Reprise du message précédent :
Merci l0g4n, je vais regarder cela.
 
Wolfman, la plupart des clients sont de petites boites < 50 utilisateurs.
Si on doit créer un compte d'administration nominatif pour chaque tech, ce serait trop chronophage.
Effectivement, il n'y a aucun traçage.
 
On ne peut pas passer chez les centaines de clients pour supprimer un compte d'administration lors du départ d'un tech. (AD, office 365, routeur...)
Peut-être qu'une fois que tout le monde sera dans Azure, ce sera plus simple.
 
Je ne crois pas qu'il y ait de possibilité dans office 365 de créer des comptes et les supprimer sur tous les tenants en même temps.

Tips : script

Un telephone portable par technicien et vous explosez le budget ? Parce qu'aujourd'hui, ils n'ont rien pour pouvoir être contacté ? C'est une blague ?

Activer le MFA pour tous tes tech t'y couperas pas, par contre y'a d'autres solutions que le téléphone (token, smartcard... en fonction de la solution de MFA que tu retiens).
 
Ensuite ca doit pouvoir marcher en ajoutant vos comptes en Guest Users dans les tenant des clients et en leur attribuant les permissions qui vont bien dans ces tenants

 
Les techniciens itinérants ont pendant très longtemps n'ont pas eu de smartphone pour faire des économies.
Ca faisait bien marrer les clients de voir une boite d'infos avec de si vieux portables.
 
Je@nb, je pourrais faire un script qui ajouterait les comptes de techs et qui irait faire tous les tenants.
Mais on doit être une quarantaine de tech, cela ferait beaucoup de compte d'administration sur des tenants qui peuvent parfois contenir de 5 à 10 comptes utilisateurs.

C'est le moment de :
1) automatiser la création/suppression de compte (y'a des API dans tout les sens, même avec un script Bash et des curl y'a moyen de en sortir)
2) se poser la question de comment tu annoncera à tes X clients le jour où un mec va se barrer, en conflit avec la boîte, avec les creds de tout tes clients, et les utilisera pour faire pression/foutre la merde/se venger...
J'sais pas si un truc a la wallix/cyberark ça répondrai au besoin tien...

Et bien la direction peut envoyer une lettre à ces clients comme quoi elle souhaite mettre fin à la prestation qu'elle leur vend, c'est simple et les lettres recommandées avec AR sont moins chères que les smartphones.

Hardware token (Vasco ou RSA)

Ils ont un véhicule quand même ? Un vélo de service à ramener le soir peut-être ?

Moi je serai un de vos clients, j'irai immédiatement voir la concurrence. Hors de question de confier mon SI à des clowns pareils.
 
Pour ton souci de synchro, soit tu fais ça à la main via des scripts, soit tu passes par un outil pro qui va faire ça de façon plus industrielle (attention, ça coûtera sans doute plus qu'un smartphone) type CyberArk.
 
Avec zéro audit, au premier incident de sécu sérieux, votre boîte saute.

hey, y a des GPOistes dans la salle ? j'ai la flemme de créer un topic, et c'est pas une question si compliquée que ca.
 
c'est a propos de GPO loopback processing

Balance, il y en a encore qui font de l'AD par ici. Plus beaucoup mais y en a

 
Mais vous ne vous rendez pas compte, on parle de plusieurs EUROS par mois, on ne peut pas se le permettre

Pas de budget smartphone pour des techs.
Allez un truc lambda a acheter à 150 euros plus abo a 15/20 balles par mois. Bordel chaud de radiner autant...

D'ailleurs ce serait marrant de connaître le budget smartphone de la direction pour comparer

au moindre quart d'heure de productivité perdue par manque de smartphone il n'y a plus de gain financier pour la boîte, mais bon comme pour beaucoup de choses, tant que personne n'a fait le calcul c'est comme si ça n'existait pas

J'imagine le truc à l'ancienne.

Ah c'est Robert qui est intervenu chez toto sarl. Comme on a rien de standardisé et pas de gestion de doc... ca doit lui qui a le mot de passe admin du routeur de toto sarl.

Prenons son planning. Alors entre 14h et 16h il est chez le client nanard COGIP. Je vais appeler l'accueil de nanard COGIP pour demander à ce qu'il nous rapelle rapidement.
Allo nanard COGIP? Vous avez Robert notre technicien dans vos locaux. Pouvez vous lui dire de nous rappeler au plus vite? Merci Jocelyne.

On est fort hein. Trop fort. Bon toto SARL est totalement bloqué depuis des heures. Mais on pourra entre voir le début d'une intervention dès que Robert aura le message.

 
Je n'y crois pas. Dans les boites où il n'y a pas de "management par le portefeuille", fournir des outils de travail est une évidence.
Là, le calcul a été fait et ils ont estimé que le risque était plus faible que le coût.

je salue ton optimisme  

Euh en parlant d'AD vous avez vu passer ça ?
https://www.reddit.com/r/sysadmin/c [...] 0_will_be/
https://techcommunity.microsoft.com [...] a-p/921536
Debut Mars risque d'être fun fun fun !

oui, la nouvelle est déjà passée puisqu'en 2019, microsoft avait déjà émis l'avis de MAJ et la recommandation d'activer le LDAP channeling pour lever tous les problèmes avant que cela devienne obligatoire (et donc que tous les problèmes te petent à la gueule en meme temps le jour où tu appliques la MAJ)

Tient j'avais pas vu passer …

plus rien ne fonctionnera en connexion sur l'ad sur le port 389 …
Le bordel je ne suis pas dans la merde

Non, ce qui ne fonctionnera pas sera ce qui n'est pas compatible avec les signatures LDAP (ou configuré en LDAPS).
 
Bon en pratique à peu près tout ce qui n'est Microsoft Mais on ne sait jamais, peut-être que les distros Linux seront mises à jour avant 2030
 
Par contre la mise à jour devait débouler ce mois-ci, ils ont encore repoussé la date apparemment.
 
Le bordel, ça va être surtout sur la partie badgeuse/copieurs/switchs etc.

De ce que j'ai lu tu as une clef de registre a mettre a 0 pour rester dans l'état actuel, mais oui y a du boulot.
Je parle même pas des constructeurs de MFP qui connecte toutes leurs machines en 389.

Oui enfin désactiver la sécu n'est pas une solution non plus.
 
A l'heure actuelle un simple compte de domaine suffit à cracker un AD, il était grand temps que Microsoft propose quelque chose d'autres que les forêts bastion. Idéalement ils intègreront çà en natif dans la prochaine version de Windows Server mais ça n'est pas gagné.

Ah moi j'avais compris qu'il fallait mettre à 1 pour accepter les non signés et signé …

Ah oui en effet j'avais mal lu

To explicitly disable the setting, set the LdapEnforceChannelBinding entry to 0

par contre doit on passer à disable l'autre parametre ? :

LDAP Server Integrity (signing) = enabled by default (after update)

car en effet j'ai bien des warning 8887

tient je n'ai que cet entrée pour activer le signing :
Domain controller: LDAP server signing requirements

j'ai pas d'entrée sur le ldap channeling . C'est qu'une propriété dans la BDR ?
Cela ne se gere pas par GPO/GPP ?

Hum c'est peut etre l'entrée: network security: ldap client signing requierement.

Pour passer la tempete et le gerer tranquillement je fou les 2 entrées à "none" je présume.

tin j'ai reçu une offre de stage 6mois par mail, au CEA sur ITER, fusion nucléaire, tokawak, tout ça.  
C'est con c'est du SI

Tomahawk tu veux dire

Tokahawk, c'est comme un tokamak mais en forme d'oiseau  

bon ca me rassure et non.  
 
https://blogs.vmware.com/vsphere/20 [...] 90023.html
 
meme eux se reveillent à m-2  

Cyberark, il y a des clients qui ont une de leurs solutions qui fonctionne ?

j'ai plusieurs clients qui utilisent password vault ou privileged session manager, c'est pas ouf mais ca marche

tokamak (west)

Gros sujet chez nous et du coup, ça va être reporté et non appliqué immédiatement vu le bordel engendré.

Quelqu'un peut faire un résumé en fr ou un lien que je puisse le faire tourner ?

En Mars, Microsoft va diffuser un patch de sécu qui va modifier le comportement par défaut de l'authentification LDAP sur les controleurs de domaine :
Si utilisation du LDAPS (LDAP Over TLS), aucun changement
Si utilisation du LDAP non chiffré (cas de beaucoup de copieurs, appliances réseau...), le client doit utiliser LDAP Signing (chiffrement de l'authentification à défaut de la transaction LDAP complète, en gros) et peut utiliser LDAP channel Binding (mais ca reste optionnel).
Ca restera désactivable par GPO pour revenir au comportement actuel, mais faut être préparé...

Merci pour le décodage. Du coup, sur des infrastructures pas mises à jour, ça changera rien

 
Mais je suis surpris que certains gros editeur (vmware) ne sont pas 100% prêt ^^
 
moi je vais faire la manip pour revenir avant, et voir comment on peut tester cela  

T'as vraiment besoin d'aide pour traduire 3 lignes d'anglais ?