Script - Configurar Azure VM como DC durante su creación

 Hola, 

El Script que os quiero compartir no es gran cosa, pero andaba cansado de crear DCs a mano para entornos de pruebas en Azure. Así que hace un tiempo creé un Script que lo hace y hoy, tras utilizarlo por enésima vez, os lo comparto.

#Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled false

Add-WindowsFeature RSAT-ADDS-Tools

Install-WindowsFeature -name AD-Domain-Services

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

$pasw="TuContraseña"

$spasw = $pasw | ConvertTo-SecureString -AsPlainText -Force

Install-ADDSForest -DomainName dominio.local -SafeModeAdministratorPassword $spasw -Confirm:$false -Force -InstallDns:$true -DomainNetbiosName dominio -NoRebootOnCompletion

Start-Sleep -s 10

Restart-computer

Veréis que he comentado la línea donde podrías deshabilitar el Firewall de Windows, yo finalmente no lo hago, pero up to you. También tendréis que adaptarlo y poner vuestra contraseña.

La primera vez, para poder lanzarlo durante la creación de una VM, tenéis que subirlo a un contenedor y en opciones avanzadas, elegir crear un "Custom Script Extension", eligiendo el script subido o subirlo durante el wizard que aparecerá.

Asignar licencia de M365 por pertenencia a grupo en Azure AD

Hola, 

A continuación os detallo los pasos para asignar licencias de forma automática por pertenencia a grupos de Azure AD o AD sincronizados.

Licencias M365 Apps por device

El funcionamiento de asignación de licencias O365 apps por dispositivo, es el mismo que se describe a continuación, pero deberemos incluir equipos en el grupo correspondiente, en vez de usuarios. Tras eso, ya podremos desplegar Office 365 apps (anteriormente proplus) y este software será activado por dispositivo.

Para la poder inlcuir equipos en grupo de auto asignación de licencias, deberías habilitar la sincronización de dispositivos en Ad-Connect.

Licencias M365 por Usuario

Necesitas contar con licencia P1 o E5 pero con tener una se habilita la opción...

1. Ir a la opción "Licenses" en Azure AD.

2. Dentro de la opción elegida, hacer click "All groups" y luego en el tipo de licencias que queréis asociar al grupo.

3. Tras esto has de elegir "Users and Groups" y en el menú de la derecha elegir el grupo que queréis asociar.

4. Después de elegir el grupo, tenéis que hacer click en "Assignment options" y elegir las opciones de la licencia que queréis aplicar.

Con esto ya estaría. Una licencia se asignará a cada usuario perteneciente al grupo.

Debéis tener en cuenta que toda licencia asignada a un usuario mediante grupo, no podrá ser retirada de un usuario directamente, para eliminar la licencia asignada habrá que retirar al usuario del grupo.

Saludos.

Habilitar Self Service Password en inicio de sesión

 

Hola, 

A continuación os dejo los pasos necesarios para habilitar la opción de recuperación de contraseña en el inicio de sesión.

Requisitos

Opción 1 - Escenario de AD híbrido 

- Azure AD P1 en el usuario

- Password Write Back habilitado en la sincronización de AD Connect.

Opción 2 - Escenario con equipos ligados solamente a Azure AD

- Solamente es necesario ligar el equipo a Azure AD.

Requisitos generales:

- Contar con los equipos ligados a Azure AD.

- Internet y en el caso de Proxy, contar con acceso a las direcciones passwordreset.microsoftonline.com y ajax.aspnetcdn.com

-Contar con versión Windows 10 1803 o superior

-Qué los usuarios hayan ofrecido información de contacto, como por ejemplo teléfono y/o dirección de correo secundaria.

Los pasos para configurar la activación

Sin Intune (Endpoint Device Manager)

Promulgar en tus equipos la clave de registro siguiente: 

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\AzureADAccount

"AllowPasswordReset"=dword:00000001

Con Intune (Endpoind Device Manager)

Crear una política aplicada a usuario o equipos con la siguiente configuración: 

OMA-URI  - ./Vendor/MSFT/Policy/Config/Authentication/AllowAadPasswordReset

Tipo de datos : Entero

Valor: 1

Personalizar fondo para Microsoft Teams

Hola, 

En los últimos días hemos visto una actualización de Microsoft Teams, gracias a la cual, se nos permite cambiar el fondo que aparece detrás de nosotros durante una conversación.

Pues bien, si preferís tener fondos personalizados, basta con dejar un archivo de imagen en la siguiente ruta:

%AppData%\Microsoft\Teams\Backgrounds\Uploads

Os dejo con algunos recursos de donde podéis descargar imágenes.

https://wallpapercave.com/star-trek-wallpaper-1920x1080
https://www.starwars.com/news/star-wars-backgrounds

Por cierto, siempre veréis un efecto espejo respecto a como lo veis vosotros respecto a como lo ven los asistentes, por lo que si os inclináis por insertar el logo de vuestra empresa, este lo veréis volteado horizontalmente.

Saludos

Doble Factor (Azure AD) en Servicio Remote Desktop Gateway

Hola,

En el siguiente post, quiero detallaros como añadir doble factor de validación a la hora de conectar a vuestra granda Remote Desktop Services desde el exterior, haciendo uso del rol Remote Desktop Gateway.

Con este post quiero enriquecer comentando algunos aspectos que al seguir la información oficial, pueden pasar desapercibidos e incluso pueden provocar que os atasquéis. Esta información oficial la tenéis aquí: https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-nps-extension-rdg

A continuación os detallo los elementos necesarios.

Infraestructura Onpremise:

1. Directorio activo sincronizado con Azure Ad mediante Ad-Connect u otros software de sincronziación.
2. Servidor RDG con rol Remote Desktop Gateway
• Rol Remote Desktop Gateway (RDG) en un servidor publicado a internet a través del puerto 443.
• Servicio Network Policy Server (NPS) Local del servidor Remote Destkop Gateway- (Importante conocer que este servicio existe y se activa automáticamente al añadir el rol RDG)
3. Servidor NPS donde habilitar el rol Network Policy Server, que conectaremos con Azure AD
• Descargar e instalar el software NPS Extension: https://www.microsoft.com/en-us/download/details.aspx?id=54688

Azure AD:

1. Activar MFA en usuarios sincronizados.
2. Obtener el Azure AD ID -  Azure Active Directory - Propiedades.

A continuación podéis ver los pasos de configuración.

Configuración: 

Servidor NPS:

• Abrir Powershell como administrado
• Ir a la ruta c:\program files\microsoft\azureMfa\config
• lanzar el script: AzureMfaNpsExtnconfigSetup.ps1

Errores conocidos: 

•  Si tienes Ws 2016 puedes econtrar problemas en la descarga del paquete: https://undercpd.blogspot.com/2020/04/install-package-failed-to-download.html
•  Si tienes Windows Server en un lenguaje que no sea inglés, puedes encontrar un error. El script trata de dar privilegios de acceso a la clave privada del certificado generado a  la cuenta "Network Service" cuando en español la cuenta es "Servicio de red", por lo que una vez el script te devuelve el error, puedes hacer este paso a mano. Por ejemplo podéis seguir este procedimiento https://docs.secureauth.com/display/KBA/Grant+Permission+to+Use+Signing+Certificate+Private+Key Tened en cuenta que el grupo no es Authenticated users como muestra esa guía.

Servidor RDG:

•  Ir a Inicio - Herramientas administrativas - Remote Desktop Services - Administrador de puerta de enlace de Escritorio Remoto
•  Click en Propiedades sobre botón derecho sobre el nombre del servidor 
•  Solapa Almacén de Cap de RD

•  Añadir nombre de servidor NPS - Agregar Frase secreta compleja y de vuestra invención.
• En el servidor RDG (no configundir con servidor NPS) abrir consola NPS. Inicio - Herramientas administrativas - Servidor de directivas de red. 
• Ir a Clientes y Servidores RADIUS - Grupos de servidores remotos RADIUS
• A la derecha ha de aparecer TS GATEWAY SERVER GROUP . Si no apareciese por favor actualizar ya de requiere unos minutos.
• Doble click sobre dicho grupo
• Comprobar que aparece el servidor NPS - Hacer click sobre él y click en Editar
• click en la solapa Equilibrio de carga
• Aumentar los segundos de solicitud e identificación a 60.
• 
• Aceptar todas las ventanas abiertas
• Cerrar consola NPS

Servidor NPS:

• Abrir Consola NPS - Inicio - herramientas administrativas - Servidor de directivas de redes
• Botón derecho sobre NPS (Local) y hacer click en Registrar servidor en Active Directory
• Dobre Click en Clientes y Servidores Radius
• Botón derecho sobre Clientes RADIUS - click en Nuevo
•  Dirección IP : Nombre de servidor RDG
• Introducir mismo secreto compartido que se introdujo en el servidor RDG
• Doble click en Directivas y directivas de red
• Botón derecho sobre la directiva "Connections to other access Servers
• Click en duplicar directiva
• Botón derecho - Propiedades sobre la directiva duplicada aparecida
• Modificar nombre
• Click en Directiva Habilitada
• Click en Conceder acceso
• Click en solapa Restricciones
• Métodos de autenticación
• marca la casilla Permitir a los clientes conectarse sin negociar un método...
• Click en la solapa Condiciones
• Agregar  condición incorporando a un grupo de usuarios de directorio activo, como grupo permitido para la conexión.
• Aceptar las ventanas aparecidas.

Tras esto, ya podréis probar la configuración de la conexión a través de RDG a un equipo en la red.

Saludos.