Marco Scheel aka GeekDotNet

Microsoft announced end of June 2020 the “General Availability” of the Microsoft Information Protection integration for Group labeling. Unified labeling is now available für all Microsoft 365 Groups (Teams, SharePoint, ...).

Microsoft Information Protection is a built-in, intelligent, unified, and extensible solution to protect sensitive data across your enterprise – in Microsoft 365 cloud services, on-premises, third-party SaaS applications, and more. Microsoft Information Protection provides a unified set of capabilities to know your data, protect your data, and prevent data loss across Microsoft 365 apps (e.g. Word, PowerPoint, Excel, Outlook) and services (e.g. Teams, SharePoint, and Exchange).

Source: https://techcommunity.microsoft.com/t5/microsoft-security-and/general-availability-microsoft-information-protection/ba-p/1497769

The feature is currently an opt-in solution. The previous Azure AD based group classification is still available and supported. If you want to switch to the new solution to apply sensitivity labels to your groups you need to run some lines of PowerShell. This is the Microsoft documentation:

https://docs.microsoft.com/en-us/azure/active-directory/users-groups-roles/groups-assign-sensitivity-labels#enable-sensitivity-label-support-in-powershell

The feature is configured with the same commands as the AAD based classification. You have to set the value for “EnableMIPLabels“ to true.The documentation is expecting that you already have Azure AD directory settings for the template “Group.Unified“. If this is not the case you can also follow the instructions on the Azure AD directory settings for Groups:

https://docs.microsoft.com/en-us/azure/active-directory/users-groups-roles/groups-settings-cmdlets#create-settings-at-the-directory-level

To make it easier for my customers and for you, I’ve created a PowerShell that will help and work in any configuration. Check out the latest version of my script in this GitHub repository:

https://github.com/marcoscheel/snippets/blob/master/m365-enable-ul-groups/enable-ulclassification.ps1

$tenantdetail = $null; $tenantdetail = Get-AzureADTenantDetail -ErrorAction SilentlyContinue; if ($null -eq $tenantdetail) {    #connect as gloabl admin    Connect-AzureAD    $tenantdetail = Get-AzureADTenantDetail -ErrorAction SilentlyContinue; } if ($null -eq $tenantdetail) {    Write-Host "Error connecting to tenant" -ForegroundColor Red;    Exit }

$settingIsNew = $false; $setting = Get-AzureADDirectorySetting | Where-Object { $_.DisplayName -eq "Group.Unified"}; if ($null -eq $setting){    Write-Host "Not directory settings for Group.Unified found. Create new!" -ForegroundColor Green;    $settingIsNew = $true;    $aaddirtempid = (Get-AzureADDirectorySettingTemplate | Where-Object { $_.DisplayName -eq "Group.Unified" }).Id;    $template = Get-AzureADDirectorySettingTemplate -Id $aaddirtempid;    $setting = $template.CreateDirectorySetting(); } else{    Write-Host "Directory settings for Group.Unified found. Current value for EnableMIPLabels:" -ForegroundColor Green;    Write-Host $setting["EnableMIPLabels"]; }

$setting["EnableMIPLabels"] = "true"; if (-not $settingIsNew){    #Reset AAD based classsification?    #$setting["ClassificationList"] = "";    #$setting["DefaultClassification"] = "";    #$setting["ClassificationDescriptions"] = ""; }

if ($settingIsNew){

The Microsoft Teams Admin Center can be used to create a new Team. The initial dialog allows you to set multiple owners for the Team. This feature was added over time and is a welcome addition to make the life of an administrator easier. But the implementation has a big shortcoming: The specified owners in this dialog will not become a member of the underlying Microsoft 365 Group in Azure Active Directory. As a result all Microsoft 365 group services checking for members will not behave as expected. For example: These owners will not be able to access Planner. Other services like Teams and SharePoint work by accident.

Let’s start with some basic information. Office Microsoft 365 Groups use a special AAD group type. But it is still a group in Azure Active Directory. A group in AAD is very similar to the old-school AD group in our on-premises directories. The group is made of members. In most on-premises cases these groups are managed by your directory admins. But also in AD you can specify owners of a group that will then be able to manage these groups... if they have the right tool (dsa.msc, ...). In the cloud Microsoft (and myself) is pushing towards self-service for group management. This “self-service-first approach” is obvious since the introduction of now Office Microsoft 365 Groups. Teams being one of the most famous M365 Group services is also pushing to the owner/member model where end users are owners of a Team (therefor an AAD group). All end user facing UX from Microsoft is abstracting away how the underlying AAD group is managed. Teams for example will group owners and members in two sections:

But if you look at the underlying AAD group you will find, that every owner is also a member:

And the Azure AD portal shows a dedicated section to manage owners of the group:

The Microsoft Admin portal also has dedicated sections for members and owners:

In general it is important that your administrative staff is aware how group membership (including ownership) is working. The problem with the Teams Admin portal as mentioned in the beginning is the result of this initial dialog leaving the group in an inconsistent state without making that admin aware of this misalignment. Lets check the group created in the initial screenshot using the Teams admin center. We specified 5 admin users and one member after the initial dialog. Non of the admin users was added as a member in AAD (Microsoft 365 Admin portal screenshot):

 But looking at the teams Admin center won’t show this “misconfiguration”:

If Leia wants to access the associated Planner service for this Team/Group the following error will show:

Planner is checking against group membership. Only is the user is a member Planner (and other services) will check if the user is also an owner and then show administrative controls. Teams itself looks ok. In SharePoint implemented a hack and the owners of the AAD group are granted Site Collection Admin permission so every item is accessible, because that is what Site Collection Admins are for. If your users are reporting problem like this and based on the Teams Admin center everything looks ok, go check “a better” portal like AAD.

To fix the problem in the Teams Admin center the owner has to be demoted to member state and then promoted to being a owner again.

A quick test with the SharePoint admin center shows that the system is managing membership as intended and every owner will also be a member. SharePoint requires one owner (Leia) in the first dialog and the second dialog allows additional owners and members:

The result for members in AAD is correct as all owners are also added as members:

Until this bug design flaw is fixed we recommend to not add more owners in the initial dialog. The currently logged-in admin user will be added as the only owner of the created group. In the next step remove your admin and add the requested users as members and promote them to owners. If you rely on self-service this should is not a problem. If you have a custom creation process automated hopefully you add all owner as member, but you should be good most of the time. We at glueckkanja-gab are supporting many customers with our custom lifecycle solution. We are adding a option to report this problem and a optional config switch to fix any detected misalignments.

I’ve created a UserVoice “idea” for this “bug”. So please lets go: vote!

Online Meetings sind aus den heutigen Unternehmen nicht mehr wegzudenken. Microsoft Teams ist die Meeting-Lösung im Microsoft 365 Service. Ein Teams Meeting ermöglicht es allen Teilnehmern, aktiv an der Besprechung teilzunehmen. Es gibt nur wenig Kontrolle für den Besprechungsleiter. Die Teilnehmer müssen die Disziplin aufbringen und sich im Meeting “korrekt” verhalten. Durch die aktuelle Corona-Krise wird aber deutlich, dass sich viele Teilnehmer schwerer damit tun als gedacht. Besonders für Neulinge sind die verschiedenen Optionen in der Software ungewohnt und Grundregeln für ein gutes Meeting eventuell unbekannt. Es wäre toll, wenn die Software hier besser unterstützt, aber der aktuelle Stand (”Mute all”, ...) wird sich kurzfristig nicht ändern.

Ich möchte euch heute eine Alternative zum klassischen Meeting zeigen. Es wird nicht für jede Situation passen, aber ihr solltet es kennenlernen und selbst entscheiden. Ich wurde von einer Schule angesprochen, welche Optionen es gibt, die Schüler Online zu unterrichten. Die Zielgruppe ist nicht besonders gut ausgebildet, wenn es um eine gute Meeting-Kultur geht :) Die Eltern und die Schüler dürften oft Anfänger sein und da passieren automatisch Fehler. In dieser Situation kann es sin machen auf ein Microsoft Teams Live Event auszuweichen.

Microsoft Teams Live Event

Ein Live Event kann über den Teams Client geplant und durchgeführt werden. Anders als in einem normalen Meeting gibt es eine klare Trennung zwischen Meeting Organisator und Teilnehmern. Der Organisator wird zum Producer des Events (Meetings) und muss den Microsoft Team Client nutzen. Er kann weitere Personen als Producer einladen und das macht auch Sinn, damit man so ein Meeting professionelle über die Bühne bekommt. Die Teilnehmer verwenden den Browser (ohne Plugins oder ähnlicher) oder falls vorhanden den Teams Client. Im schulischen Szenario kann man sehr wenig Rückschlüsse über die technischen Möglichkeiten der Teilnehmer ziehen. Es ist also gut, dass die Lösung eigentlich mit allen Optionen zurechtkommt.

Für die Teilnahme am Meeting gibt es zwei Links. Einmal der Link für den Producer (so ähnlich wie ein normaler Teams Meeting-Link) und nur über den Teams Client kommt man an den Teilnehmerlink. Das Meeting (besser Live Event) muss nach dem Beitritt des Producers nochmal über die Software gestartet werden, sonst sehen die Teilnehmer nichts.

Das Meeting wird mit einem Zeitversatz (10-40 Sekunde) an die Teilnehmer gestreamt. Die Teilnehmer können nur über die eingebaute Frage und Antwort-Funktion (Q&A) mit den Producern kommunizieren. Die Zuschauer können das Meeting jederzeit pausieren und zurück spulen. Es stehen mehr als 50 Sprachen für optionalen Live-Untertitel zur Verfügung.

Übersicht der Limits

Microsoft Teams Meeting

Microsoft Teams Live Events

Live Event vorbereiten

Der Benutzer benötigt eine Office 365 Lizenz (E1 oder höher, A3 oder höher) und der Administrator kann über eine Live Event Policy im Admin-Center festlegen, wer Events erstellen kann. Im Standard sind externe Benutzer nicht erlaubt. Für das Schul-Szenario ist es also wichtig, dass dieses Setting verändert wird.

Teams Admin Center - Meetings - Live event policies - Global (Org-wide default)

“Who can join scheduled live events” = “Everyone” statt “Everyone in your organization“.

Live Event Planen

In der Teams App wechselt ihr auf den Kalender und könnt dann oben rechts das DropDown auslösen und “Live event” wählen:

Über Yammer kann man ebenfalls ein Live Event starten. Begebt euch in die entsprechende Gruppe/Community und dann findet ihr rechts im Bereich “Group Actions” die Möglichkeit ein Live Meeting zu planen.

Über Microsoft Stream kann man zwar Live Events starten, allerdings muss man hier spezielle Software verwenden und kann nicht Microsoft Teams als Producer wählen.

Wir wählen den Weg über Microsoft Teams und erstellen ein Live Event. Hier findet ihr die Anleitung von Microsoft. Es muss wie bei jedem Meeting ein Titel angegeben werden und die Start- sowie Endzeit. Die optionale Ortsangabe (Location) könnt ihr offenlassen, Microsoft Teams oder Online eintragen. An dieser Stelle ladet ihr auch die weiteren Presenter ein. Diese Personen stammen aus eurer Organisation und unterstützen euch später beim Erzeugen der Inhalte im Meeting. 

Auf der nächsten Seite werdet ihr nach den Berechtigungen gefragt. Wenn euer Administrator die richtigen Voreinstellungen getroffen hat, dann könnt ihr “Public” (Öffentlich) auswählen. Für das Scenario Schule ist Public zwingend erforderlich. Setzt ihr ein Live Event für eure Kollegen auf, dann könnt ihr natürlich auch Org-wide oder einzelne Personen auswählen. In beiden letzten Fällen wird ein Login des Unternehmens benötigt. Wichtig: Hier geht es um Berechtigungen und nicht darum, wer eingeladen wird. Teilnehmen kann an einem Org-wide Meeting nur wer auch den Teilnahme-Link erhalten hat!

Das Live Event ist bereits als Teams Event gekennzeichnet und erlaubt so auch nur die Teams relevanten Einstellungen. Trefft eure Entscheidung, ob die Aufzeichnung für alle Teilnehmer verfügbar gemacht werden soll. Je nach Publikum bietet es sich an, dass “Live-Untertitel” angeboten werden. Es stehen mehr als 50 Sprachen zur Verfügung, aber ein Event kann immer nur 6 gleichzeitig anbieten. Ihr müsst hier entscheiden, welche Sprache gesprochen wird und in welche Sprache übersetzt werden kann. Die Konfiguration des Teilnehmer-Berichtes erlaubt es nach dem Meeting zu sehen (CSV), wer teilgenommen hat sowie wann und wie oft beigetreten wurde. Die Option für die “Frage&Antwort” Funktion (Q&A) sollte immer gewählt sein, damit Teilnehmer und Producer interagieren können.

Das Erstellen des Live Events ist abgeschlossen und wird angezeigt.

Über die Anzeige kann man dann auch den Teilnehmerlink kopieren. Dieser link muss dann an alle externen (oder internen) Teilnehmer weitergeleitet werden. Am besten wählt man hier den üblichen Kommunikationskanal (Teams, Email, WhatsApp, ...) für die Teilnehmergruppe.

Der Link zum Teilnehmen sieht ungefähr so aus wie jeder andere Meeting Link: https://teams.microsoft.com/l/meetup-join/19%3ameeting_... aber für die Teilnehmer-Links endet der Link mit IsBroadcastMeeting=true

Live Event produzieren

Rechtzeitig vor Beginn des eigentlichen Live Events sollten sich alle Producer ins Meeting einwählen und die nötigen Vorbereitungen zum Start des Events durchführen. Für den Producer sieht der Beitritt so aus wie bei jeden anderen Meeting (Abweichung über dem Titel: “Als Produzent teilnehmen”). Wollt ihr euer Video übermitteln, so müsst ihr natürlich die Webcam aktivieren. Hinweis: Leider gibt es kein Background-Blur in Live Meetings. Achtet also auf eure Umgebung! 

Über die Einstellungen (Zahnrad mit dem aktuellen Audiogerät als Name) könnt ihr das passende Audiogerät verwenden. Es ist extrem wichtig hier die hochwertigsten Komponenten zu verwenden. Laptop Mikrophone und Lautsprecher erzeugen in der Regel das schlechteste Ergebnis. Ein Kopfhörer mit entsprechendem Mikro macht es für alle einfacher und reduzieren Nebengeräusche. Der Auditorium-Modus sollte in Zeiten von Social Distancing nicht relevant sein, aber eventuell für zukünftige Ereignisse von Interesse sein, um Publikum nicht durch Teams rausrechnen zu lassen. Hinweis: Wenn ihr unsicher seid, dann testet eure Optionen mit einem Testanruf! 

Seid ihr dem Live Event beigetreten, dann seht ihr die Producer Oberfläche und spätestens jetzt wird klar, dass es kein normales Meeting ist und warum ihr das vorher üben solltet :) Es gibt zwei Inhaltsanzeigen. Links befindet sich der Inhalt, der noch nicht Live gesendet wird. Hier bereitet ihr die Szene vor, welche dann Live geschaltet wird. Rechts seht ihr, was die Teilnehmer sehen werden und sich gerade “On-Air” befindet. Mit dem Beitritt zum Live Event wird das Meeting also noch nicht gestartet! Hierfür muss man erstmal die Inhalte anordnen.

Wenn ihr eure Webcam übertragen wollt, dann schaltet auf das entsprechende Layout unten links um.

Jetzt könnt ihr aus dem unteren Bereich eure Webcam nach oben in den kleinen Bereich des linken Fensters ziehen. Genau so geht das auch mit den Inhalten, die ihr teilen wollt. Ihr könnt ein einzelnes Fenster freigeben oder den ganzen Desktop. Ich empfehle immer den Desktop freizugeben, da es kompliziert wird, wenn man auch andere Dinge zeigen möchte. Es kommt schneller als man denkt.

Oben: Fenster freigeben | Unten: Desktop freigeben

Wie in jedem anderen Meeting wird nun das geteilte Element rot umrandet und es gibt im oberen Bereich die Möglichkeit weitere Kontrollen einzustellen oder abzubrechen.

In der Producer-Ansicht habt ihr nun Video und Inhalt ausgerichtet. Wenn die Zeit gekommen ist, dann muss man die Inhalte “Live schalten”.

Das Live Event ist aber noch immer nicht für die Teilnehmer sichtbar. Erst mit einem weiteren Klick auf “Start” werden die Inhalte (Audio und Video) an die Teilnehmer übermittelt. Auf der linken Seite, kann zum Beispiel ein weiterer Producer das nächste Layout (Speaker, Speaker-Runde, ...) vorbereitet und gegebenenfalls sofort “Live schalten"

Es ist ein Microsoft Produkt also wird nochmal nachgefragt! 

In der Producer-Ansicht wird der sichtbare Teil für die Teilnehmer rot umrandet.

Stoppt der aktuelle Benutzer seine Freigabe, dann wird sein Video in Vollbilddarstellung gebracht.

In der rechten Leiste der Produceransicht gibt es verschiedene Reiter mit Informationen zum Meeting.

Staus und Leistung

Frage und Antwort

Teilnehmer können hier Fragen stellen und Producer können diese privat beantworten. ist eine Frage/Antwort für alle Teilnehmer interessant, dann kann der Producer die Frage (samt Antwort) veröffentlichen und so allen zugänglich machen.

Besprechungsnotizen 

Die Notizen werden wie aus Meetings bekannt, über die Wiki-Funktion abgewickelt.

Es gibt eine rudimentäre Struktur und Formatierung der Inhalte für die Teilnehmer. Die Notizen können nur vom Producer erstellt werde und sind sofort für die Teilnehmer sichtbar.

Besprechungschat (nur Producer)

Der Chat ist nur für Producer und kann nicht von Teilnehmern eingesehen werden. Teilnehmer können nur über die Frage&Antwort Funktion interagieren. Eine Interaktion unter Teilnehmern ist ausgeschlossen.

Kontakte

Hier werden alle Producer aufgelistet. Teilnehmer sind hier nicht sichtbar.

Geräteeinstellungen

Hier kann das Audio und Webcam Setup (Producer) verändert werden. Es können auch nachträglich die Live-Untertitel abgeschaltet werden.

Besprechungsdetails

Wie in jedem Meeting werden auch hier die Einwahlinformationen für das Meeting angezeigt. Hinweis: Diese Einladung ist nur für Producer und nicht für Teilnehmer geeignet! 

Live Event teilnehmen

Die Teilnahme an einem Live Event kann mit einem Browser oder Microsoft Teams Client durchgeführt werden. Hier findet ihr die Systemanforderungen. Mit dem Teilnehmerlink kommt man auf eine Website, welcher dem normalen Meeting Beitritt sehr ähnelt. Über “Watch on the web instead” kann man über alle modernen Browser teilnehmen, ohne extra Software zu installieren. 

Wenn man über ein Teams Account (Azure AD) verfügt, dann kann dieser genutzt werden oder ihr tretet anonym bei.

Nach dem Beitritt seht ihr den aktuell geteilten Inhalt. Die Ansicht ähnelt einem normalen Meeting. Der Teilnehmer kann aber jederzeit Pause machen oder sogar zurückspulen.

Über die Einstellungen im Wiedergabefenster können die optionalen Untertitel eingeschaltet werden.

Die Auswahl entspricht den Einstellungen, welche zum Setup des Live Events gemacht wurden.

Hier sehen wir den englischen Untertitel.

Frage & Antwort

Hier haben wir die Teilnehmersicht der Q&A Funktion. Der Teilnehmer kann seine Fragen stellen und bekommt gegebenenfalls Antworten vom Producer Team. Der Teilnehmer kann sich für die Frage einen Namen geben oder aber anonym schreiben.

Die Fragen können weiter “verfeinert” werden.

Hier sehen wir die Producer Ansicht für die gestellt Frage. Die Frage kann ignoriert oder veröffentlicht werden (sichtbar für alle Teilnehmer).

Wird die Frage (inclusive Antwort) veröffentlicht, dann wird sie im Bereich “Featured” angezeigt. Hier gibt es die Möglichkeit für die Teilnehmer eine Frage zu “liken” und damit Feedback in die Runde zu geben.

Ist das Live Event beendet, dann wird es entsprechend im Stream angezeigt.

Zusammenfassung

My buddy Oliver Kieselbach did a blog post about the capabilities of Microsoft Quick Assist (as part of the current operation system). In his post he raised the question if Microsoft Teams is not enough for this kind of IT support scenarios. Check out his blog to see it live in action and what the biggest shortcoming is. Microsoft Teams is not a good option for anything UAC related. Even without the so called secure desktop feature Microsoft Teams will not allow the support staff to enter admin credentials if needed. I also would suggest (for the most customers) to pick a proper IT support tool for these scenarios.

Microsoft Teams is the hub for teamwork, but that doesn’t mean you could not support your colleagues, if they are experiencing non admin related issues. But first things first, we should check, if your tenant settings are ready to allow remote control during a desktop sharing session. In quite a few customer environments I’ve noticed that remote sharing is restricted or completely disabled.

Desktop sharing and remote control is configured through the tenant meeting policies. Check out your teams admin center: Meeting policies - Pick a policy (”Global - Org Wide Default”) - Content sharing

Ensure that “Screen sharing mode“ is set to “Entire screen” (1) otherwise remote control will be limited to a single window. I’ve seen people struggle using the single app sharing mode more than once. For a remote support scenario please enable “Allow a participant to give or request control” (2)! If your users are asking for support from a valuable and skilled colleague, don’t waste their time yelling what button to press next. The last option needs a decision, if you want to allow the same privilege to be granted for people outside of your organization. I’m a fan of enabling “Allow an external participant to give or request control” (3), because I’m often the external user trying to help, but please align with your corporate security requirements. By the way: Settings (1) and (2) are configured like shown by default in any tenant!

1:1

Now that we have setup the prerequisites let’s have a look at the user experience. In my scenario Luke is trying to organize a new funding round to order some spaceships. Now he tries to prepare a nice Excel to present at the next procurement meeting, but he is not happy with the visual display of one of his charts. He needs help from an expert and he is in contact with Leia (she is running the rebellion so she is awesome in Excel!). Luke is starting a chat to make his point:

To start the screen sharing in a 1:1 session you will find the icon for screen sharing (1) in the top right corner. Luke needs to start it and share the complete screen (2):

Leia will receive a request to accept the screen sharing session. You should only accept a request if you talked/chatted with the person! Otherwise you could end up seeing things you don’t want to see. 

If you started through chat the system will asked you if it is a good idea to add audio to the conversation. Normally this is a good idea. Especially if you are not willing to give control to the person you request help from. 

Because Leia is a busy employee and has lots of stuff to do she will request control, because the particular action to execute is hard to describe and maybe takes some poking around with various settings. So Leia requests to have control over the screen/application that was shared. In the far right part of the call control bar you will find the option to request control. If this option is missing, talk to your Teams admins! They didn’t execute all prerequisites as described above:

Luke will see the request at the top of the shared content and has the option to accept or deny sharing. Sometimes meeting participants accidently hit the button so think twice if this is what you want:

Now comes a really impressive upgrade from previous Skype for Business based screen sharing. Both parties are represented by their Teams profile avatar (in my case the Office 365 profile pictures). You will always see what the other is pointing at or clicking.

I often prefer in a support case that the requesting party will do all the clicks and I’m just advising what's up next and where to find it on screen. With this solution I think it is a great learning opportunity and I can gently show where to click instead of yelling where not to click :)

Here are the two screens side by side (Luke on the left vs Leia on the right):

Leia fixed the request by switching to a logarithmic scale and Luke is happy and the session can be ended. Leia can click on “Stop control”:

Or Luke can end the session (”Cancel Control”):

Just for completeness this is the way to give control if the supported doesn’t find the “Request control” option:

Extra: Meetings

In a normal meeting everything is working alike, but the UX is looking a bit different. If you are in a scheduled meeting the share button is located in the call control bar:

If you select the icon a new screen will appear from the bottom of the teams app:

(1) Share the complete screen. If you have more than one screen, you can only share one at a time. (2) Share a window. (3) You can also upload a PowerPoint presentation, but this is beyond a remote control/support session. (4) Open a whiteboard, but this is beyond a remote control/support session. (5) While sharing your screen or an application also include audio (for example a Microsoft Stream video that you want to trim/edit) Note: This option is only available in planed meetings and not 1:1 support session started from chat.

Conclusion

The capabilities for remote support in Microsoft Teams are available and very useful. Thinks like the AAD picture next to the mouse cursor is a great addition and helping a lot. Is Teams a better remote support tool then Quick Assist?

For your IT staff: No! A proper Remote Assist tool will be a better choice.

For your typical Information Worker: Yes! Sharing your desktop to get support from a colleague is a quick and proper solution! No need to walk to someone’s desk and touch a maybe filthy mouse/keyboard. Not always do you have the right person in the same building.

I definitely know that Microsoft Quick Assist is not a proper collaboration solution. Try to co-author a Excel document for the next #FreeCookiesFriday campaign ;)

Microsoft is documenting a list of things (about Microsoft Teams) that are not working as expected by Microsoft or customers. The list has been around for quite some time. New things are added, but I noticed things on the list that are clearly working as of this writing are not removed. So let’s have a look together and maybe you support my pull request.

The article: Known issues for Microsoft Teams

My pull request:  Known issues that are no longer known issues

Audit logs may report an incorrect username as initiator when someone has been removed from a Team

Teams team is a modern group in AAD. When you add/remove a member through the Teams user interface, the flow knows exactly which user initiated the change, and the Audit log reflects the correct info. However, if a user adds/removes a member through AAD, the change is synced to the Teams backend without telling Teams who initiated the action. Microsoft Teams picks the first owner of team as the initiator, which is eventually reflected in the Audit log as well. https://docs.microsoft.com/en-us/microsoftteams/known-issues#administration

Related Issue: Audit logs may report an incorrect username as initiator when someone has been removed from a Team

I validated group membership edits from the new Microsoft Admin Portal (https://admin.microsoft.com) and from the Azure Portal (https://portal.azure.com). In both cases the audit logs showed the correct user. In both cases I used my cloudadmin account that is not part of the team and the audit logs documented the operation as the executing user.

Unable to delete connectors as a team owner

Attempting to delete a connector as an owner, that can otherwise add a connector, while "Allow members to create, update, and remove connectors" is disabled throws an error indicating the user does not have permission to do so. Source: https://docs.microsoft.com/en-us/microsoftteams/known-issues#apps

I tested this in my lab environment in various combinations and I did not run into this issue. For example:

Leia created a team and added Luke as a member

Luke added an Incoming Webhook as a connector

Leia didn’t like Luke’s webhook so she decided to remove the member permission to configure connectors for the team

Luke wanted to add another connector, but the option is now missing from his context menu for the channel

Leia deleted the Incoming Webhook that look created without a problem

Planner on single sign-on (SSO) build

SSO does not apply to Planner. You will have to sign in again the first time you use Planner on each client. Source: https://docs.microsoft.com/en-us/microsoftteams/known-issues#authentication

I’m using planner within Microsoft Teams on a weekly basis (not on a daily basis as some of my colleagues would like me to use it) and it is working as expected.

Wiki not created for channels created by guests

When a guest creates a new channel, the Wiki tab is not created. There isn't a way to manually attach a Wiki tab to the channel. Source: https://docs.microsoft.com/en-us/microsoftteams/known-issues#guest-access

I did check this in my lab tenant using my work account as a guest.

Luke created a team

Luke added my work account as a guest to the team

Luke configured the teams guest permission to allow channel creation 

I opened teams in my browser and switch to the lab tenant (friends don’t let friends switch tenants in the real teams app, even with fast tenant switching!)

I opened the team and created a new channel

Wiki tab was present and working

Teams Planner integration with Planner online

Tasks buckets in Planner do not show up in Planner online experience. Source: https://docs.microsoft.com/en-us/microsoftteams/known-issues#tabs

This is core feature of Planner and the issue was created 2+ year ago. It is just working as expected.

Unable to move, delete or rename files after editing

After a file is edited in Teams it cannot be moved or renamed or deleted immediately Source: https://docs.microsoft.com/en-us/microsoftteams/known-issues#teams

I tried this with a mix of accounts and apps (Teams app and Teams in the browser) today. I could not reproduce it. It is still a “common” issue SharePoint Online but I never experienced it or got clients reporting this issue regarding Teams.

A team name with an & symbol in it breaks connector functionality

When a team name is created with the & symbol, connectors within the Team/Group cannot be established. Source: https://docs.microsoft.com/en-us/microsoftteams/known-issues#teams

I created two teams:

Good & Bad Characters

Only Good Characters

The connector option for both Teams showed up at about the same time. Maybe it is related to the special character but it took quite some time until the Exchange Online mailbox was provisioned. Longer than any test today for all the other use cases. But at the end I had no problems managing connectors for a Team with an “&” or without it in the name.

This post will introduce you to the Azure AD Access Review feature. With the introduction of modern collaboration through Microsoft 365 and Microsoft Teams being the main tool it is important to mange who is a member to the underlying Office 365 Group (Azure AD Group).

<DE>Für eine erhöhte Reichweite wird der Post heute auf Englisch erscheinen. Es geht um die Einführung von Access Reviews (Azure AD) im Zusammenspiel mit Microsoft Teams. Das Verwalten der Mitgliedschaft eines Teams wird durch den Einsatz von diesem Feature unterstützt und stellt die Besitzer weiter in den Mittelpunkt. Sollte großes Interesse an einer komplett deutschen Version bestehen, dann lasst es mich bitte wissen.</DE>

Microsoft has great resources to get started on a technical level. The feature enables a set of people to review another set of people. Azure AD is leveraging this capability (all under the bigger umbrella called Identity Governance) on two assets: Azure AD Groups and Azure AD Apps. Microsoft Teams as a hub for collaboration is build on top of Office 365 Groups and so we will have a closer look at the Access Review part for Azure AD Groups.

Each Office 365 Group (each Team) is build from a set of owners and members. With the open nature of Office 365, members can be employees, contractors, or people outside of the organization.

In our modern collaboration (Teams, SharePoint, ...) implementation we strongly recommend to leverage full self service group creation that is already built into the system. With this setup everyone is able to create and manage/own a group. Permanent user education is needed for everyone to understand the concept behind modern groups. Many organizations also have a strong set of internal rules that forces a so called information owner (could be equal to the owner of a group) to review who has access to their data. Most organization rely on the fact people are fulfilling their duties as demanded, but lets face it owners are just human beings that need to do their “real” job. With the introduction of Azure AD Access Review we can support these owner duties and make the process documented and easy to execute.

AAD Access Review can do the following to support an up to date group membership:

Setup an Access Review for an Azure AD Group

Specify the duration (start date, recurrence, duration, ...)

Specify who will do the review (owner, self, specific people, ...)

Specify who will be reviewed (all members, guests, ...)

Specify what will happen if the review is not executed (remove members, ...)

Before we start we need to talk about licensing. It is obvious that M365 E5 is the best SKU to start with ;) but if you are not that lucky, you need at least an Azure AD P2 license. It is not a “very” common license as it was only part of the EMS E5 SKU, but Microsoft started some time ago really attractive license bundles. Many orgs with strong security requirements will at some point hit a license SKU that will include AAD P2. For your trusty lab tenants start a EMS E5 trial to test these features today. To be precise only the accounts reviewing (executing the Access Review) need the license, at least this is my understanding and as always with licensing ask your usual licensing people to get the definitive answer.

The setup of an Access Review (if not automated through MS Graph Beta) is setup in the Azure Portal in the identity governance blade of AAD. To create our first Access Review we need to on-board to this feature.

Please note we are looking at Access Review in the context of modern collaboration (groups created by Teams, SharePoint, Outlook, ...). Access Review can be used to review any AAD group that you use to grant access to a specific resource or keep a list of trusted users for an infrastructure piece of tech in Azure. The following information might not always be valid for your scenario!

This is the first half of the screen we need to fill-out for a new Access Review:

Review name: This is a really important piece! The Review name will be the “only” visible clue for the reviewer once they get the email about the outstanding review. With self service setup and with the nature of how people name their groups we need to ensure people are understanding what they review. We try to automate the creation of the reviews so we put the review timing, the group name and the groups object id in the review name. The ID is helping during support if you send out 4000 Access Reviews and people ask why they got this email they can provide you with the ID and things get easier. For example: 2019-Q1 GRP New Order (af01a33c-df0b-4a97-a7de-c6954bd569ef)

Frequency: Also very important! You have to understand that an Access Review is somehow static. You could do a recurring review, but some information will be out of sync. For example the group could be renamed, but the title will not be updated and people might get confused about misleading information in the email that is send out. If you choose to let the owner of a group do the review, the owners will be “copied” to the Access Review config and not updated for future reviews. Technically this could be fixed by Microsoft, but as of now we ran into problems in the context of modern collaboration.

Users: "Members of a group” is our choice for collaboration. The other option is “Assigned to an application” and not our focus. For a group we have the option to do a guest only review or review everybody as a member of a group. Based on organizational needs and information like the confidentiality we can make a decision. As a starting point it could be a good option to go with guests only because guests are not very well controlled in most environments. An employee at least has a contract and the general trust level should be higher.

Group: Select a group the review should apply to. The latest changes to the Access Review feature allowed to select multiple groups at once. From a collaboration perspective I would avoid it, because at the end of the creation process each group will have its own Access Review instance and the settings are no longer shared. Once again from a collab point of view we need some kind of automation because it is not feasible to create these reviews by an manual task in a foreseeable future.

Reviewers: The natural choice for an Office 365 Group (Team) is to go with the “Group owners” option. Especially if we automate the process and don’t have an extra database to lookup who is the information owner. For static groups or highly confidential groups the option “Selected users” could make sense. An interesting option is also the last one called “Members (self)”. This option will "force” each member to take a decision if the user is any longer part of this project, team or group. We at Glück & Kanja are currently thinking about doing this for some of our internal clients teams. Most of our groups are public and accessible by most of the employee, but membership will document some kind of current involvement for the client represented by the group. This could also naturally reduce the number of teams that show up in your Microsoft Teams client app. As mentioned earlier at the moment it seems that the option “Group owners” will be resolved once the Access Review starts and the instance of the review is then fixed. So any owner change could be not reflected in future instances in recurring reviews. Hopefully this will be fixed by Microsoft.

Program: This is a logical grouping of access reviews. For example we could add all collaboration related reviews to one program vs administration reviews with a more static route.

More advanced settings are collapsed, but should definitely be reviews.

Upon completion settings: Allows to automatically apply the review results. I would suggest to try this settings, because it will not only document the review but take the required action on the membership. If group owners are not aware what these Access Review email are, then we talk about potential loss of access for members not reviewed, but at the end that is what we want. People need to take this part of identity governance for real and take care of their data. Any change by the system is document (Audit log of the group) and can be reverse manually. If the system is not executing the results of the review, someone must look up results regularly and then ensure to remove the users based on the outcome. If you go for Access Review, I strongly recommend on automatically applying the results (after you own internal tests).

Lets take a look on the created Access Review.

Azure Portal: This is an overview for the admin (non recurring access review).

Email: As you can see the prominent Review name is what is standing out to the user. The group name (also highlighted red) is buried within all other text.

Click on “Start Review” from the email: The user now can take action based on recommendations (missing in my lab tenant due to inactivity of my lab users).

Take Review: Accept 6 users.

Review Summary: This is the summary if the owner has taken all actions.

Azure Portal: Audit log information for the group.

After the user completed the review the system didn’t make a change to the group. Based on the configuration if actions should be automatically applied the results apply at the end of the review process! Until this time the owners can change their mind. Once the review period is over the system will apply the needed changes.

I really love this feature in the context of modern collaboration. The process of keeping a current list of involved members in a team is a big benefit for productivity and security. The “need to know” principal is supported by a technical implementation “free of cost” (a mentioned everyone should have AAD P2 through some SKU 😎).

Für unser Glück & Kanja Lifecycle Tool setze ich im Schwerpunkt auf Microsoft Graph Calls. Für ein sauberes Setup habe ich mittlerweile ein Script. Es nutzt die PowerShell AZ und die Azure CLI. Besonders beim Erstellen einer Azure AD App (genauer Berechtigen und Granten) ist die Azure CLI noch ein Stück besser bzw. umfangreicher als die AZ PowerShell.

Die Lifecycle App arbeitet mit AD Settings und Groups. Erweiterte Funktionen setzen auf Access Reviews Feature aus dem AAD P2 Lizenzset. Diese Graph Berechtigungen setze ich direkt per CLI Script:

az ad app permission add --id $adapp.ApplicationId --api 00000003-0000-0000-c000-000000000000 --api-permissions 19dbc75e-c2e2-444c-a770-ec69d8559fc7=Role #msgraph Directory.ReadWrite.All

az ad app permission add --id $adapp.ApplicationId --api 00000003-0000-0000-c000-000000000000 --api-permissions 62a82d76-70ea-41e2-9197-370581804d09=Role #msgraph Group.ReadWrite.All

az ad app permission add --id $adapp.ApplicationId --api 00000003-0000-0000-c000-000000000000 --api-permissions ef5f7d5c-338f-44b0-86c3-351f46c8bb5f=Role #msgraph AccessReview.ReadWrite.All

az ad app permission add --id $adapp.ApplicationId --api 00000003-0000-0000-c000-000000000000 --api-permissions 60a901ed-09f7-4aa5-a16e-7dd3d6f9de36=Role #msgraph ProgramControl.ReadWrite.All

Die Azure CLI kann dann auch gleich noch den Admin Grant erledigen (wenn man nicht in der Azure Cloud Shell läuft!):

az ad app permission admin-consent --id $adapp.ApplicationId

Hier ein Beispiel, wie das Ergebnis dann im Azure AD Portal aussieht:

Wer nun die Guid für seine Berechtigung sucht, kann ganz einfach mit diesem Befehlt (Azure Active Directory PowerShell 2.0) auf das ständig wachsende Set an App Permissions zugreifen:

(Get-AzureADServicePrincipal -filter "DisplayName eq 'Microsoft Graph'").AppRoles | Select Id, Value | Sort Value

Der Microsoft Graph ist das “Schweizer Taschenmesser” für alle im Microsoft 365 Umfeld. Eine API für “alle” Dienste und noch besser immer das gleiche Authentifizierungsmodel. Im Hairless in the Cloud Podcast Nummer 18 habe ich meine Eindrücke zum Microsoft Graph schon geschildert. Der Graph Explorer auf der Website ist eine gute Methode den Graph kennenzulernen. Ich für meinen Teil bewege mich aber überwiegend ohne Benutzerinteraktion im Graph und somit nutze ich in meinen Anwendungen die Application Permissions. Die meisten APIs (vgl. Teams) kommen allerdings erstmal ohne App Permissions daher. Die Enttäuschung ist groß, wenn man über den Graph Explorer sein Research gemacht hat und dann feststellt, dass die Calls als App Permission scheitern.

Jeremy Thake aus dem Microsoft Graph Team hat vor einigen Monaten angefangen, die Samples (und mehr) aus dem Graph Explorer in einer Collection für Postman zu veröffentlichen. Diese Collection vereinfacht das Testen der eigenen Calls und gibt Anregung für neue Szenarien.

In der Vergangenheit habe ich mir aus meiner Azure Function das Token “geklaut” und dann im Postman als Bearer Token direkt hinterlegt:

Es gibt aber eine viel elegantere Version. Die MS Graph Postman Collection arbeitet mit dem Environment und Variablen. Eine Methode, die eigentlich dem Code in der eigene App (bei mir eine Azure Function) entspricht, ist aber auch mit an Bord. Postman bietet eine native OAuth Integration an. Man wählt einfach OAuth 2.0 aus und kann dann folgende Informationen aus seiner eigenen App hinterlegen:

Grant Type: Client Credentials

Access Token URL: https://login.microsoftonline.com/malachor.onmicrosoft.com/oauth2/v2.0/token

Client ID:  50641771-73ac-42fa-9b6f-f25e49ec6871 

Client Secret:  dvMR0c_*_RlxvV*JQQZGDICH6N04ZT2/ 

Scope : https://graph.microsoft.com/.default Wenn man immer alle Scopes/Berechtigungen möchte, dann ist dieser Scope der einfachste

Hinweis: Ich habe meine App schon wieder gelöscht. Sie ist nicht länger nutzbar, also ist das Secret im Code auch kein Geheimnis mehr.

Über “Request Token” kann ich dann ein Token holen und für alle weiteren Requests verwenden. Zum Prüfen des Token (hat der Scope geklappt) kann man einfach auf jwt.io oder auf den Microsoft Service jwt.ms gehen.

Hinweis: Solche Token Decoder sind eine tolle Sache, aber bitte denkt dran, wenn ihr das mit produktiven Token macht, dann müsst ihr dem Service vertrauen, denn er hat in dem Moment eure Berechtigung! In meinem Fall könnten die beiden Websites das Token nehmen und gegen meinen Tenant einsetzen! Ich nutze hier mein LAB Tenant und ich glaube, dass ich weiß was ich tue :) Also alles gut!

Mit dem Token kann man dann zum Beispiel in meinem Fall die Azure AD Access Reviews einsehen.

Ich bin ein Fan von diesem Typ Blog-Post. Tolle Beispiele gibt es zum Beispiel bei The Verge. Ich möchte euch heute Einblick in meine Tasche geben und zeigen, was ein 100% Cloud Berater Lead Cloud Architect für einen erfolgreichen Tag braucht.

Wir reden oft über den modernen Arbeitsplatz, aber gerade für mich ist der moderne Arbeitsplatz nirgendwo und überall. Was habe ich dabei? Es gibt immer mal wieder Blogs in denen ihr Autor beschreibt, was er mit sich trägt und welche Motivation dahintersteckt. In vielen Meetings kann man sehen, dass ich ein Microsoft Surface Book (GEN1) nutze, aber was noch alles in meiner Tasche steckt, zeige ich euch jetzt. Für die spannenden Dinge gibt es dann auch noch ein Satz zum Warum.

Das Bild nochmal in XL auf Twitter.

Fangen wir mit dem Offensichtlichsten an: Vaude Albert M ist meine Tasche (1). Ich versuche „leicht“ unterwegs zu sein. Eine Tasche mit Rollen mag praktisch sein, aber für meine Anforderungen und mein Budget hat es die Tasche genau getroffen. Es sollten Laptops bis 13‘‘ reinpassen und für ausgedehnte Reisen kann Sie auf einen Trolley gesteckt werden. Die Fächeraufteilung finde ich ausreichend und es gibt 4 Netze im Inneren für all mein Kleinkram.

Mein Laptop (2) oder mein 2-1 ist ein Microsoft Book (GEN1). Seit ich bei Glück & Kanja arbeite, bin ich in der glücklichen Lage Stift-PCs zu verwenden. Eingestiegen mit einem Toshiba Portege m200 über eine Microsoft Surface Pro (das Original) direkt zum Surface Book. Einziger Ausrutscher war ein Dell Latitude E6400. Mein Laptop transportiere ich auch in der Tasche geschützt durch ein Belkin Neopren Schutzhülle (3). Die Hülle kommt auch zum Einsatz und schützt das Gerät vor eventuellem Regen, wenn ich mal bei einem Kunden ein Meeting in einem anderen Gebäude/Stadtteil habe.

Die Akkuleistung des Surface Book ist OK, aber ohne Netzteil (4) traut sich keiner aus dem Haus. Das Netzteil ist super. Was kann an einem Netzteil super sein? Es hat ein USB Ladeport! Ich habe immer ein kurzes Micro-USB Kabel mit USB-C Adapter dran. Handy, Headset, PowerBank und ähnliches kann so schnell und unkompliziert geladen werden.

Als mobile Maus kommt eine Microsoft Arc Touch Mouse Surface Edition (also mit Bluetooth) zum Einsatz. Die Maus war essentiell in der Zeit mit dem Surface Pro, da es nur ein USB Anschluss gab und der Trackpad seinen Namen nicht verdient hat. Mit dem Surface Book habe ich nun ein sehr gutes Trackpad und die Maus kommt immer seltener zum Einsatz, aber ganz ohne geht es einfach noch nicht. Durch den Knick-Mechanismus nimmt sie quasi kein Platz weg in der Tasche.

Für die zahlreichen Telcos in der Woche ist ein richtiges Headset (6) unersetzlich. Glück & Kanja ist im Bereich UC nicht unbekannt und so haben ich viele Kollegen, die mir immer wieder mitteilen wie wichtig ein gutes Headset ist (und ein LAN Kabel). Mit dem Plantronics Voyager Focus UC habe ich ein Oberklasse Headset. Es hat sogar „Active Noise Cancelling“ und kann so auch im Zug zum Video gucken genutzt werden. Ich nutze dieses Headset mobil und am Arbeitsplatz in Offenbach. Das Teil hat ein super einfach zu erreichenden Mute Switch und so störe ich in Konferenzen zumindest nicht durch unnötige Geräusche. Durch ein Bug auf meinem Surface Book und der aktuellen Windows Insider Version nutze ich mein „altes“ mobiles Headset (7). Das Jabra Stealth UC hat mich immer mobil begleitet und nie meine Tasche verstopft. Privat nutze ich die Jaybird Freedom Sprint Bluetooth Kopfhörer (8). In der Regel sind sie nur mit meinem Smartphone gekoppelt und ich nutze sie überwiegend für Podcasts. Durch die Taste am Ohr kann ich den Podcast so jederzeit unterbrechen und fortsetzen. Die Kopfhörer kann man auch zum Joggen anziehen.

Meine Tasche hat zwar viele Netze und Fächer, aber der Kleinkram ist immer irgendwie hin und her geflogen und die Kabelkopfhörer haben sie immer in allem verheddert. Ich habe auf einem US Blog in einem „Whats in my bag“ Post dieses tolle Gadget gefunden. Ein „Stuff“-Organizer (9) mit dem Namen Cocoon GRID-IT. Die Teile sind mittlerweile ganz erschwinglich und in unterschiedlichen Größen zu haben. Ich haben folgende Dinge organisiert:

Kabelkopfhörer

Kabelheadset (noch von meinem Lumia 920)

MicroSD mit Adapter

USB 2.0 Stick (klein) + USB 3.0 Stick (groß)

Surface Pen Tip Kit

USB-C to Headphone-Jack Adapter

Mini-Display-Port zu VGA

Mini-Display-Port zu HDMI, DVI, Display-Port

Micro-USB zu USB Adapter

Eine PowerBank gehört heute einfach in jede Tasche. Ich habe mir im letzten Amazon Xmas Sale nochmal einen „kleinen“ Anker den PowerCore 10000 geholt. Ich hatte sonst einen Anker PowerCore mit 20100 mAH dabei, aber der war nur unnötig schwer. Unterwegs ein Headset oder Handy laden kann man mit dem kleinen Akku viel eleganter. Für diesen Einsatz habe ich auch kurze Kabel in der kleiner Tasche (Micro-USB und USB-C).

Meine Kabelsammlung und ein Anker 24-Watt 2-Port Netzteil trage ich immer in der vordersten Tasche dabei. Für den Einsatz am Netzteil eignen sich lange Kabel. Mein Lieblingskabel (weil lang) ist das weiße Micro-USB Kabel, dass ich noch aus den Kindle Keyboard Zeiten übrighabe. Aktuellere Geräte brauchen ein USB-C Kabel und da habe ich noch eins von meinem Lumia 950 XL übrig. Mein Frau nutzt als „Computer“ ein iPad, also kann es nie schaden auch ein Lightning Kabel (natürlich von Anker) dabei zu haben.

In meinen Projekten (Office 365 / 100% Cloud) ist Conditional Access (CA) nicht mehr wegzudenken. Für uns “SharePoint“ Leute hat CA eine spezielle Geschmacksrichtung. Eine der ersten Session-Based CA Policies arbeitet mit SharePoint und ermöglicht so zusätzliche Kontrollen beim Zugriff auf SharePoint. Microsoft hat das ganze in einem Blogpost beschrieben. Jetzt wurde angekündigt, dass es in die nächste Runde geht und die Konfiguration nicht mehr auf den ganzen Tenant zieht, sondern einzelne Site Collections adressiert. In diesem Zuge wollte ich mal wieder meine AAD + SPO Konfiguration gerade ziehen, aber siehe da... es fehlt was! So sieht es im SharePoint Admin Center unter dem Punkt “Device Access” aus:

Eigentlich sollte der Dialog so aussehen:

Es fehlt der entscheidende Teil: "Control access from devices that aren't compliant or joined to a domain" oder auf deutsch: "Zugriff von Geräten steuern, die nicht konform oder einer Domäne beigetreten sind" Jetzt stellt sich die Frage warum? Mein Tenant ist auf “First Release”, also sollte es doch funktionieren. Eine kurze Recherche hat mich zum überraschenden Ergebnis geführt:

Quelle: Microsoft Support - Control access from unmanaged devices

Mein Tenant war tatsächlich für einen Test auf die Option “First release for selected users” eingestellt:

Lösung

Wie im Support Dokument beschrieben habe ich das Setting geändert auf die Option “First release for everyone”:

Kurze Zeit später (es zieht nicht sofort), konnte ich über das SharePoint Admin Center die gewünschte "Device Access” Konfiguration abschließen.

TL;DR

Die Roadmap schließt somit eine Lücke, die überwiegend Hardcore SharePoint User (Publishing, echte Listen und Metadaten) betroffen hat und begeistern wird. Für den Rest wird es einfach einfacher und schöner. Alle die Office 365 noch nicht verwenden können die Zeit bis Ende 2016 nutzen, um eine solide Basis aufzubauen. Alle mit einer guten Office 365 Basis können die Zeit nutzen in ersten Gehversuchen mit Office 365 Groups eigene Erfahrungen zu sammeln. In nächsten Jahr (2017) können dann hoffentlich alle das volle Potential von SharePoint Online nutzen und über den Datei-Tellerrand schauen und den nächsten Level der modernen Teamräume ausnutzen.

Marco Scheel nach seinem Umzug von Wordpress zu Tumblr