Come automatizzare la copertura di backup degli utenti in Microsoft 365 e Google Workspace

L’adozione del SaaS continua a crescere (e si prevede che aumenti ancora nei prossimi anni, con gli esperti che stimano un mercato da 1,24 miliardi di dollari entro il 2036), eppure gli MSP si trovano ancora davanti a una lacuna ricorrente. In questi ambienti vengono creati nuovi utenti che però non vengono mai assegnati a una policy di backup. Questa assegnazione manuale a un piano di backup adeguato apre la porta a errori umani, inefficienze e altre vulnerabilità di sicurezza.

Automatizzando la copertura di backup degli utenti, gli MSP possono:

• Garantire una protezione completa per tutti gli utenti con licenza.
• Eliminare il monitoraggio manuale dei nuovi account.
• Garantire la conformità agli standard RTO/RPO e a quelli normativi.
• Offrire ai clienti un reporting coerente e trasparente.

In questa guida illustriamo diversi metodi per rilevare i nuovi account, applicare automaticamente la copertura di backup e verificare le assegnazioni tramite script, API e flussi di lavoro amministrativi nativi.

Prerequisiti:

• Accesso come amministratore o amministratore delegato in Microsoft 365 e Google Workspace: ti serve il livello di accesso adeguato per leggere gli account utente, creare gruppi ed eseguire chiamate API.
• Uno strumento di backup SaaS già in uso con funzionalità di mappatura utente-policy (ad esempio NinjaOne SaaS Backup): la maggior parte degli strumenti di backup SaaS moderni permette di associare gli utenti alle policy di backup tramite API o assegnazioni di gruppo.
• Credenziali API (Microsoft Graph API / Google Admin SDK): queste credenziali consentono ai tuoi script di comunicare direttamente con Microsoft 365 o Google Workspace.
• PowerShell installato per l’automazione di Microsoft 365: PowerShell è il linguaggio di scripting di riferimento per gli ambienti Microsoft. Lo userai per eseguire controlli ricorrenti, esportare elenchi di utenti e interagire con Microsoft Graph.

Nota: facoltativamente, può esserti utile anche un’utilità di pianificazione o una piattaforma RMM per eseguire controlli ricorrenti. Uno scheduler o uno strumento RMM garantisce che gli script di rilevamento e assegnazione vengano eseguiti ogni giorno (o più spesso), così nessun nuovo account resta scoperto.

Strategie di implementazione consigliate:

Considera i metodi qui sotto come approcci diversi che puoi combinare tra loro. Scegli quelli più adatti al tuo ambiente. Alcuni funzionano meglio da soli, altri danno il massimo valore se combinati.

Note:

• Il metodo 2 può essere usato in autonomia (solo reporting), ma spesso viene abbinato al metodo 3 per un’automazione a ciclo chiuso.
• Il metodo 3 può essere indipendente se il tuo fornitore di backup espone gli utenti non coperti, ma di norma si appoggia al metodo 2 per ottenere i dati di rilevamento.
• Il metodo 4 può funzionare da solo (per reporting e gestione dei ticket) oppure essere sovrapposto ai metodi 2 e 3 per integrare i controlli nelle attività quotidiane.

Metodo 1: standardizza le licenze e l’assegnazione basata sui gruppi

Il modo più affidabile per assicurarsi che i nuovi utenti siano coperti è collegare le policy di backup direttamente alle licenze o ai gruppi organizzativi. In questo modo, quando qualcuno viene aggiunto al gruppo giusto, è automaticamente protetto.

Casi d’uso: ideale per gli MSP che gestiscono l’onboarding di nuovi dipendenti.

Prerequisiti:

• Microsoft 365: Microsoft Entra ID P1 o superiore (per i gruppi dinamici)
• Google Workspace: diritti di amministratore per gestire UO o gruppi
• Uno strumento di backup SaaS che supporti la mappatura di gruppi/UO

Procedura:

(A) In Microsoft 365

1. Crea un gruppo dinamico in Microsoft Entra ID con una regola basata sulle licenze in PowerShell.

Script di esempio:

(user.assignedPlans -any (assignedPlan.servicePlanId -eq “<ExchangeOnlinePlanID>” -and assignedPlan.capabilityStatus -eq “Enabled”))\

Assicurati di sostituire i segnaposto, come user.assignedPlans e assignedPlan.servicePlan, con quelli corretti in base alla tua configurazione.

2. Associa questo gruppo alla policy del tuo strumento di backup, così tutti i membri sono protetti automaticamente.

(B) In Google Workspace

1. Suddividi gli utenti in unità organizzative (UO) o gruppi (ad esempio “Personale”, “Collaboratori esterni”).
2. Applica le policy di backup a livello di UO o di gruppo nel portale del tuo fornitore di backup.

Metodo 2: automatizza il rilevamento dei nuovi utenti

Anche con le assegnazioni basate sui gruppi, qualche eccezione può sfuggire. Automatizzare scansioni periodiche aiuta a individuare rapidamente gli utenti non protetti, prima che i dati siano a rischio. Questo metodo può bastare da solo se ti serve solo visibilità e reportistica, ma si abbina bene anche al metodo 3 per un’automazione completa.

Casi d’uso: consigliato per le aziende con account di tipo misto (ad esempio dipendenti e collaboratori esterni) o per gli MSP che gestiscono più tenant con licenze differenti.

Prerequisiti:

• PowerShell installato
• Credenziali Microsoft Graph API
• Accesso a Google Admin SDK

Procedura:

(A) In Microsoft 365

1. Connettiti a Microsoft Graph con le autorizzazioni necessarie.

In PowerShell, esegui questo comando:

Connect-MgGraph -Scopes "User.Read.All"

2. Esporta tutti gli utenti attivi.

In PowerShell, esegui:

$allUsers = Get-MgUser -All

3. Confronta i risultati con l’elenco delle assegnazioni di backup ed esporta in un CSV gli account non coperti.

In PowerShell, esegui:

$backupList = Import-Csv "CurrentBackupAssignments.csv"
$unprotected = $allUsers | Where-Object { $_.UserPrincipalName -notin $backupList.User }
$unprotected | Export-Csv "UsersMissingBackup.csv" -NoTypeInformation

(B) In Google Workspace

1. Usa il metodo users.list della Directory API per esportare gli utenti attivi.
2. Confronta i risultati con i tuoi registri delle assegnazioni di backup.
3. Salva le differenze in un CSV per la revisione o per un’azione automatizzata.

Metodo 3: automatizza l’assegnazione delle policy negli strumenti di backup

Una volta rilevati i nuovi utenti, il passo successivo è aggiungerli automaticamente alle policy di backup. Se l’API del tuo fornitore di backup è già in grado di mostrare gli utenti non coperti, puoi usare questo metodo in autonomia. In caso contrario, combinalo con il metodo 2 per ottenere una soluzione a ciclo chiuso.

Casi d’uso: utile per le aziende enterprise informatiche con requisiti di conformità stringenti legati agli SLA.

Prerequisiti:

• Credenziali API del fornitore
• Script o flusso di lavoro di rilevamento (dal metodo 2)

Procedura:

1. Rileva i nuovi utenti con Microsoft Graph (365) o Google Admin SDK (Workspace).
2. Richiama l’API del fornitore per aggiungere ogni utente non coperto a una policy di backup.
3. Registra la risposta per confermare l’assegnazione.

Metodo 4: integra con l’RMM o con l’automazione dei flussi di lavoro

Le piattaforme RMM come NinjaOne possono rendere l’automazione del backup parte delle attività IT quotidiane. Questo metodo non dipende dal metodo 2 o 3: può eseguirli dietro le quinte oppure limitarsi a riportare i risultati nei ticket. Usalo come complemento per la visibilità operativa, non come passaggio obbligato di una sequenza.

Casi d’uso: consigliato per gli MSP che gestiscono più tenant.

Prerequisiti:

• Piattaforma RMM (ad esempio NinjaOne)
• Script creati a partire dai metodi 2 e 3
• API dello strumento di backup o integrazione tramite esportazioni

Procedura:

1. Esegui ogni giorno script PowerShell o Python per verificare la presenza di utenti non coperti.

Script PowerShell di esempio per rilevare gli utenti M365 non coperti

Nota: che cosa fa questo script:

• • Si connette a Microsoft Graph con diritti delegati (User.Read.All)
  • Recupera tutti gli utenti del tenant (con Get-MgUser)
  • Li confronta con un CSV (CurrentBackupAssignments.csv) contenente gli UPN degli utenti già protetti
  • Esclude gli account disabilitati, così vedi solo gli utenti attivi e non coperti
  • Esporta i risultati in un file CSV con marca temporale per il follow-up o per l’integrazione con il metodo 3 (assegnazione tramite API) o il metodo 4 (creazione di ticket nell’RMM)

2. Crea automaticamente un ticket se vengono rilevate discrepanze.
3. Allega al ticket il CSV o l’output dell’API per la revisione.

Metodo 5: verifica e rendiconta la copertura di backup

Un reporting regolare rafforza la fiducia dei clienti e dimostra la conformità alle policy interne o esterne.

Casi d’uso: ottimo per gli MSP che presentano i risultati nelle business review trimestrali (QBR) o per le aziende enterprise che hanno bisogno di documentazione per conformità e audit. Per maggiori informazioni, leggi Le 5 migliori strategie MSP per usare la business review trimestrale come strumento di vendita.

Prerequisiti:

• Uno strumento di backup SaaS con funzionalità di reporting
• Accesso alle esportazioni delle licenze di Microsoft 365/Google Workspace

Procedura:

1. Genera report mensili dal tuo strumento di backup.
2. Confronta la copertura con le esportazioni delle licenze.
3. Presenta i risultati nelle business review trimestrali, includendo:
   • % di utenti coperti
   • % di test di ripristino riusciti
   • Eccezioni (ad esempio account senza licenza o esclusi)

⚠️ Aspetti a cui prestare attenzione

Esempio di punti di contatto dell’automazione

Ecco come può presentarsi nella pratica un flusso di lavoro quotidiano di automazione della copertura di backup degli utenti:

1. Interroga Microsoft 365 e Google Workspace per individuare i nuovi account: usa Microsoft Graph PowerShell (Get-MgUser) e Google Admin SDK (users.list) per estrarre l’elenco di tutti gli account attivi.
2. Confronta i risultati con i registri attuali delle assegnazioni di backup: verifica la tua esportazione rispetto all’elenco utenti del tuo strumento di backup SaaS per identificare gli account non ancora protetti.
3. Assegna automaticamente gli utenti alle policy di backup: richiama l’API del tuo fornitore di backup (Acronis, Dropsuite, Veeam e così via) per registrare gli account non coperti. In questo modo ottieni un flusso di lavoro di assegnazione automatizzata del backup a ciclo chiuso.
4. Genera alert o ticket per gli account non coperti: se alcuni utenti non possono essere assegnati automaticamente (ad esempio per una licenza non corrispondente), attiva un alert nella tua piattaforma RMM come NinjaOne. Il sistema può generare un ticket di assistenza con allegato il CSV degli utenti interessati.
5. Archivia i risultati per la conformità e per essere pronto agli audit: conserva i CSV o i log giornalieri che mostrano quali account sono stati verificati, assegnati o segnalati. Questi report aiutano a dimostrare la conformità normativa e la prontezza al ripristino durante audit o business review trimestrali con i clienti.

Suggerimento: molti MSP eseguono questo processo ogni 24 ore tramite uno scheduler RMM. Alcuni aggiungono anche l’automazione dei test di ripristino una volta per trimestre, così la verifica della copertura e i tassi di successo dei ripristini sono integrati direttamente nel flusso di lavoro.

Best practice per l’automazione del backup

• Usa l’assegnazione basata sui gruppi per una copertura di backup automatizzata: i gruppi dinamici in Microsoft 365 e le unità organizzative (UO) in Google Workspace garantiscono che ogni nuovo utente con licenza venga aggiunto automaticamente a una policy di backup. Questo riduce il lavoro manuale e assicura fin dal primo giorno una copertura di backup completa per gli utenti SaaS.
• Usa API e script PowerShell per il rilevamento degli utenti: gli script di rilevamento automatizzati basati su Microsoft Graph API o Google Admin SDK permettono di individuare facilmente gli account non protetti. Questo approccio proattivo aiuta gli MSP a evitare lacune nella copertura e favorisce la conformità ai requisiti di conservazione dei dati e a quelli normativi.
• Automatizza l’assegnazione delle policy con le API dei fornitori: molti fornitori di backup mettono a disposizione API che permettono di assegnare automaticamente le policy agli utenti non coperti. Unire rilevamento e assegnazione crea un flusso di lavoro di automazione del backup a ciclo chiuso che elimina l’errore umano e migliora l’affidabilità.
• Integra i controlli sulla copertura di backup degli utenti con le piattaforme RMM: eseguire script PowerShell o Python pianificati tramite NinjaOne o un altro strumento RMM integra i controlli nei tuoi flussi di lavoro IT quotidiani. In questo modo il monitoraggio e il sistema di alert per il backup degli utenti SaaS funzionano in modo automatico, con la generazione di ticket da verificare per gli account non coperti.
• Verifica la copertura con reporting automatizzato e test di ripristino: i report mensili della tua piattaforma di backup SaaS andrebbero confrontati con le esportazioni delle licenze di Microsoft 365/Google Workspace. Includere in questi report la verifica del backup e i test di prontezza al ripristino offre trasparenza, rafforza la fiducia dei clienti e aiuta a essere pronti agli audit.

Come NinjaOne può aiutarti ad automatizzare la copertura di backup

NinjaOne può potenziare l’automazione della copertura di backup degli utenti integrando i tuoi script di rilevamento e assegnazione direttamente nei flussi di lavoro IT quotidiani. Invece di eseguire questi controlli manualmente, NinjaOne li gestisce secondo una pianificazione, genera alert quando emergono problemi e offre un tracciamento integrato ai fini della conformità.

Ecco come MSP e amministratori IT possono usare NinjaOne nella pratica:

• Esegui script pianificati per Microsoft 365 e Google Workspace: distribuisci script PowerShell (per Microsoft Graph) e script Python (per Google Admin SDK) tramite il motore di automazione di NinjaOne.
• Conserva esportazioni CSV e log in NinjaOne Docs: ogni volta che lo script di rilevamento viene eseguito, i risultati possono essere salvati automaticamente in NinjaOne Docs.
• Crea ticket automatizzati per gli account non coperti: se vengono trovati nuovi account privi di copertura di backup, NinjaOne può aprire automaticamente un ticket di assistenza. Il ticket può includere un collegamento diretto all’esportazione CSV o alla risposta dell’API, così il tecnico sa esattamente chi deve essere coperto.
• Monitora le azioni correttive rispetto agli SLA: ogni ticket può essere collegato agli SLA del cliente, rendendo semplice misurare la rapidità con cui gli utenti non coperti vengono messi in protezione.
• Presenta i dati sulla copertura nelle dashboard per le business review trimestrali: il reporting di NinjaOne può essere personalizzato per mostrare le metriche di copertura del backup (ad esempio la percentuale di utenti protetti e i tassi di successo dei test di ripristino).

Consiglio dell’esperto: combinando NinjaOne con l’API del tuo fornitore di backup SaaS ottieni una visualizzazione centralizzata per la gestione della copertura di backup degli utenti, dal rilevamento alla remediation fino al reporting.

La copertura di backup di NinjaOne in sintesi

Proteggi i dati critici per il business con un processo di backup degli utenti adeguato

Automatizzando la copertura di backup degli utenti, ti assicuri che ogni account sia protetto fin dal primo giorno. Le assegnazioni basate sui gruppi costituiscono una base solida, mentre il rilevamento tramite API e l’assegnazione automatizzata delle policy colmano le lacune rimanenti.

Aggiungere l’integrazione con l’RMM e il reporting di verifica fa un ulteriore passo avanti, integrando il controllo del backup direttamente nelle attività quotidiane e nelle revisioni con i clienti.

Argomenti correlati:

• Guida completa al backup e al ripristino dei dati
• Guida completa al backup degli endpoint
• Come eseguire il backup di Microsoft 365 Exchange Online
• Come eseguire il backup di Google Workspace Drive