Zo automatiseert u de back-updekking van gebruikers in Microsoft 365 en Google Workspace

Het gebruik van SaaS blijft groeien – experts verwachten dat de markt tegen 2036 1,24 miljard dollar bereikt – maar MSP’s lopen nog steeds tegen hetzelfde hiaat aan. Er worden nieuwe gebruikers aangemaakt in deze omgevingen die vervolgens nooit aan een back-upbeleid worden toegewezen. Die handmatige toewijzing aan een passend back-upplan opent de deur voor menselijke fouten, inefficiëntie en andere beveiligingsproblemen.

Door de back-updekking van gebruikers te automatiseren, kunnen MSP’s:

• Volledige bescherming garanderen voor alle gebruikers met een licentie.
• Het handmatig bijhouden van nieuwe accounts overbodig maken.
• Voldoen aan RTO/RPO en wettelijke normen.
• Consistente rapportage en transparantie bieden aan klanten.

In deze gids beschrijven we verschillende methoden om nieuwe accounts te detecteren, automatisch back-updekking toe te passen en toewijzingen te valideren met scripts, API’s en de ingebouwde workflows van de beheerportalen.

Wilt u meer diepgang? Bekijk onze video: Zo automatiseert u de back-updekking van gebruikers in Microsoft 365 en Google Workspace.

Vereisten:

• Beheerders- of gedelegeerde beheerderstoegang in Microsoft 365 en Google Workspace: u hebt het juiste toegangsniveau nodig om gebruikersaccounts te lezen, groepen aan te maken en API-aanroepen uit te voeren.
• Een bestaande SaaS backup-tool die gebruikers aan beleid kan koppelen (bijvoorbeeld NinjaOne SaaS backup): de meeste moderne SaaS backup-tools laten u gebruikers aan back-upbeleid koppelen via API’s of groepstoewijzingen.
• API-referenties (Microsoft Graph API / Google Admin SDK): met deze referenties kunnen uw scripts rechtstreeks communiceren met Microsoft 365 of Google Workspace.
• PowerShell geïnstalleerd voor automatisering in Microsoft 365: PowerShell is dé scripttaal voor Microsoft-omgevingen. U gebruikt het om terugkerende controles uit te voeren, gebruikerslijsten te exporteren en met Microsoft Graph te communiceren.

Let op: optioneel kunt u ook een taakplanner of RMM-platform inzetten voor terugkerende controles. Een planner of RMM-tool zorgt ervoor dat uw detectie- en toewijzingsscripts dagelijks (of vaker) draaien, zodat nieuwe accounts nooit onbeschermd blijven.

Aanbevolen implementatiestrategieën:

Beschouw de onderstaande methoden als verschillende benaderingen die u naar wens kunt combineren. Kies gerust de methoden die bij uw omgeving passen. Sommige werken prima op zichzelf, andere leveren het meest op in combinatie met elkaar.

Klik om een methode te kiezen	Het best voor individuele gebruikers	Het best voor grote organisaties
Methode 1: standaardiseer licenties en groepsgebaseerde toewijzing	✓
Methode 2: automatiseer de detectie van nieuwe gebruikers*		✓
Methode 3: automatiseer de beleidstoewijzing in back-uptools*	✓	✓
Methode 4: integreer met RMM of workflowautomatisering*		✓
Methode 5: valideer en rapporteer de back-updekking	✓	✓

Opmerkingen:

• Methode 2 kan zelfstandig draaien (alleen rapportage) maar wordt vaak gecombineerd met methode 3 voor automatisering met een gesloten lus.
• Methode 3 kan zelfstandig werken als uw back-upleverancier onbeschermde gebruikers zichtbaar maakt, maar meestal leunt die op methode 2 voor de detectiegegevens.
• Methode 4 kan op zichzelf draaien (als rapportage of ticketsysteem) of bovenop methode 2 en 3 worden gelegd om controles in de dagelijkse werkzaamheden in te bedden.

Methode 1: standaardiseer licenties en groepsgebaseerde toewijzing

De betrouwbaarste manier om nieuwe gebruikers te beschermen is het back-upbeleid rechtstreeks aan licenties of organisatiegroepen te koppelen. Zo is iedereen die aan de juiste groep wordt toegevoegd automatisch beschermd.

Toepassingen: ideaal voor MSP’s die nieuwe medewerkers onboarden.

Vereisten:

• Microsoft 365: Microsoft Entra ID P1 of hoger (voor dynamische groepen)
• Google Workspace: beheerdersrechten om OU’s of groepen te beheren
• Een SaaS backup-tool die koppeling met groepen of OU’s ondersteunt

Stappen:

(A) In Microsoft 365

1. Maak in Microsoft Entra ID een dynamische groep aan met een licentieregel in PowerShell.

Voorbeeldscript:

(user.assignedPlans -any (assignedPlan.servicePlanId -eq "<ExchangeOnlinePlanID>" -and assignedPlan.capabilityStatus -eq "Enabled"))\

Vervang de tijdelijke waarden zoals user.assignedPlans en assignedPlan.servicePlan door de waarden die bij uw configuratie horen.

2. Koppel deze groep aan het beleid van uw back-uptool, zodat alle leden automatisch beschermd zijn.

(B) In Google Workspace

1. Verdeel gebruikers over organisatie-eenheden (OU’s) of groepen (bijvoorbeeld “Medewerkers” of “Externen”).
2. Pas het back-upbeleid toe op OU- of groepsniveau in het portaal van uw back-upleverancier.

Methode 2: automatiseer de detectie van nieuwe gebruikers

Zelfs met groepstoewijzingen kunnen uitzonderingen door de mazen glippen. Met regelmatige geautomatiseerde scans spoort u onbeschermde gebruikers snel op, voordat gegevens risico lopen. Deze methode volstaat op zichzelf als u alleen inzicht en rapportages nodig hebt, maar ze combineert ook goed met methode 3 voor volledige automatisering.

Toepassingen: aanbevolen voor bedrijven met gemengde accounts (bijvoorbeeld medewerkers en externen) of MSP’s die meerdere tenants met uiteenlopende licenties beheren.

Vereisten:

• PowerShell geïnstalleerd
• Referenties voor de Microsoft Graph API
• Toegang tot de Google Admin SDK

Stappen:

(A) In Microsoft 365

1. Maak verbinding met Microsoft Graph met de juiste machtigingen.

Voer in PowerShell deze opdracht uit:

Connect-MgGraph -Scopes "User.Read.All"

2. Exporteer alle actieve gebruikers.

Voer in PowerShell uit:

$allUsers = Get-MgUser -All

3. Vergelijk de lijst met uw back-uptoewijzingen en exporteer onbeschermde accounts naar een CSV-bestand.

Voer in PowerShell uit:

$backupList = Import-Csv "CurrentBackupAssignments.csv"
$unprotected = $allUsers | Where-Object { $_.UserPrincipalName -notin $backupList.User }
$unprotected | Export-Csv "UsersMissingBackup.csv" -NoTypeInformation

(B) In Google Workspace

1. Gebruik de methode users.list van de Directory API om actieve gebruikers te exporteren.
2. Vergelijk de uitkomst met uw back-uptoewijzingen.
3. Sla de verschillen op in een CSV-bestand voor beoordeling of geautomatiseerde actie.

Methode 3: automatiseer de beleidstoewijzing in back-uptools

Zodra nieuwe gebruikers zijn gedetecteerd, is de volgende stap om ze automatisch aan een back-upbeleid toe te voegen. Als de API van uw back-upleverancier onbeschermde gebruikers al zichtbaar maakt, kunt u deze methode zelfstandig gebruiken. Zo niet, combineer haar dan met methode 2 voor een oplossing met een gesloten lus.

Toepassingen: nuttig voor IT-organisaties met strenge compliance-eisen rond SLA’s.

Vereisten:

• API-referenties van de leverancier
• Een detectiescript of workflow (uit methode 2)

Stappen:

1. Detecteer nieuwe gebruikers met Microsoft Graph (365) of de Google Admin SDK (Workspace).
2. Roep de API van de leverancier aan om elke onbeschermde gebruiker aan een back-upbeleid toe te voegen.
3. Log de respons om de toewijzing te bevestigen.

Methode 4: integreer met RMM of workflowautomatisering

Met RMM-platforms zoals NinjaOne maakt u back-upautomatisering onderdeel van uw dagelijkse IT-werkzaamheden. Deze methode is niet afhankelijk van methode 2 of 3. Ze kan die methoden op de achtergrond uitvoeren of simpelweg de resultaten in tickets rapporteren. Gebruik haar als aanvulling voor operationeel inzicht, niet als verplichte stap in een reeks.

Toepassingen: aanbevolen voor MSP’s die meerdere tenants beheren.

Vereisten:

• Een RMM-platform (bijvoorbeeld NinjaOne)
• Scripts uit methode 2 en 3
• Een API of export-integratie van de back-uptool

Stappen:

1. Laat dagelijks PowerShell- of Python-scripts draaien om te controleren op onbeschermde gebruikers.

Voorbeeld van een PowerShell-script om onbeschermde M365-gebruikers te detecteren

# Connect to Microsoft Graph # Requires Microsoft.Graph module: Install-Module Microsoft.Graph -Scope AllUsers Connect-MgGraph -Scopes "User.Read.All" # Export all active users from Microsoft 365 $allUsers = Get-MgUser -All | Select-Object UserPrincipalName, DisplayName, AccountEnabled # Import list of users currently assigned to backup policies # Format: CSV should have a "User" column with UserPrincipalNames $backupList = Import-Csv "C:\BackupData\CurrentBackupAssignments.csv" # Compare: find users not in backup list and are enabled accounts $unprotected = $allUsers | Where-Object { $_.UserPrincipalName -notin $backupList.User -and $_.AccountEnabled -eq $true } # Export results to CSV for reporting or integration $timestamp = Get-Date -Format "yyyyMMdd_HHmm" $outputPath = "C:\BackupData\UsersMissingBackup_$timestamp.csv" $unprotected | Export-Csv $outputPath -NoTypeInformation Write-Host "Unprotected users exported to $outputPath"

Let op: wat dit script doet:

• • Verbinding maken met Microsoft Graph met gedelegeerde rechten (User.Read.All)
  • Alle gebruikers van de tenant ophalen (met Get-MgUser)
  • Vergelijken met een CSV-bestand (CurrentBackupAssignments.csv) met de UPN’s van gebruikers die al beschermd zijn
  • Uitgeschakelde accounts eruit filteren, zodat u alleen actieve, onbeschermde gebruikers ziet
  • Resultaten exporteren naar een CSV-bestand met tijdstempel voor opvolging of integratie met methode 3 (toewijzing via API) of methode 4 (ticketaanmaak in de RMM)

2. Laat automatisch een ticket aanmaken als er afwijkingen worden gevonden.
3. Voeg het CSV-bestand of de API-uitvoer toe aan het ticket ter beoordeling.

Methode 5: valideer en rapporteer de back-updekking

Regelmatige rapportage schept vertrouwen bij klanten en toont aan dat u aan interne of externe richtlijnen voldoet.

Toepassingen: uitstekend voor MSP’s die resultaten presenteren tijdens Quarterly Business Reviews (QBR’s) of voor organisaties die compliance- of auditdocumentatie nodig hebben. Lees Top 5 MSP-strategieën om uw QBR als verkoopinstrument te gebruiken voor meer informatie.

Vereisten:

• Een SaaS backup-tool met rapportagemogelijkheden
• Toegang tot licentie-exports van Microsoft 365/Google Workspace

Stappen:

1. Draai maandelijks rapportages vanuit uw back-uptool.
2. Controleer de dekking aan de hand van de licentie-exports.
3. Presenteer de resultaten in QBR’s, met daarin:
   • % gedekte gebruikers
   • % geslaagde hersteltests
   • Uitzonderingen (bijvoorbeeld accounts zonder licentie of uitgesloten accounts)

⚠️ Waar u op moet letten

Risico’s	Mogelijke gevolgen	Oplossingen
Scripts of API-taken mislukken zonder melding	Nieuwe gebruikers blijven onbeschermd zonder dat iemand het merkt	Voeg logging, e-mailnotificaties of RMM-tickets toe aan elke uitvoering
Rate limits van de API van de back-upleverancier	De automatisering slaat gebruikers over tijdens grootschalige onboarding	Spreid taken in de tijd of bouw retry-logica in
Onjuiste koppeling van groepen of OU’s	Gebruikers worden onbedoeld van het beleid uitgesloten	Controleer koppelingen elk kwartaal en draai validatierapporten
Uitgeschakelde accounts of accounts zonder licentie worden meegenomen	Verspilde back-uplicenties en hogere kosten	Filter uitgeschakelde accounts en accounts zonder licentie uit in uw scripts
Beleidswijzigingen bij de leverancier (API-updates, uitgefaseerde functies)	Automatiseringsscripts breken zonder waarschuwing	Volg de releasenotities van de leverancier en werk scripts regelmatig bij

Voorbeeld van een automatiseringsmoment

Zo kan een dagelijkse workflow voor geautomatiseerde back-updekking van gebruikers er in de praktijk uitzien:

1. Vraag nieuwe accounts op in Microsoft 365 en Google Workspace: gebruik Microsoft Graph PowerShell (Get-MgUser) en de Google Admin SDK (users.list) om een lijst van alle actieve accounts op te halen.
2. Vergelijk de resultaten met de huidige back-uptoewijzingen: leg uw export naast de gebruikerslijst uit uw SaaS backup-tool om accounts te vinden die nog niet beschermd zijn.
3. Wijs gebruikers automatisch aan een back-upbeleid toe: roep de API van uw back-upleverancier aan (Acronis, Dropsuite, Veeam en dergelijke) om onbeschermde accounts aan te melden. Zo ontstaat een geautomatiseerde workflow met een gesloten lus voor back-uptoewijzing.
4. Genereer notificaties of tickets voor onbeschermde accounts: als sommige gebruikers niet automatisch kunnen worden toegewezen (bijvoorbeeld door een licentieverschil), activeer dan een notificatie in uw RMM-platform zoals NinjaOne. Het systeem kan een supportticket aanmaken met het CSV-bestand van de betrokken gebruikers erbij.
5. Archiveer de resultaten voor compliance en audits: bewaar dagelijkse CSV-bestanden of logbestanden waarin staat welke accounts zijn gecontroleerd, toegewezen of gemarkeerd. Met die rapportages toont u tijdens audits of klant-QBR’s aan dat u aan de regels voldoet en dat herstel mogelijk is.

Tip: veel MSP’s laten deze taak elke 24 uur draaien via een RMM-planner. Sommige voegen daar elk kwartaal een geautomatiseerde hersteltest aan toe, zodat validatie van de dekking en het slagingspercentage van herstelacties direct in de workflow zijn ingebouwd.

Beste praktijken voor back-upautomatisering

• Gebruik groepsgebaseerde toewijzing voor geautomatiseerde back-updekking: dynamische groepen in Microsoft 365 en organisatie-eenheden (OU’s) in Google Workspace zorgen ervoor dat elke nieuwe gebruiker met een licentie automatisch aan een back-upbeleid wordt toegevoegd. Dat scheelt handwerk en garandeert vanaf dag één een volledige back-updekking van uw SaaS-gebruikers.
• Gebruik API- en PowerShell-scripts voor gebruikersdetectie: met geautomatiseerde detectiescripts via de Microsoft Graph API of de Google Admin SDK spoort u onbeschermde accounts eenvoudig op. Deze proactieve aanpak helpt MSP’s hiaten in de dekking te voorkomen en ondersteunt de naleving van bewaartermijnen en wettelijke eisen.
• Automatiseer de beleidstoewijzing met API’s van leveranciers: veel back-upleveranciers bieden API’s waarmee u onbeschermde gebruikers automatisch aan een beleid toewijst. Door detectie en toewijzing te koppelen, ontstaat een back-upworkflow met een gesloten lus die menselijke fouten uitsluit en de betrouwbaarheid vergroot.
• Integreer controles op back-updekking met RMM-platforms: door geplande PowerShell- of Python-scripts via NinjaOne of een andere RMM-tool te draaien verankert u deze controles in uw dagelijkse IT-workflows. Zo verlopen monitoring en alarmering voor SaaS-gebruikers automatisch en leveren onbeschermde accounts meteen een ticket op.
• Valideer de dekking met geautomatiseerde rapportage en hersteltests: leg de maandrapportages uit uw SaaS backup-platform naast de licentie-exports van Microsoft 365/Google Workspace. Door back-upvalidatie en hersteltests in die rapportages op te nemen, creëert u transparantie, bouwt u vertrouwen op bij klanten en bent u voorbereid op audits.

Hoe NinjaOne helpt bij het automatiseren van back-updekking

NinjaOne versterkt de automatisering van back-updekking door uw detectie- en toewijzingsscripts rechtstreeks in uw dagelijkse IT-workflows op te nemen. In plaats van deze controles handmatig uit te voeren laat NinjaOne ze volgens een schema draaien, genereert het notificaties bij problemen en biedt het ingebouwde tracking voor compliance.

Zo kunnen MSP’s en IT-beheerders NinjaOne in de praktijk inzetten:

• Geplande scripts draaien voor Microsoft 365 en Google Workspace: gebruik PowerShell-scripts (voor Microsoft Graph) en Python-scripts (voor de Google Admin SDK) via de automatiseringsengine van NinjaOne.
• CSV-exports en logbestanden opslaan in NinjaOne Docs: elke keer dat het detectiescript draait kunnen de resultaten automatisch in NinjaOne Docs worden bewaard.
• Automatisch tickets aanmaken voor onbeschermde accounts: worden er nieuwe accounts gevonden zonder back-updekking, dan kan NinjaOne automatisch een serviceticket openen. In dat ticket kan een directe link naar de CSV-export of de API-respons staan, zodat de technicus precies weet wie bescherming nodig heeft.
• Herstelacties afzetten tegen SLA’s: elk ticket kan aan de SLA’s van de klant worden gekoppeld, waardoor u eenvoudig meet hoe snel onbeschermde gebruikers alsnog worden beschermd.
• Inzicht in de dekking tonen in QBR-dashboards: de rapportage van NinjaOne is aan te passen zodat deze kerncijfers over de back-updekking laat zien (bijvoorbeeld het percentage beschermde gebruikers en het slagingspercentage van hersteltests).

Tip van de expert: door NinjaOne te combineren met de API van uw SaaS backup-leverancier creëert u een enkel dashboard voor het beheer van de back-updekking van gebruikers, van detectie tot herstel en rapportage.

De back-updekking van NinjaOne in één oogopslag

Mogelijkheid	Microsoft 365	Google Workspace
Geautomatiseerde back-up	Dagelijkse back-ups van Exchange Online, SharePoint Online, OneDrive for Business en Teams	Dagelijkse back-ups van Gmail, Google Drive (inclusief gedeelde drives), Agenda en Contacten
Gebruikersbeheer	Voeg gebruikers handmatig toe of gebruik AutoDiscover om alle gebruikers automatisch op te nemen; uitsluitingslijsten worden ondersteund.	Voeg gebruikers handmatig toe of gebruik AutoDiscover om alle gebruikers automatisch op te nemen; uitsluitingslijsten worden ondersteund.
Herstelopties	Herstel complete mailboxen, specifieke mappen of losse e-mails naar de oorspronkelijke map, een nieuwe map of door ze aan bestaande bestanden toe te voegen.	Herstel complete drives, specifieke mappen of losse bestanden, waarbij u kiest voor de nieuwste back-up of een eerdere versie.
Compliance en beveiliging	Auditlogs houden back-up- en herstelactiviteiten bij. NinjaOne Archiver voegt legal hold, instelbare bewaartermijnen en full-text search toe voor wettelijke eisen.	Auditlogs houden back-up- en herstelactiviteiten bij. NinjaOne Archiver voegt bewaartermijnen en full-text search toe voor wettelijke eisen.

Bescherm bedrijfskritische gegevens met een goed back-upproces voor gebruikers

Door de back-updekking van gebruikers te automatiseren, zorgt u ervoor dat elk account vanaf dag één beschermd is. Groepsgebaseerde toewijzingen vormen een solide basis, terwijl detectie via API’s en geautomatiseerde beleidstoewijzing de resterende hiaten dichten.

Met integratie in uw RMM en validatierapportages gaat u nog een stap verder en verankert u het toezicht op back-ups in uw dagelijkse werkzaamheden en in de gesprekken met klanten.

Gerelateerde onderwerpen:

• Complete gids voor gegevensback-up & herstel
• Complete gids voor Backup van Endpoints
• Zo maakt u een back-up van Microsoft 365 Exchange Online
• Zo maakt u een back-up van Google Workspace Drive