ugg.li Schnelle Hilfe für schnelle Admins

Für die Vergabe von Lizenzen in Microsoft 365 ist die Pflege des Feldes „UsageLocation“ in EntraID bei jedem Benutzer verpflichtend.

Außerdem wird diese Information mittlerweile auch beim Teams „Dialplan“ verwendet. Man muss hier immer das Land eintragen, in dem der Anwender arbeitet.

Dazu gibt es mehrere Möglichkeiten:

• Manuelle Pflege: Man setzt das Feld direkt im Admin-Center bei der Lizenzzuweisung für jedes Microsoft 365 Objekt einzeln
• Tenant Default: Neue Nutzer übernehmen die im Tenant als Default hinterlegte Eigenschaft. Änderungen sind pro Benutzer weiter möglich
• EntraID Connect (ehemals AdSync) + AD Feld „msExchUsageLocation“: Das Feld msExchUsageLocation wird On-Premises bislang zwar nicht genutzt (oder automatisch gepflegt). Wenn man das tut, wird es von EntraIDConnect automatisch synchronisiert.
  Get-AdUser -identity "EXAMPLEDUDE" | Set-AdUser -replace @{msExchUsageLocation="DE"}
• Eine EntraID Sync-Regel erstellen, die einen festen Wert in das AzureAD schreibt oder ein anderes Feld (z.B. „c“ [Country]) dazu verwendet

Lösung

In den vermutlich meisten Fällen reicht es, das Attribut als Standard vorzugeben und die Ausnahmen zu pflegen. Bei deutschen Organisationen ~500 Nutzende war das bisher die pragmatischste und effizienteste Lösung.

Das geht recht schnell an der PowerShell, wenn man verstanden hat wie Microsoft’s Vibecoder arbeiten.

Hier ein Beispiel für die PowerShell7 (pwsh) mit dem aktuellen Graph-Modul:

Install-Module Microsoft.Graph -AllowClobber
Install-Module Microsoft.Graph.Authentication
Install-Module Microsoft.Graph.Identity.DirectoryManagement
Connect-MgGraph -Scopes Organization.ReadWrite.All

Update-MgOrganization -OrganizationId (Get-MgOrganization).Id -DefaultUsageLocation "DE"

Zur (Erfolgs-)Kontrolle des Attributes:

Get-MgOrganization | fl DefaultUsageLocation

Wenn man noch einen älteren Client mit der PowerShell 5 und den („deprecated“) MSOnline-Modulen hat, ist das hier das equivalent:

Install-Module MSOnline
Import-Module MSOnline -UseWindowsPowerShell 
Connect-MSOnlineService
Set-MsolCompanySettings -DefaultUsageLocation "DE"

In Teams-Chats mit einem externen Kontakt, einem Kunden, Lieferanten oder Partner möchte man gerne mal eine Datei versenden. Man sucht das „Plus“ Symbol und … diese Option gibt es plötzlich nicht. Wenn man versucht, eine Datei aus dem Explorer in den Chat zu ziehen, blockiert ein rotes „X“ den Versuch.

Das ist kein Fehler, sondern eine Sicherheitsrichtlinie. Standardmäßig verhindert Microsoft Teams, dass Unternehmens-Benutzer Dateien in Chats mit externen Teilnehmern anhängen. Viele uns bekannte Admins (und Endbenutzer) wissen nicht, dass der Versand überhaupt möglich ist.

Lösung: Dateiversand (und „Freigabe“) über PowerShell aktivieren

In der PowerShell kann man mit dem Teams-Modul die globale Richtlinie schnell bearbeiten:

# Teams PS-Modul installieren
Install-Module -Name MicrosoftTeams -Force -AllowClobber

# Modul Importieren/Verbinden
Import-Module MicrosoftTeams
Connect-MicrosoftTeams

# Richtlinie ansehen
Get-CsTeamsFilesPolicy

# Externe Dateifreigabe ("FileSharingInChatsWithExternalUsers") aktivieren

Set-CsTeamsFilesPolicy -Identity "Global"-FileSharingInChatsWithExternalUsers Enabled

Die „Global“ Richtlinie gilt stets für alle Benutzer des Mandanten.

Wenn man die Berechtigung nur bestimmten Benutzern (oder Gruppen) gewähren möchten, erstellt man stattdessen eine benutzerdefinierte Richtlinie und weiset diese den entsprechenden Objekten zu. Die Globale lässt man auf „disabled“.

Die Änderung der Richtlinie greift sofort. In größeren Tenantns (400+ Nutzer) haben wir auch schon minutenlange Wartezeit gesehen, aber grundsätzlich geht das schnell und benötigt überraschenderweise keinen Neustart des Teams-Clients.