Comment automatiser la couverture de sauvegarde des utilisateurs dans Microsoft 365 et Google Workspace

Malgré la croissance continue de l’adoption du SaaS (une progression qui devrait se poursuivre dans les années à venir, les experts prévoyant un marché de 1,24 milliard de dollars d’ici 2036), les MSP se heurtent toujours à une même lacune. De nouveaux utilisateurs sont créés dans ces environnements, mais ne sont jamais rattachés à une politique de sauvegarde. Cette affectation manuelle à un plan de sauvegarde adéquat ouvre la porte à l’erreur humaine, à l’inefficacité et à d’autres vulnérabilités de sécurité.

En automatisant la couverture de sauvegarde des utilisateurs, les MSP peuvent :

• garantir une protection complète de tous les utilisateurs sous licence ;
• supprimer le suivi manuel des nouveaux comptes ;
• assurer la conformité aux RTO/RPO et aux normes réglementaires ;
• offrir aux clients un reporting cohérent et transparent.

Dans ce guide, nous détaillons différentes méthodes pour détecter les nouveaux comptes, appliquer automatiquement une couverture de sauvegarde et valider les affectations à l’aide de scripts, d’API et de workflows d’administration natifs.

📌 Prérequis :

• Un accès administrateur ou administrateur délégué dans Microsoft 365 et Google Workspace : il vous faut le niveau d’accès nécessaire pour lire les comptes utilisateurs, créer des groupes et exécuter des appels d’API.
• Un outil de sauvegarde SaaS existant capable d’associer les utilisateurs à des politiques (par exemple NinjaOne Saas Backup) : la plupart des outils de sauvegarde SaaS modernes permettent d’associer les utilisateurs à des politiques de sauvegarde via des API ou des affectations de groupe.
• Des identifiants d’API (Microsoft Graph API / Google Admin SDK) : ces identifiants permettent à vos scripts de dialoguer directement avec Microsoft 365 ou Google Workspace.
• PowerShell installé pour l’automatisation de Microsoft 365 : PowerShell est le langage de script de référence dans les environnements Microsoft. Vous l’utiliserez pour exécuter des contrôles récurrents, exporter des listes d’utilisateurs et interagir avec Microsoft Graph.

💡 Remarque : vous pouvez également prévoir un planificateur de tâches ou une plateforme RMM pour exécuter des contrôles récurrents. Un planificateur ou un outil RMM garantit que vos scripts de détection et d’affectation s’exécutent chaque jour (ou plus souvent), afin qu’aucun nouveau compte ne reste sans couverture.

📌 Stratégies de déploiement recommandées :

Voyez les méthodes ci-dessous comme des approches que vous pouvez combiner à votre convenance. Choisissez celles qui correspondent à votre environnement. Certaines fonctionnent très bien seules, d’autres révèlent tout leur intérêt lorsqu’elles sont associées.

💡 Remarques :

• La méthode 2 peut être utilisée seule (en mode reporting uniquement), mais elle est souvent associée à la méthode 3 pour obtenir une automatisation en boucle fermée.
• La méthode 3 peut être autonome si votre fournisseur de sauvegarde expose les utilisateurs non couverts, mais elle s’appuie généralement sur la méthode 2 pour fournir les données de détection.
• La méthode 4 peut fonctionner seule (pour le reporting ou la gestion des tickets) ou venir compléter les méthodes 2 et 3 afin d’intégrer ces contrôles aux opérations quotidiennes.

Méthode 1 : standardiser les licences et l’affectation par groupe

Le moyen le plus fiable de garantir la couverture des nouveaux utilisateurs consiste à rattacher les politiques de sauvegarde directement aux licences ou aux groupes de l’entreprise. Ainsi, dès qu’une personne est ajoutée au bon groupe, elle est automatiquement protégée.

📌 Cas d’usage : idéal pour les MSP qui intègrent de nouveaux collaborateurs.

📌 Prérequis :

• Microsoft 365 : Azure AD Premium P1 ou supérieur (pour les groupes dynamiques)
• Google Workspace : droits d’administration pour gérer les OU (unités organisationnelles) ou les groupes
• Un outil de sauvegarde SaaS compatible avec l’association par groupe ou par OU (unité organisationnelle)

Étapes :

(A) Dans Microsoft 365

1. Créez un groupe dynamique dans Azure AD avec une règle basée sur les licences, via PowerShell.

Exemple de script :

(user.assignedPlans -any (assignedPlan.servicePlanId -eq "<ExchangeOnlinePlanID>" -and assignedPlan.capabilityStatus -eq "Enabled"))\

💡Veillez à remplacer les éléments génériques, comme user.assignedPlans et assignedPlan.servicePlan, par les valeurs correspondant à votre configuration.

2. Associez ce groupe à la politique de votre outil de sauvegarde afin que tous les membres soient automatiquement protégés.

(B) Dans Google Workspace

1. Répartissez les utilisateurs dans des unités organisationnelles (OU) ou des groupes (par exemple « Personnel », « Sous-traitants »).
2. Appliquez les politiques de sauvegarde au niveau de l’OU (unité organisationnelle) ou du groupe dans le portail de votre fournisseur de sauvegarde.

Méthode 2 : automatiser la détection des nouveaux utilisateurs

Même avec des affectations par groupe en place, certaines exceptions peuvent passer entre les mailles du filet. L’automatisation d’analyses régulières vous aide à repérer rapidement les utilisateurs non protégés, avant que les données ne soient exposées. Cette méthode peut suffire si vous avez seulement besoin de visibilité et de rapports, mais elle se marie aussi très bien avec la méthode 3 pour une automatisation complète.

📌Cas d’usage : recommandé pour les entreprises aux comptes hétérogènes (personnel et sous-traitants, par exemple) ou pour les MSP gérant plusieurs tenants avec des licences variées.

📌 Prérequis :

• PowerShell installé
• Identifiants de l’API Microsoft Graph
• Accès au Google Admin SDK

Étapes :

(A) Dans Microsoft 365

1. Connectez-vous à Microsoft Graph avec les autorisations requises.

Dans PowerShell, exécutez cette commande :

Connect-MgGraph -Scopes "User.Read.All"

2. Exportez tous les utilisateurs actifs.

Dans PowerShell, exécutez :

$allUsers = Get-MgUser -All

3. Comparez le résultat à votre liste d’affectations de sauvegarde et exportez les comptes non couverts dans un fichier CSV.

Dans PowerShell, exécutez :

$backupList = Import-Csv "CurrentBackupAssignments.csv"
$unprotected = $allUsers | Where-Object { $_.UserPrincipalName -notin $backupList.User }
$unprotected | Export-Csv "UsersMissingBackup.csv" -NoTypeInformation

(B) Dans Google Workspace

1. Utilisez la méthode users.list de l’API Directory pour exporter les utilisateurs actifs.
2. Comparez le résultat à vos enregistrements d’affectations de sauvegarde.
3. Enregistrez les écarts dans un fichier CSV pour analyse ou action automatisée.

Méthode 3 : automatiser l’affectation des politiques dans les outils de sauvegarde

Une fois les nouveaux utilisateurs détectés, l’étape suivante consiste à les ajouter automatiquement aux politiques de sauvegarde. Si l’API de votre fournisseur de sauvegarde expose déjà les utilisateurs non couverts, vous pouvez utiliser cette méthode seule. Sinon, associez-la à la méthode 2 pour obtenir une solution en boucle fermée.

📌 Cas d’usage : utile pour l’informatique d’entreprise soumise à des exigences de conformité strictes en matière de SLA.

📌 Prérequis :

• Identifiants de l’API du fournisseur
• Un script ou un workflow de détection (issu de la méthode 2)

Étapes :

1. Détectez les nouveaux utilisateurs avec Microsoft Graph (365) ou le Google Admin SDK (Workspace).
2. Appelez l’API du fournisseur pour ajouter chaque utilisateur non couvert à une politique de sauvegarde.
3. Journalisez la réponse pour confirmer l’affectation.

Méthode 4 : intégrer un RMM ou une automatisation des workflows

Les plateformes RMM comme NinjaOne permettent d’intégrer l’automatisation des sauvegardes à vos opérations informatiques quotidiennes. Cette méthode ne dépend ni de la méthode 2 ni de la méthode 3 : elle peut les exécuter en arrière-plan ou simplement remonter les résultats dans des tickets. Utilisez-la comme complément pour gagner en visibilité opérationnelle, et non comme une étape obligatoire de la séquence.

📌 Cas d’usage : recommandé pour les MSP gérant plusieurs tenants.

📌 Prérequis :

• Une plateforme RMM (NinjaOne, par exemple)
• Les scripts créés aux méthodes 2 et 3
• L’API de l’outil de sauvegarde ou une intégration par export

Étapes :

1. Exécutez chaque jour des scripts PowerShell ou Python pour repérer les utilisateurs non couverts.

Exemple de script PowerShell pour détecter les utilisateurs M365 non couverts

💡 Remarque : ce que fait ce script :

• il se connecte à Microsoft Graph avec des droits délégués (User.Read.All) ;
• il récupère tous les utilisateurs du tenant (avec Get-MgUser) ;
• il compare le résultat à un fichier CSV (CurrentBackupAssignments.csv) contenant les UPN des utilisateurs déjà protégés ;
• il exclut les comptes désactivés pour que vous ne voyiez que les utilisateurs actifs non couverts ;
• il exporte les résultats dans un fichier CSV horodaté, pour le suivi ou l’intégration avec la méthode 3 (affectation via API) ou la méthode 4 (création de tickets dans le RMM).

2. Créez automatiquement un ticket en cas d’écart.
3. Joignez le fichier CSV ou la réponse de l’API au ticket pour analyse.

Méthode 5 : valider et documenter la couverture de sauvegarde

Un reporting régulier renforce la confiance des clients et prouve la conformité aux politiques internes comme externes.

📌 Cas d’usage : parfait pour les MSP qui présentent leurs résultats lors des rapports trimestriels d’activité (QBR) ou pour les entreprises qui doivent documenter leur conformité ou leurs audits. Consultez Les 5 meilleures stratégies MSP pour transformer votre QBR en outil de vente pour en savoir plus.

📌 Prérequis :

• Un outil de sauvegarde SaaS doté de fonctions de reporting
• Un accès aux exports de licences Microsoft 365 / Google Workspace

Étapes :

1. Générez des rapports mensuels depuis votre outil de sauvegarde.
2. Recoupez la couverture avec les exports de licences.
3. Présentez les résultats lors des QBR, notamment :

• • le % d’utilisateurs couverts
  • le % de tests de restauration réussis
  • les exceptions (comptes sans licence ou exclus, par exemple)

⚠️ Points de vigilance

Exemple de points d’automatisation

Voici à quoi peut ressembler, en pratique, un workflow quotidien d’automatisation de la couverture de sauvegarde des utilisateurs :

1. Interroger Microsoft 365 et Google Workspace pour détecter les nouveaux comptes : utilisez Microsoft Graph PowerShell (Get-MgUser) et le Google Admin SDK (users.list) pour récupérer la liste de tous les comptes actifs.
2. Comparer les résultats aux enregistrements d’affectations de sauvegarde actuels : recoupez votre export avec la liste d’utilisateurs de votre outil de sauvegarde SaaS pour identifier les comptes encore non protégés.
3. Affecter automatiquement les utilisateurs aux politiques de sauvegarde : appelez l’API de votre fournisseur de sauvegarde (Acronis, Dropsuite, Veeam, Datto, etc.) pour y inscrire les comptes non couverts. Vous obtenez ainsi un workflow d’affectation de sauvegarde automatisé en boucle fermée.
4. Générer des alertes ou des tickets pour les comptes non couverts : si certains utilisateurs ne peuvent pas être affectés automatiquement (incohérence de licence, par exemple), déclenchez une alerte dans votre plateforme RMM comme NinjaOne. Le système peut créer un ticket d’assistance auquel est joint le fichier CSV des utilisateurs concernés.
5. Archiver les résultats pour la conformité et les audits : conservez les fichiers CSV ou les journaux quotidiens indiquant quels comptes ont été vérifiés, affectés ou signalés. Ces rapports aident à démontrer votre conformité réglementaire et votre capacité de restauration lors des audits ou des QBR clients.

💡 Conseil : de nombreux MSP exécutent cette tâche toutes les 24 heures via un planificateur RMM. Certains ajoutent même une automatisation des tests de restauration une fois par trimestre, de sorte que la validation de la couverture et les taux de réussite des restaurations soient directement intégrés au workflow.

Bonnes pratiques pour l’automatisation des sauvegardes

• Utilisez l’affectation par groupe pour automatiser la couverture de sauvegarde : les groupes dynamiques dans Microsoft 365 et les unités organisationnelles (OU) dans Google Workspace garantissent que chaque nouvel utilisateur sous licence est automatiquement ajouté à une politique de sauvegarde. Cela réduit le travail manuel et assure une couverture de sauvegarde complète des utilisateurs SaaS dès le premier jour.
• Exploitez les API et les scripts PowerShell pour la détection des utilisateurs : des scripts de détection automatisés utilisant l’API Microsoft Graph ou le Google Admin SDK facilitent l’identification des comptes non protégés. Cette approche proactive aide les MSP à éviter les trous de couverture et favorise la conformité aux exigences de conservation des données et de réglementation.
• Automatisez l’affectation des politiques avec les API des fournisseurs : de nombreux fournisseurs de sauvegarde proposent des API permettant d’affecter automatiquement des politiques aux utilisateurs non couverts. En associant détection et affectation, vous créez un workflow d’automatisation des sauvegardes en boucle fermée qui élimine l’erreur humaine et améliore la fiabilité.
• Intégrez les contrôles de couverture de sauvegarde à vos plateformes RMM : l’exécution planifiée de scripts PowerShell ou Python via NinjaOne ou un autre outil RMM intègre ces contrôles à vos workflows informatiques quotidiens. La surveillance et les alertes de sauvegarde pour les utilisateurs SaaS se font ainsi automatiquement, les comptes non couverts générant des tickets à traiter.
• Validez la couverture par un reporting automatisé et des tests de restauration : les rapports mensuels de votre plateforme de sauvegarde SaaS doivent être recoupés avec les exports de licences Microsoft 365 / Google Workspace. Y inclure la validation des sauvegardes et les tests de capacité de restauration apporte de la transparence, renforce la confiance des clients et facilite la préparation aux audits.

Comment NinjaOne facilite l’automatisation de la couverture de sauvegarde

NinjaOne peut renforcer l’automatisation de la couverture de sauvegarde des utilisateurs en intégrant vos scripts de détection et d’affectation directement à vos workflows informatiques quotidiens. Au lieu d’exécuter ces contrôles manuellement, NinjaOne les prend en charge selon une planification, génère des alertes en cas de problème et fournit un suivi intégré pour la conformité.

Voici comment les MSP et les administrateurs informatiques peuvent utiliser NinjaOne en pratique :

• Exécuter des scripts planifiés pour Microsoft 365 et Google Workspace : déployez des scripts PowerShell (pour Microsoft Graph) et Python (pour le Google Admin SDK) via le moteur d’automatisation de NinjaOne.
• Stocker les exports CSV et les journaux dans NinjaOne Docs : à chaque exécution du script de détection, les résultats peuvent être enregistrés automatiquement dans NinjaOne Docs.
• Créer des tickets automatisés pour les comptes non couverts : si de nouveaux comptes sont détectés sans couverture de sauvegarde, NinjaOne peut ouvrir automatiquement un ticket d’intervention. Le ticket peut inclure un lien direct vers l’export CSV ou la réponse de l’API, afin que le technicien sache exactement qui doit être couvert.
• Suivre les actions correctives au regard des SLA : chaque ticket peut être rattaché aux SLA du client, ce qui permet de mesurer facilement la rapidité avec laquelle les utilisateurs non couverts sont protégés.
• Présenter les indicateurs de couverture dans des tableaux de bord QBR : le reporting de NinjaOne peut être personnalisé pour afficher des indicateurs de couverture de sauvegarde (pourcentage d’utilisateurs protégés, taux de réussite des tests de restauration, etc.).

💡 Conseil d’expert : en associant NinjaOne à l’API de votre fournisseur de sauvegarde SaaS, vous obtenez un panneau de contrôle centralisé pour gérer la couverture de sauvegarde des utilisateurs, de la détection à la remédiation jusqu’au reporting.

Protégez vos données critiques avec un vrai processus de sauvegarde des utilisateurs

En automatisant la couverture de sauvegarde des utilisateurs, vous garantissez la protection de chaque compte dès le premier jour. Les affectations par groupe constituent une base solide, tandis que la détection par API et l’affectation automatique des politiques comblent les dernières lacunes.

Ajouter une intégration RMM et un reporting de validation va encore plus loin : le contrôle des sauvegardes s’intègre directement aux opérations quotidiennes et aux revues avec les clients.

Sujets liés :

• Guide complet de la sauvegarde et de la restauration des données
• Guide complet de la sauvegarde des terminaux
• Comment sauvegarder Microsoft 365 Exchange Online
• Comment sauvegarder Google Workspace Drive