text: 2ndlive | Frischfisch
  Archiv nach Autor: 2ndlive
  Im ERP Umfeld ist Datensicherheit das höchste Gebot. Daher sichert man Schnittstellen am einfachsten mit Zertifikaten ab. Hier in dem Fall ein MS Navision2018 Server der öffentlich seine OData Schnittstelle nach außen öffnen soll. OData wird gerne verwendet um Business Intelligence System zu verknüpfen. Daher oderten wir bei Comodo ein SSL Wildcard Zertifikat und wollten dies mal schnell in unseren Navision Server importieren. Man erhält eine .cer Datei als Zertifikat, der Cert-Bundle mit der Zertifikatskette Richtung RootCA und die Key Datei.
  Am besten erstellt man daraus eine pfx Datei die den privaten Schlüssel enthält um das dann anschließend per MMC zu importieren. Dabei kann man diverse Fehler machen so das man Ende nur Fehlermeldungen erhält.
  Um nicht ins Chaos zu rennen hier ein paar Hinweise:
  PFX DATEI: Ich hatte diese mit dem Keystore Explorer erstellt. Diese funktionierte jedoch nie so richtig beim Import und ich erstellte eine neue PFX Datei mit OpenSSL auf einem Debian Linux.
  MMC: Snapin – Zertifikate – lokaler Computer. Die MMC muss immer mit "als Administrator" ausführen ausgeführt werden, sonst rennt man schon in Berechtigungsprobleme den privaten Schlüssel zu lesen.
  Beachtet man das nicht erhält man später in der NAV Administration Konsole nur komische Fehlermeldungen und es kann vorkommen das die OData Schnittstelle dicht macht!
  SSL Zertifikat in PFX Datei umwandeln Anleitung
  MMC als Administrator auf dem NAV Server öffnen
  SnapIn Zertifikate hinzufügen – lokaler Computer -> navigiere zur "Personal" -" Certificates" -> rechte Maustaste -> "alle Tasks" -> Import
  Der Import Assistent erscheint, ich kann die PFX Datei auswählen und importieren (Man findet im Internet den Hinweis das der Export zugelassen sein sollte – bloss nicht aktivieren bitte sonst untergräbt man die Sicherheit enorm!)
  Zertifikat öffnen und den Thumbprint von den Zertifikatsdetails notieren! copy& paste geht nicht in der NAV Admin Konsole später, daher aufschreiben! (ohne Leerzeichen)
  6. Dann in der MMC unter Personal – Certificates das SSL markieren, mit rechter Maustaste " Alle Aktionen" -> "manage private key" wählen. Hier öffnen sich die Sicherheitseinstellungen des Zertifikates und hier müssen jetzt die Serviceaccounts von dem Navision Server berechtigt werden zum Lesen. Ansonsten kann man den privaten Schlüssel nicht lesen, ein Einbinden in Navision führt zu Fehlermeldungen ähnlich error 1312.
  Erscheint hier "no private keys to manage" stimmen die Berechtigungen nicht oder die MMC läuft nicht explizit mit Adminrechten.
  7. Die NAV Admin Konsole öffnen, die Eigenschaften der Instanz aufrufen -> auf "edit" klicken (unten rechts) und dann den Thumbprint in die NAV Instanz eintragen. Hier geht kein Copy & Paste! Dann erscheinen beim Speichern Fehlermeldungen. Einfach manuell eintragen beim der ersten Instanz. Man kann dann den Wert kopieren und in die Zwischenablage speichern. Beim Eintragen des Thumbprint auf weitere Instanzen geht copy & paste dann plötzlich doch wieder. Aber nur dann.
  8. Dann die Schnittstelle OData weiter unter öffnen und dort "enable SSL" aktivieren.
  Die Instanz muss dann einmal neu gestartet werden und SSL ist dann auf diesem IP Port aktiv.
  Erhält man an der Stelle Fehlermeldungen hat der NAV Serviceaccount kein Leserecht auf den privaten Schlüssel im Zertifikatsspeicher!
  Weitere Probleme kann man bekommen wenn man den Zertifikatsimport nicht 100% durchführen konnte. Navision nimmt an das die Schnittstelle schon abgesichert sei obwohl SSL auf dem Port nicht funktioniert. Der Port ist dann dicht. Das konnte nur behoben werden indem man den Zertifikatsrollout ohne Fehler wiederholt bis die Implementierung fehlerfrei läuft. Dann erst komm ich wieder an die OData Schnittstelle ran.
  Viel Erfolg. Ich hab einige Zeit gebraucht dafür. Hoffe mit der Anleitung hier gehts bei anderen schneller.
  Kategorien: Cloud, Fachliches Geschwätz, MS Windows Server 2008R2, Uncategorized | Tags: Error1312, MMC, Navision, SSL | Permanentlink.
  MS Azure AD bietet die Möglichkeit eigene Apps zu integrieren die dann über das myapps Portal oder über das Office Portal aufgerufen werden können. Seit Microsoft das alte Azure Portal abgeschaltet hat und alle Anfragen nun ins neue Portal laufen ist die App Registrierung etwas komplizierter. Der Ablauf ist der Gleiche allerdings ist das "Manifest" nicht mehr an der Stelle wie man das aus dem alten Azure Portal gewohnt ist.
  Dort konnte man direkt das Manifest in den Eigenschaften der App bearbeiten.
  Die Internetsuche zum Azure Portal und Manifest führten immer zu Artikeln im alten Azure Portal. Das nutz uns nichts.
  Im neuen Portal findet man das App Manifest unter Azure Active Directory -> App Registrations -> "All Apps" auswählen im DropDown Feld. Klicken sie auf die App
  Es erscheint dann folgender Reiter – dort kann ich das Manifest bearbeiten.
  Für alte Azure Experten manchmal schwer zu finden.
  Viel Erfolg beim Deployen!
  Kategorien: Cloud, Fachliches Geschwätz | Permanentlink.
  Immer wieder hört man vom CEO Fraud. Was ist das eigentlich und wie schütze ich mich davor?
  Es ist momentan wohl sehr lukrativ deutsche Unternehmen um große Beträge zu betrügen. Die Masche die benutzt wird ist immer gleich. Ein Mitarbeiter mit näherem Kontakt zum Management wird per Email angeschrieben und befragt ob er für eine vertrauliche Transaktion des Managements zur Verfügung stehen kann. Kommuniziert man per Email mit dem Absender wird eine Unternehmensübernahme vorbereitet die am besten heute noch bestätigt werden muss indem man einen 5-6 stelligen Betrag an dem Empfänger senden soll um die Übernahme erfolgreich abzuschließen. Dabei legt der Absender sehr viel Wert darauf das diese Aktion absolut vertraulich, ohne Einbeziehung von Dritten erfolgen muss. Es soll niemand informiert werden.
  Meist ist die Buchhaltung oder die Assistenz der Geschäftsführung betroffen. Woher der Absender an die genauen Daten der Firma kommt ist unbekannt. Ich vermute hier werden öffentliche Information und evtl. gehackte Adressbücher aus Mailprogrammen benutzt.
  Hier ein Verlauf (wir wußten das es sich um CEO Fraud handelt und haben diesen Vorgang entsprechend verzögert.
  Absender sendet Email an die Sekrerätin des Geschäftsführers und gibt sich als GF aus:
  (Name vom Chef)
  Hier fällt teilweise auf das die Sekretärin mit "Sie" angesprochen wird. Bei uns kennt sich jeder und es bleibt beim "du". Der Absender sieht auch aus wie die offizielle Firmen Emailadresse, wenn man auf Antworten klickt steht dort aber der scheinbar echte Absender mit "name@dr.com".
  Wir haben unsere Sekretärin mal antworten lassen, wir wollten mal sehen worum es diesmal geht (es ist nicht der erste Versuch dieser Art). Als Antwort kam:
  Betreff: : AW: Benachrichtigung
  Ich benötige Ihre Hilfe hinsichtlich eines vertrauenswürdigen Finanzgeschäftes.
  (Wir können uns nur per E-Mail unterhalten).
  Vorname Nachname (vom Chef)
  Also wir hatten diese Version auch schon per Telefon. Diesmal scheint man aber telefonisch nicht erreichbar zu sein. Nach der Antwort kam nochmal die Anweisung vom Absender:
  Betreff: AW: AW: AW: AW: Benachrichtigung
  Wir sind derzeit im Rahmen unseres externen Wachstums mit einer Unternehmensübernahme beschäftigt, von Bafin (Bundesanstalt für Finanzdienstleistungsaufsicht) in meinem Namen abwickelt.
  Zum gegenwärtigen Zeitpunkt muss diese Übernahme streng vertraulich behandelt werden. Sie dürfen daher Dritten gegenüber nichts verlauten lassen weder im Unternehmen noch anderweitig.
  Die öffentliche Bekanntgabe der Übernahme findet am 28 November 2017 in unseren Räumen und in Gegenwart der zuständigen Behörden statt.
  Bis dahin werden Sie in dieser Angelegenheit meine einzige Kontaktperson sein, Ziel ist es, diese Transaktion, die für unser Unternehmen so wichtig ist, zügig zum Abschluss zu bringen.
  Bitte setzen Sie sich so bald wie möglich mit Jerome Ducant(Jerome.Ducant@consultant.com) in Verbindung, um die Bankverbindungsdaten für die Zahlung zu erhalten.
  Herr Ducant ist Franzose, aber Sie können mit ihm auf Englisch kommunizieren.
  Informieren Sie mich sofort, wenn sie sie erhalten, sodass ich Ihnen die nur von mir genehmigte Rechnung zukommen lassen kann, die den exakten Betrag für die sofortige Zahlung enthalten wird.
  Selbstverständlich liegt dieser ganze Vorgang in meiner alleinigen Verantwortung.
  Ich zähle auf Ihre absolute Diskretion und bin über meine E-Mail-Adresse jederzeit erreichbar.
  (Chefname)
  Hier sieht man wie die Masche funktioniert. Es wird auf absolute Diskretion Wert gelegt. Es ist wichtig. Die Sekretärin wird hier als wichtiges Bindeglied für diese Transaktion herangezogen, das funktioniert wohl häufiger. Unsere Sekretärin informierte unsere IT Abteilung umgehend, das mit der Diskretion hat nicht funktioniert bei uns. An dieser Stelle haben wir die Kommunikation abgebrochen und auf unseren Mailsystem die Absender gesperrt.
  Der weitere Verlauf wäre folgender: Die Sektretärin wendet sich per Email an Jerome.Ducant@consultant.com. Von dort erhält sie die Kontonummer und den Betrag der überwiesen werden muss. Danach ist das Geld weg, es gibt weder eine Firmenübernahme noch gibt es einen Jerome.Ducant bei consultant.com. Jerome Ducant existiert wirklich wenn man nach ihm in einer Suchmaschine sucht. Er beschäftigt sich wirklich mit Firmenübernahmen. Aber diese Email landet nicht bei ihm, sondern ist ein Fake. consultant.com kennt keinen Jerome Ducant.
  Achten Sie bei solchen Emails auf die Schreibweise im Text. Involvieren sie ihre IT Abteilung oder ihren Admin. Sensibilisieren sie andere Mitarbeiter die Zugriff auf Konten in ihrem Unternehmen haben. Die Masche sollte inzwischen bekannt sein, aber scheinbar fallen immer noch Unternehme darauf rein.
  Hier ein paar sinnvolle Links zu diesem Thema:
  http://www.faz.net/aktuell/wirtschaft/netzwirtschaft/ceo-fraud-vorsicht-vor-diesem-cyber-betrug-15100115.html
  Wurden Sie Opfer wendet man sich am besten an die nächste Polizeidienststelle oder direkt an das BKA in ihrer Nähe. Das Geld ist futsch. So oder so wird man das nicht zurückbekommen, egal was sie tun. Aber zeigen sie das wenigstens an.
  Kategorien: Fachliches Geschwätz, Telefonterror | Tags: betrüger, CEO FRAUD | Permanentlink.
  … und das mehrmals. Einmal im Auftrag der EZB, gestern im Auftrag der Bundeswehr. Weder die EZB noch die Bundeswehr macht solche Umfragen.Im Endeffekt wird versucht Kreditkartendaten und erweiterte Information über ihr Unternehmen zu beschaffen. Es werden die Geschäftführerinformationen abgefragt und Emailadressen verifziert. Legen Sie auf! Blockieren Sie diese Nummer. Es werden alle Durchwahlnummern versucht – also es bleibt nicht bei einem Anruf. Würgt man sie ab rufen sie auf einer anderen Durchwahl an und versuchen es bei den Kollegen. Geben Sie keine Information raus oder geben Sie denen falsche Informationen. Könnte evtl. auch die Chefabzocke sein. Weiß man noch nicht so genau.
  https://de.wikipedia.org/wiki/CEO_Fraud
  Kategorien: Berlin urban, Fachliches Geschwätz, Telefonterror | Tags: 030200042145, Bundeswehr, CEO FRAUD, EZB | Permanentlink.
  Es wurde eine Teamwebsite in unserem Sharepoint erstellt. Dem Mitarbeiter wurden alle Rechte gegeben. Es ist sowieso schon Sharepoint-Online-Admin, dazu auch noch globaler Admin im Office 365. Im Sharepoint ist er Websiteowner und besitzt laut der Berechtigungsanzeige Vollzugriff auf diesen Bereich.
  Versucht der Benutzer allerdings Inhalte oder Einstellungen der Webseite zu ändern führt das immer zu einem
  Sie können den Access anfordern und man kann diesen auch gewähren. Es ändert aber nichts. Die Zugriffsberechtigung bleibt verwehrt.
  Wenn ich mich durch die Berechtigungen hangele sehe ich zwar Vollzugriff, schaue ich aber genauer hin sehe ich "Vollzugriff, beschränkte Berechtigung" welches ausgegraut ist. Das kann man nicht ändern im Sharepoint oder im Sharepoint Designer.
  Einen ersten Hinweis sieht man schon wenn man in die Websitesammlungsverwaltung schaut. Dort gibt es unter den "Websiteeinstellungen" normalerweise den Punkt "Gestaltungsvorlagen" im Bereich Web-Designer-Katalog. Ist dieser Punkt dort nicht sichtbar hat man definitv keinen Vollzugriff und wird nichts ändern könnnen. Wir brauchen also die Schreibrechte auf die Gestaltungsvorlagen, wenn man diese aber nicht sieht kann man diese nicht setzen.
  Es gibt einen Trick. Nachdem ich mich bei MS beschwert habe hat mir der Supportmitarbeiter gestanden das es dort noch einen Bug im SPO2013 gibt und wie man ihn behebt.
  Starte die Sharepoint Verwaltungs Shell, diese kommt mit dem Sharepoint Designer 2013 aufs System.
  Verbinde dich mit deinem Sharepoint mit
  Connect-SPOService -Url "https://deinservername-admin.sharepoint.com" -Credential "benutzername@doma.in"
  Das eigentliche Problem ist eine Basiseinstellung. Setzte diese auf "0" mit
  Set-SPOSite -Identity https://deinservername.sharepoint.com -DenyAddAndCustomizePages 0
  Das dauert einen Moment und dann kann die Seite auch bearbeiten, die Einstellungen ändern und wird nicht abgewiesen. Hat mich heute 4h Zeit gekostet das rauszufinden und zeigte mal wieder deutlich das die Dokumentation seitens Microsoft doch recht bescheiden ist. Da würde ich mir einen ordentlich Doku wünschen und nicht so ein Flickwerk welches sich über die letzten 4 Sharepoint Version hinzieht wie ein Kaugummi.
  Wenn ihr über diesen Beitrag stolpert wäre es nett wenn ihr mir einen Kommentar hinterlasssen würdet und mir kurz eure Erfahrung mit SPO2013 mitteilt. Danke.
  Kategorien: Fachliches Geschwätz, MS Windows Server 2008R2 | Tags: Beschränkter Zugriff, Gestaltungsvorlage, sharepoint verwaltungs shell, Sharepoint2013, Vollzugriff | Permanentlink.