The GuruXP Blog

Hi all, I’ve recently had the chance (as many of you know) of giving two sessions at the first edition of the European Office365 Connect event (Haarlem, Netherlands) which I really enjoyed a lot, not just for the great speakers that it had (Seb Mathews, Dan Holme, Marc Reguera, Jasper Oosterveld, Albert-Jan Schot, Bram de Jager, Danny Burlage, Dejan Foro, Patrick Lamber, Rolly Perreaux, etc…) but also for the great attention received by the organizers and how everything was mounted (a 5 star event).

Below you can find a brief description of the sessions I gave and the slides/resources used on each one of them. Enjoy them:

Managing Office 365 with PowerShell

Office 365, like many Microsoft products, can be managed via PowerShell and in this session we will take a look at some of the common commands you can use to become a well-rounded Office 365 Administrator. If you are new to PowerShell this session will cover some of the basics as well as covering the more “advanced” commands you can use.

Slides:

Resources:

Building a hybrid configuration with Exchange 2013

Everybody talks about Office 365, not every organization is ready to go «full in». Enter the cloud at your own term by going hybrid, is a quote often used. But is it really that easy or are you getting in for a rollercoaster without knowing it. In this session we’ll cover how to prepare for a Exchange Online hybrid, we’ll lead you through all the requirements and actions for a working Hybrid scenario. After this session you’ll be able to make a well founded decision about hybrid and how to make it a success story.

Slides:

Hi, todays article is about Multi-Factor Auth for Office365.

First of all, lets explain what is it, what are the benefits and then proceed to explain how to enable, configure and manage it via GUI and PowerShell…

WHAT IS IT AND WHAT ARE THE BENEFITS?

Multi-Factor Auth is a multiple validation system that allows us to fortify the security when accessing out system, but not just that, it also allows us to know when someone is trying to access our data and be able to notify as fraud the undesired access. All this with the smple use of an SMS code, telephone call, mobile phone call or via APP.

So, does that means that I will have to input a code each time a access my mailbox?, not exactly, unless you select the send message or call options, our installed APP will be the one in charge to notify us of the access petition and be able to answer if we authorize or decline it.

And what happens with each program on which a make use of my account, will I have to authorize them each time they try to access my data? no, we have the option to configure a unique «APP Password» for every program with a unique activation.

Does that means I can create as many APP Passwords I want? No, we have a 40 APP Passwords limit.

What programs can I use with my APP Password? We can make use of known programs like Microsoft Outlook, Microsoft Lync, Office 2013 suite, and some others like Lync mobile client, Windows 8 and 8.1 Mail APP or the Office365 Activation assitant.

What is the name of the APP that I can use to authenticate the access? The APP is called «Multi-Factor Auth» and it’s available for IOS, Android and Windows Phone of course, just search for it on the store.

Is this feature available for all of the Office365 plans? No, just for MidSize, Enterprise (E1, E3 and E4) and Standalone (Exchange Online and Sharepoint Online) plans, so no Small Business plans are supported.

HOW TO ENABLE THIS USING GUI

To enjoy this feature we just have to enter our Office365 portal as an admin and enable it for the users we want:

• Enter our Office365 portal (http://portal.microsoftonline.com) as an admin and click on «Users and Groups» and then on «Set up» dentro de «Set Multi-factor Authentication requirements»:

•  On «View» select the view to be applied of the users we want to be shown, in my case I selected «Sign in allowed users«:

• Select the users we want to enable and click on «Enable» and «Enable multi-factor auth» on the popup window:

Once the admin part is done, we can now proceed to do the user part. This is what the user is supposed to do once he enters the first time to the portal. It’s very important that the user logs in onto the portal before doing anything else with his account.

• Enter the Office365 portal (http://portal.microsoftonline.com) as the user and we will find the following screen in which we must click on «set it up now«:

• This will take us to the aditional security verification page, select the option we want and continue, on this case we will select «Notify me through app» and then click on  «Configure«:

• Follow the steps and click on «Done«:

• Once this is done, t will ask us if we make use of programs like Microsoft Outlook or Lync to create APP Passwords, in this case we will assume the user makes use of Microsoft Outlook, so we’ll create one clicking on «Create«:

• Assign a name for the program, copy and paste the generated code inside the credentials request of our Microsoft Outlook. This password will not be shown again so it’s important to copy and paste it directly :

• If we have the need to create more APP Passwords or modify the contacting method, we just have to enter our portal, click on the little hog on the upper right side and then on  «Office365 Settings», select the option «additional security verification» and click on «Update my pnone numbers used….», this will give us access to the settings and APP Passwords configuration area:

HOW TO ENABLE THE FEATURE WITH POWERSHELL

In order to work with Multi-Factor Auth, we must follow the next steps:

• Download and intall the Windows Azure Active Directory Powershell module
• Run the following Cmdlets:

Connect-MsolService $MultiFactorAuth= New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationRequirement $MultiFactorAuth.RelyingParty = «*» $MultiFactorAuth = @($MultiFactorAuth)

Once the object has been created, you can start running the different options:

• To enable just one specific user:

Set-MsolUser -UserPrincipalName user@domain.com -StrongAuthenticationRequirements $MultiFactorAuth

• Enable on all users:

Get-MsolUser -All | Set-MsolUser -StrongAuthenticationRequirements $MultiFactorAuth

• List all users with the enabled feature:

Get-MsolUser | Where-Object {$_.StrongAuthenticationRequirements -like «*»}  | select DisplayName,UserPrincipalName,StrongAuthenticationMethods,StrongAuthenticationRequirements

• Disable the feature on a specific user:

$MultiFADisable = @() Set-MsolUser -UserPrincipalName j.doe@techdaylab.onmicrosoft.com -StrongAuthenticationRequirements $MultiFADisable

Just one thing, If we enable this feature on an admin account, keep in mind it wont be able to manage the subscription via PowerShell because its not supported, to do so, Microsoft recommends to create another account without any license applied and strong password to be used for powershell.

TESTING THE APP:

Once we try to log in via the portal, it will show us a notification on the app where it asks us to verify or cancel:

Buenas, hoy toca hablar de la funcionalidad de autenticación Multi-Factor en Office365.

Primero expliquemos que es, cuales son sus beneficios y después procederemos a explicar como habilitarlo, configurarlo y administrarlo, tanto por GUI como por PowerShell…

QUE ES Y QUE BENEFICIOS APORTA?

La funcionalidad de autenticación Multi-Factor es un sistema de validación múltiple que nos permite aumentar la seguridad a la hora de acceder a nuestro sistema, pero no solo eso, también nos permite enterarnos de accesos no deseados o intentos de acceso a nuestra cuenta de Office365 e incluso poder denunciarlos, todo esto desde una sencilla APP para nuestro teléfono, una llamada telefónica a nuestro movil o numero de la oficina, o el envío de un SMS a nuestro teléfono.

Eso significa que tendré que meter un código cada vez que acceda a mi buzón?, no exactamente, salvo que seleccionemos la opción de envío de código mediante mensaje o llamada, nuestra APP instalada en el teléfono se encargará de avisarnos que hay una solicitud de acceso y en cuanto accedamos a la notificación podremos indicar si queremos verificar o declinar el acceso.

Y que ocurre con cada aplicación en la que tengo configurada mi cuenta, tendré que autorizar cada dos por tres los accesos? no, tenemos la opción de configurar una «APP Password» única para cada aplicación y de una única activación.

Eso significa que puedo crear cuantas APP Passwords desee? No, tenemos un limite actual de 40 APP Passwords.

Que aplicaciones puedo utilizar con mi APP Password? Podemos encontrar las mas frecuentes como Microsoft Outlook, Microsoft Lync, La suite de Office 2013, pero también podemos encontrar a el cliente de Lync para movil, El cliente de correo de Windows 8 y 8.1, o la activación de suscripción de Office.

Que APP es la que puedo utilizar para autenticar los accesos? La APP se llama «Multi-Factor Auth» y esta disponible para IOS, Android y Windows Phone por supuesto, y esta disponible desde la tienda de cada plataforma.

Está disponible esta funcionalidad para todos los planes de Office365? No, únicamente para los planes MidSize, Enterprise (E1, E3 y E4) y Standalone (Exchange Online y Sharepoint Online), por lo que en pocas palabras no esta disponible ni para planes de pequeña empresa ni pequeña empresa premium…

COMO HABILITAR LA FUNCIONALIDAD POR GUI

Para disfrutar de esta funcionalidad, tan solo tenemos que acceder a nuestro portal como administrador y habilitarla para los usuarios que queramos:

• Accedemos a nuestro portal de Office365 (http://portal.microsoftonline.com) como Administrador y pinchamos en «Usuarios y Grupos» y luego en «configurar» dentro de «establecer requisitos de Multi-factor Authentication»:

•  En «View» seleccionamos el filtro de usuarios que queramos aplicar, yo en este caso dado que lo estoy habilitando para un usuario normal no administrador, he seleccionado la vista «Usuarios con inicio de sesión permitido«:

• Seleccionamos el usuario o los usuarios a habilitar y hacemos clic en «Habilitar» en el panel de la parte derecha y después le damos a «habilitar multi-factor auth» en el popup:

Una vez hecha la parte de Administrador, procedemos a realizar la parte Usuario. Esto se supone que es lo que el usuario debe hacer y sentira cuando acceda a su portal de Office365. Es Importante que el usuario acceda obligatoriamente al portal antes de hacer nada mas con su cuenta.

• Accedemos al portal de Office365 (http://portal.microsoftonline.com) con nuestros datos de usuario y nos encontramos con la siguiente pantalla, en la que pinchamos «configurar ahora«:

• Esto nos llevará a la configuración de la seguridad adicional, seleccionamos la opción que queramos y continuamos, en nuestro caso, seleccionaremos «Aplicación móvil» y luego haremos clic en «Configurar«:

• Seguimos los pasos que indica la pantalla y hacemos clic en «Listo«:

• Una vez hecho esto, nos preguntará si hacemos uso de aplicaciones como Microsoft Outlook o Lync para poder generar contraseñas de aplicación, en nuestro caso asumimos que el usuario si utiliza Microsoft Outlook, por lo que generaremos un contraseña de aplicación haciendo clic en «generar contraseña de aplicación» y luego en «Crear«:

• Asignamos un nombre a la aplicación y luego copiamos la contraseña única que deberemos pegar en nuestra aplicación (en nuestro caso Microsoft Outlook) cuando nos pida las credenciales de la cuenta. Esta contraseña no será visible nuevamente por lo que es importante copiarla y pegarla directamente:

• Si en algún momento queremos crear mas contraseñas de aplicación o «APP Passwords» o modificar el método de contacto y validación, tan solo tenemos que entrar en nuestro portal de usuario de office365 y en la parte superior derecha hacer clic en el engranaje y luego en «configuración de Office365», Seleccionamos la sección «comprobación de seguridad adicional» y pinchamos en el enlace que muestra la pantalla derecha, esto nos dará acceso a dichas configuraciones y al listado de APP Passwords:

COMO HABILITAR LA FUNCIONALIDAD POR POWERSHELL

Para poder trabajar con Autenticación Multi-Factor , deberemos seguir los siguientes pasos:

• Descargar e instalar el modulo de PowerShell para Windows Azure Active Directory
• Ejecutar las siguientes lineas:

Connect-MsolService
$MultiFactorAuth= New-Object -TypeName Microsoft.Online.Administration.StrongAuthenticationRequirement
$MultiFactorAuth.RelyingParty = «*»
$MultiFactorAuth = @($MultiFactorAuth)

Una vez creado el objeto requerido, procedemos a realizar las distintas opciones:

• Para habilitar la funcionalidad en un usuario:

Set-MsolUser -UserPrincipalName user@domain.com -StrongAuthenticationRequirements $MultiFactorAuth

• Para habilitar la funcionalidad en todos los usuarios:

Get-MsolUser -All | Set-MsolUser -StrongAuthenticationRequirements $MultiFactorAuth

• Listar todos los usuarios con la funcionalidad habilitada:

Get-MsolUser | Where-Object {$_.StrongAuthenticationRequirements -like «*»}  | select DisplayName,UserPrincipalName,StrongAuthenticationMethods,StrongAuthenticationRequirements

• Para deshabilitar la funcionalidad de los usuarios (especialmente útil si hay algún problema de autenticación):

$MultiFADisable = @()
Set-MsolUser -UserPrincipalName j.doe@techdaylab.onmicrosoft.com -StrongAuthenticationRequirements $MultiFADisable

Solamente hacer una observacion, si habilitamos esta funcionalidad para un administrador, no podremos utilizar esa cuenta para administrar nuestra suscripción con PowerShell dado que no esta soportada, para ello, Microsoft recomienda crear una cuenta sin licencia asignada y con una contraseña fuerte en la que no se habilite esta funcionalidad y poder utilizarla para PowerShell.

PROBANDO EL ACCESO CON LA APP:

Una vez hagamos inicio de sesión en nuestro portal, nos mostrara una notificación en nuestro móvil donde nos pide verificar o cancelar el acceso, y una vez concedido nos da el visto bueno:

Buenas!, hoy os traigo algo que normalmente suelen pedir en entornos de educación y/o grupos de empresas, no es otra cosa mas que la segmentación de la GAL o lista global de direcciones de un entorno basado en Exchange Online.

Para que sirve esto? un ejemplo muy practico puede ser una universidad con 300.000 usuarios y el rectorado prefiere que los alumnos no puedan recorrer el directorio del profesorado o viceversa.

Otro ejemplo puede ser una empresa que ha adquirido recientemente a otra y quiere que esta nueva empresa este integrada en el sistema de correo, pero no quiere que las dos empresas puedan verse entre si. (aquí teneis una explicación sobre como funcionan las ABP: http://technet.microsoft.com/es-es/library/hh529948(v=exchg.150).aspx#How)

Bien pues, esto es posible y no es nada complicado. Cabe destacar que para que esto funcione, tendremos que basarnos en los campos de los detalles de los usuarios. Para esta guía, me basare en el campo «Compañía» para asi adaptarme al segundo ejemplo que acabo de mencionar.

Lo primero que tendremos que hacer es asignar el rol de «Address Lists» al rol de administrador «Organization Management» y poder trabajar con los CmdLets necesarios:

•  Accedemos a nuestro portal de suscripción de Office365.
• Pinchamos en «Administrar» y luego en «Exchange» para entrar a la EAC
• Hacemos clic en «Permisos» y luego en «Roles de Administrador«
• Hacemos doble clic en el rol «Organization Management» y a continuación agregamos «Address Lists» del listado.
• Guardamos

Luego tendremos que preparar nuestro entorno de PowerShell para poder usarlo con Exchange Online y nos conectamos al servicio.

Una vez conectados, haremos un recorrido de los usuarios que tengan el UserPrincipalName con el @contoso.com y le asignaremos el valor «Contoso Ltd.» al campo Compañía de los detalles de los usuarios con el siguiente CmdLet:

  Get-User -Filter {userprincipalname -like «*@contoso.com«} | Set-User -company «Contoso Ltd.»

A continuación procederemos a crear las cuatro listas de direcciones que utiliza una política de libreta de direcciones (ABP).

Creación de la GAL o Lista Global de Direcciones:

New-GlobalAddressList -name ContosoGAL -RecipientFilter {(recipienttype -eq «usermailbox») -and (Company -eq «Contoso Ltd.»)}

Creación de la Address List o Lista de Direcciones:

New-AddressList -name ContosoAddressList -RecipientFilter {(recipienttype -eq «usermailbox») -and (Company -eq «Contoso Ltd.»)}

Creación de la OAB o Lista de Direcciones sin Conexión:

New-OfflineAddressBook -name ContosoOAB -AddressList ContosoAddressList

Creación de la Resource List o Lista de Recursos:

New-AddressList -name ContosoResourceAddressList -RecipientFilter {(recipientdisplaytype -eq «conferenceroommailbox») -and (Company -eq «Contoso Ltd.»)}

Una vez creadas las cuatro listas, procederemos a crear la Politica de Lista de Direcciones o ABP:

New-AddressBookPolicy -Name ContosoABP -AddressLists ContosoAddressList -GlobalAddressList ContosoGAL -OfflineAddressBook ContosoOAB -RoomList ContosoResourceAddressList

Y lo ultimo que nos queda es asignar la ABP recién creada a los usuarios que queramos:

Get-User -Filter {userprincipalname -like *@contoso.com} | Set-Mailbox -AddressBookPolicy ContosoABP

Si lo que queremos es asignarla a un usuario en concreto, deberemos ejecutar este comando:

Set-Mailbox usuario@contoso.com -AddressBookPolicy ContosoABP

Fuentes:

Blog del equipo de Exchange de Microsoft España (gracias Pablo García Merlo): http://blogs.technet.com/b/esexblog/

Microsoft TechNet: http://technet.microsoft.com/es-es/library/hh529948(v=exchg.150).aspx#How

Hi!, todays post will be covering something that the education and enterprises normaly ask for, it´s the GAL segregation on a Exchange Online environment.

So, what is the GAL segregation for? well, a very good example would be a university with 300.000 users and the teachers don’t want to be visible from the student side or viceversa.

Another example would be a recently adquired company and the source wants to integrate the email system but don’t want the recently bought to be able to see each other on the Global Address List. (here you can see an explanation on how Address Book Policies work: http://technet.microsoft.com/en-us/library/hh529948(v=exchg.150).aspx#How)

Well, this was posible before on an on-premises environment but what about Exchange Online?, now is is!. One of the things we need to keep in mind is that in order for this to work fine, we will have to base on the details fields of eah user. On this guide I will be using the «Company» field so I can use the second example I proposed before.

First of all we will have to assign the «Address Lists» role to the «Organization Management» Administrator role and be able to work with the CmdLets we need:

•  Access our Office365 portal.
• Click on «Admin» and then on «Exchange» to enter the EAC
• Click on «Permissions» and then on «admin Roles«
• Double-click «Organization Management» and add «Address Lists» using the «+» button from the list.
• SAVE

Then we’ll need to prepare our powershell environement in order to connect to Exchange Online.

Once we’re connected, we will search for users that have the @contoso.com UPN suffix inside their UserPrincipalName and assign the «Contoso Ltd.» value on the Company field of the user detailes with the following CmdLet:

  Get-User -Filter {userprincipalname -like «*@contoso.com«} | Set-User -company «Contoso Ltd.»

Now we have to create the four address lists that the ABP uses.

Creating the GAL:

New-GlobalAddressList -name ContosoGAL -RecipientFilter {(recipienttype -eq «usermailbox») -and (Company -eq «Contoso Ltd.»)}

Creating the Address List:

New-AddressList -name ContosoAddressList -RecipientFilter {(recipienttype -eq «usermailbox») -and (Company -eq «Contoso Ltd.»)}

Creating the OAB:

New-OfflineAddressBook -name ContosoOAB -AddressList ContosoAddressList

Creating the Resource List:

New-AddressList -name ContosoResourceAddressList -RecipientFilter {(recipientdisplaytype -eq «conferenceroommailbox») -and (Company -eq «Contoso Ltd.»)}

Once we have created the four required lists, we will proceed to create the ABP:

New-AddressBookPolicy -Name ContosoABP -AddressLists ContosoAddressList -GlobalAddressList ContosoGAL -OfflineAddressBook ContosoOAB -RoomList ContosoResourceAddressList

And last of all, assign the recently created ABP to the desired users:

Get-User -Filter {userprincipalname -like *@contoso.com} | Set-Mailbox -AddressBookPolicy ContosoABP

If what we want is to assign the ABP to a specific user, simply run this CmdLet:

Set-Mailbox usuario@contoso.com -AddressBookPolicy ContosoABP

Sources:

Microsoft Spain Exchange support team blog (Thanks to Pablo García Merlo): http://blogs.technet.com/b/esexblog/

Microsoft TechNet: http://technet.microsoft.com/en-us/library/hh529948(v=exchg.150).aspx#How

Many of you already know what Rights Management Services (RMS) can do for us on an AD environment under the ADRMS role, and also are up to date that Office365 integrates this as a feature on enterprise plans.

Well, there are some situations which you want to enable RMS on a tenant via GUI and just after clicking the activate now button, the process gets stuck with the following screen no matter how much time you leave it (normally it takes no much more than 2 minutes):

For all of those that are suffering the situation, you have an inmediate solution via PowerShell following these steps:

• Download and install the RMS Module for PowerShell
• Run PowerShell as an Administrator
• Import the module with the following CmdLet:

Import-Module AADRM

• Connect to the service with Global Administrator credentials:

Connect-AadrmService -Verbose

• Finally enable RMS:

Enable-Aadrm

This process shouldn’t last longer than 2 minutes, after then we can disconnect off the service with the following CmdLet:

Disconnect-AadrmService

A estas alturas, la gran mayoría conoce lo que Rights Management Services (RMS) puede hacer por nosotros en un entorno de AD bajo el rol de ADRMS y seguramente también estéis al tanto de que Office365 incorpora esta característica para planes empresariales.

Bien pues, hay situaciones en las que quereis activar RMS en vuestro Tenant por la via grafica (GUI) y justo al darle a activar, se queda el proceso pillado con la siguiente pantalla sin importar el tiempo que se deje (por cierto suele tardar como mucho 2 minutos):

Para todos aquellos que sufrais ese problema, teneis una solucion inmediata y es mediante PowerShell con los siguientes pasos:

• Descargar e instalar el modulo de RMS para PowerShell
• Ejecutar PowerShell como Administrador
• Importar el modulo mediante el siguiente comando:

Import-Module AADRM

• Conectarnos al servicio con credenciales de Administrador Global:

Connect-AadrmService -Verbose

• Finalmente activaremos RMS:

Enable-Aadrm

El proceso no deberia tardar mas de 2 minutos, despues podremos desconectarnos del servicio mediante el comando:

Disconnect-AadrmService

Hi, today I’ll be bringing you a short but useful article for large orgs. Often we encounter with read receipts confirmations when we receive e-mails and many of the users reject them, what are the meaning of those then?, well if we can’t control external users from doing that, we can for our org users.

Of course we can do it via GUI either by OWA or by Outlook, but we have two inconvenients, one is that those settings will be applied only with client depending, and the other one is that is not operative to do it one by one on large orgs. So what happens when we have 300+ users? POWERSHELL!

To do so, we need to get our environment configured and once this is done, run the following CMDLET:

Set-MailboxMessageConfiguration -Identity user@yourdomain.com -ReadReceiptResponse NeverSend

In this case we will be configuring the user user@yourdomain.com to never send read receipt confirmations, but we can customize it replacing the «NeverSend» with the following options:

• «DoNotAutomaticallySend»  To always ask for confirmations
• «AlwaysSend» To always send confirmations
• «NeverSend» To never send confirmations

But how do we apply this to all users? very simple, making use of the «|» to the command we want to preceed, i.e:

Get-User | Set-MailboxMessageConfiguration -ReadReceiptResponse AlwaysSend

To confirm that the value has been correctly applied, we can run the following:

Get-MailboxMessageConfiguration -Identity user@yourdomain.com | fl ReadReceiptResponse

Greetings.

Buenas, hoy os traigo un articulo corto pero útil para organizaciones grandes. A menudo nos encontramos con peticiones de confirmaciones de lectura cuando recibimos un mensaje y muchos de los usuarios lo rechazan, para que nos sirve enviar una confirmación de lectura si luego va el destinatario y lo rechaza?, bien pues ya que no podemos controlar al destinatario fuera de nuestra organización, controlemos la parte interna.

Por supuesto que podemos irnos por la parte grafica bien por OWA o bien por Outlook, pero tenemos dos inconvenientes, uno que esos ajustes son dependientes del cliente de correo, y dos que no es operativo hacerlo uno por uno. Que pasa cuando tenemos 300 o mas usuarios? POWERSHELL!

Para ello necesitamos tener nuestro entorno correctamente configurado, y una vez hecho ejecutar el siguiente comando:

Set-MailboxMessageConfiguration -Identity user@yourdomain.com -ReadReceiptResponse NeverSend

En este caso estaremos configurando para que el usuario user@yourdomain.com nunca envíe confirmaciones de lectura, pero podemos personalizarlo sustituyendo el «NeverSend» con las siguientes opciones:

• «DoNotAutomaticallySend»  Para que pregunte antes de enviar confirmación
• «AlwaysSend» Para que siempre envíe confirmación
• «NeverSend» Para que nunca envíe confirmación

Pero como aplicamos esto a todos los usuarios? muy sencillo aplicando el pipe «|» al comando que queramos preceder, por ejemplo:

Get-User | Set-MailboxMessageConfiguration -ReadReceiptResponse AlwaysSend

Para confirmar que el valor se ha aplicado podemos ejecutar el siguiente comando:

Get-MailboxMessageConfiguration -Identity user@yourdomain.com | fl ReadReceiptResponse

Saludos.

When we delete a user in Office365 this isn´t deleted as well because it gets sent to a recycle binfor 30 days (Soft-Delete). This can be good when we want to restore it with all the permissions, content and details, but what happens when the user John Smith leaves the company and some days further another user named Judy Smith gets incorporated to the company as well? If we would like to assign the new username following the org policy Initial.LastName (J.Smith) for example, we will encounter that Office365 will Return an error saying it cannot create the user because the username already exists.

To force the deletion of the user from the recycle bin, we must do it with the use of PowerShell.

To do so, we must get our environment prepared for PowerShell and Office365.

First we must signin to our Office365 subscription with the use of the following CmdLets:

$LiveCred = Get-Credential 

$Session = New-PSSession -ConfigurationName Microsoft.Exchange -ConnectionUri https://ps.outlook.com/powershell/ -Credential $LiveCred -Authentication Basic -AllowRedirection

Import-PSSession $Session

Import the Online Services module:

Import-Module MSOnline

Run the following CmdLet to get the ObjectId of the user to be deleted:

Get-MsolUser -All -ReturnDeletedUsers|select userprincipalname,objectid

Finally execute the purge of the desired user with the ObjectId obtained before:

Remove-MsolUser -ObjectId «objectid» -RemoveFromRecycleBin -Force

Hope it helps someone.