Microsoft nie dostarcza produktów a platformę

Optymalizacja ROI

Klienci uzbrojeni w licencje Microsoft chcą osiągnąć maksymalny ROI [Return of Investment], żeby nie płakać co miesiąc wydając tysiące, dziesiątki tysięcy czy wręcz setki tysięcy PLN [licencja M365 E5 to obecnie €53.7o x 1o.ooo userów – i mamy €537oo miesięcznie]. firmy więc szukają oszczędności na dwa podstawowe sposoby:

• biorą minimalne licencje – np. tylko Office365 E1/E3 czy wersje Business dla mniejszych
• starają się jak najlepiej zutylizować te licencje, które posiadają – np. rezygnując z produktów, na rzecz tego, co jest w ofercie Microsoft – zastąpić DropBox przez OneDrive czy webEx przez Teams

pierwsza opcja sprawdzi się w zasadzie tylko dla małych firm… i tutaj właśnie wchodzi ‘M365 to platforma’. licencje podstawowe typu E1 czy Business Standard pozbawione są [drogich] elementów bezpieczeństwa – co dla wdrożenia Enterprise jest zazwyczaj niedopuszczalne. Najłatwiej byłoby oczywiście sięgnąć po licencje M365 E3 lub E5… i wtedy oczywiście pojawia się sposób drugi – próba optymalizacji wykorzystywanych produktów, wykorzystanie funkcji w ramach posiadanych licencji i pozbycie się tego, co się dupliqje.

niby oczywiste, ale podane wcześniej przykłady – DropBox czy WebEx – są bardzo proste i odnoszą się właśnie do ‘produktu’. czyli aplikacji/rozwiązania realizującego określony cel. ale wiele rozwiązań jest bardzo złożonych – np. rozwiązania DLP, audyty i monitoring [SIEM i monitoring systemów], systemy EndPoint Protection itp. .

I teraz firma zwraca się z prośbą o porównanie – dajmy na to Symantec DLP z DLP dostępnym w ramach M365, aby sprawdzić czy funkcjonalności dostępne w ramach M365 są wystarczające i czy można zrezygnować z kosztów związanych z produktem, potencjalnie duplikującym możliwości, za które płaci. oczywiście pierwszy odruch – sprawdźmy Gartnera… i okazuje się, że Microsoft w ogóle nie występuje na liście dostawców DLP. [ i jeszcze np. tutaj lista wyróżnień za 2o19 ]. sprawdzamy stronę Microsoft DLP – bida. faktycznie możliwości niewielkie….

ALE

“M365 to platforma a nie produkt”

nie będę próbował udowadniać, że DLP dostarczane przez Microsoft jest lepsze niż firm, które dostarczają produkty DLP – nie jest. ale też należy spojrzeć się na problem holistycznie i zrozumieć środowisko klienta oraz całe rozwiązanie M365. część, która faktycznie widnieje pod nazwą DLP jest uboga, ale uzupełniają ją inne produkty, rozwiązania, aplikacje:

• jest część funkcjonalności stricte nazywająca się DLP w M365
• w zasadzie cała szersza część tzw. ‘Compliance&Security’ adresuje niektóre elementy DLP. choćby np. polityki retencji danych czy mechanizm Sensitive Labels, a można wymieniać więcej
• część funkcjonalności dostępne jest jako mechanizm wbudowany OS Windows – np. WIP (Windows Information Protection) – co podlega zarządzaniu, zależnie od MDM dla Windows – czy to przez GPO, czy SCCM czy przez InTune jako urządzenie mobilne. DLP to przecież również prawidłowe zabezpieczenie prawidłowości konfiguracji stacji
• do tego dochodzą produkty bezpieczeństwa takie jak CASB/MCAS (Microsft Cloud App Security) do kontroli sesji i reguł alertowania i monitoringu, cała konfiguracja polityki ochrony tożsamości, czy MDATP (Microsoft Defender ATP) działający jako część całego ekosystemu po stronie endpointów, czy AATP (Azure ATP) – co prawda to rozwiązania bardziej do monitoringu bezpieczeństwa ogólnie, ale pewne elementy się wzajemnie uzupełniają

zwłaszcza ostatni przykład jest istotny – MDATP staje się bardzo ważnym komponentem całej układanki. oczywiście to przede wszystkim rozwiązania EDR/EPP [w EPP Microsoft jest liderem na magicznym kwadracie] – ale czyż ‘bezpieczeństwo’ nie wymaga spojrzenia holistycznego? funkcje się nawzajem przenikają, uzupełniają – w końcu mają finalnie zapewnić pełną ochronę. Wdrażając pełny stack M365 może się okazać, że ochrona którą zapewnia jest wystarczająca.

problem na jaki natrafiam to fakt, że… to się nie spina w tabelkach. bardzo często firma mogłaby [długofalowo] wprowadzić oszczędności i lepiej zutylizować posiadane licencje M365, ale projekt architektury jest zbyt wybiórczy, nie próbuje rozpatrywać jako całość, sqpiając się na pojedynczej funkcjonalności. i tak kiedy wpisze się w excelu że ‘produkt firmy A robi to i to’ a obok czy ‘Microsoft X to robi?’ – często może wypaść to na niekorzyść M365.

jak zdecydować?

wybrałem DLP nie bez powodu – bo to faktycznie jedno z trudniejszych porównań. podstawowym problemem w tym kontekście jest brak uniwersalności. ale każda firma/organizacja [i jej potrzeby] są specyficzne, i nie da się podać gotowej odpowiedzi bez dobrego zrozumienia ekosystemu i wymagań. pociągnę zatem porównanie na przykładzie DLP:

• czy rozwiązanie ma zapewnić ochronę na serwerach on-premise? Microsoft’owe DLP potrafi to w bardzo ograniczonym zakresie, więc może nie wystarczać
• czy ochrona ma obejmować stacje działające na systemach typu Linux, OSX czy innych wynalazkach? zazwyczaj backoffice działa na Windows ale wiadomo – OSX jest również popularną stacją roboczą. jeśli odpowiedź jest pozytywna – to dochodzi kolejna kwestia…
• gdzie są przechowywane dane. cały czas firmy żyją wedle starych przyzwyczajeń i dane są na serwerach onprem i stacjach użytkowników – więc może warto pomyśleć o prawidłowej adaptacji Chmury i przenieść się do OneDrive/SharePoint? uniezależnić stacje robocze od lokalnego AD i lokalnych serwerów i zacząć tworzyć je według idei ‘mobile workstation’, z danymi w Chmurze, zarządzane przez InTune? a wtedy również MS DLP będzie bardziej przydatne – bo zoptymalizowane jest właśnie pod takie zastosowanie.

to tylko kilka z podstawowych pytań, ale idea jest prosta – przyjrzeć się środowisq nie ‘tu-i-teraz’ ale raczej pomyśleć o środowiq ‘2b’ – przyszłym. krótkofalowo może nie opłacać się wymienić tego-czy-innego komponentu, ale jeśli ustali się długofalową strategię przejścia do Chmury, to koszty i ROI liczy się nie w perspektywie pojedynczej inwestycji, tylko całego rozwiązania. przy pełnej strategii na np. 5 lat, i wyznaczeniu kierunq, tak modnego obecnie ‘Digital Transformation’, nie rozpatruje się pojedynczego elementu i jak on pasuje do nas, tylko można spojrzeć z przeciwnej perspektywy – jak my możemy się zmienić, żeby najlepiej zutylizować licencje, za które płaci się grube pieniądze, i oczywiście jak powinniśmy się zmienić – żeby faktycznie zacząć korzystać z możliwości jakie dają rozwiązania Chmurowe. usilne trzymanie się przyzwyczajeń ‘myślenia on-premise’ będzie kotwicą dla całej idei transformacji.

eN.

opcje spotkań Teams i wspólne oglądanie

dodatkowe opcje spotkań Teams

Teams przeżywa boom, jednak wiele opcji pozostaje niezbyt jasnych, drobna porcja nieoczywistości – czyli dodatkowe opcje spotkań Teams.

z niewyjaśnionych przyczyn, pewne opcje spotkania Teams nie są dostępne ‘normalnie’ podczas tworzenia spotkania, a co najmniej jedno z nich jest bardzo przydatne. owa ważna opcja to możliwość zdefiniowania kto może prezentować. standardowo – każdy, bo Teams historycznie jest narzędziem ‘agile’ do pracy ‘współdzielonej’ na równych warunkach. w tym przypadq rzeczywistość weryfiqje konieczność pracy z dziećmi i prowadzenie zajęć – bo o ile na spotkaniu firmowym nikt raczej nie zacznie nagle pokazywać swojego ekranu, ale z dzieciakami wiadomo… czy też raczej właśnie nic nie wiadomo.

ogólnie ‘opcje dodatkowe’ to:

• kto może nie czekać w lobby – standardowo ‘zewnętrzni’ czekają. niestety braqje opcji ‘nikt’ tak aby każdy musiał poczekać na prezentera /: póki co goście poczekają w poczekali a osoby z tego samego tenanta to ‘bliska rodzina’ która może wejść w dowolnym momencie.
• dwie opcje dotyczące ‘wdzwanianych’ – opcja wymaga service planu ‘Audio Conferencing’ która umożliwia dołączenia via PSTN (zwykły telefon). opcje pozwalają ustawić lobby oraz wyłączyć powiadomienia głosowe kiedy ktoś dołącza lub opuszcza spotkanie z telefonu (mega rozbijające).
• no i wspomniana opcja ‘kto może prezentować’.

co ciekawe… większości ustawień standardowych dla tych opcji nie da się wysterować się administracyjnie. są opcje dotyczące ‘wdzwanianych’, dla ułatwienia inaczej się nazywają:

ogólnie dla osób szukających co można w Teams ustawić/włączyć/wyłączyć – przypominam, że jest panel https://admin.teams.microsoft.com …. wraz z przypomnieniem o ostrożności (;

jak dostać się do opcji

do opcji można dostać się dopiero PO założeniu spotkania. trzeba z powrotem wejść do spotkania i wśród wygenerowanych linqw pojawia się ‘Meeting Options’ – można wejść zarówno z kalendarza Outlook czy Teams, bo to po prostu część ‘tekstu’, opisu spotkania.

wspólne oglądanie

na koniec opcja, o którą męczyła mnie córa, dla której Teams to teraz podstawowy sposób na spotkania ze znajomymi – jak wspólnie pooglądać YouTube?

proste ale nieoczywiste. wystarczy mieć możliwość prezentowania (czyli by default każdy), wybrać opcję prezentowania (sugeruję tylko przeglądarkę a nie cały pulpit, choć to nie ma znaczenia dla tego działania) i należy zauważyć, że jest tam opcja, która jest standardowo wyłączona – ‘Include system audio’ – dzięki której dzieciaki mogą wspólnie bawić się Internatami (;

eN.

Jak nie zakładać spotkań MS Teams

opis problemu

spotkanie w Teams każdy umie założyć. nic wielkiego – ot wchodzimy do kalendarza Outlook czy Teams i klikamy ‘new Teams Meeting’. mniej-więcej. ale przy zakładaniu spotkań hurtowo, szukamy drogi na skróty. i nagle zaczynają się dziać dziwne rzeczy – jedne osoby weszły na inne spotkanie niż pozostałe, a to nagle pojawia się jakiś stary chat, który tu nie powinien być, a to nie to spotkanie, którego się spodziewaliśmy? o co chodzi? dla czego tak się dzieje?

przykłady scenariuszy biznesowych przy których tak się działo otrzymałem od osób, które zajmują się organizacją spotkań i robią ich wiele dla różnych grup…

o co cho? czyli jak nie tworzyć spotkań Teams

aby zrozumieć problem musiałem najpierw zrozumieć jak te osoby zakładają spotkania. okazało się, że dla przyspieszenia procesu robią np:

• copy-paste spotkania zmieniając osoby
• ‘przesuwanie’ spotkania z przeszłości w przyszłość, żeby je powtórzyć
• kopiują link do spotkania, tworzą maila do wybranych osób i wysyłają link zwykłym mailem lub zaproszeniem do kalendarza
• różne kombinacje powyższych metod polegające na ‘jakimś skopiowaniu’ informacji o spotkaniu i wysłaniu go innym kanałem. jednym z najgorszych (co zaraz pokażę) opcji jest założenie spotkania Teams, po czym wklejenie do zaproszenia linku z innego zaproszenia…
• ciekawym scenariuszem jest – jak zaprosić osoby na spotkanie tak, żeby były w BCC a nie widoczne. ale, to tak tylko na boq…

no więc o co chodzi? dla czego zaczynają się dziać dziwne rzeczy? wynika to z tego czym ‘Teams Meeting’ jest.

nietechniczne, najlepiej traktować każde nowo utworzone spotkanie jako ‘stworzenie nowego pokoju (wirtualnego)’, w którym jest biurko/szafa, na którym zachowywane są materiały używane podczas spotkania – chat, nagrania, załączone pliki etc. to jest clue całości, więc powtórzę, trochę inaczej:

aby móc zachowywać unikalną historię spotkania i materiały z nim związane, dla każdego spotkania tworzony jest oddzielny pokój.

adresem takiego pokoju jest oczywiście link do spotkania, którym zajmę się na końcu – ciekawe dla technicznych. w związq z tym co powyżej, jeśli kopiujemy spotkania – de facto zapraszamy osoby do tego samego pokoju, wraz z jego historią. jednym z najciekawszych scenariuszy jest:

• założyć spotkanie poprzez ‘new Teams Meeting’
• wycięcie treści zaproszenia
• wklejenie linka z innego spotkania, np jakiegoś tam z przeszłości.

w takim scenariuszu są dwa różne linki – jeden zapisany ‘w spotkaniu’ i drugi – wklejony. co techniczne oznacza ‘zapisany w spotkaniu’ za chwilę, a widok normalny to:

i zarówno wchodząc przez opcję wskazaną na obrazq, jak w momencie kiedy kalendarz wyświetla przypomnienie z opcją ‘join online’ – to jest link ‘zapisany w spotkaniu’ i niewidoczny gołym okiem. link ‘wklejony’ jest nieprawidłowym adresem, innego pokoju. w efekcie – część osób kliknie w link, część zatwierdzi popup kalendarza – i mamy dwa spotkania w tym samym czasie.

należy zatem takich ‘przekładanek’ unikać, chyba, że świadomie chcemy trafić do tego samego pokoju, wraz z jego historią.

technicznie

teraz dwie informacje przydatne przy ew. debugowaniu problemów lub po prostu z ciekawości: jak zbudowany jest link to spotkania oraz jak podejrzeć ‘zapisany w spotkaniu’.

konstrukcja linku MS Teams

oto przykładowy (fejkowy) link do spotkania:

https://teams.microsoft.com/l/meetup-join/19%3ameeting_ZjjakKI4NjAtXxY3My00ZYuJLWFmNAbCY2U2YzE3ZGJlYWVm%40thread.v2/0?context=%7b%22Tid%22%3a%22bc6245c1-aabb-9999-b2a1-6219a2cca5dc%22%2c%22Oid%22%3a%2294df7928-cfex-4abc-82cf-1ea2b35afeea%22%7d

na pierwszy rzut okiem widać elementy spotkania i jakieś GUIDy. deszyfracja:

{standardowy link do aplikacji MS Teams} {identyfikator spotkania aka ‘nr. pokoju’} {GUID tenanta AzureAD} {GUID mailboxa w którym jest zapisane. konkretnie ExternalDirectoryObjectId}

czyli adres spotkania składa się z instrukcji: Aplikacja Teams, spotkanie nr “XYZ”, u klienta “contoso.com”, hostowane przez osobę “mr.Hoster”. ta ostatnia wartość wynika z faktu, że informacje dotyczące Teams zapisywane są w skrzynce osoby, która go tworzy. tak, w niewidocznym miejscu, ukryte katalogi. pliki i nagrania oczywiście są na SharePoint – również w ukrytych site’ach, niewidocznych normalnie.

gdzie jest zapisany link do spotkania

a informację ‘zapisaną w spotkaniu’ można podejrzeć w widoku Developer . po włączeniu opcji Developer przejdź do widoq formularza

i tutaj w polach formularza są informacje dotyczące spotkania, m.in. link, który jest pod ‘Join Online’

eN.