Sharepoint - verificare chi ha accesso al sito tramite condivisione

Utilizzo sharepoint in rimpiazzo di file server in realta piccole. Ho lasciato la possibilita di condividere files, in alcune situazioni. Ad un certo punto, mi sono chiesto quali file fossero stati condivisi e con chi... Per capirlo basta accedere al sito (tramite WEB), premere in alto a dx sull'ingranaggio. Scegliere "utilizzo sito" ed in fondo alla pagina aperta e' presente il report che ci puo fornire queste informazioni.

Se volessimo rimuovere le condivisioni attive, e' sufficiente andare su documenti, premere sul tasto info in alto a dx, verificare e rimuovere gli eventuali link di condivisione.

REFERENCE

https://support.microsoft.com/en-us/office/stop-sharing-onedrive-or-sharepoint-files-or-folders-or-change-permissions-0a36470f-d7fe-40a0-bd74-0ac6c1e13323

https://support.microsoft.com/en-us/office/see-who-a-file-is-shared-with-in-onedrive-or-sharepoint-51bb79a9-b696-410d-a7a7-c320e541272d

https://docs.microsoft.com/en-us/microsoft-365/compliance/use-sharing-auditing?view=o365-worldwide

 

Outlook OWA - error 500 too many redirect

Recentemente mi sono imbattutto in uno strano errore quando un utente di Microsoft 365 provava ad accedere alla propria casella di posta. L'errore in questione era un errore 500 - too many redirect.

Il problema era legatoai troppi ruoli assegnati all'utente. All'utente erano assegnati piu di 50 ruoli (!!!) ed il "token" raggiungeva una dimensione eccessiva. Dopo aver rimosso tutti i ruoli, tranne quelli davvero necessari, tutto ha ripreso a funzionare perfettamente!

 REFERENCE

https://answers.microsoft.com/en-us/msoffice/forum/msoffice_o365admin-mso_exchon-mso_o365b/office-365-too-many-redirects-when-opening-eacowa/bf546dde-7350-415a-b1fc-7e6cf6f2b480

Piccolo hacking di Windows 10

 Se non riuscite ad accedere a Windows 10 xche avete perduto la password, non la conoscete o l'avete dimenticata.

Accedere al pc con un cd di boot (non per reinstallare :)). accedere alla modalita recupero ed aprire un prompt dei comandi.

rinominare il file

C:\Windows\System32\Utilman.exe (oppure sethc.exe)

in utilman.exe.old

dalla stessa directory copiare il file cmd.exe e rinominarlo in utilman.exe

Uscire e riavviare normalmente il computer.

Alla schermata di login premere il pulsante accessibilita.

Si aprira un prompt dei comandi eseguito come System.

Da questo prompt avremo la possibilita di impostare la password dell'utente tramite il comando "net user"

Questo trucchetto funziona anche con le precedenti funzioni di Windows.

Nel mio caso, anziche utilizzare il disco di avvio, ho deciso di collegare il disco al mio PC, ma non e' stata una grande idea, perche non potevo rinominare il file, protetto da trusted installer.

Non volendo cambiare i permessi dei files, ho avviato un prompt dei comandi come trusted user.

Usando processhacker sono riuscito nel mio intento.

x farlo ho dovuto avviare il servizio trusted installer.

quindi ho cercato trusted installer nell'elenco dei processi e facendo tasto dx - miscellaneous - run as this user ho avviato un prompt dei comandi come trusted installer.

a questo punto mi e' stato possibile rinominare/copiare file a mio piacere.

I comandi utili per eseguire un reset della pwd sono

reset della pwd dell'utente

net user - elenco degli utenti

net user username00 Pa$$w0rd - per l'utente "username00" imposta la password "Pa$$w0rd"

net localgroup - elenco dei gruppi locali

net localgroup administrators username00 /add

REFERENCE

https://www.winhelponline.com/blog/run-program-as-trustedinstaller-locked-registry-keys-files/#:~:text=Process%20Hacker&text=Right%2Dclick%20the%20TrustedInstaller%20service,exe%20)%2C%20and%20click%20OK.

https://www.isunshare.com/windows-server/add-a-user-to-local-administrator-group.html

Sharepoint online - sicurezza dei siti e delle share di rete

 Utilizzo i siti di Sharepoint come se fossero delle cartelle di rete, a cui i vari utenti hanno accesso.

In questo modo si crea un ambiente simile a quello che si avrebbe su un normale file server, rispettando una serie di permessi ed autorizzazioni.

Il meccanismo potrebbe interrompersi se qualcuno di questi utenti decidesse di "condividere" i contenuti del sito con altri, al di fuori delle autorizzazioni definite.

Per evitare questo, occorre andare a modificare le autorizzazioni del sito.

Il metodo che di solito utilizzo e' quello di mettere un solo proprietario del sito e far si che tutte le richieste di condivisione arrivino a lui per essere approvate.

Fino a che non passa l'autorizzazione il destinatario non ricevera' il link.

Per farlo seguire le seguenti istruzioni:

 - Scegliere l'icona di Sharepoint (verde), e quindi scegliere il sito dove modificare le impostazioni di condivisione.

 - Cliccare sulla rotellina in alto a dx e scegliere autorizzazioni sito

 - Cliccare su Modifica il "metodo di condivisione dei membri"

Da qui e' possibile decidere come muoversi. Il metodo che io preferisco e' consentire solo ai proprietari di approvare eventuali richieste di condivisione.

P.S.

 - Cliccando su "Impostazioni delle autorizzazioni avanzate" si arriva alla vecchia versione con ribbon bar da cui sono disponibili ulteriori dettagli.

REFERENCE

https://docs.microsoft.com/it-it/microsoft-365/solutions/microsoft-365-limit-sharing?view=o365-worldwide

Microsoft 365 - Exchange lingua visualizzazione mailbox

Una delle cose che mi capita molto spesso e' che la lingua delle casella postale sia in italiano.

Il modo piu veloce che ho trovato per sistemare e' quello di accedere alla casella di posta tramite Outlook Web. In questo modo, se le impostazioni del nostro utente sono in italiano, i nomi delle cartelle sono mostrati in italiano e non inglese.

Al successivo accesso ad Outlook i nomi delle cartella appariranno nella lingua giusta.

Ad ogni modo sotto trovate un articolo di Microsoft che spiega vari modi per sistemare.

REFERENCE

https://docs.microsoft.com/it-it/outlook/troubleshoot/user-interface/incorrect-folder-names

DISATTIVAZIONE MFA - Problemi comuni con la verifica a due fattori

Un problema che si verifica spesso e' che e' abilitato l'accesso MFA per gli utenti anche se da Azure AAD risulta disattivato.

Il problema e' legato alle impostazioni di default di AAD.

Per disattivarlo (e magari tenerlo attivo solo per gli utenti admin) occorre disattivare i security defaults del tenant e abilitare l'MFA solo per gli utenti desiderati.

Per disattivare l'MFA controllare le impostazioni e disattivare i security default

VERIFICA IMPOSTAZIONE MFA:

https://portal.azure.com

Azure Active directory

Utenti

cliccare sulla voce Multi-factor authentication (parte dx della finestra tra le voci in alto)

DISATTIVAZIONE SECURITY DEFAULTS

https://portal.azure.com

Azure Active directory

Proprieta

cliccare sulla voce "Gestisci le impostazioni predefinite per la sicurezza" (nella finestra di dx in fondo)

Una buona idea potrebbe essere quella di abilitare l'MFA solo per gli amministratori

IMPOSTAZIONE MFA PER GLI UTENTI AMMINISTRATORI:

https://portal.azure.com

Azure Active directory

Utenti

cliccare sulla voce Multi-factor authentication (parte dx della finestra tra le voci in alto)

Nella finestra successiva selezionare gli amministratori ed abilitare l'MFA.

Avete accesso alle impostazioni di sicurezza - MFA degli utenti andando in https://myaccount.microsoft.com/?ref=MeControl 

Impostazioni di sicurezza

MICROSOFT 365 - IMPOSTAZIONI DI SICUREZZA DELL’ACCOUNT e MFA

 

MICROSOFT 365 - IMPOSTAZIONI DI SICUREZZA DELL’ACCOUNT e MFA

Dopo aver disattivato l’MFA per un intero tenant, mi è accaduto che un utente, per accedere alle proprie impostazioni di sicurezza, dovesse comunque approvare l’accesso tramite APP.

Il problema consisteva nel fatto che il numero di telefono per l’utente non e’ mai stato impostato e la sola modalità di approvazione era tramite app. Nel frattempo l’utente aveva cambiato telefono e Microsoft authenticator sul nuovo non è mai stato installato e configurato. In sintesi l’utente non era in grado di accedere alle proprie impostazioni di sicurezza per aggiungere un nuovo metodo.

 

Viene chiesta l’approvazione per accedere alle impostazioni di sicurezza.

Per risolvere, in questi casi, è necessario accedere come amministratore del tenant ed intervenire sull’utente. Il modo più facile è cancellare tutti i metodi di autenticazione, costringendo l’utente ad inserire le informazioni necessarie al primo accesso da web. Ricordate che tutti gli utenti DEVONO avere il numero di telefono inserito, se si usa l’MFA, per evitare problemi simili.

Accedere con un account amministrativo a https://portal.azure.com

Andare in Azure active directory – utenti  e selezionare la voce Multi-Factor authentication

 Dalla finestra sottostante selezionare l’utente, e cliccare su “gestisci le impostazioni dell’utente”

Dalla schermata successiva selezionare la prima voce “Richiedere agli utenti selezionati di fornire di nuovo i metodi di contatto”

Al prossimo accesso, all’utente, verrà chiesto di inserire nuovamente le sue informazioni di contatto utilizzate per l’MFA. Da questo momento in poi, poiché verrà inserito anche il numero di telefono, l’approvazione del login potrà avvenire anche tramite SMS e non solo tramite app.

Una soluzione alternativa è quella di cancellare tutti i metodi di autenticazione presenti per un utente. Quindi andare in Azure Active Directory – utenti.

Cliccare sull’utente e scegliere METODI DI AUTENTICAZIONE.

Cancellare tutti i metodi presenti.

Se per un utente con MFA attivo non sono presenti metodi di autenticazione, al primo login verrà di inserire le informazioni di contatto dell’utente per l’MFA.

 

 

 

 

 

 

 

 

 

 

 

CANCELLAZIONE HYPERV CHECKPOINT

Oggi mi e' capitato di dover cancellare un checkpoint, ma dalla console non erano presenti le voci per farlo.

Ecco alcuni suggerimenti che ho trovato.

Nel mio caso e' stato sufficiente premere CANC sulla tastiera. :)

Se, facendo tasto destro su un checkpoint di una VM vengono mostrate solo le voci:

IMPOSTAZIONI, ESPORTA, RINOMINA e AIUTO si puo provare cosi:

 - Premere AGGIORNA e vedere se appaiono le voci

 - Chiudere e riaprire la console di HYPERV

 - selezionare il checkpoint da cancellare e premere CANC (a me ha funzionato questo)

 - Riavviare l'host HyperV

 - Usare la powershell come amministratore e digitare il seguente comando: Get-VM <VM-NAME> | Remove-VMSnapshot (https://docs.microsoft.com/en-us/powershell/module/hyper-v/remove-vmsnapshot?view=win10-ps)

REFERENCE

https://www.urtech.ca/2019/01/solved-how-to-remove-a-checkpoint-that-has-no-delete-option-in-hyperv-manager/

Dischi di rete

 Puo succedere che delle volte ci siano problemi con i dischi di rete, ed anche dopo un riavvio persistano.

In questo caso consiglio di:

net use * /delete /y (li cancella tutti)

net use q: /delete /y (cancella solo q:)

e verificare che da explore sparisca il disco con problemi.

Riavvio.

Cancellare dalla seguente voce di registro le lettere con problemi (magari salvare prima):

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2

net use Z: \\server\share /user:username password /yes

Replica GPO

 Durante l'aggiunta di un nuovo domain controller in AD ho riscontrato uno strano errore con la replica delle GPO, nonostante event viewer, dcdiag, replmon non segnalassero errori.

Dalla console delle GPO due policy non erano replicate. Altre policy che, solo dopo, mi sono reso conto di aver creato dal nuovo DC, invece funzionavano senza problemi.

L'errore era il seguente:

the sysvol permission for one or more GPOs on this domain controller are not in sync with the permissions for the GPOs on the baseline domain controller

ed era visibile da gpmc.msc

selezionare il dominio e premere detect now in basso a dx per verificare eventuali errori.

Controllando i permessi delle cartelle da explorer non emerge nulla di strano.

Verificando le ACL delle con icacls, invece...

ES:

icacls C:\Windows\SYSVOL_DFSR\sysvol\nomedominio.local\Policies\{95B665A7-ABBC-4519-B9D7-529100908048}

si nota che l'account domain admin e' ripetuto 2 volte

NOMEDOMINIO\Domain Admins:(OI)(CI)(F)

NOMEDOMINIO\Enterprise Admins:(OI)(CI)(F)

NOMEDOMINIO\Domain Admins:(OI)(CI)(F)

CREATOR OWNER:(OI)(CI)(IO)(F)

NT AUTHORITY\SYSTEM:(OI)(CI)(F)

NT AUTHORITY\Authenticated Users:(OI)(CI)(RX)

NT AUTHORITY\CONTROLLER DI DOMINIO ORGANIZZAZIONE:(OI)(CI)(RX)

per risolvere e' sufficiente togliere e riaggiungere l'account domain admin, forzare la replica ed andare a verificare nuovamente in gpmc.msc.

icacls "{GPO UID}"  /remove:g "DOMINIO\Domain Admins"

icacls "{GPO UID}"  /grant "DOMINIO\Domain Admins":(OI)(CI)(F)

repadmin /syncall

repadmin /syncall /AdePq

Da ora in poi create le policy sul domain controller piu recente per verificare che l'errore si ripresenti. Da Windows server 2012 ci sono delle patch che risolvono il problema, ma non su 2008/2008R2

REFERENCE

https://social.technet.microsoft.com/Forums/en-US/f16b0af1-8772-4f96-a9ac-fac47943e8e9/sysvol-permissions-for-one-or-more-gpo-are-not-in-sync?forum=ws2016

Generazione certificati

 Quando si deve creare un nuovo certificato occorre partire sempre dalla CSR.

Esistono dei tool online che semplificano molto la vita:

https://decoder.link/csr_generator

Quando si crea una CSR, andranno anche inseriti i nomi di dominio per cui il certificato sara valido.

NOTA

remote.zappacorta.it, parlando di certificati, e' un nome di dominio, anche se magari rappresenta un host pubblicato su internet.

Durante la creazione del CSR, viene anche generata la chiave privata ad esso associata. Conservare questa chiave ed avere cura di non perderla mai!

Dopo aver inserito la CSR, la dovrete dare in pasto al vostro provider di certificati SSL.

Dopo aver ricevuto il certificato dal provider, potrebbe essere necessario convertirlo in altri formati..

Usate questo link:

https://decoder.link/converter

Disjoint name space

 Disjoint name space

Spesso mi sono imbattuto nella domanda se in Ad sono e' in uso un disjoint namespace (soprattutto nella migrazione di Exchange)

Cosa si intende con questa terminologia?

Se il suffisso del nome host e quello di AD sono uguali, non si parla di disjoint namespace.

Alcuni esempi di nomi NON disgiunti:

=====================================================

Dominio AD:

nome netbios: tecnotwo

nome dns: tecnotwo.local

Nomi SERVER:

nome netbios DC1         DC1

nome dns DC1 DC1.tecnotwo.local

nome netbios exchange1:     exchange1

nome dns exchange1:      exchange1.tecnotwo.local

=====================================================

=====================================================

Alcuni esempi di nomi digiunti:

=====================================================

Dominio AD:

nome netbios: tecnotwo

nome dns: tecnotwo.local

Nomi SERVER:

nome netbios DC2         DC2

nome dns DC2 DC2.threepigs.com

nome netbios exchange2: exchange2

nome dns exchange2: exchange2.fourpigs.com

=====================================================

Dominio AD:

nome netbios: codetwenty

nome dns: tecnotwo.local

Nomi SERVER:

nome netbios DCA           DCA

nome dns DCA                 DCA.tecnotwo.local

=====================================================

REFERENCE

https://docs.microsoft.com/en-us/exchange/disjoint-namespace-scenarios-exchange-2013-help

Installazione e configurazione di un certificato in Exchange

 Installazione e configurazione di un certificato in Exchange

Ormai e' praticamente d'obbligo usare certificati SSL validi ed "ufficiali" (non self-signed) per evitare di avere problemi, soprattutto con i dispositivi mobili ed in ambienti ibridi.

Partiamo dal punto in cui abbiamo a disposizione un .pfx da caricare.

Import-ExchangeCertificate -FileData ([Byte[]]$(Get-Content -Path c:\certificates\YOUR_CERTIFICATE.pfx -Encoding byte -ReadCount 0)) -FriendlyName "New_SAN"

Consiglio di usare il parametro friendlyname per poterlo identificare facilmente.

A questo punto il certificato e' disponible in Exchange. Occorre assegnarlo ai servizi.

Enable-ExchangeCertificate -Services "IIS,POP,IMAP,SMTP"

L'assegnazione di un certificato ad un servizio non rimuove automaticamente l'associazione con i precedenti.

Per motivi di "ordine" consiglio di rimuovere questa associazione. Per farlo si puo usare il seguente comando:

Enable-ExchangeCertificate -Services "None" -Thumbprint XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

Personalmente ho avuto qualche problema con questo comando, e non sempre ha funzionato.

Ad ogni modo, occorre essere sicuri al 100% prima di cancellare un certificato. Sarebbe bene assicurarsi di poterlo ricaricare in caso di necessita.

Remove-ExchangeCertificate -Thumbprint 5C5E9124B0960BBFB570596AAE6902742D95361E

APPENDICE

Comandi utili per l'interrogazione dei certificati Exchange

Get-ExchangeCertificate | where {$_.IsSelfSigned -match "False"} | fl

Get-ExchangeCertificate | where {$_.IsSelfSigned -match "False" -and $_.Status -match "Valid"} | fl

Get-ExchangeCertificate | where {$_.IsSelfSigned -match "False" -and $_.Status -notmatch "Invalid"} | fl

Get-ExchangeCertificate | where {$_.IsSelfSigned -match "False" -and $_.Status -notmatch "Invalid" -and $_.Issuer -notmatch "CN=XXXX-YYYY-CA"} | fl

Get-ExchangeCertificate | select Thumbprint, Services, NotAfter, Subject, CertificateDomains | where {$_.Services -match "SMTP"} | fl

GESTIONE FRIENDLY NAME TRAMITE GUI

se avete caricato il certificato tramite EMC, potreste voler lo stesso assegnare un nome al certificato. Per farlo occorre cercare il certificato nello store dei certificati della macchina locale ed assegnare ad esso un nome.

mmc-add plugin-certificate-computer-personal

REFERENCE

https://practical365.com/exchange-server/remove-ssl-certificate-exchange-server-2013/

https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.core/about/about_comparison_operators?view=powershell-7

https://stackoverflow.com/questions/24682939/multiple-and-or-in-powershell-where-object-statement