Document · PDF

11 bijlage 1 20210721 Gem MiddenDelfland HLD Modern Workplace v1.0.pdf

Gemeenteraad 20 december 2022, gemeente Midden-DelflandBij agendapunt: Voorstel tot het instemmen met de roadmap transitie Office 36513.818 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 2

gemeente Midden-Delfland Handelsweg 100 2988 DC Ridderkerk Door: SoftwareONE Naritaweg 177 1043 BW Amsterdam 26.08.2021

Page | 1 of 54

Gebruikte terminologie ........................................................................................................... 5

Project informatie ................................................................................................................... 7

2.1

Introductie.......................................................................................................................................... 7

2.2

Document Historie ............................................................................................................................. 7

2.3

Distributie........................................................................................................................................... 7

Scope ..................................................................................................................................... 8 Doelgroep ........................................................................................................................................... 8 In scope .............................................................................................................................................. 8 Buiten scope....................................................................................................................................... 8

Architectuur ........................................................................................................................... 9 Concept werkplek van de toekomst .................................................................................................. 9

4.2

Huidige situatie ................................................................................................................................10

4.3

Huidige technologieën .....................................................................................................................11 Gekozen technologieën ...................................................................................................................12

Roadmap .............................................................................................................................. 13

5.1.1

Functie tabel ....................................................................................................................................13

5.1.2

Aanverwante trajecten ....................................................................................................................16

Microsoft 365 ontwerp ......................................................................................................... 17 Gefaseerde aanpak implementatie Microsoft 365 services ............................................................17

6.1.1

Microsoft 365 platform updates ......................................................................................................20

6.1.2

Microsoft 365 Apps for Enterprise ...................................................................................................21

6.1.3

Office Online ....................................................................................................................................22

6.1.4

SharePoint Online ............................................................................................................................23

6.1.5

OneDrive for Business ......................................................................................................................24

6.1.6

Microsoft Exchange..........................................................................................................................24

6.1.7

Microsoft Teams ..............................................................................................................................26

6.2

Microsoft Endpoint Manager ...........................................................................................................27

6.2.1

Intune ...............................................................................................................................................27

Page | 2 of 54

6.2.2

AutoPilot ..........................................................................................................................................28

6.2.2.1

Enrollment Restrictions....................................................................................................................28

6.2.2.2

Lokale beheerders ............................................................................................................................29

6.2.2.3

Device Compliance ...........................................................................................................................29

6.2.2.4

Device Configuration ........................................................................................................................29

6.2.3

Microsoft Endpoint Configuration Manager ....................................................................................30

6.2.4

Desktop Analytics .............................................................................................................................30

Infrastructuur ....................................................................................................................... 31 Endpoints .........................................................................................................................................31 Identiteit...........................................................................................................................................31

7.3

Enterprise applicaties.......................................................................................................................35

7.4

Multi Factor Authenticatie ...............................................................................................................36

7.5

Conditional Access (CA)....................................................................................................................38

7.6

Company Branding ...........................................................................................................................39

7.7

Role Based Access Control ...............................................................................................................40

7.8

Privileged Identity management (PIM) ............................................................................................40

7.9

Windows 10 .....................................................................................................................................42

7.9.1

Installatie ..........................................................................................................................................43

7.9.2

Windows 10 update .........................................................................................................................43

Beveiliging ............................................................................................................................ 46

8.1

Windows Defender Firewall .............................................................................................................46

8.2

Windows Defender SmartScreen .....................................................................................................46

8.3

Windows Defender Antivirus ...........................................................................................................46

8.4

BitLocker ..........................................................................................................................................47

8.5

Microsoft Defender ..........................................................................................................................47

8.6

Microsoft Information Protection (MIP) ..........................................................................................48

8.7

Data Loss prevention (DLP) ..............................................................................................................49

8.8

Microsoft Cloud App security (MCAS)..............................................................................................49

8.9

Beveiligingsinformatie en event-management (SIEM) ....................................................................50

Bijlagen ................................................................................................................................ 51

Page | 3 of 54

9.1

Bijlage 1: Beschrijving Adoptie .........................................................................................................51

9.2

Bijlage 2: Cloud exit strategie ..........................................................................................................53

Page | 4 of 54

Dit document bevat afkorting en terminologie welke niet altijd bekend of duidelijk zijn voor alle lezers ongeacht niveau of kennisgebied. Daartoe is een terminologie overzicht gemaakt met gebruikte termen binnen dit document en een korte uitleg van het concept: MW – Moderne Werkplek: Een Moderne Werkplek zorgt ervoor dat medewerkers het beste uit zichzelf halen, met elkaar op een veilige manier kunnen samenwerken en flexibel zijn in de keuze van apparaten en apps. LoB – Line of Business applicatie: Is een algemene term die verwijst naar een product of apps & diensten die een bepaalde zakelijke behoefte dienen voor een organisatie of bedrijfstak. HLD – High Level Design: Brengt de overkoepelende systeemarchitectuur in kaart. Het bevat de systemen, het design en beschrijven de relaties tussen de verschillende onderdelen en gewenste functies. In de HLD wordt zichtbaar gemaakt welke systemen waarvoor ingezet worden. A/V – Audio / Video: Het hebben leveren of verplaatsen van een audio/video signaal. In de context van IT vaak gebruikt voor teleconferentie systemen. MAM – Mobile Application Management: Microsoft definieert MAM als de suite van Intunebeheerfuncties waarmee mobiele apps geïnstalleerd worden, configureren, beveiligen, bewaken en bijwerken. MDM – Mobile device management: MDM stelt gebruiker centraal zonder dat veiligheid en eenvoudig beheer in het gedrang komt.

Mobile Device Management biedt optimaal gebruiksgemak met grip het gehele apparaat. MFA – Multi-factor Authenticatie: Wanneer gebruikers toegang willen tot een account of app, moeten deze hun identiteit nog een keer extra verifiëren, bijvoorbeeld via een scan van een vingerafdruk of door het invoeren van een code die is ontvangen op de telefoon. VDI – Virtual Desktop Infrastructure: Een gebruiker krijgt een eigen virtuele pc met eigen besturingssysteem op de server toegewezen zonder dat hiervoor additionele hardware noodzakelijk is. AD FS – Active Directory Federation Services: Geeft eindgebruikers single sign-on toegang tot systemen en applicaties. Het maakt gebruik van een op claims gebaseerd autorisatiemodel voor toegangscontrole om de applicatiebeveiliging te behouden en om federatieve identiteiten te implementeren. WAP – Web Application Proxy: Een van de belangrijkste taken van het WAP is het vooraf verifiëren van toegang tot web toepassingen met behulp van Active Directory Federation Services (AD FS), en in deze hoedanigheid functioneert het WAP als een AD FS-proxy. SaaS – Software as a Service: Is software die als een online dienst wordt aangeboden. Een organisatie hoeft de software niet aan te schaffen, maar sluit bijvoorbeeld een contract per maand per gebruiker af.

Page | 5 of 54

CA – Conditional Access: Zorgt voor voorwaardelijke toegang, deze voorwaarden vaak gebaseerd op locatie, activiteit of risico geven de organisatie de mogelijkheid controle toe te passen gebaseerd op deze parameters.

Page | 6 of 54

Gemeente Midden-Delfland heeft ruim 200 medewerkers in dienst en heeft recentelijk besloten om voor haar medewerkers een werkplek concept te leveren wat is gebaseerd op de moderne werkplek (MW). Dit document dient als High Level Design voor een op hoofdzakelijk Microsoft technologie gebaseerde moderne werkplek met als doel medewerkers altijd en overal in staat te stellen om te kunnen werken. Dit document beschrijft de gemaakte ontwerp keuzes voor deze moderne werkplek. In de visie van SoftwareONE is een High Level Design (HLD) bedoelt voor het nemen van noodzakelijke (technische) beslissingen. Maar ook bedoeld voor het vastleggen van een basis inrichting van de moderne werkplek. Het geeft een richting aan de koers die een IT afdeling de komende jaren zou kunnen varen. Het HLD neemt waar nodig technische beslissingen indien dit niet anders kan, in alle andere gevallen word er gesproken over een onderwerp op de hoofdlijnen en beslissingen van technische of inrichting aard worden later genomen.

Datum

Auteur

Versie

Referentie

08-07-2021

Erik Stiphout / Roderick de Ruijter

0.1

Initiële versie

21-07-2021

Erik Stiphout / Roderick de Ruijter

0.2

Verwerken 1e review

25-08-2021

Erik Stiphout / Roderick de Ruijter

0.3

Release kandidaat

26-08-2021

Erik Stiphout / Roderick de Ruijter

1.0

Definitieve versie

Naam

Functie

Organisatie

Van versie

Rogier Winkelhorst

Adviseur informatie voorziening

gemeente Midden-Delfland

0.1

Mark Stampraad

Adviseur informatie voorziening

gemeente Midden-Delfland

0.1

Djarano Faerber

Project leider

SoftwareONE

0.1

4 5 6 7 8 9

Page | 7 of 54

Dit document tracht een ontwerp op globaal niveau te leveren als gids voor domein/cloud architecten en technici die betrokken zijn bij het moderne werkplek traject.

De omvang van het High Level Design(HLD) is als volgt: › › › › › › › › › ›

Moderne werkplek architectuur Identiteit & veiligheid Office 365 Microsoft 365 Apps for Enterprise Office Online SharePoint Online OneDrive for Business Exchange Online Windows 10 / Windows 11 Intune

Dit document behandelt alleen het bereik dat is gespecificeerd in de sectie ‘3.2 In scope’. Er moet echter worden opgemerkt dat dit project gebruik maakt van de huidige primaire infrastructuurcomponenten. De hieronder weergeven infrastructuurcomponenten zijn reeds beschikbaar in de huidige infrastructuur en vallen daarmee buiten scope. › › › ›

Netwerk Active Directory Fysieke werkplekken Telefonie inrichting

Page | 8 of 54

Dit hoofdstuk beschrijft in algemene termen de manier waarop SoftwareONE aankijkt tegen het moderne werkplek concept en de bijbehorende architectuur. Hierbij wordt op een hoog niveau een opsomming gedaan van de manier waarop Microsoft 365 gebaseerde cloudiensten samenwerken en daarbij de moderne werkplek vormen. Zoals elk concept is deze aanpasbaar om invulling te geven aan de specifieke wensen van de gemeente Midden-Delfland. Naar de mening van SoftwareONE is de moderne werkplek gebaseerd op een apparaat in de vorm van een desktop, laptop of tablet met Windows 10 / Windows 11 waarop zowel lokale als cloud applicaties beschikbaar zijn. Voor legacy en high secure apps is een connectie met de Remote Desktop Services werkplek (of vergelijkbaar concept zoals VDI) de meest voor de hand liggende oplossing. De gemeente Midden-Delfland heeft specifiek gekozen voor het concept met een non-persistent werkplek in de vorm van Citrix i.c.m. Ivanti omdat dit aansluit bij de visie die de organisatie. Interactie (broker / bestandsuitwisseling) tussen de moderne werkplek en de Citrix werkplek vindt straks plaats via OneDrive for Business. Alle persoonlijke bestanden verhuizen daarom naar OneDrive for Business en niet meer op de netwerk gebaseerde schijf binnen de on-premises fileserver omgeving.

De Windows moderne werkplek wordt uitgerold via Autopilot in combinatie met Intune policy’s. Intune zal tevens ingezet worden voor software deployment en het beheer van de moderne werkplek. Dankzij Windows AutoPilot zijn gebruikers zelf in staat om Windows 10 naar fabriek instellingen te resetten en zo gebruiksvriendelijk mogelijk het apparaat opnieuw in te schrijven als moderne werkplek apparaat. De serienummers benodigd voor Windows AutoPilot worden verzameld en handmatig geüpload naar de Microsoft Store for Business. In de nabije toekomst zal de gemeente Midden-Delfland hardware

Page | 9 of 54

aanschaffen waarbij de leverancier direct de serienummers aanlevert of zelfs rechtstreeks in de Windows Store for Business plaatst. Binnen de huidige roadmap zal dit binnen 4 jaar gerealiseerd kunnen worden. Apps worden bij voorkeur aangeboden als SaaS, via Ivanti of uit de Windows Store for Business vanwege de beperkte beheerinspanning. Indien dit niet mogelijk is wordt er een MSI/EXE installatiepakket gebouwd of in uiterste nood vindt er een handmatige installatie plaatst. De Microsoft 365 Apps for Enterprise worden standaard geïnstalleerd op de moderne werkplek. De moderne werkplek zal beheerd worden door de IT afdeling, de medewerker heeft voor het gebruik geen beheer rechten nodig en kan altijd via de supportdesk ondersteuning vragen bij installatie van randapparatuur en software. Dit laatste met de kanttekening dat deze software een bedrijfsdoel dient. De Citrix werkplek heeft een eigen beheer scenario waarbij gebruik gemaakt wordt van een referentie image. Met die referentie image kan er aan elke nieuwe gebruikers sessie een schone image gepresenteerd worden. Omdat er koppeling is tussen twee werkplekken (full client & non-persistent werkplek) moet het voor de gebruiker helder zijn wanneer ze een lokale app starten en wanneer een Citrix app. Hierin levert een adoptie programma voor de moderne werkplek een belangrijke bijdrage.

De moderne werkplek heeft connectiviteit met het interne draadloze netwerk van de gemeente MiddenDelfland. Op locaties waar dit netwerk niet beschikbaar is kan de medewerker gebruik maken van een regulier draadloos of bekabeld netwerk welke toegang geeft tot het internet. Vrijwel alle gebruikte diensten zoals Exchange Online, Teams, Intune, OneDrive for Business, Windows AutoPilot, etc. vereisen een stabiele en moderne internetverbinding voor volledige functionaliteit. Naast de laptop, desktop en tablet apparaten welke worden uitgegeven door de gemeente MiddenDelfland kan de medewerker ook gebruik maken van privé apparatuur. Hoewel privé apparatuur tot op heden is toegestaan heeft de gemeente Midden-Delfland het beleid om gebruik van privé apparatuur te ontmoedigen. Los van dit beleid is het mogelijk om informatie op privé appratuur te beveiligen door gebruik te maken van Intune App Protection. Hiermee voert de gemeente Midden-Delfland altijd de regie over de data en zijn ze in staat om hier beleid op te voeren. Alle overige (privé) apparatuur zoals PC’s hebben geen toegang tot Gemeente Midden-Delfland data. De Moderne Werkplek voor de gemeente Midden-Delfland is opgesteld op basis bouwblokken die goed op elkaar aansluiten en flexibel inzetbaar zijn.

Om de werkplek van de toekomst te kunnen bouwen moet eerst worden gekeken naar het heden. Voor de Gemeente Midden-Delfland is recentelijk een architectuur sessie gegeven omtrent dit onderwerp, hierbij was vertegenwoordiging van het management en de IT-afdeling van de gemeente Midden-Delfland aanwezig. gemeente Midden-Delfland heeft een complex IT-landschap welke historisch is gegroeid door eisen en wensen vanuit de organisatie. Dit betekent dat de IT-organisatie maximaal belast is met beheer taken. Daarnaast is de organisatie bezig met consolidatie werkzaamheden van alle IT-onderdelen omdat de

Page | 10 of 54

infrastructuur/resources van de gemeente Midden-Delfland op sommige punten gedeeld wordt met gemeenten Leidschendam-Voorburg en Westland. De huidige werkplek van de Gemeente Midden-Delfland bestaat uit een Citrix oplossing i.c.m. Ivanti workspace welke alle eindgebruikers door middel van thin client werkplek een non-persistent Citrix desktop serveert op basis van het Windows 10 O.S. Non-persistent wil zeggen dat alleen gebruikers specifieke data wordt opgeslagen en dat sessie data na uitloggen verdwijnt. gemeente Midden-Delfland maakt reeds of deels gebruik van diverse cloud gebaseerde oplossingen en diensten zoals Azure MFA en Exchange Online, dit cloud platform verzorgt opslag en afhandeling van alle email, contacten en kalenders van eindgebruikers. Overige onderdelen die zijn besproken tijdens de workshop, of nadien aangeleverd, worden verder in het HLD beschreven.

De onderstaande tabel is een overzicht van de huidige technologie inrichting van gemeente Midden-Delfland dit is een verkort overzicht van alle producten die nu in het directe landschap van de moderne werkplek vallen. Er zijn uiteraard nog meerdere andere producten en technologieën waarmee gewerkt wordt deze worden echter hier niet genoemd omdat deze buiten de scope van de architectuur vallen. Onderdeel Identiteit & Authenticatie

Gekozen technologieën ›

›

Active Directory Services Azure Active Directory Azure AD Connect Authenticatie federatie (AD FS)

OS uitrol

›

VMWare i.c.m. Citrix

Apparaat- en applicatiebeheer

›

Ivanti

Beveiliging

›

› ›

›

Pointsharp MFA TrendMicro endpoint protection Cryptshare / Zorgmail FortiMail Secure Email Gateway

Productiviteit

›

Office 2016

Werkplek

›

Windows 10 Non-persistent desktop (Citrix) Ivanti Fslogix

› ›

Page | 11 of 54

Onderstaande tabel geeft een totaalopsomming van de gekozen technologieën die betrekking hebben op de moderne werkplek. Hierbij is rekening gehouden met de licentie keuze van de gemeente MiddenDelfland. Onderdeel Identiteit & Authenticatie

Gekozen technologieën › › › ›

OS uitrol

› ›

Apparaat beheer

› ›

Beveiliging

› › › › › › › ›

Productiviteit

› › ›

Active Directory Services Azure Active Directory Azure AD Connect Password Hash synchronisatie AutoPilot (Windows 10 uitrol op full clients) Citrix (image beheer voor non-persistent desktops) Microsoft Intune Windows AutoPilot Windows Defender Firewall Windows Defender anti-virus TrendMicro Endpoint protection Client harddisk encryptie Azure MFA Microsoft Information Protection Priviledged Identity Management E-mail encryptie (veilig mailen) Microsoft 365 workloads (Exchange, Teams, SharePoint etc)(NIEUW) Ivanti (applicatie/user management op non-persistent desktops) Microsoft 365 Apps for Enterprise

Page | 12 of 54

Naast de genoemde oplossing en technologieën is SoftwareONE gevraagd om een roadmap op te stellen voor implementatie van de moderne werkplek en technologieën binnen de IT-omgeving van gemeente MiddenDelfland. Het doel van deze roadmap is om de organisatie te helpen om het volgende te bereiken: › › ›

Het zorgt ervoor dat het IT-team begrijpt waar naartoe gewerkt wordt, mede door de technologie af te stemmen op de korte- en lange termijndoelen van de organisatie; Het maakt een effectieve toewijzing van tijd, geld en mensen mogelijk door verwachtingen, prioriteiten en schema's te communiceren; Het vormt een basis voor het stellen van prioriteiten en biedt een focus voor de organisatie.

In dit stadium van het project is het echter niet mogelijk om al tijdsblokken te gaan definiëren waarin iets gemigreerd of geïmplementeerd kan worden, dit zal gedurende het traject inzichtelijk gemaakt kunnen worden. In gebrui k

Q2 2021

Q3 2021

Q4 2021

Q1 2022

Q2 2022

Q3 2022

Q4 2022

Q1 2023

Q2 2023

Q3 2023

Q4 2023

Q1 2024

Q2 2024

Q3 2024

Q4 2024

Q1 2025

Q2 2025

Authenticatie Beveiliging Governance / DLP Intune (MAM & MDM) AutoPilot SharePoint OneDrive M365 Apps for Ent. Exchange Online Teams Power Platform Forms Planner Stream SIEM

Legenda Workload in gebruik

Kwartaal

Workload niet ingebruik

Als eerstvolgende stap voor de gemeente Midden-Delfland zou SoftwareONE voorstellen om de uitrol van een nieuw office pakket te starten in de vorm van Microsoft 365 Apps for Enterprise. Dit ter ondersteuning van de inzet van meer cloud diensten in de komende maanden zoals Exchange Online en OneDrive. De uiteindelijke roadmap items worden gedurende dit project gezamenlijk met de gemeente MiddenDelfland opgesteld zodat deze optimaal aansluit bij de gewenste strategie.

Naast bovengenoemde oplossing en technologieën heeft SoftwareONE een roadmap opgesteld voor de implementatie van de hybride cloud werkplek en technologieën binnen de IT-omgeving van de gemeente Midden-Delfland. SoftwareONE heeft een reeks basisfuncties voor eindgebruikers geïdentificeerd die tijdens de workshop zijn besproken en beschikbaar moeten zijn voor eindgebruikers. Basis Functies

Page | 13 of 54

MS365-Word MS365-Excel MS365-PowerPoint MS Teams

Dynamic Teams-sites Creëren Teams-sites Templates voor Teams-sites Apps -

Trello

Planner

OneNote

Connectors/ Webhooks Public Teams-sites Deelnemen in Teams-sites Meeting (video/ audio)

Instant channel meetings (meet now) Call /chat Geplande meeting deelname Organiseer meetings Live event organisatie Teams meeting rooms (met room hardware)

Chat

Individuele chat Groupchat File sharing Yammer

Kalender

Organiseer geplande meetings Organiseer live-events Sharing meeting links Meeting starten uit de Outlook kalender

Files

Upload

Page | 14 of 54

Deel Edit Collaboratie Download/Sync Planner/Trello

Creëer een Teams based takenlijst Voeg notities toe aan een taak Taken toewijzen

Stream

Upload videos en call recordings Delen met collega’s

Wiki pages OneNote Screen sharing Forms Data governance

Labeling van alle relevant data in de workloads welke sensitieve data bevatten.

Data Loss Prevention

Policies tegen onwillekeurig delen van data

Externe toegang in Teams

External access binnen teams door guest (organisaties)

Externe toegang voor video conferences

Nodig gasten uit voor Teams conference meetings

Reporting

Teams gebruik of gebruik in SharePoint

Multi-factor authenticatie

Providing an additional layer of security

Uitgebreide functionaliteit

Tooling voor Communities

Yammer

(kamer) reserveren

Booking

Page | 15 of 54

Whiteboard

Microsoft Whiteboard

Power Platform (Automate, Apps, BI) Information security

Bepalen welke gegevens waar worden opgeslagen, door een set labels te definiëren die de inhoud onderzoekt en veilige opslag en delen mogelijk maakt

Informatie retentie

Protect data with policies that are combined with organization governance labels

Telefonische vergadering toegang

Telefonisch inbellen op vergaderingen

Guest access

Delen van documenten met guests.

Self-service password reset

Zelf redzaamheid voor eindgebruikers om een password reset te doen

Naast het moderne werkplek concept lopen er diverse andere vernieuwings-trajecten op ICT gebied welke (deels) van invloed kunnen zijn op het moderne werkplek concept. Een overzicht hiervan is: ›

FSLogix implementatie Met FSLogix technologie kan de cache van bijvoorbeeld OneDrive en Exchange Online buiten het gebruikersprofiel geplaatst worden. Hierdoor blijft de gebruikers cache bewaard en hoeft deze niet bij elke nieuwe Citrix sessie opnieuw opgebouwd worden. Het vasthouden van deze cache draagt aanzienlijk bij aan een goede gebruikers ervaring.

›

Telefonie project, vervanging van de telefonie centrale. Het is mogelijk om telefonie te integreren met bijvoorbeeld Teams en eventueel aanvullende software voor call routeringen. Daar dit vaak opzichzelfstaande complexe trajecten zijn valt deze buiten de scope van de moderne werkplek maar zijn er wel raakvlakken de bij een dergelijk traject onderzocht dienen te worden.

Page | 16 of 54

Microsoft 365 bestaat uit een verzameling van verschillende diensten geconcentreerd over werkplek diensten en achterliggende veiligheids- en infrastructuur-diensten. Per dienst wordt er beschreven hoe deze ingezet kan worden bij de gemeente Midden-Delfland. Per dienst of configuratie zal een ontwerpkeuze worden beschreven.

Een groot onderdeel van Microsoft 365 services zijn gericht op productieve diensten die in verschillende licenties vormen afgenomen kunnen worden.

Omdat de Microsoft 365 E3 licentie bestaat uit een grote diversiteit aan componenten is het vrijwel onmogelijk om alle componenten direct aan de medewerkers van gemeente Midden-Delfland aan te bieden. Het advies is om via een gefaseerde aanpak nieuwe componenten te introduceren. Hierdoor kan aan elke component de juiste aandacht worden geven waardoor een hoog adoptie niveau wordt gerealiseerd. Daarnaast is er via deze methode grip op het gebruik van de componenten door de medewerkers, en kan er gepaste ondersteuning geboden worden zonder dat de beheerders achter de feiten aan lopen. In de navolgende tabel staat een overzicht van alle componenten uit de Microsoft 365 suite. Per component staat een bondige beschrijving en wordt vermeld of het component wordt geactiveerd voor de gemeente Midden-Delfland medewerker. Deze keuzes komen voort uit de workshop die gehouden is voorafgaand aan het schrijven van het HLD. Component

Beschrijving

Geactiveerd

To-Do

Intelligente Taken-App. Opvolger van Wunderlist.

Nee

Microsoft Forms

Microsoft Forms is een eenvoudige, lichtgewicht app waarmee u eenvoudig enquêtes, toetsen en peilingen kunt maken.

Page | 17 of 54

Stream for Office 365

Maak, ontdek en deel video's op een veilige manier in de hele organisatie.

Microsoft StaffHub

Bedoeld voor medewerkers zonder vaste werkplek. Bevat functionaliteit voor planning en diensten, het plaatsen van notities en het delen van documenten aan kleine teams. Biedt managers een web omgeving voor het maken van roosters en de planning. Medewerkers kunnen hun roosters zien. Ook kunnen zij via de app diensten ruilen, vrij vragen of ziekmelden en hun beschikbaarheid aangeven.

Nee

Bovendien biedt de mobiele app van Microsoft Staffhub een chatfunctie (een professionele versie van WhatsApp). Je kunt een-op-een met collega’s of met het hele team chatten. Power Automate

Microsoft Power Automate is een product waarmee u geautomatiseerde werkstromen tussen uw favoriete apps en services kunt instellen om onder andere bestanden te synchroniseren, meldingen te ontvangen en gegevens te verzamelen.

PowerApps for Office 365

PowerApps is een service voor het bouwen en gebruiken van aangepaste zakelijke apps waarmee u verbinding met uw gegevens kunt maken en zowel via internet als mobiel kunt werken - zonder dat u tijd en kosten hoeft te besteden aan de ontwikkeling van aangepaste software.

Nee

Microsoft Teams

Microsoft Teams is een werkruimte in Office 365 die speciaal voor chatten is bedoeld. Het biedt één locatie voor personen, gesprekken, bestanden en hulpmiddelen, zodat iedereen direct toegang heeft tot alles wat ze nodig hebben.

Microsoft Planner

Met Planner kan je team eenvoudig nieuwe plannen maken, taken organiseren en toewijzen, bestanden delen, chatten over het werk en updates over de voortgang ontvangen.

Sway

Sway is een App waarmee u gemakkelijk interactieve rapporten, persoonlijke verhalen, presentaties en meer kunt maken en delen.

Nee

Yammer Enterprise

Yammer is een besloten sociaal netwerk voor organisaties en is gebaseerd op open communicatie. U kunt hiermee bijvoorbeeld problemen met ondersteuning oplossen, feedback over projecten

Nee

Page | 18 of 54

en documenten verzamelen en aanbevolen procedures rondsturen. Yammer-groepen zijn een plek waar leden sneller met een project kunnen starten, kunnen deelnemen aan discussielijnen en klanten en leveranciers kunnen betrekken in gesprekken. Yammer helpt u tevens bij het vinden van relevante informatie, groepen, bestanden en personen, zodat iedereen zijn of haar kennis kan delen, los van afdelingen en tijdzones. Azure Rights Management

Deze Cloud service gebruikt beleidsregels voor versleuteling, identiteit en verificatie om uw bestanden en e-mail te beveiligen op meerdere apparaten, zoals telefoons, tablets en pc's.

Microsoft 365 Apps for Enterprise (voorheen genoemd Office 365 Pro Plus)

Microsoft 365 Apps for Enterprise is een volledige Office-versie Ja die gebruikers kunnen downloaden en lokaal installeren. De cloud-variant van Office is vergelijkbaar met de Office 2019 versie die nu on-premises beschikbaar is. De functionaliteit van de beide Office-versies is vergelijkbaar en Microsoft 365 Apps for Enterprise en bevat dezelfde applicaties als Office 2019. Toch zijn er behoorlijk wat verschillen tussen beide versies, die zich met name uiten in verschillende manieren van licenseren en implementeren. Waar de Office 2019-applicatie een device based licentiestructuur kent die op de RDS manier via een MSI package wordt geïnstalleerd, werkt Microsoft 365 Apps for Enterprise via een user based-abonnement en de implementatiemethode is wezenlijk anders.

Office Online

Online versie van Microsoft 365 Apps for Enterprise welk volledig in de webbrowser wordt uitgevoerd. Er is geen lokale installatie nodig.

SharePoint Online

Organisaties gebruiken SharePoint voor het maken van websites. SharePoint is een veilige locatie voor het opslaan, organiseren, delen en gebruiken van informatie vanaf elk apparaat. U hebt alleen een webbrowser nodig.

Exchange Online

Exchange Online is de Cloud e-maildienst. Met Exchange Online krijgt u toegang tot e-mails, agenda’s en contactpersonen en dit op alle mogelijke soorten toestellen (desktop, laptop, tablet of mobiele telefoon).

OneDrive for Business

OneDrive for Business biedt een locatie in de Cloud waar u uw werkbestanden kunt opslaan, delen en synchroniseren. U kunt

Page | 19 of 54

met OneDrive voor Bedrijven uw bestanden vanaf elk apparaat bijwerken en delen. U kunt ook gelijktijdig met anderen aan Office-documenten werken. Whiteboard

Microsoft Whiteboard is een digitaal canvas met vrije vormen, waar personen, inhoud en ideeën samenkomen. U kunt whiteboard gebruiken om samen te werken met uw team om verschillende activiteiten uit te voeren.

Er worden met regelmaat nieuwe functies en service-updates doorgevoerd op Office 365. Hiervoor is geen vast release schema gedefinieerd. Wel heeft gemeente Midden-Delfland grip op volgorde waarop deze verbeteringen worden doorgevoerd voor haar medewerkers. De mogelijkheden staan hieronder opgesomd. Standard release: Ontvang updates wanneer deze algemeen beschikbaar worden. Targeted release voor iedereen: Vroege updates ontvangen voor uw hele organisatie Targeted release voor geselecteerde gebruikers: Kies personen om voorbeelden van updates te bekijken, zodat uw organisatie is voorbereid. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

De release-voorkeur staat ingesteld op: Targeted release voor geselecteerde gebruikers.

Door een specifieke selectie van gemeente Midden-Delfland medewerkers eerder te voorzien van nieuwe functies en serviceupdates worden mogelijke productie verstoringen voor gemeente Midden-Delfland tijdig gesignaleerd.

Microsoft 365 apps for Enterprise wordt geleverd via het internet. Om hiervan gebruik te maken dient het moderne werkplek apparaat toegang te hebben tot internet. Microsoft heeft alle URL’s en IP adressen waarop ze haar Office 365 diensten levert gepubliceerd op de website http://aka.ms/o365ip. Voor een goede werking van cloud diensten dienen deze URL’s ongehinderd (maar wel gemonitord) vanaf het interne netwerk naar het Microsoft platform verbinding te kunnen leggen. Deze URL’s en IP adressen muteren met regelmaat en het verdient aanbeveling om niet op IP adressen te filteren maar op URL niveau voor zover dit mogelijk is. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Page | 20 of 54

Alle MW apparaten op het interne gemeente MiddenDelfland netwerk hebben toegang tot alle URL’s en IP adressen zoals beschreven op de website: https://aka.ms/0365ip.

Toegang tot Office 365 URL’s en IP adressen zijn rand voorwaardelijk voor een goede werking van de Microsoft cloud oplossingen.

Microsoft 365 Apps for Enterprise is een component uit de door gemeente Midden-Delfland afgenomen Microsoft 365 E3 suite en is een volledige Office-versie die gebruikers kunnen downloaden en lokaal installeren. Deze cloud-variant van Office is vergelijkbaar met de laatste Office versie die on-premises beschikbaar is. Microsoft levert maandelijks feature updates voor Microsoft 365 Apps for Enterprise. Via de Microsoft 365 Apps for Enterprise update channels worden de feature updates per groep medewerkers verspreid. Microsoft 365 Apps for Enterprise omvat de navolgende componenten. • • • • • • • • •

Access Excel OneDrive for Business (Next Gen Sync Client) Outlook OneNote PowerPoint Publisher Teams Word

Elke gebruiker binnen de Office 365 tenant welke is voorzien van een Microsoft 365 E3 licentie, heeft recht om Microsoft 365 Apps for Enterprise te gebruiken. Per gebruikerslicentie mag Microsoft 365 Apps for Enterprise 5x geactiveerd worden. •

Microsoft 365 Apps for Enterprise wordt door Microsoft Intune met de navolgende parameters geïnstalleerd op de moderne werkplek.

Component

Instelling

Access Excel OneDrive for Business (Groove) OneDrive for Business (Next Gen Sync Client) OneNote Outlook PowerPoint

Uit Aan Uit Aan Aan Aan Aan

Page | 21 of 54

Publisher Skype for Business Teams Word Office versie Update Channel

Automatically accept the app end user license agreement Use shared computer activation Language

Aan Uit Aan Aan 64-bit Monthly Enterprise Channel (voor alle werkplekken) / (Current channel Preview voor de pilot/beheer groep) Ja Ja (voor Citrix) Nee voor full clients Nederlands (NL-NL) en English (EN-US)

Ontwerp keuzes: # 3

Ontwerp keuze

Motivatie

Microsoft 365 Apps for Enterprise wordt standaard geïnstalleerd op de moderne werkplek.

Microsoft 365 Apps for Enterprise behoort nu al tot de basis set van applicaties die dagelijks door alle medewerkers wordt ingezet.

Impact van Microsoft 365 Apps for Enterprise (M365 AfE) uitrol Tijdens de workshop is specifiek gesproken over de impact van de inzet van Microsoft 365 Apps for Enterprise ten opzichte van de huidige Office 2016 omgeving. Op basis van de huidige werkplek zal de verandering voor eindgebruikers nagenoeg onzichtbaar zijn, omdat Office 2016 en M365 AfE qua gebruikersinterface gelijk is (zelfde ribbon bijvoorbeeld). Ook gebruikte VBA macro’s en add-ins zullen voor 99% compatible zijn. Eventueel heeft Microsoft een toolkit gepubliceerd waarmee dit geverifieerd kan worden indien dit wenselijk is. De echte impact is op beheer niveau waar het verschil in licensering en beheertaken naar voren zal komen. Het kiezen van een release ring zorgt ervoor dat het IT beheer team naar verwachting vaker een update moet instaleren op bijvoorbeeld de Citrix images. Daar staat tegenover dat hiermee de veiligheid verhoogd wordt en gebruikers sneller kunnen beschikken over nieuwe functies.

Office Online is een component uit de Office 365 suite en bestaat uit de applicaties Word Online, Excel Online, PowerPoint Online en OneNote Online. Deze applicaties worden ontsloten via de webbrowser. Deze applicaties bevatten de basis functionaliteit ten opzichte van de desktopversie welke geleverd wordt vanuit Office 365 Pro Plus.

Page | 22 of 54

Office Online applicaties zijn niet in staat om macro’s en scripts uit te voeren. Ook tref je geen ‘opslaan’ knop aan omdat alle mutaties direct worden weggeschreven in SharePoint Online of OneDrive for Business. Office Online kan geen bestanden opslaan of openen vanuit andere bronnen. Office Online is ideaal voor medewerkers welke Office bestanden moeten bekijken of bewerken op een apparaat waar geen Office (Microsoft 365 Apps for Enterprise) op is geïnstalleerd. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Office Online wordt aangeboden aan alle medewerkers

Office Online behoort tot de standaard uitrusting van de moderne werkplek en de uitgekozen methode van document verwerking vanaf werkplekken die buiten het beheer van gemeente Midden-Delfland vallen (bijvoorbeeld prive-PC’s)

Microsoft SharePoint Online is een component uit de Office 365 suite en biedt een samenwerkingsplatform waarin bestanden zoals project- en afdelingsbestanden kunnen worden opgeslagen en gedeeld. De reden voor inschakelen is de inzet van OneDrive for Business. OneDrive for Business is gebouwd op SharePoint Online waardoor het noodzakelijk is om SharePoint Online in te schakelen om gebruik te kunnen maken van OneDrive for Business. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

SharePoint Online is ingeschakeld, wordt veelvuldig gebruikt.

Het inschakelen van SharePoint Online is nodig voor het gebruik van Teams en OneDrive for Business.

Page | 23 of 54

Microsoft OneDrive for Business is een component uit de Office 365 suite welke wordt ingezet voor de opslag van persoonlijke bestanden. OneDrive for Business levert standaard maximaal 1 TB opslagruimte per medewerker. Dit is op te hogen naar maximaal 5 TB per medewerker en via MS support nog hoger afhankelijk van de aangekochte licentie vorm (M365 E3 is aangemerkt als onbeperkt) d.w.z. er kan onbeperkt via support om verhoging worden gevraagd. OneDrive for Business maakt in de achtergrond gebruik van de SharePoint Online platform. Hierdoor is de gebruikers ervaring voor de medewerker tussen OneDrive for Business en SharePoint Online op een aantal punten (bijna) gelijk. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

OneDrive for Business is geïmplementeerd en wordt gebruikt voor alle persoonlijke opslag.

De inhoud van legacy home shares kan hierdoor verhuisd worden naar een cloud variant voor de opslag van persoonlijke data. OneDrive for Business biedt meer flexibiliteit en functies dan de legacy home shares.

Microsoft Exchange Online is een component uit de Office 365 suite. Het is mogelijk om hiervan gebruik te maken en een gedeelte van, of alle postbussen te migreren van de on-premises Exchange infrastructuur naar Exchange Online. Om een migratie naar Exchange Online mogelijk te maken is een Hybride Exchange infrastructuur benodigd. Met behulp van de Hybride Exchange technologie wordt de bestaande on-premises Exchange organisatie en Exchange Online samengesmolten tot één virtuele Exchange organisatie welke vrijwel geheel transparant werkt voor de gebruiker. Een Hybride Exchange infrastructuur kan gevormd worden met behulp van Exchange 2010, Exchange 2013, Exchange 2016 en Exchange 2019. In alle gevallen is het verplicht om te voldoen aan het N-1 patch beleid. Indien er geen postbussen staan op de on-premises Exchange server waarmee de Hybride koppeling is gerealiseerd, dan is deze Exchange Server licentie gratis (m.u.v. Exchange 2019). Dit wordt een Hybride Exchange licentie genoemd. Het is verplicht om een Hybride Exchange server te hebben geïmplementeerd indien er gebruik gemaakt wordt van Azure AD Connect. Microsoft staat niet toe om een 3rd party e-mail toepassing te plaatsen tussen Exchange on-premises en Exchange Online. Indien het noodzakelijk is om al het verkeer via het Perimeter netwerk te routeren dan is de Edge Transport server de enige oplossing voor SMTP verkeer.

Voor EWS, ActiveSync, OWA, etc. (HTTPS)

Page | 24 of 54

dient een reverse proxy oplossing in het Perimeter netwerk gebruikt te worden. Hiervoor kan de Microsoft Web Application Proxy (WAP) ingezet worden. De WAP servers vereisen een load balancer voor een redundante implementatie. Indien er gebruik gemaakt wordt van Outlook, dan moet de gebruikte Outlook versie in mainstream support zijn. Op het moment van schrijven betreft dit Outlook 2016, Outlook 2019 en Outlook 365. Omdat alle Outlook clients een directe connectie opbouwen naar Office 365 is het noodzakelijk dat er een betrouwbare en robuuste netwerk en internetverbinding aanwezig is. Voor de optimalisatie hiervan adviseert Microsoft om SSL-inspectie op de firewall uit te schakelen voor alle Office 365 diensten. Daarnaast heeft het de voorkeur om geen forward proxy oplossing in-lijn te hebben. Architectuur tekening mailflow

Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Er is een Hybride Exchange implementatie

gemeente Midden-Delfland heeft reeds alle postbussen gemigreerd naar Exchange Online. Omdat er ook gebruik gemaakt wordt van Azure AD Connect is het verplicht om een Hybride Exchange omgeving te implementeren.

Exchange 2016 wordt ingezet als Hybride Exchange Server

gemeente Midden-Delfland beschikt reeds over een Exchange 2016 infrastructuur.

Page | 25 of 54

Fortimail wordt ingezet als anti-spam/virus appliance tot verloop van het contract waarna EOP zal voor vervanging zal zorgen

gemeente Midden-Delfland heeft besloten om na de looptijd van het contract de Fortimail niet te verlengen en de functionaliteit te betrekken uit de Microsoft diensten Exchange Online Protection (EOP) en Defender for O365 (voormalig ATP)

Er wordt een reverse proxy ingezet in het Perimeter netwerk.

Inzet van een reverse proxy in het Perimeter netwerk is verplicht conform beleid gemeente Midden-Delfland.

Er vindt geen SSL-inspectie plaats voor verkeer naar Microsoft 365

Het uitzetten van SSL-inspectie bevordert de performance.

Er is geen forward proxy geïmplementeerd voor al het verkeer naar Office 365

Het uitzetten van de forward proxy bevordert de performance.

Microsoft Teams is een applicatie waarin verschillende functionaliteiten samenkomen met als primair doel effectiever samenwerken. Middels Microsoft Teams hebben gebruikers beter contact en zijn ze productiever. Gebruikers beschikken over de benodigde inzichten en tools om effectiever te communiceren en samen te werken.

Gecentraliseerde communicatie en samenwerking ›

›

Communiceer effectiever Zorg ervoor dat jouw teams optimaal samenwerken met group chat, online vergaderingen, telefoneren en web conferencing. Werk beter samen Deel bestanden met ingebouwde Office 365-applicaties zoals Word, Excel, PowerPoint en SharePoint. Pas jouw werkplek aan Voeg jouw favoriete Microsoft-applicaties en diensten van derden toe om zakelijke vooruitgang te blijven boeken.

Page | 26 of 54

›

Houd jouw team veilig Zorg voor end-to-end beveiliging, administratieve controle en conformiteit — alles mogelijk gemaakt door Office 365.

Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Inzet van Microsoft Teams als primaire teleconferentie, chat en collaboratie applicatie.

Binnen de gemeente Midden-Delfland organisatie wordt veelvuldig gebruik gemaakt van Microsoft Teams, hierin komt geen verandering. Wel zal worden gekeken naar de instellingen en veiligheid rondom de inzet van MS Teams binnen de gemeente Midden-Delfland.

Teams telefonie integratie wordt (nog) niet opgezet

Er is tijdens de workshops gesproken over telefonie en het wisselen tussen de bestaande oplossing en Microsoft Teams, deze functionaliteit zal verder niet binnen dit document behandeld worden gezien er een separaat traject loopt binnen de gemeente Midden-Delfland.

Microsoft Endpoint Manager is de Microsoft oplossing voor het managen van alle devices. Microsoft Endpoint Manager bestaat uit de onderstaande Microsoft management oplossingen. › › › › ›

Microsoft Intune Autopilot Configuration Manager Desktop analytics Microsoft Defender for Endpoints

Intune is een clouddienst voor het beheren van bedrijfsmobiliteit (Enterprise Mobility Management, EMM) die medewerkers in staat stelt om productief te zijn terwijl zakelijke gegevens veilig blijven. Met Intune is het navolgende mogelijk: › › › ›

De mobiele apparaten beheren die door medewerkers worden gebruikt voor toegang tot bedrijfsgegevens. De mobiele apps beheren waarvan uw medewerkers gebruikmaken. Bedrijfsgegevens beschermen door te bepalen hoe medewerkers toegang hebben tot de gegevens en deze delen. Garanderen dat apparaten en apps compatibel zijn met de beveiligingsvereisten van het bedrijf.

Page | 27 of 54

Intune is nog niet geïmplementeerd en momenteel wordt Mobile Iron ingezet voor het beheren en beveiligen van alle mobile devices. Daarnaast is er met Ivanti software voor Windows clients een configuratie en beveiligingsbeleid gemaakt en wordt daarmee gecontroleerd op de naleving hiervan. Voor de gemeente Midden-Delfland betekent de inzet van Intune effectief dat alle mobiele apparaten unmanaged devices kunnen zijn en deze met MAM zullen werken. Managed devices zoals laptops kunnen ook opgenomen worden in het Intune beheer. Intune kan apparaten beheren met de navolgende besturingssystemen: Windows 7, 8, 10, 11 iOS, MacOS en Android. Het is mogelijk om Intune te integreren met System Center Configuration Manager (SCCM), dit biedt voordelen aan organisaties die hun bestaande werkplek reeds beheren met SSCM. Met een hybride koppeling tussen SCCM en Intune kan per component het beheer overgeheveld worden naar Intune. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Gemeente Midden-Delfland heeft aangegeven om begin volgend jaar de overstap te maken naar Microsoft Intune.

Intune is het standaard cloud Enterprise Mobility Management EMM platform van Microsoft en zit in scope van de moderne werkplek. Inrichting van voor de werkplekken (full-client) is ten tijde van het schrijven van dit document nog niet gebeurd maar al wel gepland.

Voordat een apparaat (computer) beheerd kan worden door Microsoft Intune is het noodzakelijk om het apparaat in te schrijven in Microsoft Intune. Microsoft Intune – Device Enrollment beleid bepaalt de restricties omtrent het inschrijven van apparaten in de tenant. Het inschrijven van een moderne werkplek computers zal door de gebruiker zelf plaats vinden. Het voordeel hiervan is dat nieuwe computers zonder interactie direct aan de eindgebruiker overhandigd kunnen worden. De hardware leverancier zal gegevens van de computer (hardware hash) vooraf aanleveren of invoeren in het Windows AutoPilot programma. Op basis hiervan krijgt de gebruiker een zou eenvoudig mogelijke uitrol ervaring.

De Moderne Werkplek is gebaseerd op Windows 10. Standaard is het binnen Azure AD en Microsoft Intune voor elke gebruiker mogelijk om nieuwe apparaten in te schrijven. Dit geldt voor Windows (10/11) maar ook Android, iOS en MacOS apparaten.

Page | 28 of 54

Om eventueel misbruik te voorkomen is het binnen gemeente Midden-Delfland verplicht om Azure MFA af te dwingen tijdens het inschrijven van een nieuw apparaat. Gemeente Midden-Delfland zal ook Android en iOS apparaten ondersteunen. Hiervoor is het wel van belang dat gebruikers zelf het apparaat kunnen registeren & de-registeren.

Nadat De Moderne Werkplek is geïnstalleerd zal de gebruiker welke de inschrijving heeft uitgevoerd automatisch lokale beheerder rechten ontvangen op Windows 10. Vanuit het oogpunt voor (uitzonderlijk) lokaal Windows 10 beheer wordt voor elke moderne werkplek computer ook lokale beheerdersrechten (Windows 10 local Administrator) gegeven aan bepaalde beheerders. Het is niet mogelijk om deze rechten uit te delen op basis van groepslidmaatschap. Daarnaast zijn Global Administrators automatisch lokale beheerder op alle MW computers.

Microsoft Intune Device Compliance beleid stelt de organisatie in staat om te controleren of een apparaat voldoet aan bepaalde eisen. De resultaten van deze controle worden gerapporteerd aan Microsoft Intune en op basis hiervan kunnen er maatregelen getroffen worden. Microsoft Intune kan bijvoorbeeld controleren of er een bepaalde Windows 10 Feature Update is geïnstalleerd of dat BitLocker aan staat.

Microsoft Intune Device Configuration beleid stelt de organisatie in staat om instellingen en features van het OS op het apparaat te beheren. De Moderne Werkplek maakt gebruik Windows 10 Device Configuration beleid en wordt in overleg geïmplementeerd. Ontwerp keuzes: #

Ontwerp keuze

Motivatie

Autopilot zal worden ingezet Het beheer van Windows gebaseerde werkplekken kan worden voor de uitrol van de full-client uitgevoerd met Microsoft Intune. Onderdeel hiervan is het werkplekken Autopilot installatie principe welke met de Out-of-the-box installatie direct contact zoekt met de eigen tenant en de noodzakelijke configuratie aanpassingen maakt.

Page | 29 of 54

Microsoft Endpoint Configuration Manager (voormalig System Center Configuration Manager SCCM) is vanaf versie 1910 onderdeel van Microsoft Endpoint Manager.

Desktop Analytics is een op cloud gebaseerde dienst die integreert met Configuration Manager. De dienst biedt u inzicht en intelligentie om beter geïnformeerde beslissingen te nemen over de updategereedheid van uw Windows-clients. Het combineert gegevens van uw organisatie met gegevens die zijn geaggregeerd vanaf miljoenen apparaten die zijn aangesloten op Microsoft cloud diensten. Met Desktop Analytics in combinatie met Configuration manager is het mogelijk om een inventarisatie te draaien van apps die in de organisatie draaien, om deze vervolgens te controleren op compatibiliteit in combinatie met Windows 10 feature updates. Kwetsbaarheden en eventuele andere problemen worden op voorhand geïdentificeerd, op basis van suggesties worden mogelijke oplossingen aangedragen. Van vitaal belang voor het beheer team is dat hierin een dashboard in Azure wordt verzorgd welke belangrijke informatie weergeeft.

Page | 30 of 54

Het hoofdstuk infrastructuur is bedoeld voor het geven van inzicht voor de ontwerpkeuzes van de gemeente Midden-Delfland met betrekking tot Microsoft 365 moderne werkplek ontwerp.

De (fysieke) endpoints waarop de (remote) applicaties beschikbaar kunnen worden gesteld worden hier toegelicht. De Laptop Endpoints dienen een één-op-één relatie te hebben met een medewerker. ThinClient: De ThinClient computer wordt ingezet als ontsluiting voor SBC of VDI infrastructuur. Laptop: De laptop computer kan plaats onafhankelijk worden ingezet voor het uitvoeren van lokale applicaties of kan als ontsluiting dienen tot de SBC of VDI infrastructuur. Mobiele apparaten: Mobiele apparaten (smartphones, tablets, etc.) kunnen plaats onafhankelijk worden ingezet voor het gebruik van Apps. Deze Apps bieden toegang tot de gemeente Midden-Delfland (cloud) resources. #

Ontwerp keuze

Motivatie

gemeente Midden-Delfland heeft reeds een aankoop gepland van full-client laptops, deze zullen als moderne werkplek worden ingezet.

De ThinClient zal voor de korte termijn ingezet worden als standaard werkplek. De full-client laptops worden gefaseerd uitgerold om meer performance te kunnen bieden aan moderne applicaties zoals Microsoft Teams.

Identiteit vormt het fundament van elke werkplek. In een on-premises infrastructuur wordt deze dienst geleverd door Active Directory. Hierin zijn alle gebruikersaccounts inclusief wachtwoorden, maar ook groepen en computers opgeslagen. Microsoft Cloud oplossingen maken gebruik van de Azure Active Directory voor alle identiteit diensten. Voor gemeente Midden-Delfland moet speciale zorg worden gedaan voor non-organisatie identiteiten zoals gast accounts of cloud-only accounts omdat voor deze groep diensten geleverd moeten worden voor de uitvoering van taken binnen de organisatie. Om ervoor te zorgen dat identiteiten (accounts en groepen) in zowel Active Directory als Azure Active Directory gelijk zijn dient Azure AD Connect te worden ingezet. Deze tool synchroniseert (een selectie van) OU’s van Active Directory naar Azure Active Directory. Azure AD Connect synchroniseert alle objecten 1x per 30 minuten en kent geen implementatie mogelijkheid op basis van hoge beschikbaarheid. Indien deze tool niet meer functioneert blijven alle reeds gesynchroniseerde

Page | 31 of 54

objecten in Azure AD behouden, maar is het niet meer mogelijk om mutaties te synchroniseren naar Azure AD. Voor het geval van calamiteiten (disaster recovery) is het mogelijk om een tweede Azure AD Connect server te installeren in Staging mode. Deze server heeft een exact gelijke configuratie als de primaire Azure AD Connect server, maar fungeert in een read-only mode. Indien er zich een calamiteit voor doet en de primaire Azure AD Connect server is definitief niet meer beschikbaar dan kan de Staging server eenvoudig omgezet worden tot nieuwe primaire Azure AD Connect server. Azure AD gebruikt een inlognaam in de vorm van gebruiker@domein.tld. Microsoft gebruikt het User Principal Name (UPN) attribuut uit Active Directory als inlognaam voor Azure AD. Dit heeft als gevolg dat de UPN van elk object moet voldoen aan de richtlijnen voor een inlognaam in Azure AD. Om de integratie met Exchange Online makkelijk te maken en alle klanten een voorspelbare login ervaring te kunnen geven adviseert Microsoft om de navolgende spelregel te hanteren voor deze diensten. ›

UPN is gelijk aan het primaire e-mailadres van de gebruiker.

Naast het synchroniseren van identiteiten moet er ook een methode voor het authentiseren van deze identiteiten gekozen worden. Hiervoor heeft Microsoft drie verschillende methodes ontwikkelt. Deze staan opgesomd in de navolgende tabel. Voor niet gesynchroniseerde cloud gebruikers zal voorziening worden getroffen tijdens de inrichting zodat deze kunnen blijven werken zoals dat in de huidige situatie ook geldt. Methode

Toelichting

Voordeel

Nadeel

Password Hash Sync

Wachtwoord hash wordt door Azure AD Connect samen met het gebruikersaccount van Active Directory naar Azure Active Directory gesynchroniseerd. Het wachtwoord hash is in Azure Active Directory geencrypt opgeslagen.

Zeer eenvoudig

Het wachtwoord hash staat (geencrypt) in Azure Active Directory

Pass-through Authentication

AD FS

Er wordt op één of meerdere on-premises servers de PTA agent geïnstalleerd. Deze agent bouwt een connectie op met Azure AD. Alle authenticatie verzoeken worden vanuit Azure AD doorgestuurd naar de PTA Agent. De PTA Agent stuurt authenticatie verzoeken door naar Active Directory

Er wordt een AD FS server en WAP server geïnstalleerd in de on-premises

Robuust, het authenticatie proces is niet afhankelijk van on-premises infrastructuur

Eenvoudig Automatische load balancing door meerdere agents te installeren. Het wachtwoord hash staat niet in Azure AD Werkt voor Office 2010 of hoger.

Werkt alleen voor Office 2013 of hoger. Afhankelijk van on-premises infrastructuur voor authenticatie proces. Werkt alleen voor Office 2013 of hoger. Afhankelijk van on-premises infrastructuur

Page | 32 of 54

infrastructuur. WAP wordt op internet gepubliceerd. Azure AD zal alle authenticatie verzoeken doorsturen naar WAP. WAP stuurt authenticatie verzoek door naar AD FS. AD FS stuurt authenticatie verzoek door naar Active Directory

Het wachtwoord hash staat niet in Azure AD

voor authenticatie proces.

3rd party SaaS leveranciers kunnen hiervan ook gebruik maken.

Complex SSL-certificaat nodig Load balancer nodig voor redundante implementatie.

Ontwerp keuzes: #

Ontwerp keuze

Azure AD Connect is geïmplementeerd.

Naast de primaire Azure AD Connect server word op termijn ook een staging server geïmplementeerd.

Motivatie Azure AD Connect is geïmplementeerd om ervoor te zorgen dat alle identiteiten slechts eenmaal in Active Directory aangemaakt en beheerd moeten worden.

De Azure AD Connect Staging server maakt het mogelijk om tijdens calamiteiten snel en gecontroleerd een nieuwe Azure AD Connect server in te zetten. Hierdoor heeft de gemeente Midden-Delfland tijd vrij voor andere taken tijdens de calamiteit.

Alle relevante OU’s zijn/worden gesynchroniseerd naar Azure AD.

Alleen OU’s met daarin accounts, contacten en groepen welke ingezet worden in Office 365 en Intune worden gesynchroniseerd. On-premises beheer en serviceaccounts worden niet gesynchroniseerd.

De UPN van alle gebruikers objecten is gelijk aan het primaire e-mailadres van de gebruiker.

Hiermee wordt voldaan aan Microsoft best practice en wordt de best mogelijke gebruikers ervaring geleverd.

Password-Hash Authenticatie methode is geïmplementeerd.

Password-Hash Synchronisatie is een meest eenvoudige en robuuste methode voor authenticatie. Deze methode van authenticatie zal worden ingezet ter vervanging van AD FS.

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=middendelfland&id=f86148e3-b7f5-4301-8d19-fa04ca0ba544