quad]

@denpries die tenant kan je an sich nog wel ff aanhouden, ik verwacht eerlijk gezegd dat Microsoft namelijk een cooldown periode doet bij het opheffen van het onmicrosoft domein.

Dit fallback domein kan je niet verwijderen zonder de gehele tenant te verwijderen.
Dus lekker een nieuwe tenant aanmaken met een voor jou herkenbare fallback domain en gaan.

Ja, je moet je eigen .nl domein opnieuw verifiëren, maar dat is zo gedaan.

[denpries]

@Quad dankjewel voor je antwoorden.

>> en nog een vraag naar aanleiding van de nieuwe tenant guide via @HKLM_ :

Nadat u zich hebt aangemeld bij Azure Portal, kunt u een nieuwe tenant voor uw organisatie maken. Uw nieuwe tenant vertegenwoordigt uw organisatie en helpt u bij het beheren van een specifiek exemplaar van Microsoft Cloud-services voor uw interne en externe gebruikers.

Log ik daar (portal.azure.com) in met mijn [e-mail] account die ik net had, of [e-mail]?

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 20:04:
[...]


maar hoe weet ik nou zeker dat alles niet weer op peru komt

Als het goed is defect Microsoft dat je uit de EU komt en moet die daar dan de tenant aanmaken.

[denpries]

HKLM_ schreef op dinsdag 11 juni 2024 @ 20:19:
[...]


Als het goed is defect Microsoft dat je uit de EU komt en moet die daar dan de tenant aanmaken.

Ik denk dat ik sowieso de nomenclatuur niet helemaal OK heb.
Een tenant is gelijk aan een domein, of fallback domein, toch?
Dus domeinnl.onmicrosoft.com is een tenant, maar domein.nl die ik net had gekoppeld ook? Of is dat alleen een gekoppeld domein aan de tenant? ik heb mij lang niet zo dom gevoeld

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 20:21:
[...]


Ik denk dat ik sowieso de nomenclatuur niet helemaal OK heb.
Een tenant is gelijk aan een domein, of fallback domein, toch?
Dus domeinnl.onmicrosoft.com is een tenant, maar domein.nl die ik net had gekoppeld ook? Of is dat alleen een gekoppeld domein aan de tenant? ik heb mij lang niet zo dom gevoeld

Een *.onmicrosoft.com kan je inderdaad zien als een tenant en dat is eigen kleine eilandje binnen microsoft met al hun services. Je domein koppel je vervolgens aan de tenant zodat bijvoorbeeld je mail daar kan binnenkomen.

[denpries]

HKLM_ schreef op dinsdag 11 juni 2024 @ 20:28:
[...]


Een *.onmicrosoft.com kan je inderdaad zien als een tenant en dat is eigen kleine eilandje binnen microsoft met al hun services. Je domein koppel je vervolgens aan de tenant zodat bijvoorbeeld je mail daar kan binnenkomen.

ok, maar nu moet ik dus eerst een nieuwe tenant maken, want kennelijk zit die oude al aan peru vast.
Dan ga ik naar portal.azure.com om een nieuwe tenant te maken, en dan wordt me gevraagd in te loggen. Moet ik daar dan alsnog inloggen met mijn bestaande *.onmicrosoft.com account, of met het gewenste #domain# account wat ik eerder gebruikte? Of moet je eigenlijk niet inloggen maar een hele nieuwe user hebben ofzo

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 21:47:
[...]


ok, maar nu moet ik dus eerst een nieuwe tenant maken, want kennelijk zit die oude al aan peru vast.
Dan ga ik naar portal.azure.com om een nieuwe tenant te maken, en dan wordt me gevraagd in te loggen. Moet ik daar dan alsnog inloggen met mijn bestaande *.onmicrosoft.com account, of met het gewenste #domain# account wat ik eerder gebruikte? Of moet je eigenlijk niet inloggen maar een hele nieuwe user hebben ofzo

Je hebt eigenlijk die azure portal helemaal niet nodig. Probeer het eens via deze link: https://signup.microsoft....re=nl-nl&country=nl&ali=1 je maakt dan een tenant aan met een trial licentie van Busines Basic. Maakt verder helemaal niks uit, licentie kan je of afnemen of laten verlopen of een andere licentie nemen.

[denpries]

@HKLM_ ik ben bang dat ik wel die portal nodig heb. Want in het begin ben ik dit begonnen om een custom visual op appsource te kunnen publiceren voor Power BI, en daar volgde ik een guide voor om uberhaupt een tenant te maken. Of ik dat uiteindelijk echt nodig heb geen idee overigens.

Ik heb nu eens ingelogd met het onmicrosoft account en vind daar bij entra ID > overview > manage tenants 1 tenant:

Organization name mijndomein.nl (Default)
Domain name mijndomein.onmicrosoft.com
Tenant type Microsoft Entra ID

Bij properties:
Country or region Peru
Data location United States datacenters


Ik kan vanuit manage tenants in ieder geval niet nog een tenant maken, want :
Customers must own a paid license to create Microsoft Entra Workforce tenant.
You must have a subscription in order to create an Azure AD B2C tenant.

Dus het lijkt me dat ik in ieder geval niet moet proberen in te loggen met dat onmicrosoft account dat ik al heb?

[denpries]

HKLM_ schreef op dinsdag 11 juni 2024 @ 21:50:
[...]


Je hebt eigenlijk die azure portal helemaal niet nodig. Probeer het eens via deze link: https://signup.microsoft....re=nl-nl&country=nl&ali=1 je maakt dan een tenant aan met een trial licentie van Busines Basic. Maakt verder helemaal niks uit, licentie kan je of afnemen of laten verlopen of een andere licentie nemen.

Ik heb jouw link gevolgd nu, en daar een account gemaakt op [e-mail]
Daarna vroeg ie weer om een naam van zo een onmicrosoft domein en gaf hij als suggestie mijndomein.onmicrosoft.com >> die heb ik veranderd naar mijndomeinBV.onmicrosoft.com, omdat zonder BV natuurlijk al bestaat. Username werd [e-mail]

Gegevens ingevuld, 1 proef licentie genomen, CC gegevens want kost geld in de toekomst, en geklikt op proefversie starten.

Daarna incognito window geopend > ingelogd met [e-mail], daar zie ik in ieder geval geen PERU maar hetgeen ik net ingevuld heb, plaats in nederland.
Betalingswijze staat er bij, en bij producten '[e-mail]'

Daarna genavigeerd naar https://portal.azure.com/#home > werd gelijk ingelogd met bovenstaande account.
Geklikt op view entra id > overview > manage tenants > yay! ik heb kennelijk ook al een tenant 'mijndomeinBV'

Wat ik nou NIET snap helemaal, is dat ik begonnen ben na het kliken op de link van @HKLM_ , met [e-mail], welke ik ook daarvoor welk gebruikt had, maar welke daarna ontkoppeld moesten worden etc.

Die hele user zie ik nergens meer terug

[denpries]

ik heb het vermoeden trouwens dat er sowieso tijd zit tussen systemen van microsoft. Want ik kan nog wel inloggen met [e-mail] (dus niet die nieuwe mijndomeinbv.onmicrosoft) op azure portal maar dan flipt ie de pan uit met error messages en issues met auth tokens.

Kijk morgen nog wel eens

[Quad]

denpries schreef op dinsdag 11 juni 2024 @ 22:45:
ik heb het vermoeden trouwens dat er sowieso tijd zit tussen systemen van microsoft. Want ik kan nog wel inloggen met [e-mail] (dus niet die nieuwe mijndomeinbv.onmicrosoft) op azure portal maar dan flipt ie de pan uit met error messages en issues met auth tokens.

Kijk morgen nog wel eens

Je moet jouw eigen domein wel koppelen aan de nieuwe tenant natuurlijk.

https://admin.microsoft.com/#/Domains/Wizard

[denpries]

Quad schreef op dinsdag 11 juni 2024 @ 22:46:
[...]

Je moet jouw eigen domein wel koppelen aan de nieuwe tenant natuurlijk.

https://admin.microsoft.com/#/Domains/Wizard

Yes, die snapte ik.
Daar was ik toevallig na wat lezen mee bezig, maar DNS aanpassen doet mijn hostingprovider en die is er morgen weer maar dat gaat vast goed komen dus.

Waar ik op doelde is dat 'officieel' die [e-mail] al weg zou moeten zijn, want die heb ik een aantal berichten geleden 'verschoven naar de onmicrosoft tenant'. Ik kon echter wel nog inloggen en dan krijg je heel heel heel veel foutmeldingen

[HKLM_]

denpries schreef op dinsdag 11 juni 2024 @ 23:01:
[...]


Yes, die snapte ik.
Daar was ik toevallig na wat lezen mee bezig, maar DNS aanpassen doet mijn hostingprovider en die is er morgen weer maar dat gaat vast goed komen dus.

Waar ik op doelde is dat 'officieel' die [e-mail] al weg zou moeten zijn, want die heb ik een aantal berichten geleden 'verschoven naar de onmicrosoft tenant'. Ik kon echter wel nog inloggen en dan krijg je heel heel heel veel foutmeldingen

Een domein verwijderen uit je tenant kan volgens mij 24 tot 72 uur duren. In de praktijk gaat het veel sneller zeker als er heel weinig ontkoppeling moet plaatsvinden op de achtergrond zoals bij jou.

[denpries]

@HKLM_ @Quad dank jullie wel.
Die link https://signup.microsoft....re=nl-nl&country=nl&ali=1 heeft supergoed geholpen om alles op te zetten.

Users nu toegevoegd, domain gekoppeld, het werkt
Ik zal vast nog wel eens iets geks komen vragen

[ Voor 7% gewijzigd door denpries op 12-06-2024 16:31 ]

[HKLM_]

denpries schreef op woensdag 12 juni 2024 @ 16:30:
@HKLM_ @Quad dank jullie wel.
Die link https://signup.microsoft....re=nl-nl&country=nl&ali=1 heeft supergoed geholpen om alles op te zetten.

Users nu toegevoegd, domain gekoppeld, het werkt
Ik zal vast nog wel eens iets geks komen vragen

Topper!

Wat voor licentie heb je nu actief? (Gekocht)

[denpries]

De Microsoft 365 Business Basic Trial, via die link. Dat wordt straks geen trial maar normale subscriptie.
Kan ik dit later in het jaar upgraden ook naar een volwaardige office licentie met lokale apps supported?

[Gr4mpyC3t]

denpries schreef op donderdag 13 juni 2024 @ 08:37:
De Microsoft 365 Business Basic Trial, via die link. Dat wordt straks geen trial maar normale subscriptie.
Kan ik dit later in het jaar upgraden ook naar een volwaardige office licentie met lokale apps supported?

Jazeker. Wel per maand betalen dan, dat is het makkelijkst. Vanuit de portal kan je een licentie upgraden met een wizard.

[ibmpc]

Ik heb zojuist de preview van Windows Server 2025 lokaal (niet in Azure) geinstalleerd, maar ik krijg hem met geen mogelijkheid Entra Joined. Enkele opties missen in Settings en Install-ProvisioningPackage faalt met "Package installation failed, error code = -2147024769 (8007007F)"

Is het iemand anders al gelukt om de preview van Windows Server 2025 aan Entra te joinen?

[Blokker_1999]

HKLM_ schreef op dinsdag 11 juni 2024 @ 21:50:
[...]


Je hebt eigenlijk die azure portal helemaal niet nodig. Probeer het eens via deze link: https://signup.microsoft....re=nl-nl&country=nl&ali=1 je maakt dan een tenant aan met een trial licentie van Busines Basic. Maakt verder helemaal niks uit, licentie kan je of afnemen of laten verlopen of een andere licentie nemen.

Opletten, die licenties verlopen niet maar gaan over in een betaalde licentie. Dus op tijd zelf annuleren. Bij het aanmaken van de tenant moet je namelijk reeds je kredietkaartinformatie invoeren, dus aanrekenen kunnen ze zonder problemen.

Sowieso kan je een trial altijd met 1 maand verlengen, al gaat de verlenging wel in op de dag dat je ze aanvraagt en niet op het einde van de subscription geloof ik. En na die 2 maanden kan je ook nog eens een trial E3 en daarna E5 proberen om zo bijna een half jaar gratis met azure te werken. Daarna moet je beslissen wat je gaat doen, welke licentie je gaat nemen. In mijn specifieke geval zal dat een Exchange Online Plan 1 worden

[denpries]

Blokker_1999 schreef op donderdag 13 juni 2024 @ 21:19:
[...]

Opletten, die licenties verlopen niet maar gaan over in een betaalde licentie. Dus op tijd zelf annuleren. Bij het aanmaken van de tenant moet je namelijk reeds je kredietkaartinformatie invoeren, dus aanrekenen kunnen ze zonder problemen.

Sowieso kan je een trial altijd met 1 maand verlengen, al gaat de verlenging wel in op de dag dat je ze aanvraagt en niet op het einde van de subscription geloof ik. En na die 2 maanden kan je ook nog eens een trial E3 en daarna E5 proberen om zo bijna een half jaar gratis met azure te werken. Daarna moet je beslissen wat je gaat doen, welke licentie je gaat nemen. In mijn specifieke geval zal dat een Exchange Online Plan 1 worden

[Afbeelding]

Dank voor je antwoord. Ik heb in het begin alleen behoefte aan teams online, wellicht outlook erbij.
Daarna wellicht ook office op de computer zelf

[ibmpc]

Weet iemand waarom het nodig is om SSPR te deactiveren om de moderne MFA migratie te voltooien en direct daarna SSPR weer in te schakelen?

[Blokker_1999]

Dat zou niet noodzakelijk mogen zijn, anders zouden bedrijven het moeilijk hebben met SSPR aan te bieden aan gebruikers.

[Quad]

ibmpc schreef op dinsdag 25 juni 2024 @ 20:27:
Weet iemand waarom het nodig is om SSPR te deactiveren om de moderne MFA migratie te voltooien en direct daarna SSPR weer in te schakelen?

SSPR maakt anders ook gebruik van de legacy authenticatie methodes.

Je moet de legacy opties volgens mij uiteindelijk uitzetten en daarna de migratie voltooien.

https://learn.microsoft.c...entication-methods-manage

[Mitssz]

Ik heb ook nog nooit SSPR moeten uitzetten om de MFA migratie te voltooien.
Je hoeft alleen alle legacy opties uit te zetten in de "Per user MFA" portal.

[HKLM_]

Entra Suite licentie is beschikbaar in de tenants

[Quad]

Vraag mij af wat dit allemaal toevoegt, het is toch hetzelfde als met Entra P1 en Entra p2 samen?

[HKLM_]

Quad schreef op dinsdag 2 juli 2024 @ 20:30:
Vraag mij af wat dit allemaal toevoegt, het is toch hetzelfde als met Entra P1 en Entra p2 samen?

Nope dit heeft zo te zien geen P2 functies maar alleen de functies die beschreven staan in de descriptie.
Er is ook een step-up licentie van 10 euro als je al op P2 zit.

[Quad]

Nja ik zie het voordeel voor mkb vooralsnog niet hierin. Naast wat al beschikbaar is met standaard Entra P1.

[HKLM_]

Quad schreef op dinsdag 2 juli 2024 @ 20:38:
Nja ik zie het voordeel voor mkb vooralsnog niet hierin. Naast wat al beschikbaar is met standaard Entra P1.

Denk dat de functies die hierin genoemd worden niet veel toevoegen voor het mkb nee.

[denpries]

Hallo allen. Nadat ik vorige keer goed op weg geholpen was met het opnieuw maken van een tenant en toewijzen van o365 licenties nadat de eerdere tenant op een verkeerd land stond, heb ik nu een nieuw probleem.

Ik wil me enrollen als microsoft partner, omdat ik graag een custom visual voor power bi wil publiceren op appsource (marketplace.)

Dikke drama echter. Na invullen van wat gegevens blijft het altijd hangen op een error (zie onder). Support is niet te bereiken en na enkele dagen ben ik geen steek verder. Iemand ervaring hier mee?

Microsoft runs on trust. We engage in a rigorous set of evaluation and certification processes; as a result your request was blocked. If you require further information please reach out to Microsoft support with reference number: 715-123160 and transaction ID: 6ac14cf7-27ae-4762-84c8-3b86d1cfa3e2.

Added: nog iets gevonden. Partners are required to enforce MFA for all user accounts in their partner tenant, including guest users. Nu is mijn account sowieso mfa denk ik, en de global admin ook (want na inloggen krijg ik een push op authenticator op mobiel) maar weet niet of dit betekent dat ik aan die voorwaarde voldoe.

[ Voor 16% gewijzigd door denpries op 14-08-2024 20:57 ]

[denpries]

Ik bedoel, ik heb wel MFA, maar er staat bij settings MFA dat ik een premium nodig heb. Enfin, misschien is dit wel helemaal niet het euvel voor dat parner centrum

[ibmpc]

denpries schreef op woensdag 14 augustus 2024 @ 20:45:
...

Wat is je tenant licentie level?
Entra Free, P1 of P2?
Ik ben er niet zeker van, maar volgens mij kun je met Azure AD Free alleen Security Defaults aanzetten (of de legacy MFA die er volgend jaar uit gaat). Security Defaults is geen always enabled MFA.

[ibmpc]

Ik heb een vraag over dit stukje documentatie:
You must disable multifactor authentication (MFA) on the Microsoft Entra app representing the storage account.
Ik ervaar dit een beetje anders. Het klopt dat als je met een wachtwoord inlogt op een Entra joined device, dat de file share niet benaderbaar is als je geen uitzondering in je CA policies hebt.

Log je in met Windows Hello wat MFA is, dan is de file share wel bereikbaar zonder uitzondering in je CA policies. Ik heb een voorkeur voor deze methode, maar is dit een ondersteunde oplossing? Of is het toch beter om een CA uitzondering te maken?

[denpries]

ibmpc schreef op woensdag 14 augustus 2024 @ 23:46:
[...]

Wat is je tenant licentie level?
Entra Free, P1 of P2?
Ik ben er niet zeker van, maar volgens mij kun je met Azure AD Free alleen Security Defaults aanzetten (of de legacy MFA die er volgend jaar uit gaat). Security Defaults is geen always enabled MFA.

Moest het ff opzoeken, maar: Microsoft Entra ID Free

[ibmpc]

denpries schreef op donderdag 15 augustus 2024 @ 07:20:
[...]


Moest het ff opzoeken, maar: Microsoft Entra ID Free

Pas vanaf Entra P1 kun je gebruik maken van Conditional Access.

Entra Free heeft alleen Security Defaults, wat geen MFA is voor je non privileged accounts.

Welke licenties neem je nu af? De goedkoopste all-in licentie voor kleine organisaties is M365 Business Premium. Daar zit Entra P1 en Intune bij.

[ Voor 14% gewijzigd door ibmpc op 15-08-2024 07:32 ]

[denpries]

Stel ik wil P1 functionaliteit, dan kan ik kennelijk OF P1 los aanschaffen (6 euro per user per maand los), OF Microsoft 365 Business Premium nemen in plaats van Microsoft 365 Business Basic die ik nu heb, zover ik kan lezen. Ook chatgpt gevraagd en die komt met hetzelfde. Maar met business premium ga ik wel per user 20+ euro betalen ipv 6 euro per maand nu. In het eerste geval lijk ik 2 losse producten te hebben, in het tweede geval 1 geheel product.

Qua licentie behoefte, begrijp ik het goed dat als ik voor de O365 business premium approach ga, ik voor beide echte users (X en Y) die office enzo gebruiken een licentie nodig heb, en voor de global admin (Z@onmicrosoft) niet, maar dat die laatste wel gewoon settings kan aanpassen etc?

[ibmpc]

Klopt. Een privileged account hoeft technisch geen licentie te hebben. Officieel moet je volgens mij wel een licentie toekennen omdat het privileged account gebruik maakt van Conditional Access, maar in de praktijk zie ik vaak named privileged accounts zonder licentie. De privileged accounts kunnen gewoon in alle admincenters en heel veel, bijna alle, admintaken kunnen worden verricht zonder een licentie toe te kennen.

[ Voor 22% gewijzigd door ibmpc op 15-08-2024 07:38 ]

[Quad]

Privileged account hoeft natuurlijk geen gebruik te maken van CA. Microsoft komt bij configuratie ook naar voren dat je je admin uit moet sluiten (advies) om te voorkomen dat je jezelf uitsluit.

Zeker als je niet heel bekend bent met 365 adviseer ik om zeker één of twee extra admin accounts aan te maken, waarvan één een 'breaking glass' account is.

[denpries]

Quad schreef op donderdag 15 augustus 2024 @ 07:43:
Privileged account hoeft natuurlijk geen gebruik te maken van CA. Microsoft komt bij configuratie ook naar voren dat je je admin uit moet sluiten (advies) om te voorkomen dat je jezelf uitsluit.

Zeker als je niet heel bekend bent met 365 adviseer ik om zeker één of twee extra admin accounts aan te maken, waarvan één een 'breaking glass' account is.

wacht ff. Die ene account laat je dan buiten conditional rules oid? of wat doe je daarmee

[Quad]

denpries schreef op donderdag 15 augustus 2024 @ 14:06:
[...]


wacht ff. Die ene account laat je dan buiten conditional rules oid? of wat doe je daarmee

Klopt, op een breaking glass account zet je een wachtwoord van 10 miljoen tekens (bij wijze van), dat is met bruteforce niet te doen. Het wachtwoord sla je officiëel gezien dan offline (uitgeschreven) ergens op.

Gebeurt niets mee.

[Hoianddoei]

Quad schreef op donderdag 15 augustus 2024 @ 14:10:
[...]

Klopt, op een breaking glass account zet je een wachtwoord van 10 miljoen tekens (bij wijze van), dat is met bruteforce niet te doen. Het wachtwoord sla je officiëel gezien dan offline (uitgeschreven) ergens op.

Gebeurt niets mee.

Sinds kort zijn er wel wat aanpassingen geweest vanuit Microsoft dat alle accounts die inloggen in Azure portals (dus bijv. Entra), een MFA verplichting hebben. Mocht je break-glass accounts nu dus excluden van alle policies en enkel een wachtwoord gebruiken, heb je hier dus binnenkort zomaar MFA voor nodig. Microsoft raadt zelf aan om FIDO2 te gaan gebruiken voor deze accounts. Break glass accounts excluden van MFA an sich is dus niet meer voldoende.

Bron: https://techcommunity.mic...zure-sign-in/ba-p/4177584

[denpries]

Hoianddoei schreef op donderdag 15 augustus 2024 @ 14:13:
[...]


Sinds kort zijn er wel wat aanpassingen geweest vanuit Microsoft dat alle accounts die inloggen in Azure portals (dus bijv. Entra), een MFA verplichting hebben. Mocht je break-glass accounts nu dus excluden van alle policies en enkel een wachtwoord gebruiken, heb je hier dus binnenkort zomaar MFA voor nodig. Microsoft raadt zelf aan om FIDO2 te gaan gebruiken voor deze accounts. Break glass accounts excluden van MFA an sich is dus niet meer voldoende.

Bron: https://techcommunity.mic...zure-sign-in/ba-p/4177584

Ok, dankje. Enfin, om dat allemaal te kunnen doen heb ik dus wel P1 entra nodig, ofwel moet ik minimaal mijn 2 basic licenses om gaan zetten naar business premium. Nu zijn dat voor mijn bedrijf nou ook weer geen massive kosten, maar zowat 500 euro per jaar aan licenties die ik niet gebruik, anders en alleen om een partner te kunnen worden (als dat al nodig is op deze manier) en een gratis custom visual aan te bieden op appsource lijkt een beetje zonde.

[ibmpc]

denpries schreef op donderdag 15 augustus 2024 @ 20:49:
[...]


Ok, dankje. Enfin, om dat allemaal te kunnen doen heb ik dus wel P1 entra nodig, ofwel moet ik minimaal mijn 2 basic licenses om gaan zetten naar business premium. Nu zijn dat voor mijn bedrijf nou ook weer geen massive kosten, maar zowat 500 euro per jaar aan licenties die ik niet gebruik, anders en alleen om een partner te kunnen worden (als dat al nodig is op deze manier) en een gratis custom visual aan te bieden op appsource lijkt een beetje zonde.

Entra P1.

[denpries]

Thanks

[Gr4mpyC3t]

denpries schreef op woensdag 14 augustus 2024 @ 20:45:
Hallo allen. Nadat ik vorige keer goed op weg geholpen was met het opnieuw maken van een tenant en toewijzen van o365 licenties nadat de eerdere tenant op een verkeerd land stond, heb ik nu een nieuw probleem.

Ik wil me enrollen als microsoft partner, omdat ik graag een custom visual voor power bi wil publiceren op appsource (marketplace.)

Dikke drama echter. Na invullen van wat gegevens blijft het altijd hangen op een error (zie onder). Support is niet te bereiken en na enkele dagen ben ik geen steek verder. Iemand ervaring hier mee?

Microsoft runs on trust. We engage in a rigorous set of evaluation and certification processes; as a result your request was blocked. If you require further information please reach out to Microsoft support with reference number: 715-123160 and transaction ID: 6ac14cf7-27ae-4762-84c8-3b86d1cfa3e2.

Added: nog iets gevonden. Partners are required to enforce MFA for all user accounts in their partner tenant, including guest users. Nu is mijn account sowieso mfa denk ik, en de global admin ook (want na inloggen krijg ik een push op authenticator op mobiel) maar weet niet of dit betekent dat ik aan die voorwaarde voldoe.

Balen dat je via de Microsoft Support-afdeling niet verder lijkt te komen. Typisch Microsoft.

Heb je ook al in het Admin Center gekeken of je daar een proefperiode kunt activeren voor de P1-licentie? Het lijkt er op basis van vanaf deze pagina op dat dit kan.Scheelt je centen en kun je het in ieder geval testen.

Edit: Zie dat @ibmpc de link ook al gedeeld heeft.

[denpries]

Gr4mpyC3t schreef op vrijdag 16 augustus 2024 @ 10:39:
[...]


Balen dat je via de Microsoft Support-afdeling niet verder lijkt te komen. Typisch Microsoft.

Heb je ook al in het Admin Center gekeken of je daar een proefperiode kunt activeren voor de P1-licentie? Het lijkt er op basis van vanaf deze pagina op dat dit kan.Scheelt je centen en kun je het in ieder geval testen.

Edit: Zie dat @ibmpc de link ook al gedeeld heeft.

Thanks! Inmiddels heb ik geleerd dat het niets met MFA en P1 etc te maken heeft gehad. Kennelijk stond mijn naam van het bedrijf in de org settings niet 100% hetzelfde als bij Dun and Bradstreet wat ze als soort van leidraad aanhouden bij partner center. Daar kwam ik zelf per toeval achter, dat had die error me wel mogen vertellen

[ibmpc]

ibmpc schreef op woensdag 14 augustus 2024 @ 23:50:
Ik heb een vraag over dit stukje documentatie:
You must disable multifactor authentication (MFA) on the Microsoft Entra app representing the storage account.
Ik ervaar dit een beetje anders. Het klopt dat als je met een wachtwoord inlogt op een Entra joined device, dat de file share niet benaderbaar is als je geen uitzondering in je CA policies hebt.

Log je in met Windows Hello wat MFA is, dan is de file share wel bereikbaar zonder uitzondering in je CA policies. Ik heb een voorkeur voor deze methode, maar is dit een ondersteunde oplossing? Of is het toch beter om een CA uitzondering te maken?

Heeft iemand wellicht hierover een advies? Is de "unsupported" WHFB methode beter? Of kan ik beter de exclusion maken in CA? Iets uitzonderen van MFA is namelijk best complex, niet in Intune zelf, maar om alle documentatie bij te werken is veel werk en het voelt niet veilig.

[Quad]

@ibmpc geen specifieke reactie op je vraag, maar qua documentatie van een omgeving exporteer ik dit naar een html document met deze Intune Management tool.

Geniale app.

[Gr4mpyC3t]

ibmpc schreef op vrijdag 16 augustus 2024 @ 21:13:
[...]

Heeft iemand wellicht hierover een advies? Is de "unsupported" WHFB methode beter? Of kan ik beter de exclusion maken in CA? Iets uitzonderen van MFA is namelijk best complex, niet in Intune zelf, maar om alle documentatie bij te werken is veel werk en het voelt niet veilig.

Zelf volg ik (meestal) de lijn die Microsoft schetst. Als WHFB niet officieel ondersteunt wordt dan zou ik dat ook niet gebruiken.

Wat als een eindgebruiker geen WHFB configureert of even niet beschikbaar is? Dan kan de gebruiker er niet meer bij denk ik? Het hele proces rondom authenticatie is sowieso brak.

Hoe ziet je infrastructuur er verder uit? Wellicht dat je het Storage Account met Azure Private Link configureren zodat je het alleen vanaf het ‘interne’ Azure-netwerk kunt benaderen met VPN/ExpressRoute? Zo verklein je risico’s toch nog wat.

De Enterprise App die je gebruikt ook enkel beschikbaar maken voor (desnoods via een Entra ID groep) gebruikers die de share mogen benaderen.

[ Voor 7% gewijzigd door Gr4mpyC3t op 17-08-2024 13:14 ]

[HKLM_]

Quad schreef op zaterdag 17 augustus 2024 @ 12:00:
@ibmpc geen specifieke reactie op je vraag, maar qua documentatie van een omgeving exporteer ik dit naar een html document met deze Intune Management tool.

Geniale app.

Inderdaad zeer mooie app! Ik zelf gebruik voor documentatie altijd https://github.com/ThomasKur/IntuneDocumentation krijg je een mooi uitgewerkt word document:)

[Quad]

HKLM_ schreef op zaterdag 17 augustus 2024 @ 13:54:
[...]


Inderdaad zeer mooie app! Ik zelf gebruik voor documentatie altijd https://github.com/ThomasKur/IntuneDocumentation krijg je een mooi uitgewerkt word document:)

Die IntuneManagement kan ook exporteren naar Word. Is maar net wat je wilt natuurlijk.

[ibmpc]

Gr4mpyC3t schreef op zaterdag 17 augustus 2024 @ 13:12:
[...]


Zelf volg ik (meestal) de lijn die Microsoft schetst. Als WHFB niet officieel ondersteunt wordt dan zou ik dat ook niet gebruiken.

Het gaat gelukkig om een archiefapplicatie die helaas op een fileshare moet draaien. Als de applicatie een paar dagen niet werkt dan is dat maar zo.

Wat als een eindgebruiker geen WHFB configureert of even niet beschikbaar is? Dan kan de gebruiker er niet meer bij denk ik? Het hele proces rondom authenticatie is sowieso brak.

Pech voor ze. Er is een CA policy die WHFB or Yubikey als minimale authenticatie vereist voor de Office 365 apps.

Hoe ziet je infrastructuur er verder uit? Wellicht dat je het Storage Account met Azure Private Link configureren zodat je het alleen vanaf het ‘interne’ Azure-netwerk kunt benaderen met VPN/ExpressRoute? Zo verklein je risico’s toch nog wat.

De Enterprise App die je gebruikt ook enkel beschikbaar maken voor (desnoods via een Entra ID groep) gebruikers die de share mogen benaderen.

Omgeving is super simpel en is eigenlijk ook een beetje een test in hoeverre Azure Files kan worden ingezet als er een file share nodig is, omdat SharePoint geen fileserver is. Het is een kerk met vrijwilligers die apetrots zijn als ze kunnen laten zien hoe ze hun Yubikey tegen hun iPhone houden om te authenticeren met Outlook Er is niet eens MDM of MAM, alleen een deprecated Approved Client App policy. De file share is alleen over de S2S VPN bereikbaar via een private link.

Vandaar dat ik in deze situatie wel durf af te wijken van wat Microsoft voorschrijft, alleen heb ik een beetje het idee dat WHFB niet unsupported is maar gewoon is vergeten te benoemen in het document. Omdat Azure Files blijkbaar wel MFA tokens accepteert.

[HKLM_]

Zijn er hier personen die Global Secure Access hebben uitgerold binnen de organisatie of een organisatie?

[Quad]

HKLM_ schreef op maandag 23 december 2024 @ 19:55:
Zijn sr hier personen die Global Secure Access hebben uitgerold binnen de organisatie of een organisatie?

Voor een interne applicatie?
Ik gebruik het bij één klant om een Synology NAS met archief te benaderen. 2fa via Synology voor 150 man is wat te bewerkelijk.

[HKLM_]

Quad schreef op maandag 23 december 2024 @ 19:57:
[...]

Voor een interne applicatie?
Ik gebruik het bij één klant om een Synology NAS met archief te benaderen. 2fa via Synology voor 150 man is wat te bewerkelijk.

Beetje late reactie Ja voor interne applicaties, of fileshares of het internet verkeer met de webfilter?
Wij zijn zelf bezig met GSA om interne servers te kunnen benaderen.

[Blokker_1999]

Hoe gaat men hier om met het updaten van apps in Intune? Zijn er mensen die alles handmatig doen? Die misschien PSADT gebruiken? Of platformen zoals Scappman/Patch My Pc/... ?

[Quad]

Wij zijn deels afgestapt van apps via Intune. Klanten die Intune afnemen, nemen ook ons NinjaOne RMM pakket af inclusief SentinelOne.

Daarmee kunnen we voor 3rd party apps, of custom apps, altijd de laatste versie aanbieden vanuit 1 platform. Biedt ons veel meer gemak dan alles handmatig in Intune uploaden en wachten. Met NinjaOne is het uploaden, aftrappen en met 5 minuten* staat een pakket op alle aangesloten systemen van de klant.

*eea hangt af van de grootte van het pakket. Maar een programma als Google Chrome is haast secondenwerk qua uitrol.

[HKLM_]

Blokker_1999 schreef op zaterdag 4 januari 2025 @ 17:09:
Hoe gaat men hier om met het updaten van apps in Intune? Zijn er mensen die alles handmatig doen? Die misschien PSADT gebruiken? Of platformen zoals Scappman/Patch My Pc/... ?

Ik doen het eigenlijk via Intune momenteel omdat ik dingen in 1 platform wil proberen te houden. Eventueel met eam

NinjaRMM gebruiken we voor onze MSP en software gaat daarmee ook soms weet ik.

Verder adviseer ik klanten recast als ze iets anders willen dan intune eigenlijk.

[Tusk]

Een conditional XS vraagje:

Ik wil voor een groep users alleen toegang geven tot de Teams App en de rest alleen via browser toestaan.

Ik maak een block regel met als
Condition: Client apps alles aangevinkt behalve browser.

resource:
include: All resources (formerly 'All cloud apps')
exclude: Microsoft Teams Services, Skyp for business online. Office 365 Sharepoint Online (er stond dat dit ook Teams services in zich heeft).

Maar helaas geen resultaat. Ik mag Teams niet gebruiken. Report zegt dat ik dan de 'All recources' regel match.
Als ik Office 365 Exchange Online exclude, mag ik wel Outlook gebruiken. Dus het idee is verder goed, alleen vind ik niet de juiste app exclusion voor Teams...

Zonder succes

[HKLM_]

Tusk schreef op donderdag 23 januari 2025 @ 13:37:
Een conditional XS vraagje:

Ik wil voor een groep users alleen toegang geven tot de Teams App en de rest alleen via browser toestaan.

Ik maak een block regel met als
Condition: Client apps alles aangevinkt behalve browser.

resource:
include: All resources (formerly 'All cloud apps')
exclude: Microsoft Teams Services, Skyp for business online. Office 365 Sharepoint Online (er stond dat dit ook Teams services in zich heeft).

Maar helaas geen resultaat. Ik mag Teams niet gebruiken. Report zegt dat ik dan de 'All recources' regel match.
Als ik Office 365 Exchange Online exclude, mag ik wel Outlook gebruiken. Dus het idee is verder goed, alleen vind ik niet de juiste app exclusion voor Teams...

Zonder succes

Ik hoop dat ik je goed snap, als ik een CA policy aanmaak als onderstaand

Users -> All users
Resources -> Include - All resources
Resources -> Exclude - Teams,Skype,Sharepoint
Conditions -> Mobile Apps and desktop, Exchange ActiveSync, Other Clients
Grant Block

[ibmpc]

Tusk schreef op donderdag 23 januari 2025 @ 13:37:
Een conditional XS vraagje:

Ik wil voor een groep users alleen toegang geven tot de Teams App en de rest alleen via browser toestaan.

Ergens verstopt in de Microsoft documentatie staat dat de exclusion voor de Teams App niet werkt. Dit vanwege alle afhankelijkheden met andere apps, dus je zal ook Exchange, SharePoint en nog een app moeten toestaan. Dus alleen Teams toestaan is helaas niet mogelijk.

Wat je kunt doen is gebruikers Teams als PWA installeren.

[Tusk]

@HKLM_ klopt!

@ibmpc Weet je heel toevallig welke andere app er nog meer voor nodig om het wel werkend te krijgen?

[wagenveld]

Je moet eigenlijk de 'Office 365' Cloud app collection gebruiken, vanwege idd alle afhankelijkheden. Maar ik begrijp dat je Outlook specifiek niet wilt toestaan?

https://learn.microsoft.c...ess-cloud-apps#office-365

[ Voor 27% gewijzigd door wagenveld op 27-01-2025 10:44 ]

[ibmpc]

Tusk schreef op maandag 27 januari 2025 @ 09:11:

@ibmpc Weet je heel toevallig welke andere app er nog meer voor nodig om het wel werkend te krijgen?

Ja, ik meen mij te herinneren. Vroeggebonden:
• Skype for Business (ja echt)
• Exchange
• SharePoint

Laatgebonden:
• Microsoft Planner
• Microsoft Stream
• Microsoft Whiteboard

Vroeggebonden betekent een afhankelijk bij het inloggen in Teams. Laatgebonden betekent dat er een afhankelijkheid is later in de app. Ik zoek de bron later voor je op

[Tusk]

Ik heb onderstaande excluded, zonder resultaat helaas.
In de log zie ik dat de resource 'Microsoft Teams' is gematched en dus wordt geblocked.

Microsoft Teams Services
Office 365 Exchange Online
Office 365 SharePoint Online
Skype for Business Online

Ik heb hier meer info gevonden over vroeg- en laatgebonden @ibmpc
https://learn.microsoft.c...cess/service-dependencies

Het praat hier ook over SharePoint online service als je de webportal benaderd. Maar geldt dit dan ook als je via OneDrive inlogt? Ik dacht van wel, maar door dit artikel twijfel ik daar nu aan.

[ Voor 7% gewijzigd door Tusk op 29-01-2025 09:40 ]

[ibmpc]

We hebben een Conditional Access policy die Device code flow blokkeert voor all users en all cloud apps.

Ik ben voornemers hier een uitzondering op te maken:
Include all networks, exclude trusted networks.

Trusted networks zijn bij ons meestal niet de kantoor IP adressen, tenzij er een gedocumenteerde business reason voor bestaat. Wel voegen we vaak Azure IP adressen toe.

Stel, de volgende flow:
A. Mijn computer (untrusted IP)
B. Mijn MS Authenticator passkey (untrusted IP)
C. Tijdelijke Azure VM (trusted IP) met browser naar https://microsoft.com/devicelogin
D. IoT device (untrusted IP)

Als ik vanaf A inlog op C met RDP en authenticeer met B. Gaat D dan inloggen?

[Blokker_1999]

Waarom zou D inloggen? Je doet de auth op C, die kan en mag door de CA gaan, maar D zit nog altijd op een niet vertrouwd netwerk en een login daarvan gaat dus door je CA geblokkeerd worden lijkt mij. Zelfs als je vanaf C, die aangemeld is, een actie gaat triggeren op D, zal D nog altijd ook moeten aanmelden door diezelfde CA policy.

[Gr4mpyC3t]

Blokker_1999 schreef op donderdag 22 mei 2025 @ 06:09:
Waarom zou D inloggen? Je doet de auth op C, die kan en mag door de CA gaan, maar D zit nog altijd op een niet vertrouwd netwerk en een login daarvan gaat dus door je CA geblokkeerd worden lijkt mij. Zelfs als je vanaf C, die aangemeld is, een actie gaat triggeren op D, zal D nog altijd ook moeten aanmelden door diezelfde CA policy.

Ja, dat lijkt me ook. Waar komt D in dit verhaal dan voor? Je logt tenslotte in op C en krijgt daar dan ook na authenticatie een access token, of in ieder geval een geslaagde authenticatie, terug.

Wat is je beoogde doel met D, @ibmpc?

Edit: Trouwens, ik vraag me af of het waar is wat ik net schrijf. Ik plak wel eens een device code vanuit een VDI-omgeving op mijn eigen omgeving. Log dan lokaal via de laptop in en raak volgens mij wel degelijk ingelogd op de VDI-omgeving. Om dat zeker te weten moet ik dat eerst even testen...

[ Voor 17% gewijzigd door Gr4mpyC3t op 23-05-2025 11:11 ]

[grimson]

ConsentFix

ConsentFix laat zien dat “user consent uitzetten” geen volledige mitigatie is, omdat Microsoft‑first‑party apps in elke Entra‑tenant al pre‑consent hebben en dus geen toestemming meer hoeven te vragen. Een aanvaller kan zo’n trusted app gebruiken in een legitieme OAuth authorization‑code flow, de gebruiker echt laten inloggen, en vervolgens via social engineering de authorization code buitmaken. Omdat de app al trusted is, wordt er geen consent‑prompt getoond en geen CA‑policy getriggerd, waardoor de hele aanval buiten het consent‑model om plaatsvindt.

Interessant hoe dit werkt en vernuftig.. maar toch weer begrijpelijk .
Aan de bak om deze potentiële phishing methode te dichten.

[Gr4mpyC3t]

grimson schreef op zondag 1 maart 2026 @ 10:59:
ConsentFix

ConsentFix laat zien dat “user consent uitzetten” geen volledige mitigatie is, omdat Microsoft‑first‑party apps in elke Entra‑tenant al pre‑consent hebben en dus geen toestemming meer hoeven te vragen. Een aanvaller kan zo’n trusted app gebruiken in een legitieme OAuth authorization‑code flow, de gebruiker echt laten inloggen, en vervolgens via social engineering de authorization code buitmaken. Omdat de app al trusted is, wordt er geen consent‑prompt getoond en geen CA‑policy getriggerd, waardoor de hele aanval buiten het consent‑model om plaatsvindt.

Interessant hoe dit werkt en vernuftig.. maar toch weer begrijpelijk .
Aan de bak om deze potentiële phishing methode te dichten.

Goede tip, dank! Ik had deze methode al eerder gespot en eerlijk gezegd vind ik het hele consent-verhaal ook brak geïmplementeerd in Entra ID. Ik heb nog nooit een gebruiker gezien/gehoord die zich afvroeg waarom consent verleent moet worden en of hij/zij wel gemachtigd is dit te doen. Er wordt blind op de knop gedrukt.

Alle apps, Microsoft of niet, zouden standaard geconfigureerd moeten worden met 'Assignment Required'.

[HKLM_]

Entra ID Backup preview is aan het landen in de tenants, 5 automatische backups welke je kan restoren



Dit zijn de zaken in een back-up

[ Voor 19% gewijzigd door HKLM_ op 19-03-2026 12:55 ]

[grimson]

Remove enterprise apps that you can't delete

Mijn eerste poging om een (test trial MS Business Premiun) tenant te verwijderen loopt uit op een fiasco . Een simpele tenant zonder Azure subscription.

Getracht via PS maar dit lukt helaas ook niet, enkele tientalle 'native' registraties kan ik niet verwijderen.
Diverse posts en blogs gelezen maar dit helpt helaas ook niet.
De andere subscription melding is dat deze nu de status 'disabled' heeft en na 30 dagen de status 'deprovisioned' zou moeten krijgen waarbij dit vinkje op groen zou komen te staan. Alleen dus die verrekte Enterprise apps melding.

Microsoft is aware that customers with certain tenant configurations might be unable to successfully delete their Microsoft Entra organization. Microsoft is working to address this problem. If you need more information, contact Microsoft support.

Ik heb maar een case geopend in deze gehavende tenant om te zien of dit gaat werken.

Iemand eenzelfde ervaring bij het verwijderen van een tenant?

[Blokker_1999]

Eens zien of hier nog iemand een idee heeft.

Om ondersteuning te geven op de het product dat wij verkopen aan onze klanten (en dat zijn grote bedrijven, geen consumentenspul) hebben we een standaard oplossing om aan de servers bij de klant te komen, maar we zijn flexibel. Wij hebben evenwel de vereiste dat wij van onze kant uit, op automatische wijze, onze gebruikers (zowel support specialisten als consultants in geval van implementaties) toegang moeten kunnen geven en ontnemen. Heb je geen project, ticket of bug, dan hoor je geen toegang te hebben tot die klant.

1 van onze klanten wenst nu evenwel geen gebruik te maken van onze standaard oplossing omdat dat niet in hun beveiligingsmodel past maar wil dat onze mensen gaan verbinden via Azure Virtual Desktops met behulp van een guest account in hun tenant. Ik zie evenwel geen enkele mogelijkheid langs mijn kant om accounts wel of geen toestemming te geven om als guest aan te melden in die specifieke tenant. Weet er iemand of daar wel een mogelijkheid voor is?

[F_J_K]

@Blokker_1999 ik mag van mezelf (of de auditor ) niet de rechten hebben om het in onze tenant te checken, maar kan dat niet via Cross-tenant access settings? En dan onder outbound voor de betreffende andere omgeving alleen de juiste mensen het toestaan.

[Blokker_1999]

Ik heb gelukkig een test tenant om mee te spelen en te proberen, voordeel van een Visual Studio subscription te hebben

[Blokker_1999]

Nope, not gonna work. De setting voorkomt dat gebruikers uitgenodigd kunnen worden, maar eenmaal uitgenodigd, en daarna op de block list, blokkeert het hun authenticatie naar de externe tenant niet.

[HKLM_]

Blokker_1999 schreef op zaterdag 28 maart 2026 @ 18:49:
Nope, not gonna work. De setting voorkomt dat gebruikers uitgenodigd kunnen worden, maar eenmaal uitgenodigd, en daarna op de block list, blokkeert het hun authenticatie naar de externe tenant niet.

Ik denk dat jij dit niet kan doen vanuit je tenant, als zij met een guest account aanmelden op een andere tenant (AVD) dan ligt de autorisatie bij de andere tenant en zijn zij in charge m.b.t conditional access bijvoorbeeld.

Enige waar ik nog aan denk is iets met IP whitelisting (hun IP's) van hun AVD aan jullie kant maar dat is wel een beetje beunhazen denk ik.

[ Voor 11% gewijzigd door HKLM_ op 28-03-2026 19:08 ]

[Blokker_1999]

Klopt, daar lijkt het op. Rottigste is dat ik wel netjes op de bron tenant in de sign-in logs kan zien dat er een authenticatie plaatsvindt, en die gaat ook netjes door mijn standaard CA policies, maar ik krijg geen controle om selectief om te springen met welke gebruikers naar welke externe tenant mogen. Had MS nu ook niet even de resource tenant als een mogelijk doelwit aan de CA policies kunnen toevoegen? Dan was dit in 5 seconden opgelost. Want voor inkomende guest gebruikers kan je wel policies aanmaken, zelfs per tenant als je wenst.

Wat mis ik mijn vorige werkgever, waar we dit soort problemen niet op een technische manier probeerden op te lossen, maar puur met geschreven policies.

[ Voor 12% gewijzigd door Blokker_1999 op 28-03-2026 19:11 ]

[F_J_K]

Dat laatste is hier sowieso aan de orde, als de andere kant zich verantwoordelijk heeft gemaakt voor de autorisaties.

[HKLM_]

Blokker_1999 schreef op zaterdag 28 maart 2026 @ 19:10:
Klopt, daar lijkt het op. Rottigste is dat ik wel netjes op de bron tenant in de sign-in logs kan zien dat er een authenticatie plaatsvindt, en die gaat ook netjes door mijn standaard CA policies, maar ik krijg geen controle om selectief om te springen met welke gebruikers naar welke externe tenant mogen. Had MS nu ook niet even de resource tenant als een mogelijk doelwit aan de CA policies kunnen toevoegen? Dan was dit in 5 seconden opgelost. Want voor inkomende guest gebruikers kan je wel policies aanmaken, zelfs per tenant als je wenst.

Wat mis ik mijn vorige werkgever, waar we dit soort problemen niet op een technische manier probeerden op te lossen, maar puur met geschreven policies.

Geen idee of het past maar even droppen: Kan je dan niet een conditional access policy maken welke vanuit de network selectie een block doet naar de IP'adressen van de klant zijn AVD met standaard een block access tenzij je vanuit jullie proces in een CA wordt gezet welke het wel toe staat?

[Gr4mpyC3t]

Blokker_1999 schreef op zaterdag 28 maart 2026 @ 12:13:
Eens zien of hier nog iemand een idee heeft.

Om ondersteuning te geven op de het product dat wij verkopen aan onze klanten (en dat zijn grote bedrijven, geen consumentenspul) hebben we een standaard oplossing om aan de servers bij de klant te komen, maar we zijn flexibel. Wij hebben evenwel de vereiste dat wij van onze kant uit, op automatische wijze, onze gebruikers (zowel support specialisten als consultants in geval van implementaties) toegang moeten kunnen geven en ontnemen. Heb je geen project, ticket of bug, dan hoor je geen toegang te hebben tot die klant.

1 van onze klanten wenst nu evenwel geen gebruik te maken van onze standaard oplossing omdat dat niet in hun beveiligingsmodel past maar wil dat onze mensen gaan verbinden via Azure Virtual Desktops met behulp van een guest account in hun tenant. Ik zie evenwel geen enkele mogelijkheid langs mijn kant om accounts wel of geen toestemming te geven om als guest aan te melden in die specifieke tenant. Weet er iemand of daar wel een mogelijkheid voor is?

Als die organisatie dat wil, dan zit je al snel in de Identity Governance hoek, waar zij onder andere met Access Packages aan de slag moeten.

De access package is dan de aanvraag/onboarding van je collega’s in de tenant van de klant, waarna via automatische groepslidmaatschap (op basis van die access package) iets met Privileged Identity Management moet gebeuren.

Maar dat is nogal een proces en kom ik eerlijk gezegd weinig tegen bij organisaties. Dan moet zo’n klant wel in staat zijn om zo’n proces te bedenken en ook om te zetten in techniek.

Ik wil dat best wat verder uitdiepen voor je als ik tenminste je vraag goed begrepen heb.