Skip to Content

IT nieuczesane.

zarządzanie użytkownikami w hybrydzie

ponieważ to pytanie wraca do mnie niemal przy każdym projekcie i ponieważ obserwuję problem w zrozumieniu tych mechanizmów, zamieszczam krótkie podsumowanie najważniejszych informacji, które powinny pomóc w przygotowaniu doqmentacji ‚zarządzania użytkownikiem’ oraz administracji w środowisq hybrydowym.

‚Hybryda’

wedle moich obserwacji najważniejsze, a zarazem wymykające się intuicji jest to, że ‚hybryda’ tak na prawdę w większości wdrożeń powinna być nazywa ‚hybrydy’ – w liczbie mnogiej. w standardowym scenariuszu mamy bowiem:

  • hybryda tożsamości – połączenie pomiędzy AD i AzureAD. obiekty wraz z atrybutami synchronizowane są z onprem do Chmury, zapewniając (przy odpowiedniej konfiguracji) pojedynczą tożsamość i SSO (lub same-password w mniej wykwintnej implementacji)
  • hybryda Exchange – połączenie pomiędzy Ex a EXO. to co zaburza intuicję jest fakt, że wiele atrybutów Exchange jest przechowywanych w AD i synchronizowanych w ten sam sposób. jednak włączenie/wyłączenie hybrydy Exchange to w dużej mierze właśnie zdefiniowane czy ten zestaw atrybutów ma być synchronizowany czy też nie.
  • hybryda SfB – czyli połączenie pomiędzy onpremowym Lync/SfB a SOL/Teams. i tutaj podobnie jak w przypadq Exchange – mylącym jest fakt, że w takim środowisq informacje na temat konta SfB są zapisywane w AD i tak synchronizowane.

każdą z nich można mieć lub nie mieć … no ok, hybryda tożsamości musi być w każdym scenariuszu – ale Ex czy SfB to już kwestia wymagań klienta.

teoretycznie ‚hybryda’ powinna dawać jedno, centralne miejsce zarządzania i unifikację… de facto sprawa jest bardziej zagmatwana, ale poniżej przedstawione zasady powinny pomóc

Zarządzanie użytkownikami

zarządzanie użytkownikami w środowisq tożsamości hybrydowej odbywa się w zasadzie w pełni z onprem. w tym przypadq jest zatem najmniej zmian w kwestii procedur zarządzania.

wyjątkiem są:

  • zarządzanie licencjami, ale wtedy na pomoc przychodzi Group-Based Licensing .
  • wymuszenie zmiany hasła
  • do różnic można dorzucić jeszcze rozwiązywanie problemów i audyt – oczywiście zdarzenia logowania i te ‚ruchome elementy’ dzieją się w ramach AAD więc tutaj też trzeba sięgnąć do chmury…. a w zasadzie do obu środowisk na raz (a w ogóle to najlepiej jakiś SIEM zintegrowany).

należy dodać do tego pewne bardziej skomplikowane sytuacje, ponieważ wybór strony gdzie należy wykonać akcję może się różnić zależnie od metody uwierzytelnienia (PH, PTA, ADFS) lub wdrożenia SSPR – ale to są wszystko kwestie z zakresu obsługi hasła czy blokady konta.

Zarządzanie Exchange

ten element jest najbardziej kłopotliwy i hybryda Ex generalnie ma swoje specyficzne ograniczenia… największą pomocą jest tutaj traktowanie oddzielnie skrzynki i użytkownika. w ogólności są dwie perspektywy: administracja serwisem i użytkownikiem. pierwsze jest proste do wyjaśnienia:

  • Ex i EXO są rozdzielne – polityki bezpieczeństwa, mail flow, ustawienia globalne – robi się oddzielnie po obu stronach i nie są to elementy podlegające synchronizacji.
  • sprawa jest dość skomplikowana w przypadq polityki maili (recipient policies) bo … przenikają się częściowo. nie mogę teraz znaleźć linka.. ale w uproszczeniu najlepiej też zarządzać z onprem – ponieważ tam jest konto użytkownika i synchronizowany atrybut ‚proxyAddresses’

przy zarządzaniu pojedynczym użytkownikiem:

  • operacje związane z kontem użytkownika wykonuje się z onprem (aliasy mailowe, zmiany nazw/opisów/informacji)
  • operacje związane ze skrzynką – po tej stronie gdzie jest skrzynka [bo może być przecież albo tu albo tam] (limity skrzynki, statystyki, uprawnienia). w skrócie to, co robi ‚set-mailbox*‚ wykonuje się tam, gdzie ten mailbox leży.

jest kilka ‚dzwinostek’ typu uprawnienie ‚send as’ które wynika z faktu, że jest de facto zapisywane w AD i niesynchronizowane. zarządzanie, czy wspomniane przetwarzanie polis recipient policies, które w specyficznych przypadkach może wydawać się niespójne… są też różnice zależnie czy która wersja jest w OnPrem (zwłaszcza, jeśli to Ex 2o1o).

napisanie spójnych procedur zarządzania dla Exchange Hybrid jest wyzwaniem.

Zarządzanie SfB

do czasu Teamsów sprawę dało się jeszcze ogarnąć. szczęśliwie dla SfB w zasadzie nie ma specjalnie zarządzania

  • konto w hybrydzie trzeba włączyć/wyłączyć, co robi się oczywiście po stronie onprem,
  • wszelkie zarządzanie danymi o userze to de facto zapis do AD – więc też onprem

są oczywiście elementy integracji VoIP, polisy czy inne elementy usługi – i to jest rozdzielnie dla każdej strony.

  • przypisanie polis – to tam, gdzie jest konto SfB, oddzielne są polisy więc zależnie od strony hostującej, tam się te polisy definiuje i przypisuje.

hybryda SfB jest imho najtrudniejsza do zestawienia ale najmniej potem przy niej administracji i ‚ruchomych elementów’ a najtrudniejsze części to równocześnie te najrzadziej wykorzystywane czyli część integracji z VoIP, cloud PBX itp.

procedury administracyjne nie wymagają zatem specjalnych zmian.

na zakończenie

o ile hybryda tożsamości to ‚must have’ dla każdego środowiska opartego o AD, o tyle przejście do cloud-only i rezygnacja z hybrydy jest posunięciem często możliwym a w takim przypadq – sugerowanym. środowiska hybrydowe tylko pozornie są ‚zunifikowane’ – po obu stronach barykady (firewalla) są produkty w innych wersjach i choć mają symulować ‚jedną organizację’ to jest to proteza, która wprowadza sporo niejasności i komplikacji w konfiguracji i zarządzaniu. konieczność wykorzystania PowerShell do części zadań powoduje, że niektóre zadania normalnie wykonywane przez helpdesk, nagle są eskalowane do 2giej linii. przykładem mogą być procedury provisioningu użytkownika w hybrydzie Ex1o z EXO – gdzie nie ma wsparcia zakładania konta ze skrzynką online z interfejsu, a skrzynkę współdzieloną da się tylko zrobić hackując z poziomu atrybutów AD bo nawet PowerShell w tej wersji nie ma opcji ‚-Shared’ która pojawiła się w Ex13.

przejście dla tych usług na cloud-only znacznie ułatwia administrację.

eN.

Spotkania w czasie kryzysu

jest dziwnie. osobiście czuję się jakbym był częścią filmu SF o pandemii… tyle, że to się dzieje na prawdę. ponieważ pracuję w większości zdalnie, nie odczuwam tak tej kwarantanny ani paniki. zacząłem to lepiej rozumieć w momencie, kiedy zorganizowaliśmy otwarte wydarzenie dla pracowników. i o tym wydarzeniu chciałem trochę opowiedzieć w dwóch kontekstach.

TECHNICZNIE

korzystamy z Teams Live Event. max liczba odbiorców to 1oK więc nawet duża organizacja może zrobić otwarte wydarzenie dla pracowników. konfiguracja jest dość prosta. nie korzystałem z żadnych dodatkowych narzędzi tym bardziej, że wszyscy prezentujący byli w domach. TLE działa inaczej niż zwykłe Teamsy i służy tylko do broadcastowania – video i voice nadają tylko prezenterzy/producenci a uczestnicy tylko słuchają. można włączyć funkcję QnA aby mieć kontakt z uczestnikami.

cały streaming, aby był skalowalny na takie liczby idzie przez Azure Media Services. wadą jest 1o-2o sek opóźnienia dla odbiorcy końcowego (więc nie tak 1oo% live) ale to nie przeszkadza przy tej skali eventu. pomimo kłopotów jakie ostatnio występują u dostawców chmury publicznej, wydajność i działanie – bez zarzutu. oczywiście zdarzało się, że komuś domowe wifi słabo działało ale to już niezależnie od usługi. mamy okres globalnego stress testu sieci na całym świecie.

jestem bardzo pozytywnie zaskoczony tym jak TLE działa – narzędzie jest proste, może nawet trochę prymitywne, ale w 9o% scenariuszy to wystarcza, a całość jest płynna, daje możliwości przeanalizowania statystyk i wrzucenia nagrania np. na Streams.

PSYCHOLOGICZNIE

na pierwsze spotkanie dołączyło 55o osób. dwa-trzy dni później, na kolejnej edycji, ta liczba została zdublowana.TLEspotkanie prowadzone przez Chiefs, Heads, Directors itp. jednymi z najczęściej zadawanych pytań to ‚czy stracimy pracę?’ oraz ‚czy adopcja pracy zdalnej zostanie po kwarantannie?’. o ile pytanie o qlturę jest po prostu ciekawe, to ogólnie przeglądając QnA i pytania jakie zadają ludzie uświadomiły mi jak bardzo ludzie boją się – nie wirusa, ale o przyszłość, co po nim? pracując z domu, trochę jakbym miał normalnie kwarantannę. ale dla osób pracujących klasycznie, w biurze, przyzwyczajonych do przemieszczania się i ciągłego spędzania czasu wśród ludzi … to olbrzymia zmiana. pozostawienie z własnymi myślami i zatruwani wiadomościami o rosnącej liczbie zarażeń… ludzie się boją. choć szukając odrobinę pozytywnego aspektu – dobrze, że boją się o przyszłość, a nie tego co jest teraz, bo to oznacza, że jeszcze nie jest tak tragicznie, że każdy tą przyszłość widzi i nie jest to jeszcze apokalipsa (choć i takie głosy dochodzą mnie już brrrr!).

PODSUMOWUJĄC

widzę jak ważne jest ‚spotykanie się’. w różnych kontekstach. ludzie w tej trudnej chwili potrzebują pocieszenia w postaci konkretów, faktów, informacji wskazującej co będzie dalej, zbudowania wizji przyszłości. uważam, że to zacna inicjatywa i polecam wszystkim firmom/organizacjom na robienie spotkań – w mniejszych lub większych grupach. nie pozostawiać swoich pracowników samym-sobie, aby nie pogrążali się w strachu i panice.

to ważny czas dla każdego aby wyłuskać z siebie trochę mocy i podjąć inicjatywę -zarówno firmowa jak prywatnie – i organizować jakieś spotkania. być razem. szczęśliwie żyjemy w czasach w których miejsce fizycznie nie musi nas więzić i możemy spotykać się w wirtualu. hasło ‚tomorrow is today’ spadło nam na karki i trzeba wycisnąć z tego wszystko dobre co się da.

NIE PODDAWAJCIE SIĘ DEPRESJI I PANICE, sięgajcie o pomoc do znajomych i szefów, organizujcie się!

eN.

search nie działa

hmmm… nie wiedziałem, że to problem globalny – forbes z pewnymi przymyśleniami – ale piszę bo rozwiązanie jest trywialne, zajmuje 3 min i zadziałało na razie na każdym kompie:

w kluczu HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Search trzeba założyć wartość ‚BingSearchEnable’ = 0

i przelogować się.

za to z searchem ogólnie coś się ostatnio dziwnego dzieje i od razu wpływa to na pracę – zarówno zmieinone wyszukiwanie w Outlook działa fatalnie, nie jestem w stanie wyszukać tego, co potrzebuję, jak i OneNote – nie podświetla wyniqw, wyszukuje niepełne frazy… czy to ma związek? czy Bing search jest wykorzystywany pod spodem, w lokalnym wyszukiwaniu? wszystkie arty i krzyki mówią o systemowym, a ja mam takie wrażenie, że z każdym jedynym nie jest dobrze…

eN.

117 WGUiSW

już jutro, o4.o2.2o, 117 WGUiSW, jak zwykle w siedzibie MS.

w ramach tegoż spotkania będzie i moja krótka prezentacja w ramach ‚WGUiSW Hobby’. to bardzo ciekawa inicjatywa, gdzie opowiadamy o … swoim hobby. dzięki tym sesjom dowiedziałem się ciekawych rzeczy o kilq nie-technicznych aktywnościach, ale przede wszystkim o samych uczestnikach, którzy już podzielili się swoimi zajawkami. fajnie w końcu poznać się bardziej prywatnie – niektóre osoby znam od wielu lat, a w sumie niewiele mogę powiedzieć poza ‚interesuje się M365’ czy ‚jest dobrym inżynierem’. dla tego postanowiłem podzielić się i ja (:

eN.

ITechDay 2o

ITechDay 2o2oo3.o3 2o2o to fajna data, w sam raz na świetne wydarzenie. i nie inaczej, bo tego dnia odbędzie się ITechDay, tak jak ostatnio – na Wyższej Szkole Menedżerskiej. pojawia się nowa ścieżka – IT Hyde Park, na którym będą krótkie sesje po 2o min, na których będziecie mogli wejść, coś na szybko posłuchać lub pójść pozwiedzać stoiska partnerów.

dobra informacja – sprawdzajcie www.itechday.pl, bo będą jeszcze bilety!

TEMATYKA KONFERENCJI

Społeczność WGUiSW.org (Warszawska Grupa Użytkowników i Specjalistów Windows) wraz z Partnerami gorąco zapraszają na kolejną konferencję z cyklu ITechDay. Tematami wiodącym będą:

  • rozwiązania chmury publicznej i prywatnej
  • aspekty gromadzenia i bezpiecznego przechowywania danych
  • konfiguracja i zarządzanie urządzeniami mobilnymi
  • zapewnienie wysokiej dostępności
  • automatyzacja zadań w środowiskach IT
  • analiza i ocena zabezpieczeń infrastruktury IT

SESJE ITECHDAY

  • IT Innovation – prelekcje, których wspólnym mianownikiem będzie pomysłowość zastosowania technologii IT w różnych branżach i gałęziach przemysłu
  • Case study – ścieżka oparta wyłącznie na realnych przykładach i implementacjach środowisk produkcyjnych. 100% praktyki gwarantowane!
  • Cloud IT – chmura zagościła na dobre w naszych środowiskach IT. Te sesje zabiorą Was w podróż po najnowszych rozwiązaniach chmury publicznej, prywatnej i hybrydowej.
  • IT Hyde Park – krótkie – 10 i 20 minutowe sesje mające na celu zwrócenie uwagi zarówno na nowinki jak i na czasami pomijane ale ogromnie przydatne tematy. Prowadzący – doświadczeni inżynierowie a także dopiero wkraczający w świat IT młodzi ludzie.

PARTNERZY WYDARZENIA

  • CBSG Polska
  • DELL
  • Elitmind
  • Eurocert
  • Greeneris
  • Hewlett Packard Enterprise
  • Infowave
  • Innergo
  • Kingston
  • Luxoft
  • Microsoft
  • Mine Master
  • MWT Solutions
  • Narodowe Centrum Bezpieczeństwa Cyberprzestrzeni
  • Oktawave
  • QNAP
  • Quest Dystrybucja
  • Veeam

PARTNER HONOROWY

  • Ministerstwo Obrony Narodowej

eN.

sesje zdalne PS – kto jest zalogowany?

SSO potrafi spłatać figle. czasem otwiera się sesję PS do o365 i pytanie… w jakim kontekście działa ta sesja? usera czy admina?

można to łatwo sprawdzić:

eN.

EXO V2

muszę (przynajmniej częściowo) odszczekać to, co pisałem w nie tak dawno temu – konkretnie część dotyczącą ClickOnce dla Exchange Online. w końcu, po wielu cierpieniach pojawił się moduł EXO V2 – i to na chwilę przed wpisem, czyli moje przeoczenie. w końcu można normalnie zainstalować z repozytorium! co prawda konsola wita jeszcze w klimacie helloween, z dreszczykiem, ale i to powinno wkrótce się zmienić:

nie tylko instalacja jest doprowadzona do normalności, ale pojawiło się wiele nowych commandletów. osoby pracujące z EXO na pewno odetchną z ulgą (:

eN.

 

MFA, SSPR – ‚unified experience’?

scenariusz

typowy w-files czyli hejcik przy kawie. dziś o konfiguracji MFA oraz fakcie, że od czasów portalu Azure, który niewielu już pamięta, ten fragment cały czas jest w starej wersji. można się do niego dostać linkiem https://account.activedirectory.windowsazure.com/UserManagement/MultifactorVerification.aspx i wygląda tak:

…już pominę kwestię, że MFA jest jednym z częściej koniecznych obszarów do obsługi przez 2gą linię, a nie ma możliwości użycia RBAC i konieczny jest Global Admin, czy taki szczegół, że ‚podpowiedzi’ pokazują prywatne pule adresowe (LoL).

żeby zaadresować te problemy i w końcu dać nowy interfejs, powstał ‚combined security information registration (preview)‚. na razie ‚preview’ – chociaż nie wiem po co w tych czasach dodawać taki dopisek, skoro wszystko jest w metodyce CI/CD co oznacza ‚neverending preview’. dodajmy teraz do tego SSPR – czyli Self-service Password Reset. konfiguracja wygląda tak:

 

efekt?

otóż ustawienia metod uwierzytelnienia dla MFA, skonfigurowane w SSPR mają pierwszeństwo nad ustawieniami z MFA server. czyli np. :

  • chcielibyśmy dać możliwość ludziom użycie dowolnej metody 2FA (call, text, app) i równocześnie wymusić, że podczas zmiany hasła musimy skorzystać z odpowiadania na pytania – nie da się. jeśli włączymy X metod uwierzytelnienia, te same będą dozwolone przy resecie hasła.
  • konfiguracja MFA z panelu użytkownika znika. na razie nie udało mi się znaleźć jak ‚wyklikać się’ do ekranu zmiany opcji. użytkownik musi skorzystać z linka bezpośredniego – https://aka.ms/mfasetup .
  • nawet jeśli SSPR jest konfigurowany tylko dla ograniczonej ilości osób (np. przez grupę), to i tak te opcje działają na wszystkich
  • nie oznacza to wcale, że stary MFA server setup jest już zbędny! ponieważ to jest jedyna opcja, która działa z nowego miejsca – cała reszta, czyli opcja trusted IP czy ile czasu MFA jest cache’owane – to wszystko konfiguruje się ze starego panelu.

no. łatwiej teraz jest, nie?

eN.

 

115 WGUiSW

zapraszam o3.12.2o19, 18:oo, na 115 WGUiSW. zwyczajowo – w siedzibie MS, al. Jerozolimskie, Wawa.
to już ostatnie spotkanie w tym roq kalendarzowym, a więc przedświątecznie-choinkowo.

szczegóły dot. sesji na stronie społeczności. jest i mój slot – poopowiadam trochę o Just-in-Time Administration w M365.

eN.

ClickOnce

emotHateporanny hejcik przy kawie.

jest sobie taka stara technologia dostarczania aplikacji – ClickOnce. i chociaż na stronach eMeSu nie ma informacji, że jest ‚depricated’ mimo to – jest. z tym rodzajem instalacji można spotkać się w kilq miejscach w M365 – trafiłem na trzy, pamiętam dwa:

  • instalacja PowerShell dla EXO w hybrid mode
  • eDiscovery export tool

sposób w jaki taka apka jest opublikowana powoduje, że nie da się (standardowo) użyć opcji ‚uruchom jako’, udostępnić komuś, przenieść między profilami czy cokolwiek innego. ale nie to jest najpasqdniejsze. na tej stronie jest informacja, że aby uruchomić aplikację należy mieć Internet Explorer. jest też info o FF z jakimś dodatkiem – tego nie testowałem ale nie omieszkam. drugą przeglądarką, choć nie wymienioną, był/jest Edge. był – ponieważ nowy Edge, na Chromium już nie jest. pozostaje więc konieczność używana IE /:

drogi Microsofcie… czasem brak mi słów. z jednej strony wszyscy przestali nadążać za nowo-pojawiającymi się opcjami, dodatkami, panelami etc – a z drugiej, podczas dochodzenia w incydencie bezpieczeństwa trzeba odpalać spapranego IE, o którym cały świat wolałby już zapomnieć i waszym interesie jest, żeby to się stało ASAP…

eN.

%d bloggers like this: