皆さん、こんにちは。Windows サポート チームです。

今回は、5 月 9 日 (日本時間) に提供される予定の更新プログラムが、リモート デスクトップ並びに関連技術に影響する範囲について、紹介します。
もともとは、CredSSP と呼ばれる認証プロトコルの脆弱性に関する対策で CVE-2018-0086 にて公開済みの問題であり、各オペレーティングシステム向けに対策された更新プログラムは、3 月の時点で提供済みとなっております。
この対策に対して、5 月 9日に提供される更新プログラムでは対策済みのモジュールの既定の接続方法が変更されるため、環境によりリモートデスクトップ接続に問題が生じる場合があります。

尚、本説明にて「３月の更新プログラム」という記載がございますが、具体的なKB番号はOS毎に異なるため後述の KB リストをご参照ください。

目次.
1. 問題概要
2. 接続可否パターン
3. 解決先
4. 回避策
5. 参考情報

1. 問題概要

CredSSP の脆弱性情報 CVE-2018-0886 対策のためリリースされた 3月の更新プログラムを基として、新たに5月にリリースされる更新プログラムにて更にセキュリティレベルが上がります。
全てのコンピューターに更新プログラムが適用済みであれば問題はありませんが、3月以降の更新プログラムがリモートデスクトップ接続先に適用されていない状態で、接続元に5月の更新が適用されると既定ではリモートデスクトップ接続ができなくなります。また、RemoteAppの場合はエラーメッセージなくアプリケーションが終了します。

本記事を参考にして事前対処を行い、リモート デスクトップ、RemoteApp、仮想デスクトップ環境などへ接続できなくなることへの対策を行っていただきますようお願いいたします。

3月以降の更新プログラムを適用すると以下のポリシーで CredSSP の挙動が制御されるようになります。

ポリシーのパス:
[コンピューターの構成] - [管理用テンプレート] - [システム] - [資格情報の委任]
- [暗号化オラクルの修復] (英語 : Encryption Oracle Remediation)

3 月、4 月の更新プログラムではポリシーが未構成の場合、既定の接続方法が [脆弱 (Vulnerable)] ですが、5 月の更新プログラムでは、既定の接続方法が [緩和 (Mitigated)] に変更されます。この結果、各更新の適用または未適用のコンピューターが混在するとリモート デスクトップ接続が出来ない状況が発生します。
基本的には CVE-2018-0086 記載のある下記の相互運用性一覧に従いますが、以下にリモート デスクトップのご利用環境の具体例に沿って、対策および影響を説明しておりますので、ご参照ください。

具体的には下記ケースでリモートデスクトップ接続先ができなくります。

• リモートデスクトップ接続先が３月の更新プログラム未適用
• リモートデスクトップ接続元が５月の更新プログラム適用済み

2. 接続可否パターン

3. 解決策

リモートデスクトップ接続先に CVE-2018-0886 の 3 月以降の更新プログラムを適用いただくこととなります。
注意が必要な点といたしまして、リモート デスクトップ サービス (RDS) 環境でご利用いただいている場合、RD 接続ブローカー サーバーにも適用いただく必要がございます。
これは RDS 環境の場合、接続時の認証が RD 接続ブローカー サーバーでも行われるためです。
なお、RDS 環境ではその他に RD Web アクセス、RD ゲートウェイ、RD ライセンス、RD 仮想化ホストの役割が利用されますが、これらの役割自体は本件に関与しません。しかし運用等にてこれらのサーバーにリモートデスクトップ接続することがある場合には 3 月以降の更新プログラムを適用して下さい。

4. 回避策

リモートデスクトップ接続先に 3 月以降の更新プログラムを適用できない場合には以下の回避策がございますが、いずれもセキュリティ リスクが高まりますので、影響をご理解いただいたうえで実施願います。

4-1. リモートデスクトップ接続元(クライアント) での回避策 1

リモートデスクトップ接続元にて以下のポリシーを変更することでリモートデスクトップ接続先に 3 月以降の更新プログラムが未適用の場合でも接続可能となります。

[コンピューターの構成]
-> [管理用テンプレート]
-> [システム]
-> [資格情報の委任]

ポリシー名 : Encryption Oracle Remediation (暗号化オラクルの修復)
設定 : Vulnerable (脆弱)

4-2. リモートデスクトップ接続元(クライアント) での回避策 2

リモートデスクトップ接続元にて以下レジストリを手動もしくは REG ADD コマンドで追加いただくことでも回避策 1 と同様の効果が得られます。

レジストリ パス : HKLMSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemCredSSPParameters
値 : AllowEncryptionOracle
データの種類 : DWORD
値 : 2

REG ADD コマンドで追加いただく場合には以下のコマンド ラインとなります。
REG ADD HKLMSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemCredSSPParameters /v AllowEncryptionOracle /t REG_DWORD /d 2

※ レジストリ変更後に再起動は必要ございません。

4-3. リモートデスクトップ接続先(サーバー) での回避策

リモートデスクトップ接続先 で NLA (Network Level Authentication) を無効化することで接続可能となります。

NLA を無効にするためには、以下の3つの方法のいずれかで設定できます。

方法１：

以下のポリシー変更にてNLAを無効化できます。

[コンピューターの構成]
-> [管理用テンプレート]
-> [Windows コンポーネント]
-> [リモート デスクトップ サービス]
-> [リモート デスクトップ サービス セッション ホスト]
-> [セキュリティ]

ポリシー名 : リモート接続にネットワーク レベル認証を使用したユーザー認証を必要とする
設定 : 無効

方法 2:

[システムのプロパティ] －[リモート] タブにおいて、「ネットワークレベル認証でリモートデスクトップを実行しているコンピューターからのみ接続を許可する」
のチェックを外します。

方法３：

リモート デスクトップ サービス (RDS) 環境にて、RD 接続ブローカーで接続先 (RD セッション ホスト) をコレクション管理している場合には、コレクションのプロパティで以下を変更することでも対処が可能です。

コレクションプロパティ において、
「ネットワークレベル認証でリモートデスクトップを実行しているコンピューターからのみ接続を許可する」
のチェックを外します。

尚、コレクションに参加していないRD 接続ブローカーでは上記方法１もしくは方法2で NLA を無効としていただく必要がございます。

4-4. NLA 無効化に関する注意事項

NLA を無効化することで CredSSP を利用しなくなるため、本脆弱性における影響は受けなくなります。
しかしながら、以下の通りセキュリティレベルを下げる状態となりますので、弊社としては NLA を無効化する事は推奨しておりません。

NLA は RDP 接続時に接続先端末がユーザーとのセッションを確立する前にユーザー認証を要求し、セキュリティを強化するための認証方法です。NLA を無効にした場合、RDP 接続時のセッションが確立後に認証が行われるため、セキュリティレベルが低下します（Windows Server 2003 と同様のセキュリティ レベル）。すなわち、資格情報を確認する前に、セッション ホスト サーバーへのセッションが確立されてしまうため、この点を突く悪意のある攻撃があった場合、セッションを乱立させることでポートが枯渇し、セッション ホスト サーバーが使用できない状態に陥るような、セキュリティが低い事による弱点をさらす事になりますのでご注意ください。

5. 参考情報

CVE-2018-0886 の CredSSP の更新プログラムについて (当社サポートブログ)
https://blogs.technet.microsoft.com/jpntsblog/2018/04/20/cve-2018-0886/

CVE-2018-0886 の CredSSP の更新プログラム(サポート技術情報)
https://support.microsoft.com/ja-jp/help/4093492/credssp-updates-for-cve-2018-0886-march-13-2018

CVE-2018-0886 | CredSSP のリモートでコードが実行される脆弱性
https://portal.msrc.microsoft.com/ja-jp/security-guidance/advisory/CVE-2018-088

KB List(3月以降の更新プログラムのKB番号)
下記KBのいずれかがリモート デスクトップ接続先に適用されていれば本件を回避することができます。

Hello All,

This message just came across my inbox and I think you will find it very interesting….

Starting soon we will begin rolling out to all targeted release tenants a change to how document ID URLs are retrieved in document libraries. Document ID URLs are now only available inside the Document ID column, visible on property forms in modern and classic. They are no longer available inside the sharing dialog or inside the callout.  

We anticipate to be 100% production within 6 weeks of starting.

For more information  on Document ID’s in SharePoint see: https://support.office.com/en-us/article/activate-and-configure-document-ids-in-a-site-collection-66345c77-f079-4104-ac7a-e25826849306

Pax

Hlínik se odstěhoval do Humpolce a chemie dorazila do Minecraftu. Další ze skvělých funkcí Minecraft: Education Edition a ukázka toho, že gamifikace do výuky opravdu patří. Zkuste dětem ukázat, co vše je v Minecraftu v hodinách chemie možné a budete překvapeni jejich obrovským zájmem. A abyste věděli, jak na to, máme pro Vás českou příručku, která Vás světem chemie v Minecraftu provede. Jaká bude Vaše první sloučenina v Minecraftu?

Příručka ke stažení

Today's tip...

I’ve always wondered about the Panther directory myself. Perhaps this bit of trivia might also satisfy others with similar curiosity.

Why are Windows setup logs stored in a Panther directory?

The top rated answer appears to be the following:

“Panther” was the code name for the new setup/servicing engine that first shipped in Windows Vista.  I think the intention was to change the folder name to something more generic before Vista shipped but the path became baked into too much code to safely change in time to ship.

Mystery solved?

[ブログ投稿日：2018年4月26日]

ジャドソン アルソフ (Judson Althoff)
ワールドワイドコマーシャルビジネス担当
エグゼクティブバイスプレジデント

マイクロソフトの第 3 四半期決算では、企業向けクラウドの収益は前年度比 58 パーセント増の 60 億ドルに達しました。この成長はお客様、そしてパートナー企業の皆様のイノベーションと成功によって推進されたものです。今日ではほとんどの企業がテクノロジ企業ですが、以下で述べるのはマイクロソフトと緊密に連携し、デジタルビジネス戦略を推進している企業の一例です。

アプリケーションとインフラストラクチャによる効率性の推進

あらゆる業種の企業が、成長と変革のために、信頼できるクラウド基盤、強力なデータ資産、そしてAI テクノロジへのアクセスを必要としています。Toyota Material Handling Europe は、Azure、AI、そしてHoloLens を活用し、未来の工場のビジョン実現を推進しています。工場全体にインテリジェントなロジックとロボティクスシステムを分散し、「パレットドローン」にパターンを学習させ、プロセスを自動化し、工場のフローを認識できるようにしています。

大手食品製造の Bühler AG は、食品の安全性管理を大幅に向上するために LumoVision と呼ばれる、革新的な光学選別システムを開発しました。マイクロソフトのクラウドを活用したこの新システムは、穀類の選別プロセスの速度と正確性を向上します。従来型の選別器が汚染された穀類を50パーセントしか排除できていなかったのに対し、85 から 90 パーセントの排除が可能になりました。

データとAIによる顧客支援の実現

金融サービスも、企業によるデータと AI の活用が進んでいる業種の 1 つです。現時点で、世界の大規模銀行の 80 パーセント以上が Azure のお客様です。

FinTech のリーダーである Saxo Bank は、170 カ国の顧客向けに 35,000 種の金融商品にアクセスするための“banking as a service” を提供しています。サービスの機能と規模を拡大するために、同行はほぼすべてのテクノロジスタックを Azure に移行しています。また、マイクロソフトはBNY Mellon の関連企業であり、21 兆ドルの資産を管理する金融サービスのテクノロジリーダーである Eagle Investment Systems LLC とも協業しています。同社は、マイクロソフトとの協業により、投資マネージャーがデータを収集し、正当性を検証し、資産を管理し、投資効率を向上できるようにするために、Azure 上で新たなデータ管理プラットフォームを構築しました。

世界最大の宅配事業者である UPS は、AI により顧客サービスを向上しています。出荷について顧客とテキストや音声で対話する UPS Bot 構築のために Azure Bot Service と Cognitive Services を活用しています。また、UPS の開発者は、.NET と Visual Studio を活用して、少ないコード量でモバイルアプリをより多くのプラットフォームに迅速に拡張可能にしています。

モダンなワークプレースで従業員を支援

企業による従業員へのモダンなワークプレース提供を支援することはマイクロソフトの中核的ミッションです。たとえば、英国最大の自動車メーカー Jaguar Land Rover は、130 カ国で高級車を販売し、グローバルで 43,000 人の従業員を雇用し、ディーラー網、サプライヤー、地域ビジネスを通じてさらに 240,000 人をサポートしていますが、Office 365 を選択し、ビジネス保護に必要なセキュリティ機能を提供しながら、英国、米国、中国、ブラジル、スロバキア、アイルランドの従業員のコミュニケーションとコラボレーションを促進するクリエイティブでモダンなワークプレースを構築しています。

消費者向け製品の領域では、Coca-Cola Co. が成長戦略の一環としてデジタル分野でのリーダーシップを発揮しています。同社は、サプライチェーン、従業員コラボレーション、顧客支援という企業活動全体をデジタル化し、全体的体験における信頼性と安全性を構築しています。具体的には、Coca-Cola はMicrosoft 365 と Microsoft Azure を活用して、アーキテクチャーを合理化し、自動化を推進し、業務への影響なしにテクノロジアップデートを提供し、従業員の体験を向上し、予防的な脅威検知を実現しています。

カナダのブリティッシュコロンビア州バンクーバーに本社を置く Goldcorp は、アメリカ大陸全体で責任ある採掘事業を行うことにフォーカスしています。鉱業はきわめて変化が激しい業種であり、同社はリアルタイムの意思決定のためにテクノロジ依存度がきわめて高い採掘事業のデータを活用する必要がありました。同社は、Power BI と Microsoft 365 に加えて、鉱山で作業する採掘技術者向けに Surface Pro を採用しました。これは、Surface Pro がファンレス設計だからです。また、本社業務では Surface Studio、Surface Book、Surface Pro も活用しています。マイクロソフトのハードウェアとモダンなワークプレースソリューションでの標準化を行うことで、Goldcorp は業務に関する洞察を獲得し、セキュリティを向上し、将来のテクノロジにより支援される鉱業の基盤を構築しています。

ビジネスアプリケーションによるプロセス合理化

お客様によるイノベーションが進行しているもうひとつのフォーカス分野は、ビジネスアプリケーションとデジタルによるビジネスプロセスの合理化です。

米国最大の未上場フィットネスチェーンの 1 社である 24 Hour Fitness は、420 カ所以上の拠点から成るネットワークで Dynamics 365 と Adobe Experience Cloud を展開しています。このソリューションにより、同社はフィットネス会員のあらゆるタッチポイントにおいて、よりパーソナライズされ、統一されたデジタル体験を提供できるようになりました。Microsoft Dynamics 365 と Adobe Experience Cloud 間でのネイティブなテクノロジ統合により、24 Hour Fitness は会員とゲストが真に求める健康とフィットネスのガイドなどのパーソナライズされた体験を提供するプラットフォーム構築に投資しています。

80 カ国において 200 店以上の小売店を展開するグローバルなファッション企業であるMarc Jacobs International も小売業における良い事例です。同社は、Azure 上で Dynamics とパートナーソリューションの MediusFlow を展開し、サプライチェーンの主要部分を合理化し、各シーズンに新コレクションを提供していくために重要な、常に変化する多様なベンダーやサプライヤーへの支払い業務を行っています。

これらのお客様の事例が示すように、業種を問わずほとんどの企業が、データを重要視し、成長、効率性向上、従業員のコラボレーションの向上、そして、差別化への活用を目指しています。これらの目標こそがデジタルイノベーションとデジタルトランスフォーメーションであり、マイクロソフトは信頼できるパートナーとして企業がこれらの目標を達成する支援を行えることを誇りに感じています。

---

ページ冒頭のイラスト：エリ ノイゲボーレン (Eli Neugeboren)

---

本ページのすべての内容は、作成日時点でのものであり、予告なく変更される場合があります。正式な社内承認や各社との契約締結が必要な場合は、それまでは確定されるものではありません。また、様々な事由・背景により、一部または全部が変更、キャンセル、実現困難となる場合があります。予めご了承下さい。

みなさま、こんにちは。
日本マイクロソフトの Setup / Deployment サポート チームです。

今回 Windows 10 の機能更新プログラムの適用に伴う事象について、ご紹介いたします。
機能更新プログラムを適用前には、ご一読をいただけますと幸いです。

ご存知の通り、Windows 10 では約半年に一度 Feature Update と呼ばれる機能更新プログラムがリリースされます。
この機能更新プログラムの適用は (修正パッチの適用と異なり) OS のアップグレード処理に相当するものとなります。
アップグレード処理の際、可能な限り、ご利用のアプリケーションを引き継ぐような動作となりますが、ご利用の製品
ご利用環境によっては、一部の OS もしくはアプリケーションの設定が引き継がれないケースがあります。

機能更新プログラムを適用した際、引き継がれない設定があったり、設定が初期化されてしまうケースがある場合には、
機能更新プログラムを適用後、再設定いただくか、場合によっては、該当製品を再インストールをしていただく必要が
あります。適用をご計画いただいている場合は、十分にご検証ください。

setup.exe コマンドで機能更新プログラムの適用を行う場合、/postoobe オプションをつけて、バッチファイル (setupcomplete.cmd)
を指定することで、機能更新プログラム適用の最後に setupcomplete.cmd を自動的に実行させることができます。該当の値の再設定や
製品のインストールがコマンドラインで実施できる場合は、こちらのオプションをご利用ください。

例)
setup.exe /auto upgrade /postoobe c:Fabrikamsetupcomplete.cmd

これまでお寄せいただきましたお問い合わせ事例のうち、再設定が必要になったケースについて、一部ご紹介させていただきます。

事例1)

一部の端末において、Windows もしくは Office 製品のライセンス認証が外れる。
この場合、機能更新プログラムを適用後、ライセンスの再認証を行っていただく必要があります。

事例2)

一部の端末において C 以外のドライブにインストールした SQL サーバーのインストール パスが機能更新プログラムを適用後、
C ドライブに書き換わる
この場合、SQL サーバーの再インストールが必要になるケースがあります。

※補足
上記事象にて機能更新適用の観点と SQL サーバー製品動作観点で確認致しましたが、
現時点で上記のような状態に至る状況は再現できず、そのような製品の問題も確認されておりません。
そのため発生条件も不明です。

<参考情報>
https://www.microsoft.com/ja-jp/windows/windows-10-specifications#upgrade
――抜粋――
アップグレードと同時に多数のアプリケーション、ファイル、設定が移行されますが、一部のアプリケーションや設定が移行されない場合があります。
――――――

We are back today for part two of our four part series on conditional access scenarios for success. Today, we will discuss how to restrict unmanaged PCs from accessing corporate resources. We often hear that organizations want to empower their employees to be productive, even on their personal PCs- but that they need to do so in a way that prevents users from leaking their corporate data. We find that most want to enable full resource access (such as through thick clients) only from corporate PCs where they have the capability to wipe/manage that data. However, they still need to provide some access from personal PCs- which we can accomplish by enabling browser-only access with MFA enforced for personal PCs, providing a more limited (yet still protected) experience. Today, we are going to focus on implementing this for SharePoint Online and Exchange Online, since we see most organizations focused first on protecting mail and files, but you can extend these policies to other corporate resources as well.

This scenario enables personal, unmanaged devices (non domain-joined) to access their corporate resources through the browser only with MFA controls, while allowing only domain-joined (corporate) devices to access corporate data using thick clients. Additionally, we can use SharePoint session controls to enforce restrictions for browser access on personal PCs, preventing users from downloading/printing/syncing their files.

Scenario Requirements

This scenario is simple to fulfill- all it requires is setting up two conditional access policies, enabling SharePoint session controls, and configuring Hybrid Azure AD Join for your domain-joined devices. Let's dive a little deeper into these requirements before we begin setting up the CA policies!

• Two Conditional Access policies
  • 1st Policy: scoped to EXO/SPO/etc., that targets Client Apps and requires devices be Domain Joined to access. This policy will prevent non-domain joined devices from accessing ExO/SPO through thick clients.
  • 2nd Policy: scoped to EXO/SPO/etc., that targets the Browser, excludes Trusted Networks, and requires MFA and Session Controls to access. This policy will allow browser-only access to ExO/SPO for personal devices and will force them to complete a MFA prompt before being granted access. For SPO, additional controls will be in place to prevent downloading/printing/syncing.
  • For Conditional Access policies to take effect, you also need to ensure the targeted users have Azure AD Premium licenses assigned.
• Access control restrictions enabled in SPO (required for Session Controls to work)
  • In the SharePoint admin center under "access control" we will "allow limited, web-only access" for unmanaged devices
  • NOTE: When you enable these access controls in the SharePoint admin center it automatically creates two conditional access policies in Azure AD that by default apply to all users. You have two options: you can either modify the auto-created policies to target the specific security groups you want to receive this policy and add ExO as a targeted cloud app. Or, you can delete the auto-created policies and follow the configuration steps below to create them.
• Hybrid Azure AD Joined Devices
  • In order for conditional access to consider a device "Hybrid Azure AD joined", it must be a Windows device that is joined to an on-premises AD and registered to Azure AD using Hybrid Azure AD Join. Follow the straightforward instructions in this doc to get Hybrid Azure AD Join configured for your devices.

Configuration Steps

To configure the two conditional access policies, simply follow the configuration outlined in the screenshots below.

Policy 1- Enabling thick client access for only domain joined devices (effectively blocking thick client access for personal, non domain-joined devices)

Policy 2- Enforces MFA to access ExO/SPO through the browser on personal PCs, with additional session controls for SPO.

End User Experience

Let's take a look at how these policies impact the end user experience.

When we try to access the Teams client on an unmanaged device (which honors CA policies targeted to SPO), end users will be blocked and notified that they need to be domain joined.

On that same unmanaged devices, if we try to access OneDrive through the browser we will see this limited experience enforced by the SharePoint Online session controls. The banner on the top of the page notifies the end user that they can't download/print/sync using this unmanaged device. This enables your end users to stay productive by accessing and editing documents, while preventing that corporate data from leaking to this unmanaged device.

In Review

Scenario Goal: Allow only Domain Joined devices to access corporate data using thick clients, but restrict unmanaged device access to the browser with MFA

Scenario Scope: Windows PCs

Recommended when…

• You want to enable remote access to web resources on personal PCs
• You only want full resource access from corporate PCs
• You want a strong, yet flexible, security posture for Windows PCs

In the next post of this series, we will shift our focus to protecting corporate data on mobile devices. Have more questions about protecting unmanaged PC access? Have you tried out these conditional access scenarios? Let us know in the comments below!

-Sarah and Josh

Hi everyone! Let me introduce myself. My name is Alp Kaya. I work for Microsoft as a Data & AI technical presales in Ontario. This is my first post of many to come… enjoy! 

If you’d like to discuss the article or any Azure Data related services please reach out: https://www.linkedin.com/in/kayaalp/

Objective of the Article?

SAP ERP is one of the most widely used business applications in Large Enterprise (LE). It is great piece of software for business processes and so wide spread in the market that 2/3 of the world’s GDP runs through an SAP system. However, one of things it is not known for is its ability to allow users access to the data and enabling analytics on the ERP system. SAP – recognizing this as a short coming, developed an application called SAP BW (Business Warehouse) which is a prebuilt proprietary Data Warehouse application. The licensing for the BW application is free so long as you have users licensed on SAP ECC. SAP BW solution provided SAP customers standard extractors and prepackaged analytics/reports that would read/extract directly from you ECC system (+ other data sources as well) and load SAP BW analytics structures. The prepackaged and out of the box analytics reports would fulfill common reporting requirements such as Sales, A/R, A/P, Financials, etc…However, the SAP BW system is based on the same proprietary SAP ERP platform Netweaver and ABAP. The overall market and customer perception SAP BW application has been luke warm at best – there are customers who absolutely love BW and others who refuse to leverage it and would rather spend the energy and money and build their own.

SAP recognizing the marketplace perception and attempted to modernize SAP BW developed with an in memory DBMS called SAP Hana. SAP Hana allowed SAP BW (+ SAP ECC in subsequent releases) application to run on top of it. In the latest reincarnation, SAP has announced a new transactional product (S/4) but has not been widely adopted yet. The predominate use case for SAP Hana has been to move SAP BW workloads onto SAP Hana. The SAP Hana solution enables the SAP ERP or SAP BW in memory and hence was able to accelerate the data access to business users. In addition, with SAP Hana, a very SQL like interface for the SAP system and this really simplified access so long as you have the Hana Enterprise (i.e. non-runtime). Some customers chose to deploy SAP Hana as a side car and replicated data from SAP ERP straight into it via SLT and other tools. This deployment model constituted a full use (non-runtime license). And although SAP Hana is a great platform, it is a very expensive software license and requires a very expensive hardware appliance. It’s not unusual for customers to spend over 7 figures on licensing and hardware for a couple of TB of Hana.

Overview and the Challenge?

Most recently, I have had the opportunity to work with a customer who has a multi-terabyte ECC and an SAP Hana side car deployment. This customer’s preference was to build their own data warehouse (instead of using SAP BW) via SAP Hana side car. This customer mightily struggled with getting access to Financial Reporting out of their SAP ECC system and by struggled, I mean:

• It took more than 6 months to build a baseline Financial Income Statement
• Several years to complete the finalized Financial Income Statement (albeit the final Financial had over 200 measures that included several this period vs prior period vs same period prior year and all of the % increases/decreases of each – which are very computationally taxing)
• Cost several million dollars to generate and maintain this one single Financial Statement report (for a variety reasons from data integration into SAP Hana via SLT & Data Services, Calculation Views on top of Calculation Views, and the general complexity of the solution)

This customer was wondering if there was a better, easier and more cost effective way to do this both from a licensing, hardware, and resourcing perspective. Working closely with this customer, we engaged in a 6 week project and leveraged an ISV solution called Simplement which produced some incredible results.

What does Simplement Do?

Simplement is a metadata driven solution that reverse engineers SAP ERP and removes the proprietary SAP format and exposes the SAP underlying tables via a common SQL interface. The Simplement solution first takes the underlying SAP tables, de-clusters SAP cluster tables, de-pools SAP pooled tables, and translates German language SAP columns/tables into English and makes them available as regular tables in Microsoft SQL DBMS. The Simplement Data Liberator (core component of the Simplement solution) also automatically manages SAP hierarchies and allows you to automatically inherit your existing SAP security model to the Liberated data. So, for customers who have large user communities where security has already been or for customers who have well defined hierarchies and want to continue leveraging them, these are all cascaded to the SQL world without any re-work.

Once this is done, all of the data in SAP can now easily be queried via a very common non-proprietary SQL language on the Microsoft SQL DBMS. Simplement then provides out of the box multi-dimensional views (think OLAP) into the data in the form of in memory Microsoft Analysis Services Tabular models. Microsoft Analysis Services Tabular is a multidimensional in memory analytical structures and can be thought of as a competitor to SAP Hana. Furthermore, the Simplement solution provides 9 multi-dimensional Analysis Services Tabular LOB models (known as “Smart Starts” covering areas such as S & D, GL, A/R, A/P, COPA, and others. Finally, to get you going with the Analysis Services Tabular models, the Simplement solution provides a prebaked PowerBI reports for each of the different smart start areas. You can use PowerBI to build management reports, and your company analysts can also connect Excel directly to the Tabular Smart Start model for deep analysis. The Data Liberator can also feed the transformed SAP data to Azure Data Warehouse, Machine Learning, Cognitive Services, etc.

Key Components and Highlights of The Solution

Key Highlights of the Solution

1. Out of the box Microsoft SQL Server that contains the SAP data in a SQL table format. With SQL, SAP documents can be searched from a variety of methods. For instance, PowerBI or Excel can be connected and be used as front end to search for any SAP document or analysis can be done straight on the SAP data in SQL. In addition, with Microsoft SQL 2017, both Python and R can be leveraged to execute statistical and data science packages without having to export to a separate package.

Lastly, the Azure Search as a Service functionality can be used so that “search” can be applied on SAP data in the SQL DBMS.

For instance, imagine navigating your customer data or part masters data in a ‘google’ style search. The image above is an example of Azure Search as a Service with the following features turned on providing a rich UI experience on the SAP data:

§ Full text search is a primary use case for most search-based apps. Queries can be formulated using a supported syntax.

§ Search suggestions can be enabled for type-ahead queries in a search bar. Actual documents in your index are suggested as users enter partial search input.

§ Faceted navigation is enabled through a single query parameter. Azure Search returns a faceted navigation structure you can use as the code behind a categories list, for self-directed filtering (for example, to filter catalog items by price-range or brand).

2. Out of the box, the Simplement solution provides several in memory Microsoft AS Tabular models such as S&D, General Ledger, COPA, A/R, A/P, Inventory, Asset History, etc… These models provide transactional facts, conformed dimensions, and key measures for your SAP data. In addition, using the DAX language in AS Tabular, additional KPI and measures can easily be created. One of the powerful features of the DAX language is the ability to easily create key measures like this period vs prior period or this period vs same period last year. Often, this type of requirement takes long periods of time to develop in other tools, but this is an inherent feature of the AS Tabular solution.

3. Simplement provides out of the box PowerBI reports for modules like S&D, General Ledger, COPA, A/R, A/P, Inventory, Asset History, etc... So, various LOBs can get access to the SAP data and do in depth analysis (drill up/down and across) without having to do any data integration or custom development. Crucial SAP data elements are exposed as prebuilt PowerBI dashboards and reports. Lastly, this content can further be customized with additional calculations and different visualizations.

4. Once the data is in the Microsoft Cloud (i.e. Azure), the possibilities become endless. For instance, IoT Hub can be leveraged to pull in terabytes/petabytes of data and marry that back with Asset/maintenance data from SAP. Or, Azure ML can be leveraged to apply Machine Learning on the data with endless possibilities like predictive maintenance, financial forecasting, and others. The diagram below depicts some of the possibilities once you are on Azure:

Project Results

1. Within a week a fully functional AS Tabular GL Model on commodity hardware on Azure

2. A baseline Financial Income statement within a week after accessing SAP ECC with over a 100 key relevant measures out of the box

3. Leveraging the Azure Data Stack and applying advanced analytics via R and forecasting terabytes worth of Financials within a few minutes

Final Thoughts

Simplement is a great way to provide analytics and easy ad-hoc requests to SAP ERP systems. Simplement works completely transparent of the underlying databases - even if the SAP ERP system is running off Hana. Finally, the Simplement solution provides the out of the box SQL DBMS, Analysis Services Tabular (in-memory) running on commodity hardware, and PowerBI content to get you started. This also unlocks the ability to take a traditional SAP customer and move them to Microsoft Azure – opening with it all that Azure can do. For instance, applying Azure Search as a Service to SAP documents, applying Big Data or IoT, and Machine Learning to SAP ERP data along with elastic scale up/down of the cloud.

Windows Blogs

A atualização do Windows 10 abril 2018 está disponível para os clientes. A implantação global será feita através do Windows Update em 08 de maio de 2018. A atualização de 2018 de abril inclui alterações nas configurações de privacidade, que podem ser revisadas e atualizadas a qualquer momento.

https://blogs.windows.com/windowsexperience/2018/04/30/how-to-get-the-windows-10-april-2018-update/#GpVcJg6stco5BqDw.97

Blogs de Windows

La actualización de Windows 10 de abril 2018 está disponible para los clientes. La implementación global a través de Windows Update será el 8 de mayo de 2018. La actualización de abril de 2018 incluye cambios en la configuración de privacidad, que puede ser revisado y actualizado en cualquier momento.

https://blogs.windows.com/windowsexperience/2018/04/30/how-to-get-the-windows-10-april-2018-update/#GpVcJg6stco5BqDw.97

Microsoft TechNet – The Cloud Ready Blog

Blog de varias partes con ejemplos para usar como parte de una simulación de phishing en la nueva herramienta de simulador de ataques de Microsoft Office 365

Modelos de phishing en Microsoft Office 365 Attack Simulator - Parte 1 (História)

Modelos de phishing en Microsoft Office 365 Attack Simulator - Parte 2 (Simulaciones 1-5)

Ejemplos de phishing en Microsoft Office 365 Attack Simulator - Parte 3

Microsoft TechNet – The Cloud Ready Blog

Multi-parte do blog com exemplos para usar como parte de uma simulação de phishing na nova ferramenta Microsoft Office 365 Attack Simulator

Exemplos de phishing no Microsoft Office 365 Attack Simulator - Parte 1 (História)

Exemplos de phishing no Microsoft Office 365 Attack Simulator - Parte 2 (Simulações 1-5)

Exemplos de phishing no Microsoft Office 365 Attack Simulator - Parte 3

Do you have members of your technical team that need to get a better understanding of Azure? Looking to get one of those certifications to both make your team more excited about Azure and prove your chops with your customers? Now is your chance!

We are delighted to present to you our revamped program to help you prepare for the Azure Certification Exam: 70-535 Architecting Microsoft Azure Solutions, which is more informative and easy to learn than before.

The program aims at providing interactive, fast-paced learning for implementing Microsoft Azure based Solutions, which will help you tread your skill enhancement path and get certified. The learners will be prepared for this certification exam through the examination focused delivery method.

Bootcamp Schedule

May 07, 2018

Architecture Patterns in Azure and Deploying resources with Azure Resource Manager

Topics Covered:

• Understand performance, resiliency, scalability and data patterns
• Creating resource groups
• Deploy simple ARM template
• Filter resources using tags
• How to author complex deployments using Azure Building blocks tools

May 08, 2018

Building IaaS based Server applications, Managed Server applications and Serverless applications in Azure

Topics Covered:

• Implementing High Availability
• Templated Infrastructure
• Domain connected machines
• Infrastructure backed PaaS
• High Performance Compute (HPC)
• Implementing Azure Web App, Azure Functions and Integration

May 09, 2018

Backing Azure Solutions with Azure Storage and comparing Database options in Azure

Topics Covered:

• Storage Pricing
• Understanding Blob and Files storage, and Managed Disks
• Hybrid Storage solution using StorSimple
• Relational database options
• NoSQL and Azure Cosmos DB
• Data Storage and Data Analysis

May 10, 2018

Networking Azure Application components and Managing Security & Identity

Topics Covered:

• Understanding Azure Virtual Networks (VNETs)
• Using Load balancing and designing for external connectivity
• Security Monitoring
• Designing Data Security
• Designing Application Security using Azure Active Directory (AAD)
• Integrating applications with Azure AD

May 11, 2018

Integrating SaaS Services, Azure Solution components using Messaging Services and Monitoring & automating Azure solutions

Topics Covered:

• Cognitive Services based solutions
• Azure Bot Services
• Designing solutions using Machine Learning
• Media Services
• Using Event Messaging
• Solution integration
• Azure IoT solutions
• Application, Platform and Network Monitoring
• Alerting, Backup and Azure Automation

By the end of the course, the learner should be able to:

• Get onboarded to exam focused self-learning resources
• Get complete insight into the Learning Path to become an MCSD/MCSE
• Learn the tips and tricks to pass the certification exam
• Understand key aspects of the exam and get hands on learning guidance
• Know the common mistakes and learn how to avoid them during the exam
• Participate in an interactive Q&A with our expert presenter and strengthen the key concepts

Who should Participate:

• Security Architects
• Network Administrators
• Storage Design Architects
• Cloud Administrators
• Solution Architects
• Identity Solution Architects

Prerequisites:

• Knowledge of basic Azure concepts
• Familiarity with basic structure of Azure platform
• Familiarity with Microsoft virtualization platform
  Hyper-V

Frankly, I think ANYONE with an interest in learning Azure for their company should attend this session. In addition, I believe the skills learned while passing the 70-535 exam can be directly applied to passing the Azure Implementation exam 70-533 as well.

See you online,

  Steve

It is important to start this conversation by saying that PCI DSS encompasses more than Azure Security Center, however Security Center plays a key role on that, as described in the architecture diagram from Azure Security and Compliance Blueprint - PCI DSS-compliant Payment Processing environments article, shown below:

Image extracted from this article

The first step is to understand the PCI DSS requirements, and from there understand the goals and requirements. You should also use the responsibility matrix spreadsheet that has a comprehensive list of requirements, the controls and the implementation details. In this matrix you will also find the PCI DSS Requirements that Security Center can help, which are: 

• PCI DSS Requirement 1.1.1
• PCI DSS Requirement 2.2
• PCI DSS Requirement 2.2.3
• PCI DSS Requirement 5.2
• PCI DSS Requirement 5.4
• PCI DSS Requirement 10.6
• PCI DSS Requirements 10.6.1, 10.6.2 and 10.6.3
• PCI DSS Requirement 11.2
• PCI DSS Requirement 11.2.1
• PCI DSS Requirement 11.3
• PCI DSS Requirements 11.3.1, 11.3.2, 11.3.3 and 11.3.4
• PCI DSS Requirement 11.4

Read each one of those requirements above, and notice that under responsibilities, there is a line for customer (PCI-DSS Blueprint), there you will find the example of how Security Center was used to help the fictitious organization Contoso to be compliant with PCI DSS.  

CORS can sometimes present challenges to the Applications/Apis published via the Azure AD Application Proxy. There are many options to resolve these issues with ease, and in this blog we share those options as well as provide another look at understanding CORS.

What is CORS?

Cross Origin Resource Sharing (CORS) is a W3C standard that allows a server to relax the same-origin policy. Using CORS, a server can explicitly allow some cross-origin requests while rejecting others.

Browser security prevents a web page from making AJAX requests to another domain. This restriction is called the same-origin policy and prevents a malicious site from reading sensitive data from another site. However, sometimes you might want to let other sites call your web API.

What is Same Origin?

Two URLs have the same origin if they have identical schemes, hosts and ports. (RFC 6454)

These two URLs have the same origin:

• http://contoso.com/foo.html
• http://contoso.com/bar.html

These URLs have different origins than the previous two:

• http://consoto.net - Different domain
• http://contoso.com:9000/foo.html - Different port
• https://contoso.com/foo.html - Different scheme
• http://www.contoso.com/foo.html - Different subdomain

Consider the below example we have a "Webservice", which hosts a Web API controller, and the other called “WebClient”, which calls Webservice. There is an AJAX request from WebClient to WebService

CORS Challenges with Application Proxy

The App seems to work when hosted on premises but either fails to load or errors out when published via the Azure AD Application Proxy.

Both the applications were published as different applications through Application Proxy, so since the two applications are hosted at different domains, an AJAX request from WebClient to WebService is a cross-origin request and it fails.

Identifying CORS Issue

You can identify CORS issues by using the browser debug tools:

1. Launch the browser and browse to the Web App
2. Hit F12 to bring up the debug console
3. Try and reproduce the transaction and review the console

The console will give an error about the origin if you are seeing a CORS violation.

Note: In the below example the call is made when you hit the “Try It” Button, the expected response is a Test Message, instead you see an error.

Note: In the above example https://corwebclient-allmylab.msappproxy.net is missing from Access-Control-Allow-Origin header

Solution

Below are some possible solutions

Option 1: Custom Domains

Use the Custom Domain feature of the Azure AD Application Proxy, so you can use the same domain name and no changes to applications or headers are required. Thus the origin will continue to stay the same.

Option 2: Publish Parent Directory

Publish the parent directory of both applications. This works particularly well if you only have two applications on the web servers. Instead of publishing each application separately, you could publish the parent directory, that would result in the same origin.

App Published Individually

Instead publish the parent directory

The resulting URLs would be as below, effectively resolving your CORS issues.

https://corswebclient-allmylab.msappproxy.net/CORSWebService
https://corswebclient-allmylab.msappproxy.net/CORSWebClient

Option 3: Update HTTP Headers

Add the HTTP Response Header on the Web Service to match the Origin request. For example, below is how you could set it up for the websites running on the IIS.

This would also not require any change to the Code. You can also verify this in the Fiddler traces.

Post the Header Addition
HTTP/1.1 200 OK
Cache-Control: no-cache
Pragma: no-cache
Content-Type: text/plain; charset=utf-8
Expires: -1
Vary: Accept-Encoding
Server: Microsoft-IIS/8.5 Microsoft-HTTPAPI/2.0
Access-Control-Allow-Origin: https://corswebclient-allmylab.msappproxy.net
X-AspNet-Version: 4.0.30319
X-Powered-By: ASP.NET
Content-Length: 17

Option 4: App Modification

Modify your application to add support for the CORS by adding the Access-Control-Allow-Origin header with appropriate values. The way to do this will depend on the language in which you wrote the application. This is the least recommended option since it requires more effort.

Best,

Jeevan Bisht

Program Manager - GTP

What is TechNet Guru Competition?

Each month the TechNet Wiki council organizes a contest of the best articles posted that month. This is your chance to be announced as MICROSOFT TECHNOLOGY GURU OF THE MONTH!

One winner in each category will be selected each month for glory and adoration by the MSDN/TechNet Ninjas and community as a whole. Winners will be announced in dedicated blog post that will be published in Microsoft Wiki Ninjas blog, a tweet from the Wiki Ninjas Twitter account, links will be published at Microsoft TNWiki group on Facebook, and other acknowledgement from the community will follow.

Some of our biggest community voices and many MVPs have passed through these halls on their way to fame and fortune.

If you have already made a contribution in the forums or gallery or you published a nice blog, then you can simply convert it into a shared wiki article, reference the original post, and register the article for the TechNet Guru Competition. The articles must be written in May 2018 and must be in English. However, the original blog or forum content can be from before May 2018.

Come and see who is making waves in all your favorite technologies. Maybe it will be you!

Who can join the Competition?

Anyone who has basic knowledge and the desire to share the knowledge is welcome. Articles can appeal to beginners or discusse advanced topics. All you have to do is to add your article to TechNet Wiki from your own specialty category.

How can you win?

1. Please copy/Write over your Microsoft technical solutions and revelations to TechNetWiki.
2. Add a link to your new article on THIS WIKI COMPETITION PAGE (so we know you've contributed)
3. (Optional but recommended) Add a link to your article at the TechNetWiki group on Facebook. The group is very active and people love to help, you can get feedback and even direct improvements in the article before the contest starts.

Do you have any question or want more information?

Feel free to ask any questions below, or Join us at the official MicrosoftTechNet Wiki groups on facebook. Read Moreabout TechNet Guru Awards.

If you win, people will sing your praises online and your name will be raised as Guru of the Month.

PS: Above top banner came from Kamlesh Kumar.

Thanks in advance!
- Ninja [Kamlesh Kumar] TechNet Wiki Council

ミレニアル世代を理解して、一緒に仕事をするにはどうすればいいかについて書かれた書物は数多くありますが、現代のテクノロジに精通し、常に互いがつながっているこの世代の社員に対して従来の働き方を強制するという観点から書かれたものばかりです。しかし、2020 年には、ミレニアル世代が労働人口の 50% を占めるようになるという現実を考えると、働き方が毎日のように変化することも考えておく必要があります。今こそ、ミレニアル世代との働き方に関するあらゆる議論を見直すときです。この eBook では、職場でミレニアル世代の意欲を引き出す 4 つの方法と、適切なテクノロジが重要な役割を果たすしくみについて説明します。

▼ 「職場でミレニアル世代の意欲を引き出す 4 つの方法」 e-book のダウンロードはこちらから

If you happen to be unfortunate enough to still be creating Windows 7 or Windows Server 2008 R2 SP1 Images you might be so inclined to have your reference image as up to date as humanly possible with an OS that shouldn't be deployed at this point.  Nevertheless if this is you i happen to have stumbled upon this myself and found the following blog post https://sccm-zone.com/fix-sysprep-error-on-windows-2008-r2-after-windows-management-framework-5-0-installation-b9e86b4c41e4 which details setting the following registry key to bypass this error.

Error:

Sysprep_Generalize_MiStreamProv: RegDeleteValue for target uri failed with error = 2[gle=0x00000002]
Sysprep_Generalize_MiStreamProv: RegDeleteValue for full payload time failed with error = 2[gle=0x00000002]

Fix:

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsStreamProvider] “LastFullPayloadTime”=dword:00000000

Disclaimer: The information on this site is provided "AS IS" with no warranties, confers no rights, and is not supported by the authors or Microsoft Corporation. Use of included script samples are subject to the terms specified in the Terms of Use.

快被辦公室檔案淹沒了嗎？出門在外或者電腦不在身邊時，也想查看重要的資料嗎？想要將您的檔案備份，卻又佔據太多硬碟空間嗎？透過OneDrve檔案隨選功能，您無論在哪都能隨時取得檔案，也可以完美備份不佔電腦空間！

▲如果您在檔案總管中看到檔案旁出現狀態圖示 (如上圖所示)，就表示檔案隨選功能已經開啟。

以檔案隨選處理檔案

• 需要備份資料又怕硬體空間不足嗎？

當您的硬體空間快要不夠時，會需要備份檔案到雲端，以節省硬體的空間。這時候就適合使用雲朵狀態的「僅限線上檔案」，完美達成備份但又不佔硬體空間。這類檔案必須要在有網路的情況下才能存取喔！

• 需要常常編輯雲端檔案嗎？

如果您有需要常常編輯、修改的檔案，又希望編輯後能自動同步儲存到雲端，這時候就適合使用綠色空心勾勾的「本機檔案」。您可以在任何時候開啟本機檔案，即使沒有網際網路存取。不過當電腦空間不夠時，這類檔案空間就會被釋出囉！

• 想要隨時隨地取用重要檔案嗎？

當您外出沒有網路，但又需要隨時取用重要檔案時，就可以將檔案改成綠色實心勾勾的「隨時可用檔案」。電腦就算沒有連上網也能取得檔案，順暢使用並編輯。而就算電腦的空間不夠，也不用擔心被釋出。也就是說無論如何，隨時可用！

開啟 OneDrive 中的檔案隨選

以下就是開啟檔案隨選的教學步驟！

Step1：在 Windows 工作列通知區域中，點選白色或藍色的 OneDrive 雲朵圖示。

Step2：點選「設定」

Step3：勾選「節省空間並在使用的同時下載檔案」

註：如果您使用的是 Windows 10，您的電腦就已經擁有 OneDrive 桌面版應用程式了，但您還需要在 OneDrive 設定中開啟檔案隨選。

有了OneDrive檔案隨選功能，不僅可以在不佔用硬體空間的情況下備份檔案，還能在本機編輯檔案後自動同步到雲端。最重要的是，即使沒有上網或者電腦空間不夠，您都可以隨時隨地使用您的檔案！