ACTIVE DIRECTORY FINE GRAINED PASSWORD

Non so se vi siete mai accoti che in active directory e' possibile applicare solo un tipo di policy per le password. Tutti gli utenti, siano essi domain user o enterprise admin, sono sottoposti agli stessi vincoli di complessita, lunghezza, scadenza ecc. ecc. Questa cosa non va sempre bene, soprattutto in realta piu vaste e dove ad esempio sono trattati dati sensibili o sensibilissimi. FGPP serve proprio a superare questo limite. Non e' una group policy e puo essere applicata a gruppi o utente, ma non ad OU. Nella sostanza viene creo un PSO (password security object) che viene poi applicato a gruppi od utenti specifici.

COME SI FA?
Dalla "Active directory administrative center" console (potete usare anche adsi edit se volete), si seleziona il dominio e si va dentro SYSTEM.
Tra i contaneir presenti troverete anche quello chiamato "PASSWORD SETTINGS CONTAINER". Tasto DX - new - password settings.
Nella scheramata che si aprira impostare le opzioni e scegliere un gruppo a cui assegnarle. Date OK, ed inserire gli utenti nel gruppo assegnato. Siete pronti a verificare che il tutto funzioni

ALCUNE NOTE
Io preferisco usare sempre i gruppi anche nel caso in cui si parli di un singolo utente. A colpo d'occhio capisco le FGPP assegnate controllando a quali gruppi appartiene.
E' una buona idea usare dei nomi di gruppi che richiamino quelli scelti per le policy
Per controllare le FGPP assegnate a gruppi ed utenti usate sempre ADDC. Selezionate il gruppo tasto dx - proprieta - password settings, oppure sull'utente tasto dx - view resultant password settings

GPO - impostazione password
L'impostazione delle opzioni per le password in un dominio viene effettuato dalla default domain policy, andando nel seguente percorso: Policies-Windows settings-security settings-account policies.
Dopo aver fatto le opportune modifiche potete verificare le impostazioni delle password eseguendo secpol.msc da un domain controller.

Ricordate sempre di abilitare il blocco degli utenti dopo un certo numero di tentativi falliti. Meglio un utente bloccato che un server bucato :)

Active directory Recycle bin

Una cosa che credo sia molto utile di AD e' il recycle bin, che non e' abilitato di default.

Come funziona il cestino e come abilitarlo.
Per abilitare il cestino occorre usare la "Active directory administrative center" console.
Nella colonna di destra, dopo aver selezionato il dominio apparira la voce "enable recycle bin". Cliccare e confermare. Al termine della propagazione a tutti i domain controller vederete apparire la nuova OU "deleted objects", ovvero il cestino di active directory. Accedendo alla ou e' possibile vedere gli oggetti cancellati e ripristinarli. Tutto qui :)

ADMT - problemi di accesso alle cartelle condivise

ADMT  - accesso alle cartelle condivise dopo la migrazione.

Dopo la migrazione di utenti da un dominio ad un altro, si possono verificare problemi di accesso alle cartelle condivise.
I primi due punti da verificare sono:

SID History
gli utenti migrati si portano dietro il sid del dominio precedente. Siccome l'accesso degli utenti alle cartelle viene gestito tramite SID, se gli utenti si portano dietro il SID storico, oltre a quello creato durante l'importazione nel nuovo dominio, dovrebbero mantenere i permessi necessari

SID Filtering
Quando viene effettuata la migrazione tra domini, e' necessario creare un trust tra il dominio sorgente e quello di destinazione. Durante questa operazione occorre disabilitare il SID filtering. SID filtering blocca l'accesso alle risorse da parte dei SID origine ameno di autorizzazioni specifiche. Lo scopo e' quello di evitare rischi di sicurezza.

N.B.
Durante la creazione del trust e' necessario che i domini origine e destinazione abbiano nomi DNS e NETBIOS differenti. Se avessero anche solo nomi NETBIOS uguali, non sarebbe possibile creare il trust, e quindi, non sarebbe possibile effettuare la migrazione.

Se l'accesso alle cartelle continua ad essere problematico protrebbe dipendere dal tipo di gruppo oppure dalle dimensioni del "token".

GRUPPI
Per risolvere i problemi di autenticazione potrebbe essere utile cambiare il tipo di gruppo, da global a domain local. Potrebbe sembrare strano, ma i gruppi domain local si portano dietro la SID History come gli utenti migrati.

TOKEN
Quando un utente effettua il logon gli viene assegnato un token che contiene anche l'appartenenza ai gruppi. Se l'utente dovesse appartenere a troppi gruppi la dimensione necessaria del token potrebbe superare quella del limite concesso, creando di problemi di autenticazione.



REFERENCE
SID Filtering - TOKEN
https://activedirectoryfaq.com/2015/10/active-directory-sid-filtering/#:~:text=Deactivate%20SID%20Filtering,of%20the%20%E2%80%9Ctrusting%20Domain%E2%80%9C.
http://www.rebeladmin.com/2015/01/configuring-trusts-part-3/
https://dirkjanm.io/active-directory-forest-trusts-part-one-how-does-sid-filtering-work/ - CONSIGLIATO
https://www.active-directory-security.com/2017/01/kerberos-token-size-calculator.html
https://www.active-directory-security.com/2014/05/An-Automated-Kerberos-Token-Size-Calculation-Tool.html
http://techgenix.com/active-directory-insights-part12/
https://social.technet.microsoft.com/Forums/lync/en-US/a8be71f1-6e46-4acd-bba6-98d3604470e7/admt-migration-users-can-not-access-shared-folders?forum=winserverDS

Aggiornamento SQL express a SQL standard

Aggiornamento SQL express a SQL standard

Nei giorni scorsi ho dovuto aggiornare un sql 2012 express a 2016 standard.
Per farlo e' sufficiente avviare il programma di installazione della versione completa di SQL ed andare in Manutenzione > Aggiornamento edizione.
In questo caso particolare per poter proseguire avrei dovuto prima aggiornare sql 2012 RTM almeno alla SP2.
Da qui in poi sono cominciati i problemi, per via dei file di windows installer corrotti o mancanti.
Cercando su Google mi sono imbattuto in questo articolo:
https://support.microsoft.com/it-it/help/969052/how-to-restore-the-missing-windows-installer-cache-files-and-resolve-p
e devo dire che usando FixMissingMSI/FindSQLInstalls.vbs alla fine ho risolto.
In primo luogo sono riuscito a recuperare i file di installazione di SQL 2012 RTM, ovvero la versione installata. Ho seguito le indicazioni del log, ricreando i percorsi mancanti, ed alla fine il setup si e' avviato. Dopo aver eseguito il setup dell'SP2 un paio di volte sono riuscito a portare a termine l'aggiornamento.
Da quel momento in poi, il resto della procedura e' andato avanti liscio.
Non ho provato a riparare l'installazione di SQL
https://docs.microsoft.com/en-us/previous-versions/sql/sql-server-2012/cc646006(v=sql.110)?redirectedfrom=MSDN

REFERENCE
https://github.com/suyouquan/SQLSetupTools/tree/master/FixMissingMSI
https://www.sqlservercentral.com/blogs/fixing-msi-errors-during-patching
https://support.microsoft.com/it-it/help/969052/how-to-restore-the-missing-windows-installer-cache-files-and-resolve-p

Office 365 MFA auth - piu device per un singolo account

Soprattutto nel caso in cui viene effettuata l'assistenza ad Office 365 da piu operatori ed e' abilitata l'autenticazione MFA, e' quasi obbligatorio consentire l'accesso al portale di amministrazione da piu di un device (solitamente smartphone).

Normalmente, nell'autenticazione MFA viene configurato un dispositivo, di solito uno smartphone, per consentire l'accesso dopo aver inserito nome utente e password. L'autenticazione puo avvenire tramite sms o app. Quella che di solito utlizzo io e' l'app (Microsoft authenticator).

Dopo aver impostato questo tipo di autenticazione per un primo dispositivo, potrebbe essere necessario aggiungerne altri, di altri operatori.

Come fare?

Occorre accedere al portale da amministratore, selezionare le proprieta dell'account (in alto a dx, selezionare le proprieta' dell'account), andare in security and privacy, addtional security verification, update your phone number used for account security, set up authenticator app.
Da qui in poi seguire la procedura guidata, uguale a quella utilizzata per impostare il primo dispositivo.


REFERENCE:
https://docs.microsoft.com/it-it/azure/active-directory/user-help/user-help-auth-app-add-work-school-account
https://docs.microsoft.com/it-it/azure/active-directory/user-help/user-help-auth-app-add-account-manual
https://www.eduhk.hk/ocio/content/faq-can-i-setup-multiple-devices-approving-microsoft-mfa-login

Installare Office 365 pro plus su terminal server e shared computing activation

Per installare Office 365 Pro Plus su terminal server, e' necessario abilitare la shared license activation.
Il modo piu semplice per farlo e' usando il microsoft office deployment tool ed un file xnl condigurato ad hoc.
Scaricare ODT dal sito di Microsoft, e quindi eseguire i seguenti comandi dalla cartella in cui e' stato estratto:
.\setup.exe /download configuration.xml
.\setup.exe /configure configuration.xml

Riporto un esempio di xml:

<Configuration>
<Add SourcePath="\\YOURSERVER\Share\" OfficeClientEdition="32" >
<Product ID="O365ProPlusRetail">
<Language ID="en-us" />
</Product>
</Add>
<!-- <Updates Enabled="TRUE" UpdatePath="\\Server\Share\" /> -->
<Display Level="None" AcceptEULA="TRUE" />
<Property Name="SharedComputerLicensing" Value="1" />
<!-- <Logging Path="%temp%" /> -->
<!-- <Property Name="AUTOACTIVATE" Value="1" /> -->
</Configuration>

Nel caso in cui Office fosse gia installato e' possibile abilitare la shared computer activation nel registro

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\Configuration
SharedComputerLicensing(Reg_SZ)=1

Inoltre, e' possibile impostare il parametro tramite group policy, scaricando gli appositi template per Office:
Computer Configuration\Policies\Administrative Templates\Microsoft Office 2016 (Machine)\Licensing Settings\Use shared computer activation

In realta la shared computing activation andrebbe utilizzata su ogni computer condiviso, utilizzato a turno da piu utenti (es: postazioni di lavoro di call center su piu turni)

Reference:
https://danielzstinson.wordpress.com/installing-office365-proplus-on-a-rds-server-terminal-server-using-shared-computer-activation/
https://docs.microsoft.com/en-us/deployoffice/overview-shared-computer-activation

Office 2013 e modern auth

Dopo aver modificato le password di Office365, alcuni utenti hanno avuto un po di problemi ad immetterla. I cambi password di solito confondono gli utenti, ma in questo caso, poverini, non era colpa loro... Come al solito la colpa e' di Microsoft :)!!!!!
Scherzi a parte:
Il problema era legato alla versione di Office. Infatti Office 2013 non supporta di default la modern authentication, richiesta da Office 365.
La soluzione e' abbastanza banale, e non richiede neppure la disconnessione.
Occorre aggiungere queste due chiavi di registro:

Per abilitare la modern auth
HKCU\SOFTWARE\Microsoft\Office\15.0\Common\Identity\EnableADAL REG_DWORD 1
HKCU\SOFTWARE\Microsoft\Office\15.0\Common\Identity\Version REG_DWORD 1

Per disabilitare la modern auth
HKCU\SOFTWARE\Microsoft\Office\15.0\Common\Identity\EnableADAL REG_DWORD 0

REFERENCE:

https://docs.microsoft.com/en-us/microsoft-365/admin/security-and-compliance/enable-modern-authentication?view=o365-worldwide

https://support.hdeone.com/hc/en-us/articles/115007826647-How-to-enable-ADAL-for-Office-2013-on-Windows-Devices-

Verifica versione Exchange

Quando e' necessario verificare la versione precisa di Exchange (soprattutto 2010) la console grafica non e' molto utile. E molto veloce farlo a linea di comando:

Da linea di comando:

GCM exsetup |%{$_.Fileversioninfo}

Get-ExchangeServer | Format-Table Name, *Version* -autosize

Da interfaccia grafica e' possibile andare negli aggiornamenti e trovare le ultime CU/RU installate

REFERENCE

https://sistemistisenior.com/2013/07/11/versione-exchange-con-emc/

Trovare serial number

Spesso mi capita di dover trovare i seriali dei prodotti installati per via di qualche reinstallazione.
Regolarmente mi dimentico i nomi dei software ed altri tips
Ecco alcune note di promemoria:

Linea di comando
"wmic bios get serialnumber"
Tip: You can use the command "wmic csproduct get name" to retrieve the local computer model.

VBSCRIPT
On Error Resume Next
Dim strComputer
strComputer = InputBox("Enter the name of the computer:")
Set objWMIService = GetObject("winmgmts:" & "{impersonationLevel=impersonate}!\\" & strComputer & "\root\cimv2")
Set colSMBIOS = objWMIService.ExecQuery ("Select * from Win32_SystemEnclosure")
For Each objSMBIOS in colSMBIOS
MsgBox strComputer & ": " & objSMBIOS.SerialNumber
Next

OFFICE
https://account.microsoft.com/services/
Accedere con i dasti del proprio account

Usare altri software
NIRSOFT key viewer
MAGIC JELLY keyfinder

REFERENCE
https://support.microsoft.com/en-us/help/558124
https://www.nirsoft.net/utils/product_cd_key_viewer.html
http://www.magicaljellybean.com/keyfinder/

Assegnare permessi SendAs a tutti i membri di una distribution list

Mi trovo nella situazione di dover assegnare i permessi di send as a tutti i membri di una distribution list. Fare questa operazione per ciascuna lista potrebbe diventare un lavoro abbastanza lungo.
Tramite script la soluzione, invece, e' piuttosto veloce.
Copiare il testo sotto ed incollarlo in un file con estensione .ps1.

Per assegnare a tutti i membri di una distrubion List i permessi di sendas
$DLs = Get-DistributionGroup
ForEach ($DL in $DLs){
$DLMs = Get-DistributionGroupMember -identity $DL.name
ForEach ($DLM in $DLMs){
Add-RecipientPermission -Identity $DL.name -AccessRights SendAs -Trustee $DLM.name -confirm:$false
}
}

Office 365 Mailbox quota

Quote Mailbox Office 365

Potrebbe essere una buona idea impostare una quota nelle mailbox, prima che un utente con 100 GB di messaggi nella inbox, si lamenti della lentezza di outlook e della posta su 365.

C'e' un articolo di Microsoft sull'argomento, molto ben fatto. Io ho fatto lo sforzo di trascrizione.

Set-Mailbox < UserID > -ProhibitSendQuota < Value > -ProhibitSendReceiveQuota < Value > -IssueWarningQuota <Value>

<User ID> = l'UPN, l'indirizzo di posta elettronica o il GUID dell'utente della casetta postale
<Value> = un numero in megabyte (MB), kilobyte (KB) o gigabyte (GB)

ES:
Set-Mailbox camillo@benso.com -ProhibitSendQuota 19GB -ProhibitSendReceiveQuota 20GB -IssueWarningQuota 18GB

Verificare le impostazioni
Get-Mailbox < User ID > | Select *quota

Configurare i limiti delle dimensioni della cassetta postale per più utenti
Get-Mailbox | Set-Mailbox -ProhibitSendQuota < Value > -ProhibitSendReceiveQuota < Value > -IssueWarningQuota < Value >

Get-Mailbox | Set-Mailbox -ProhibitSendQuota 4GB -ProhibitSendReceiveQuota 5GB -IssueWarningQuota 3,5GB

È possibile applicare ulteriori filtri al Get-Mailbox cmdlet o il Get-User cmdlet per controllare gli utenti per i quali è stata apportata la modifica. Di seguito viene riportato un esempio in cui tre cmdlet vengono utilizzati per filtrare il comando sul reparto Vendite di un'organizzazione:

Get-User | where {$_.Department -eq "Sales"} | Get-Mailbox | Set-Mailbox -ProhibitSendQuota < Value > -ProhibitSendReceiveQuota < Value > -IssueWarningQuota < Value >

REFERENCE
https://support.microsoft.com/it-it/help/2490230/how-to-set-exchange-online-mailbox-sizes-and-limits-in-the-office-365

Esportazione elenco indirizzi Exchange

Esportazione di tutti gli indirizzi di posta di Exchange, alias compresi.
Durante una migrazione di Exchange puo essere utile sapere tutti gli indirizzi di posta utilizzati, eventuali alias compresi.

Get-Recipient -resultsize unlimited | Select DisplayName, RecipientType, EmailAddresses
MAILBOX ONLY
Get-Mailbox | Select UserPrincipalName,EmailAddresses

A questo punto potrebbe essere utile esportarli in un file CSV.

Get-Recipient -resultsize unlimited | Select DisplayName, RecipientType, EmailAddresses | Export-Csv C:\Temp\Addresses.csv

Quando visualizzo il file, nel campo email address, anziche gli indirizzi trovo il seguente valore:

”Microsoft.Exchange.Data.ProxyAddressCollection”

Tutte le righe erano esportate correttamente tranne quella degli indirizzi di posta. A video, invece, nessun problema.

Il motivo per cui accade questo e' perche il campo email address e' un valore multiplo.
Per risolvere e' necessario ricorrere ad un piccolo trucchetto. Al posto di emailadresses usare:
@{Name='EmailAddresses'; Expression={$_.EmailAddresses -join ","}}

Get-Recipient -resultsize unlimited | Select DisplayName, RecipientType, @{Name='EmailAddresses'; Expression={$_.EmailAddresses -join ","}} | Export-Csv C:\Temp\Addresses.csv

MAILBOX ONLY
Get-Mailbox | Select UserPrincipalName, @{Name='EmailAddresses'; Expression={$_.EmailAddresses -join ","}} | Export-Csv C:\Temp\Addresses.csv

La differenza tra get-recipient include tutti gli indirizzi (mailbox, dl ecc. ecc.)
p.s. non sono certo se include anche i pf mail enabled, ma dovrebbe. Non ho avuto modo di provare

REFERENCE
https://jaapwesselius.com/2014/12/11/export-email-addresses-in-exchange-2013/
eightwone.com

Importare moduli Exchange in powershell

Importare i moduli di Exchange in powershell:

Prima di usare la powershell con Exchange occorre:

installare gli Exchange Management Tools
Importare il modulo di Exchange nella sessione powershell.

Ciascuna versione di Exchange ha un modo differente di iimportare il modulo nella sessione powershell:

Exchange 2007 Add-PSSnapin Microsoft.Exchange.Management.PowerShell.Admin;
Exchange 2010 Add-PSSnapin Microsoft.Exchange.Management.PowerShell.E2010;
Exchange 2013 Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn;
Exchange 2016 Add-PSSnapin Microsoft.Exchange.Management.PowerShell.SnapIn;