Poprawki czerwiec-lipiec do Microsoft Exchange

UPDATED

Tuż przed moim urlopem Microsoft opublikował kwartalne pakiety Cumulative Updates, a niedługo potem również dodatkowe poprawki bezpieczeństwa. Dlatego też uwzględnię je wspólnie, bo jedne i drugie powinny zostać zainstalowane. Tak więc po kolei:

• Exchange Server 2019 Cumulative Update 10 (KB5003612), VLSC Download, Download
• Exchange Server 2016 Cumulative Update 21 (KB5003611), Download, UM Lang Packs

Najważniejszą zmianą w tych poprawkach była integracja z interface'em antimalware systemów Windows Server 2016/2019 (AMSI). Więcej o integracji Exchange z AMSI można przeczytać w oddzielnych artykułach na blogu zespołu produktowego - News About the June 2021 Cumulative Update for Exchange Server oraz More about AMSI integration with Exchange Server. Pakiety poprawek wymagają również aktualizacji schematu, co warto wcześniej zaplanować, zwłaszcza w dużych organizacjach.

Poprawka bezpieczeństwa została udostępniona również dla Exchange 2013, dla którego nie ma już Cumulative Updates, ale dziury bezpieczeństwa łatać trzeba. I tak po kolei:

• Exchange Server 2013 CU23
• Exchange Server 2016 CU20 and CU21
• Exchange Server 2019 CU9 and CU10

Warto pamiętać, że instalacja poprawek bezpieczeństwa w tym miesiącu wymaga również aktualizacji schematu - w Exchange 2016 i 2019, jest ona realizowana w najnowszej paczce CU, ale jeżeli ktoś instaluje dla N-1, to powinien taką aktualizację również uwzględnić. Więcej informacji na blogu zespołu produktowego - Released: July 2021 Exchange Server Security Updates.

Kilkukrotnie dotarły do mnie informacje o problemach wydajnościowych po instalacji Exxchange 2016 CU21 lub Exchange 2019 CU10 - problem dotyczy wolnej pracy Outlooka, a nawet problemów z jego uruchamianiem, nie dotyczy natomiast innych usług dostępowych - OWA, Activesync czy EWS. Związane jest to z nieprawidłowo działającą integracją ADSI przy obsłudze niektórych dostawców narzędzi AV, jak na razie problem potwierdzono dla McAfee Endpoint Security oraz Sophos Central Server Protection. Czekając na rozwiązanie problemu, możemy po zauważeniu takich problemów wyłączyć integrację po stronie konsoli zarządzającej dane oprogramowanie (przykłady w powyższych artykułach), edytując na serwerach Exchange pliki web.config, albo definiując wyjątek konfiguracji (oczywiście przy użyciu powłoki Exchange Management Shell):

New-SettingOverride -Name "DisablingAMSIScan" -Component Cafe -Section HttpRequestFiltering -Parameters ("Enabled=False") -Reason "Testing"
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
Restart-Service -Name W3SVC, WAS -Force

Pożegnajmy Skype for Business Online

W ostatnich tygodniach byłem nieco mniej aktywny, zarówno ze względu na urlop, upały jak i sprawy rodzinne. Ale już nadrabiam zaległości, zwłaszcza że 1 lipca po raz piętnasty zostałem Microsoft MVP, ponownie w kategorii Office Apps and Services.

31 lipca 2021 to ostatni dzień Skype for Business Online. Tak ogłosił Microsoft. Co to oznacza dla użytkowników systemów lokalnych i chmurowych? Jeżeli ktoś korzystał ze Skype for Business 2015 lub 2019 na lokalnych serwerach, to dla niego w zasadzie nic się nie zmienia - nadal spokojnie może czekać na nową wersję Skype for Business, którą Microsoft ma udostępnić w drugiej połowie roku, albo pozostać na wersji obecnej, która ma jeszcze przed sobą kilka lat wsparcia technicznego. Dla użytkowników Office 365, to jeżeli nie zmigrowali się jeszcze do Teams, oznacza to fakt, że zostaną zmigrowani w trybie asystowanym, ale oczywiście lepiej byłoby zrobić to samemu. W ostatnich tygodniach było trochę zamieszania, związanego z aktualizacją narzędzi i modułu powershell dla Teams, który przejął funkcjonalnie moduł SkypeOnlineConnector, ale wydaje się, że dokumentacja na temat hybrydy została zaktualizowana i można spokojnie integrować (lub migrować) lokalnego Skype for Business z Microsoft Teams.

Nie ma co zaprzeczać, Microsoft Teams jest platformą dużo bardziej rozbudowaną niż Skype for Business Online, więc nie było sensu równolegle utrzymywać dwóch platform, ale pewna epoka właśnie się skończyła.

Konferencja K@SSK i Majowe Mrozy - warsztat Azure AD

 Wczoraj miałem przyjemność prowadzić warsztat dla szkolnych administratorów Office 365 na temat "Azure AD – konfiguracja zabezpieczeń i monitorowanie użytkowników". Warsztat był częścią konferencji K@SSK & Majowe Mrozy, dotyczącej nowoczesnej edukacji, a przeznaczonej dla nauczycieli i pracowników szkolnictwa. Ostatni rok dosyć gwałtownie zmienił nasze spojrzenie na narzędzia chmurowe i korzystanie z platform takich jak Microsoft 365, ważna jednak świadomość, jak robić to w sposób bezpieczny, szczególnie, gdy jesteśmy odpowiedzialni za administrowanie takim środowiskiem.

Godzina to mało czasu, żeby przekazać tyle wiedzy ile bym chciał, dlatego też chciałem nieco rozwinąć informacje, na temat zabezpieczania i weryfikacji środowiska Office 365, które chciałem przekazać przy okazji tych warsztatów. Microsoft niestety w planie EDU A1 włącza tylko niewielką część komponentów umożliwiających zabezpieczenie środowiska Microsoft 365 i Azure AD, nie oznacza to jednak że nie można zrealizować podstawowych zaleceń. Postaram się zatem przypomnieć elementy najważniejsze wg. Microsoft i mnie, które nawet przy ograniczonych możliwościach, ułatwiają pracę administratorów:

Po pierwsze - uwierzytelnianie wieloskładnikowe (MFA) jest potrzebne, przynajmniej dla administratorów. Już ponad rok Microsoft dla nowych organizacji chmurowych włącza tzw. Domyślne wartości zabezpieczeń (Security Defaults), czyli wymuszanie zabezpieczania logowania do chmury poprzez dodatkowy składnik, powiązany z telefonem komórkowym - konieczność dodatkowego zabezpieczenia logowania poprzez kod przesyłany SMS lub użycie aplikacji Microsoft Authenticator zainstalowanej na telefonie.

Ustawienie możemy zmienić, poprzez panel administracyjny Azure AD, wchodząc we właściwości naszej organizacji. Zdecydowania większość placówek oświatowych wyłącza to ustawienie i o ile rozumiem takie podejście w stosunku do uczniów, to przynajmniej szkolni administratorzy i osoby z delegowanymi dodatkowymi uprawnieniami powinni mieć takie zabezpieczenie włączone.

Konfiguracja jest naprawdę bardzo prosta, chociaż nie zawsze oczywista. Jak skonfigurować sobie MFA? Każdy użytkownik usługi Office 365 ma swoją stronę profilową My Account, na której może wskazać metody związane z zabezpieczaniem dostępu i samodzielnym resetowaniem hasła (Informacje zabezpieczające).

Powinniśmy tam zapisać nasz numer telefonu i prywatny adres mailowy, do celów awaryjnych. Możemy również dodać weryfikację konta właśnie poprzez aplikację Authenticator.

Po drugie - korzystając na co dzień z panelu administracyjnego Microsoft 365 - https://admin.microsoft.com, warto do ekranu startowego dodać kafelki komponentów, z których często korzystamy, lub które szybko pokażą nam problemy ze środowiskiem.

Po trzecie - Warto korzystać z panelu administratora Azure AD, gdzie możemy sprawdzić np. kiedy użytkownik logował się po raz ostatni i z jakiego adresu IP, kiedy i przez kogo został usunięty zespół w Teams, oraz znaleźć wiele innych informacji na temat aktywności użytkowników. Niestety portal Azure AD pokazuje logi z ostatnich siedmiu dni. Jeżeli chcielibyśmy mieć dłuższą historię logowań, to możemy utworzyć bezpłatną subskrypcję Azure i wypróbować takie usługi jak Log Analitics czy Azure Sentinel.

Można wyliczać jeszcze długo, ale zachęcam do poznawania Microsoft 365 i Azure AD, po to by odkrywać kolejne możliwości i lepiej zarządzać swoim środowiskiem.

Konferencje i wyzwania edukacyjne

Dopiero co skończyła się konferencja Microsoft Build, na której poza ciekawymi sesjami Microsoft ogłosił również sporo nowości technologicznych, nie tylko dla developerów. Przy okazji konferencji Microsoft - jak od pewnego czasu ma w zwyczaju, uruchomił również kolejne wyzwanie szkoleniowe (Cloud Skills Challenge), dostępne dla osób zarejestrowanych na konferencji. Po raz kolejny zarejestrowałem się na takie wyzwania (bo wyzwań tak naprawdę jest pięć i dotyczą różnych obszarów tworzenia aplikacji webowych i chmurowych) i choć czasu jest mało (tylko 9 dni), to jest to naprawdę ciekawa możliwość.

Czym są Cloud Skills Challenge i dlaczego warto w nich uczestniczyć? Pisałem już na swoim blogu o rozwijanym przez Microsoft portalu szkoleniowym Learn. Warto tam zaglądać, systematycznie dodawane są lub aktualizowane moduły szkoleniowe z technologii chmurowych, można również, korzystając z bezpłatnych modułów szkoleniowych przygotować się do certyfikacji chmurowych Microsoft. Jednak samo istnienie portalu szkoleniowego nie dla wszystkich jest wystarczającą zachętą do nauki. Przy okazji kolejnych konferencji, np. Ignite czy Build przygotowywane są właśnie wyzwania szkoleniowe, po ukończeniu których w określonym czasie, można wylosować nagrodę pieniężną, rzeczową czy po prostu dostać bezpłatny voucher na jeden z wielu egzaminów chmurowych Microsoft. Jak dla mnie mnie możliwość poszerzenia wiedzy połączona z pewnym współzawodnictwem i nagrodą w postaci vouchera była w ostatnich miesiącach wystarczającą zachętą do udziału. A przy okazji możliwością zdobycia kilku certyfikatów bez ponoszenia kosztów. Co więcej, wyzwania grupują moduły szkoleniowe z kilku ścieżek dydaktycznych, co dodatkowo pozwala utworzyć sobie własną kolekcję szkoleniową (stosunkowo świeża funkcjonalność portalu Learn). Ja właśnie na podstawie dwóch ostatnich wyzwań - związanego z Microsoft Graph, który skończył się w połowie maja oraz jednego z aktualnych wyzwań konferencji Build utworzyłem swoją pierwszą kolekcję szkoleniową. Zachęcam do nauki.

Majowe poprawki bezpieczeństwa dla Exchange

Mam nadzieję, że wszyscy zainstalowali już majowe poprawki dla serwerów Exchange. W poprzednim artykule wspominałem o tym, że tylko część wykrytych na przełomie marca i kwietnia podatności została uwzględniona w kwietnowym zestawie poprawek, w maju opóźnienia zostały nadrobione. Poprawki można znaleźć na stronach Microsoftu:

• Exchange Server 2013 CU23
• Exchange Server 2016 CU19 and CU20
• Exchange Server 2019 CU8 and CU9

Więcej informacji na temat podatności oraz problemów występujących po zainstalowaniu poprawek można znaleźć na blogu zespołu produktowego Exchange.

Warto również pamiętać o używaniu (i systematycznej aktualizacji) skryptu Exchange Health Checker wskazującego nam nie tylko brak poprawek w naszym środowisku Exchange ale również inne potencjalnie ułomne opcje konfiguracyjne.

Kwietniowe poprawki bezpieczeństwa dla Exchange

Dzisiaj kolejny patch tuesday i pojawiły się poprawki dla Exchange. Po trzęsieniu ziemi, jakie miało miejsce na początku marca i ataku na wiele tysięcy organizacji Exchange, mam nadzieję, że administratorzy systemów pocztowych zaktualizowali swoje serwery i teraz będzie nieco spokojniej. Poprawki zabezpieczają systemy przed czterema podatnościami (jak na razie dosyć niejasno opisanymi w komunikatach bezpieczeństwa). Jak Microsoft twierdzi są to jak na razie zagrożenia teoretyczne (nie ma jeszcze w sieci exploitów wykorzystujących te podatności), ale lepiej nie czekać i łatać przed atakiem. Poniżej linki do paczek instalacyjnych (należy instalować w kontekście administratora):

• Exchange Server 2013 CU23
• Exchange Server 2016 CU19 and CU20
• Exchange Server 2019 CU8 and CU9

Warto pamiętać również o przydatnym skrypcie, udostępnionym na Githubie do weryfikacji zabezpieczeń serwerów Exchange - nie tylko zainstalowanych poprawek ale również konfiguracji interface'ów sieciowych, sterowników i innych parametrów konfiguracji serwerów - https://aka.ms/ExchangeHealthChecker. 

I znowu poprawki dla Exchange

 Dla tych, którzy nie zdążyli zainstalować ostatnio opublikowanych poprawek bezpieczeństwa, a nie padli jeszcze ofiarą ataku, mam dobrą wiadomość - Microsoft wydał właśnie najnowsze pakiety Cumulative Updates dla Exchange 2016 i 2019. Dla Exchange 2016 CU20 to oficjalnie ostatni pakiet poprawek, chociaż jednocześnie zespół produktowy zapowiada jeszcze jeden "definitywnie ostatni" w przyszłym kwartale. No cóż, pożyjemy - zobaczymy.

• Exchange Server 2019 Cumulative Update 9 (KB4602570), VLSC Download
• Exchange Server 2016 Cumulative Update 20 (KB4602569), Download, UM Lang Packs

Wymagania wstępne nie zmieniły się, nadal obowiązuje .Net Framework 4.8, dobrze jest również sprawdzić, czy schemat naszego AD nie wymaga aktualizacji (setup /PrepareAD). No i oczywiście nadal trzeba uważać na Execution Policy w Powershell, czy mamy dobrze ustawione (koledzy z Redmond zalecają mieć na serwerach ustawioną polisę na Unrestricted). Więcej szczegółów w artykule na blogu zespołu produktowego.

Jeszcze więcej poprawek do serwerów Exchange

Nie cichnie wrzawa po wykryciu w ostatnich dniach podatności w systemach Exchange Server. Pisałem już w poprzednim poście o poprawkach, które Microsoft wydał dokładnie tydzień temu, wiele organizacji Exchange zostało do dziś zaatakowanych - bez wątpienia był to największy atak na najczęściej używany na świecie komercyjny system pocztowy. Podstawowym problemem, jaki mieli administratorzy, którzy chcieli zabezpieczyć swoje serwery Exchange, był w wielu przypadkach brak aktualnych wersji poprawek Cumulative Updates (grupa produktowa Exchange wydaje poprawki bezpieczeństwa tylko dla dwóch ostatnich wersji CU), których z różnych względów firmy nie mogły lub nie chciały zainstalować.

Dlatego też, ze względu na fakt, jak krytyczne są wykryte podatności, Microsoft opublikował dodatkowo poprawki dla trzech poprzednich wersji CU, zarówno dla Exchange 2016 jak i Exchange 2019. Dodatkowe poprawki łatają tylko wykryte w marcu podatności, ale dzięki ich instalacji, firmy będą mogły lepiej przygotować się do instalacji najnowszych aktualizacji zbiorczych, nie będąc narażonymi na ataki. Więcej informacji na blogu grupy produktowej Exchange.

Warto również sprawdzić, czy na naszym serwerze Exchange nie ma podejrzanych plików, świadczących o dokonanym ataku. Microsoft udostępnił skrypt Test-ProxyLogon.ps1, który szuka takich danych.

W przypadku, gdy serwer jednak padł ofiarą ataku, Microsoft zaleca reinstalację systemu. W takiej sytuacji warto pamiętać o parametrze instalacyjnym /recoverserver dzięki któremu w trakcie instalacji konfiguracja zostanie pobrana z Active Directory, co na pewno znacząco ułatwia życie. Dokładniejszą instrukcję, jak odbudować serwer umieścił na swoim blogu Jaap Veselius.

Krytyczne poprawki bezpieczeństwa dla serwerów Exchange

Kilka godzin temu zespół produktowy Exchange opublikował informację o wykryciu exploitów, mogących atakować wszystkie wersje Exchange. W związku z tym została opublikowana krytyczna poprawka bezpieczeństwa, którą należy jak najszybciej zainstalować, zwłaszcza na serwerach wystawionych do internetu.

• Exchange Server 2010 (RU 31 for Service Pack 3 – this is a Defense in Depth update)
• Exchange Server 2013 (CU 23)
• Exchange Server 2016 (CU 19, CU 18)
• Exchange Server 2019 (CU 8, CU 7)

Oczywiście, jak zawsze Microsoft udostępnia aktualizacje tylko dla dwóch ostatnich wersji Cumulative Update, więc jak ktoś nie ma, to powinien również zainstalować najnowszy pakiet poprawek. Poprawka bezpieczeństwa nie wymusza restartu serwera, ale powinien on zostać wykonany.

Więcej informacji o zagrożeniach związanych z podatnością  można znaleźć na blogu Microsoft Security Response Center oraz tutaj.

Podsumowanie roku 2020

"O roku ów! kto ciebie widział w naszym kraju!" jak pisał kiedyś wieszcz Adam. Rok 2020 był bardzo specyficzny dla wszystkich przez pandemię, ale to truizm. Dla mnie był na pewno szczególny, ze względu na 50 urodziny, 25 rocznicę ślubu i 18 urodziny młodszej córki. Niestety, właśnie pandemia nieco pokrzyżowała plany dotyczące świętowania tych rocznic. Podobnie z planami wyjazdowymi. Udało mi się co prawda wybrać z rodziną w ferie zimowe do Rzymu, ale inne plany wyjazdowe się posypały. Z 12 miesięcy większość czasu spędziłem na pracy zdalnej, więc kolejne miesiące od połowy marca do końca roku zlały mi się w jeden ciąg, ale warto parę rzeczy podsumować.

Udało mi się zdać kilka egzaminów Microsoft, chociaż niestety mniej niż bym chciał, ale nadmiar pracy trochę utrudniał przygotowanie do egzaminów. Poprowadziłem również kilka sesji na konferencjach (lub byłem moderatorem dyskusji) i kilka szkoleń, niektóre nawet zagościły na stałe:

Administracja platformą Office 365 dla nauczycieli - 

https://youtu.be/KFbOdIINdZ8

Expert Summit 2020 https://www.youtube.com/watch?v=LI4SzKN2rvo

Akademia cyfrowego Administratora Office 365 https://www.youtube.com/watch?v=5LuITtJ2srs

Muszę również wspomnieć o dwóch istotnych dla mnie kwestiach. Po pierwsze od początku zdalnego nauczania w Polsce starałem się wspierać szkolnictwo. Co prawna nie miałem tak spektakularnych wyników jak Mariusz Kędziora, ale przeprowadziłem czy też pomogłem we wdrożeniu Office 365 w kilkunastu placówkach edukacyjnych, przeprowadziłem również kilka szkoleń online dla nauczycieli (wszystko to w wolnym czasie). Starałem się również pomagać poprzez porady na grupach Facebook'owych i posty na tym blogu.

Zmieniłem również pracę, pozostając nadal w sektorze bankowym. Można powiedzieć, że zmiana pracy w tak trudnych czasach to wyzwanie, jednak nadal czuję potrzebę nowych wyzwań i rozwoju, więc skorzystałem z ciekawej możliwości.

Co przyniesie Nowy Rok? Mam nadzieję, że kolejne ciekawe projekty i możliwość dalszego rozwoju zawodowego. Microsoft ma wprowadzić w drugiej połowie roku nowe wersje serwerów Exchange, Sharepoint i Skype for Business, pomimo tego, że krążyło w ostatnich latach wiele pogłosek o wycofaniu tych produktów. Na pewno będą również rozwijane produkty chmurowe. Mam nadzieję również, że w tym roku po zaszczepieniu będzie znowu można uczestniczyć w stacjonarnych konferencjach. Konferencje online są świetne, jednak możliwość spotkania z kolegami i specjalistami z branży jest bardzo ważna.

Rok z książkami

 Warto czasem zrobić retrospekcję i pochylić się nad tym co się zrobiło lub przeczytało. Od zawsze byłem pasjonatem książek i przynajmniej ta pasja przeszła na moje córki. Rok temu wspominałem o serwisach, z których korzystam, żeby rejestrować listę książek, które przeczytałem lub przesłuchałem w przeszłości. Rok 2020 w moim przypadku sprzyjał słuchaniu książek - większą cześć roku spędziłem na home office, więc po całym dniu pracy na komputerze, starałem się odbyć chociaż krótki spacer ze słuchawkami na uszach, sięgając po książki z różnych obszarów, żeby nie tylko oderwać się od rzeczywistości z literaturą rozrywkową, ale również żeby czegoś się nauczyć, czy też po prostu poznać historię. Serwis Goodreads, oprócz własnych rankingów książek w różnych kategoriach, przygotował również indywidualne podsumowanie roku dla każdego z użytkowników. O kilku książkach, które przeczytałem myślę że warto wspomnieć nieco więcej, zachęcając innych do ich lektury. Nie ukrywam, że nie wszystkie mnie zachwyciły, ale na szczęście było to tylko kilka pozycji. W tym roku trochę bardziej starałem się śledzić różnego rodzaju konkursy literackie (np. Nike), starając się czytać także książki laureatów takich konkursów, jak również sięgnąć po utwory noblistów. I tak moja subiektywna lista kilku książek (kolejność przypadkowa), które mnie w tym roku oczarowały, wzruszyły czy też po prostu skłoniły do głębszej refleksji:

• Permanent Record Edwarda Snowdena - bardzo ciekawa autobiografia kontrowersyjnej osoby, znanej zarówno z ujawnienia wstydliwych tajemnic amerykańskiego wywiadu jak i z prac nad siecią Tor.
• Everybody Lies Setha Stevensa-Davidowitza - ciekawe przypadki związane z analizą danych masowych i ich interpretacją (autor ma duże doświadczenia praktyczne z serwisu Google).
• Strup, Hiszpania rzdrapuje rany Katarzyny Kobylarczyk - seria reportaży z Hiszpanii pokazujących nieznane w Polsce fakty związane z wojną domową i rozliczaniem się z nie zawsze wygodną historią
• Trylogia Jakuba Szamałka Ukryta sieć, która co prawda jest z jednej strony tylko dobrym kryminałem, ale również pokazuje zagrożenia związane z korzystaniem z Internetu i dostępnością naszych danych
• Ballada ptaków i węży Susanne Collins - świetna powieść fantasy, będąca prequelem do Igrzysk Śmierci, która należy do ulubionych lektur mojej rodziny.
• Wojna nie ma w sobie nic z kobiety Swietłany Aleksijewicz - bardzo smutna historia wielu kobiet, które walczyły w Armii Radzieckiej w czasie II wojny światowej.
• 27 śmierci Toby'ego Obeda Joanny Gierak-Onoszko to z kolei ponura historia Kanady i jej polityki wyniszczania rdzennych mieszkańców, procesów i odszkodowań oraz niestety kolejny raz pokazanej ciemnej strony Kościoła, który skrzywdził wiele dzieci, oderwanych od rodzin i zmuszonych do nauki w szkołach z internatem.

Grudniowe aktualizacje dla serwerów Exchange

W trakcie przygotowań do Świąt jakoś umknęła mi publikacja pakietów aktualizacji dla Exchange. Jak wspominałem w jednym z poprzednich postów, zgodnie z ogłoszeniem grupy produktowej, dla Exchange 2016 to już ostatni Cumulative Update. Chociaż zobaczymy, co przyszły rok przyniesie.

Wersja	Build	KB	Download	UMLP	Aktualizacja Schematu	PrepareAD
Exchange 2019 CU8	15.2.792.3	KB4588885	VLSC		Nie	Tak
Exchange 2016 CU19	15.01.2176.002	KB4588884	Download	UMLP	Nie	Tak

Jak widać, pakiety CU nie wymagają zmian w schemacie AD, jednak należy wykonać przygotowanie lasu (setup /PrepareAD). Podobnie jak poprzednie poprawki, niezbędnym wymogiem do instalacji jest .NetFramework 4.8.

Pakiety zawierają poprawki bezpieczeństwa dla pięciu ogłoszonych przez Microsoft zagrożeń - CVE-2020-17117, CVE-2020-17132, CVE-2020-17141, CVE-2020-17142, CVE-2020-17143, więc powinno się rozważyć wdrożenie aktualizacji bez zbędnych opóźnień. Oprócz poprawek bezpieczeństwa aktualizacje również zawierają kilka poprawek funkcjonalnych.

Ciekawe aplikacje w Microsoft Teams

Jednym z ciekawych tematów, o który czasami jestem pytany to aplikacje dostępne dla uczniów i nauczycieli w Microsoft Teams. Część z nich jest oczywista, część zależy od posiadanych licencji (np. aplikacje z grupy Microsoft Dynamics powiązane z zarządzaniem kadrami), możemy również dodawać własne aplikacje.

W przypadku planów edukacyjnych, dosyć specyficzną aplikacją są Zadania (Assignments), które niejako przymusowo są dodawane do paska szybkiego wyboru oraz jako zakładka do zespołów klasowych. Aplikacja ta ma wiele ciekawych zastosowań, więc na pewno w klasach wyższych dobrze jest ją używać - więcej informacji o aplikacji znajdziemy tutaj.

Co jednak w przypadku, kiedy placówka edukacyjna (np. przedszkole) lub konkretne klasy nie powinny używać Zadań?

Jak widać na powyższym ekranie, w zasadach konfiguracji aplikacji możemy dodać lub usunąć aplikacje, które powinny być przypięte w aplikacji Teams ucznia lub nauczyciela. W ten sposób możemy w konsoli administracyjnej Teams, w sekcji Aplikacje Teams->Zasady konfiguracji, poprzez globalne zasady konfiguracji lub nowe zasady utworzone dla specyficznej grupy użytkowników, dodać aplikację, którą uznanmy za potrzebną. Analogicznie możemy inną aplikację usunąć z listy domyślnie przypinanych dla użytkownika, jednak jak pokazuje powyższy rysunek, na liście przypiętych aplikacji nie widać Zadań. Jest za to ostrzeżenie, że aplikacja ta jest dodawana obowiązkowo w ramach planów edukacyjnych. Czy jednak możemy ją usunąć z tej listy?

Nie jest to takie oczywiste, ale możemy. Jednak w tym celu musimy zablokować aplikację całkowicie, poprzez konfigurację w innej sekcji konsoli administracyjnej - Aplikacje Teams->Zasady Uprawnień. W tym miejscu administrator może zablokować konkretne aplikacje, pozwalając na używanie wszystkich innych, bądź też pozwolić na używanie tylko wybranych aplikacji.

Dla przedszkola możemy zablokować aplikację Zadania (w wyszukiwarce aplikacji należy użyć angielskiej nazwy Assignments) w zasadzie globalnej, jednak w szkole, gdy np. chcemy zablokować tylko użycie Zadań w klasach 1-3, bo uzgodniliśmy, że ta grupa uczniów nie będzie z niej korzystać, to powinniśmy utworzyć nową zasadę i przypisać ją do wybranej grupy uczniów (rysunki poniżej). Po zapisaniu zasady aplikacja zniknie zarówno z paska szybkiego dostępu jak i z zakładek zespołów klasowych.

W styczniu mają pojawić się kolejne, ciekawe aplikacje, które Microsoft udostępni dla użytkowników Teams, napiszę o nich oddzielnie.

Ograniczenie dostarczania poczty w organizacji Office 365

Jednym z tematów, który cyklicznie się przewija w dyskusjach z nauczycielami i administratorami szkolnymi jest ograniczanie możliwości wysyłania i otrzymywania maili na szkolne skrzynki pocztowe. W końcu Office 365 dostępny dla szkół to nie tylko Teams ale i najpopularniejszy na świecie system pocztowy Microsoft Exchange. Oczywiście umożliwia on różnego rodzaju operacje na wiadomościach pocztowych w trakcie ich wysyłki lub odbierania poprzez reguły transportowe.

Jak zatem dobrze i sprawnie przygotować regułę, która zablokuje możliwość wysyłania poczty przez uczniów do odbiorców mających skrzynki poza domeną szkolną? Najprościej byłoby utworzyć dynamiczną grupę dla wszystkich kont z licencją ucznia, ale niestety w planie EDU A1 możliwość tworzenia dynamicznych grup zabezpieczeń nie jest dostępna. Trzeba zatem poradzić sobie inaczej. Można to zrobić dosyć szybko z poziomu powłoki Powershell, ale da się to również zrobić z konsoli webowych. Można wyobrazić sobie kilka różnych scenariuszy, ja pokażę ten, który jest wg. mnie najprostszy.

Pierwszym krokiem oczywiście jest utworzenie grupy (rysunek poniżej). Używam do tego konsoli administracyjnej systemu pocztowego Microsoft Exchange. Od niedawna dostępna jest nowa konsola administracyjna jeszcze nie do końca spolonizowana.

W regułach transportowych możemy używać pojedynczych kont lub grup posiadających adresy mailowe, utworzę więc dynamiczną grupę dystrybucyjną, tworzoną na podstawie wybranych atrybutów konta. Jeżeli zadbamy, żeby wszyscy uczniowie mieli w polu Departament mieli wpisaną wartość "uczniowie", to taka grupa będzie spełniać nasze założenia (kolejne rysunki".

Po przejściu całego kreatora utworzy nam się potrzebna w dalszej konfiguracji grupa dynamiczna. Kolejnym krokiem jest utworzenie reguły transportowej. Reguły transportowe nadal są konfigurowane wyłącznie w starszej wersji konsoli, ale niebawem się to zmieni.

Tworzymy zatem nową regułę transportową, gdzie jako warunki ustawiamy, że jeżeli odbiorca poczty jest poza naszą organizacją i nadawca należy do odpowiedniej grupy dystrybucyjnej, to wiadomość jest odrzucana, możemy również dodać wyjątek (np. pozwalający wysyłać maile do konkretnej domeny). Tworzymy regułę i gotowe. Możemy również utworzyć analogiczną regułę dla poczty przychodzącej - nadawca poza organizacją, odbiorca należy do grupy.

Witryny administracyjne Office 365

Kolejny temat, który często pojawia się w dyskusjach z administratorami Office 365 lub poszczególnych komponentów chmurowych jest dostęp do portali administracyjnych poszczególnych usług, zwłaszcza, że część usług ewoluuje, zmienia nazwy (np. zamiast konsoli administracyjnej Intune w portalu administracyjnym Azure, pojawił się specjalizowany portal Endpoint Management), lub pojawiają się nowe rozszerzenia. Dostęp do poszczególnych portali zależny jest również od posiadanych przez naszą organizację licencji. Ponieważ nie zawsze nazwy te są łatwe do znalezienia, chciałem podsumować nazwy usług z których często korzystam, oraz tych z których korzystam sporadycznie.

Pierwszą witryną, z której korzystają wszyscy administratorzy Office 365 jest https://admin.microsoft.com, czyli podstawowy portal zarządzania naszą organizacją Office 365. Bardzo wielu administratorów często korzysta z tej witryny również jako miejsce pośredniczące w dostępie do portali administracyjnych innych usług, jednak nie wszystkie portale są dostępne z tego poziomu, jak widać na poniższym rysunku. Jednak w ten sposób tracimy sporo czasu (zwłaszcza na słabych komputerach, lub połączonych słabym łączem) i lepiej otwierać od razu łącze bezpośrednie. Możemy sobie również dodać takie urle do ulubionych i mieć je pod ręką, kiedy ich potrzebujemy.

 

I tak po kolei (kolejność przypadkowa):

• zarządzanie użytkownikami i grupami Azure Active Directory - https://aad.portal.azure.com/
• Microsoft Teams - https://admin.teams.microsoft.com/
• zarządzanie pocztą elektroniczną Exchange Online - nowy portal administracyjny https://admin.exchange.microsoft.com i klasyczny https://outlook.office365.com/ecp
• Portal administracyjny Power Automate - https://emea.flow.microsoft.com/
• Portal administracyjny Stream - https://web.microsoftstream.com/
• Portal administracyjny OneDrive - https://admin.onedrive.com 
• Portal administracyjny PowerApps - https://admin.powerplatform.microsoft.com/
• Portal administracyjny Sharepoint Online ma nieco bardziej skomplikowane nazewnictwo - do nazwy organizacji należy dodać końcówkę -admin i domenę sharepoint.com i tak tworzona jest nazwa portalu administracyjnego - np. https://pepug365-admin.sharepoint.com
• Portal administracyjny Yammer podobnie jak w przypadku Sharepoint ma w nazwie podstawową domenę organizacji na bazowej witrynie Yammer - np. https://www.yammer.com/pepug.org/admin

Zarządzanie ustawieniami związanymi z funkcjami bezpieczeństwa i zgodnością z regulacjami jest obecnie rozbite na trzy portale:

• Stary portal zabezpieczania środowiska https://protection.office.com/
• Część funkcji jest wydzielona do portalu zarządzania zgodnością z regulacjami - https://compliance.microsoft.com/
• Jest również dostępny nowy portal zabezpieczeń - https://security.microsoft.com/

W przypadku organizacji edukacyjnych, dodatkowym portalem administracyjnym jest portal usługi School Data Service - https://sds.microsoft.com/

Jeżeli nasza organizacja ma licencje Enterprise Mobility + Security lub Microsoft E3/E5, to dostępne są również dodatkowe portale związane z zaawansowanymi funkcjami bezpieczeństwa

• Portal administracyjny Intune - https://endpoint.microsoft.com/
• Nowy portal zarządzania pakietem Office (jest dostępny również w niższych pakietach, ale bez integracji z Intune niewiele jeszcze można w nim zrobić - https://config.office.com/
• Portal zarządzania usługą Azure Information Protection (choć duża część funkcjonalności zniknie za kilka miesięcy, w związku z zastąpieniem etykiet AIP etykietami Unified Labeling) - Azure Information Protection
• Portal zarządzającyAzure ATP (nowa nazwa Microsoft Defender for Identity) - https://portal.atp.azure.com/
• Portal zarządzający Cloud App Security - https://portal.cloudappsecurity.com/

Teams - Współpraca z użytkownikami zewnętrznymi

 Jednym z tematów, który często pojawia się w pytaniach dotyczących Microsoft Teams jest dołączanie do spotkań lub do zespołów osób spoza naszej organizacji Office 365. Żeby omówić ten temat, najpierw musimy wiedzieć, jakie typy użytkowników mamy do dyspozycji i jakie są ich uprawnienia/możliwości pracy w Teams naszej organizacji/szkoły. Tak więc mamy 3 typy użytkowników zewnętrznych:

• Użytkownik sfederowany - użytkownik z innej organizacji Microsoft Teams - jeżeli nasza organizacja ma włączoną federację (współpracę) z innymi organizacjami Teams, to możemy połączyć się bezpośrednio z takim użytkownikiem, zarówno głosowo jak i poprzez chat. Jeżeli federacja jest typu natywnego (obie organizacje pracują w trybie Teams Only), to również możemy zobaczyć status dostępności takiej osoby. Użytkownik tego typu nie ma dostępu do naszych zespołów, ale może być zapraszany na spotkania.
• Użytkownik anonimowy - można zapraszać taką osobę na spotkania/lekcje, wysyłając zaproszenie mailem na adres pocztowy danej osoby. W zależności od zdefiniowanych polityk spotkań użytkownik anonimowy może tylko uczestniczyć w spotkaniu, ale może również być prezenterem. Administrator może również zablokować możliwość dołączania użytkowników anonimowych.
• Gość - Użytkownik z innej organizacji Teams, Skype for Business, a nawet z innej platformy jak np. Google. Goście mogą należeć do zespołów Teams, mieć dostęp do witryn Sharepoint oraz wybranych aplikacji. W zależności od ustawień na poziomie administracyjnym możemy pozwolić wszystkim pracownikom zapraszać gości do swoich zespołów Teams, możemy to również ograniczyć, pozwalając tylko administratorom dodawać gości na poziomie organizacji, a do zespołów Teams dodawać tylko wcześniej utworzone konta gości.

Jak widać, w zależności od potrzeb, możemy skorzystać do różnych celów z różnego typu kont zewnętrznych, jednak właściciel zespołu, a nawet część administratorów nie zawsze wie, jak zmienić ustawienia w zakresie ograniczeń pracy gości czy użytkowników anonimowych. Gdzie szukać rozwiązania naszych problemów?

W przypadku użytkowników anonimowych, zablokowanie dostępu do spotkań jest proste - wystarczy w ustawieniach spotkań (konsola administracyjna Teams), wyłączyć dostęp anonimowy - jak widać na poniższym rysunku.

Zezwolenie na udział użytkowników globalnych jest ustawieniem globalnym, co może ograniczać możliwość zapraszanie użytkowników zewnętrznych zarówno uczniom jak i nauczycielom - zaproszenie na spotkanie wyślemy, ale użytkownik niezalogowany do Teams nie dołączy do spotkania. Jednak w przypadku, gdy mamy włączoną federację, a zaproszona osoba ma konto w innej organizacji Teams, to będzie mogła dołączyć do spotkania jako użytkownik sfederowany. Żeby ograniczyć również tą możliwość musimy na poziomie organizacji ograniczyć federację z innymi organizacjami. Domyślnie w ustawieniach organizacji Teams współpraca federacyjna z innymi organizacjami Teams i Skype for Business oraz Skypem konsumenckim jest włączona (rysunek poniżej).

Jeżeli chcemy ograniczyć współpracę z innymi organizacjami, możemy po prostu dodać domenę zaufanej organizacji, a nawet wyłączyć całkowicie współpracę federacyjną.

Jednak najwięcej możliwości współpracy daje nam konto gościa - tylko ten typ użytkownika zewnętrznego może być dodany do zespołu i np. wspólnie współpracować edytując dokumenty projektowe udostępnione w danym zespole. Domyślnie wszyscy mogą dodawać gości na poziomie zespołu (kolejny rysunek).

Jednak ze względów bezpieczeństwa dobrze jest ograniczyć możliwość dodawania gości, tak, żeby tylko administratorzy organizacji mogli dodawać nowe konta. Należy to zrobić z konsoli Azure Active Directory->Użytkownicy->Ustawienia Użytkownika->Zarządzaj ustawieniami współpracy zewnętrznej.

Dobrze jest również rozważyć jakie możliwości powinni mieć goście w zespole. Właściciel zespołu może zablokować lub zezwolić gościom na tworzenie i kasowanie kanałów (kolejny rysunek), administrator może również ograniczyć opcje gościa (ustawienia globalne organizacji Teams w panelu administracyjnym Teams) dotyczące prowadzenia rozmów, konwersacji i udziału w spotkaniach (ostatni rysunek).

Lista obecności spotkania w Teams

W poprzednim artykule pisałem o użyciu pakietów polis w Teams, jednak nadal nie wszystkie ustawienia można wyklikać w panelu administracyjnym.

Jednym z często pojawiających się zagadnień jest brak listy obecności na spotkaniu, co potrzebne jest wielu organizatorom spotkań, a zwłaszcza nauczycielom. W tym wypadku niezbędne jest przypisanie organizatorom spotkań (czyli na przykład nauczycielom) ustawienia, które wymusza dodawanie listy obecności z poziomu powershella. Jak zrobić to najprościej?

Zacznijmy od sprawdzenia jak wyglądają istniejące polisy spotkań. Tak jak wspomniałem, ustawienie nie jest widoczne w panelu administracyjnym, więc musimy skorzystać z Powershella. W tym celu musimy zainstalować (jeżeli jeszcze nie mamy) moduł administracyjny Skype for Business Online (moduł MicrosoftTeams jeszcze nie obsługuje Meeting Policy). Potem łączymy się do naszej organizacji Office 365

$cred = Get-Credential

$sfbsession = New-CsOnlineSession -Credential $cred

Import-PSSession $sfbsession -AllowClobber

(rysunek poniżej).

i sprawdzamy, jak skonfigurowany jest parametr odpowiadający za listę uczestników (kolejny rysunek).

Get-CsTeamsMeetingPolicy | select Identity,AllowEngagementReport

Jak widać, domyślnie polityka "Education_Teacher" ma wyłączone raportowanie listy uczestników. Jeżeli taka polityka jest przypisana do nauczycieli, to wystarczy teraz zmienić ustawienia polityki, wykonując komendę:

Set-CsTeamsMeetingPolicy -Identity Tag:Education_Teacher -AllowEngagementReport Enabled

(kolejny rysunek) i gotowe.