Como automatizar a cobertura de backup dos usuários no Microsoft 365 e no Google Workspace

Mesmo com a adoção de SaaS em alta (e com previsão de crescer ainda mais nos próximos anos — especialistas projetam que o mercado chegue a US$ 1,24 bilhão até 2036), os MSPs continuam enfrentando uma lacuna recorrente: novos usuários são criados nesses ambientes, mas nunca são atribuídos a uma política de backup. Fazer essa atribuição manualmente abre espaço para erro humano, ineficiência e outras vulnerabilidades de segurança.

Ao automatizar a cobertura de backup dos usuários, os MSPs conseguem:

• garantir proteção completa de todos os usuários licenciados;
• eliminar o acompanhamento manual de novas contas;
• assegurar conformidade com RTO/RPO e normas regulatórias;
• oferecer relatórios consistentes e transparência aos clientes.

Neste guia, detalhamos vários métodos para detectar novas contas, aplicar a cobertura de backup automaticamente e validar as atribuições com scripts, APIs e fluxos administrativos nativos.

Quer se aprofundar? Assista ao nosso vídeo: Como automatizar a cobertura de backup dos usuários no Microsoft 365 e no Google Workspace.

Pré-requisitos:

• Acesso de administrador ou administrador delegado no Microsoft 365 e no Google Workspace: é preciso ter o nível de acesso adequado para ler contas de usuário, criar grupos e executar chamadas de API.
• Uma ferramenta de backup SaaS já em uso, com mapeamento de usuários para políticas (por exemplo, NinjaOne SaaS Backup): a maioria das ferramentas modernas de backup SaaS permite mapear usuários para políticas de backup via APIs ou atribuição de grupos.
• Credenciais de API (Microsoft Graph API / Google Admin SDK): essas credenciais permitem que os scripts se comuniquem diretamente com o Microsoft 365 ou o Google Workspace.
• PowerShell instalado para automação do Microsoft 365: o PowerShell é a linguagem de script padrão em ambientes Microsoft. Use-o para rodar verificações recorrentes, exportar listas de usuários e interagir com o Microsoft Graph.

Observação: opcionalmente, vale ter também um agendador de tarefas ou uma plataforma de RMM para executar verificações recorrentes. Um agendador ou ferramenta de RMM garante que os scripts de detecção e atribuição rodem diariamente (ou com mais frequência), para que nenhuma conta nova fique sem cobertura.

Estratégias de implantação recomendadas:

Encare os métodos abaixo como abordagens que podem ser combinadas. Escolha as que fazem sentido no seu ambiente. Algumas funcionam bem sozinhas; outras entregam mais valor quando usadas em conjunto.

Clique para escolher um método	Melhor para usuários individuais	Melhor para grandes empresas
Método 1: padronizar o licenciamento e a atribuição por grupo	✓
Método 2: automatizar a detecção de novos usuários*		✓
Método 3: automatizar a atribuição de políticas nas ferramentas de backup*	✓	✓
Método 4: integrar com RMM ou automação de fluxos de trabalho*		✓
Método 5: validar e reportar a cobertura de backup	✓	✓

Observações:

• O método 2 pode ser executado sozinho (apenas para relatórios), mas costuma ser combinado com o método 3 para uma automação de ciclo fechado.
• O método 3 funciona de forma independente se o fornecedor de backup expõe os usuários sem cobertura, mas normalmente depende do método 2 para fornecer os dados de detecção.
• O método 4 pode rodar isolado (como relatório/sistema de tickets) ou sobre os métodos 2 e 3, incorporando as verificações à operação diária.

Método 1: padronizar o licenciamento e a atribuição por grupo

A forma mais confiável de garantir cobertura para novos usuários é vincular as políticas de backup diretamente às licenças ou aos grupos organizacionais. Assim, quem entra no grupo certo fica protegido automaticamente.

Casos de uso: ideal para MSPs que fazem o onboarding de novos funcionários.

Pré-requisitos:

• Microsoft 365: Microsoft Entra ID P1 ou superior (para grupos dinâmicos)
• Google Workspace: direitos de administrador para gerenciar UOs ou grupos
• Ferramenta de backup SaaS compatível com mapeamento de grupos/UOs

Passos:

(A) No Microsoft 365

1. Crie um grupo dinâmico no Microsoft Entra ID com uma regra baseada em licença no PowerShell.

Exemplo de script:

(user.assignedPlans -any (assignedPlan.servicePlanId -eq "<ExchangeOnlinePlanID>" -and assignedPlan.capabilityStatus -eq "Enabled"))\

Lembre-se de substituir os itens de espaço reservado, como user.assignedPlans e assignedPlan.servicePlan, pelos valores corretos conforme a sua configuração.

2. Mapeie esse grupo para a política da sua ferramenta de backup, para que todos os membros fiquem protegidos automaticamente.

(B) No Google Workspace

1. Segmente os usuários em unidades organizacionais (UOs) ou grupos (por exemplo, “Equipe” e “Terceirizados”).
2. Aplique as políticas de backup no nível da UO ou do grupo, no portal do fornecedor de backup.

Método 2: automatizar a detecção de novos usuários

Mesmo com a atribuição por grupo configurada, exceções podem passar despercebidas. Automatizar varreduras periódicas ajuda a identificar rapidamente usuários desprotegidos antes que os dados fiquem em risco. Este método funciona sozinho se você precisa apenas de visibilidade e relatórios, mas combina muito bem com o método 3 para automação completa.

Casos de uso: recomendado para empresas com contas mistas (equipe e terceirizados, por exemplo) ou MSPs que gerenciam vários tenants com licenciamentos diferentes.

Pré-requisitos:

• PowerShell instalado
• Credenciais da Microsoft Graph API
• Acesso ao Google Admin SDK

Passos:

(A) No Microsoft 365

1. Conecte-se ao Microsoft Graph com as permissões necessárias.

No PowerShell, execute este comando:

Connect-MgGraph -Scopes "User.Read.All"

2. Exporte todos os usuários ativos.

No PowerShell, execute:

$allUsers = Get-MgUser -All

3. Compare com a sua lista de atribuições de backup e exporte as contas sem cobertura para um CSV.

No PowerShell, execute:

$backupList = Import-Csv "CurrentBackupAssignments.csv"
$unprotected = $allUsers | Where-Object { $_.UserPrincipalName -notin $backupList.User }
$unprotected | Export-Csv "UsersMissingBackup.csv" -NoTypeInformation

(B) No Google Workspace

1. Use o método users.list da Directory API para exportar os usuários ativos.
2. Compare com os registros de atribuição de backup.
3. Salve as diferenças em um CSV para análise ou ação automatizada.

Método 3: automatizar a atribuição de políticas nas ferramentas de backup

Depois de detectar os novos usuários, o passo seguinte é adicioná-los automaticamente às políticas de backup. Se a API do fornecedor de backup já mostra os usuários sem cobertura, dá para usar este método de forma independente. Caso contrário, combine-o com o método 2 para fechar o ciclo.

Casos de uso: útil para empresas de TI com requisitos rígidos de conformidade em torno de SLAs.

Pré-requisitos:

• Credenciais da API do fornecedor
• Script ou fluxo de detecção (do método 2)

Passos:

1. Detecte novos usuários com o Microsoft Graph (365) ou o Google Admin SDK (Workspace).
2. Chame a API do fornecedor para adicionar cada usuário sem cobertura a uma política de backup.
3. Registre a resposta para confirmar a atribuição.

Método 4: integrar com RMM ou automação de fluxos de trabalho

Plataformas de RMM como NinjaOne tornam a automação de backup parte da operação diária de TI. Este método não depende do método 2 nem do 3: pode executá-los em segundo plano ou apenas reportar os resultados em tickets. Use-o como complemento para visibilidade operacional, não como etapa obrigatória de uma sequência.

Casos de uso: recomendado para MSPs que gerenciam vários tenants.

Pré-requisitos:

• Plataforma de RMM (por exemplo, NinjaOne)
• Scripts criados nos métodos 2 e 3
• API da ferramenta de backup ou integração por exportação

Passos:

1. Execute diariamente scripts em PowerShell ou Python para verificar usuários sem cobertura.

Exemplo de script PowerShell para detectar usuários do M365 sem cobertura

# Connect to Microsoft Graph # Requires Microsoft.Graph module: Install-Module Microsoft.Graph -Scope AllUsers Connect-MgGraph -Scopes "User.Read.All" # Export all active users from Microsoft 365 $allUsers = Get-MgUser -All | Select-Object UserPrincipalName, DisplayName, AccountEnabled # Import list of users currently assigned to backup policies # Format: CSV should have a "User" column with UserPrincipalNames $backupList = Import-Csv "C:\BackupData\CurrentBackupAssignments.csv" # Compare: find users not in backup list and are enabled accounts $unprotected = $allUsers | Where-Object { $_.UserPrincipalName -notin $backupList.User -and $_.AccountEnabled -eq $true } # Export results to CSV for reporting or integration $timestamp = Get-Date -Format "yyyyMMdd_HHmm" $outputPath = "C:\BackupData\UsersMissingBackup_$timestamp.csv" $unprotected | Export-Csv $outputPath -NoTypeInformation Write-Host "Unprotected users exported to $outputPath"

Observação: o que este script faz:

• • conecta-se ao Microsoft Graph com direitos delegados (User.Read.All);
  • busca todos os usuários do tenant (com Get-MgUser);
  • compara com um CSV (CurrentBackupAssignments.csv) que contém os UPNs dos usuários já protegidos;
  • filtra as contas desativadas, para que você veja apenas usuários ativos e sem cobertura;
  • exporta os resultados para um CSV com data e hora, para acompanhamento ou integração com o método 3 (atribuição via API) ou o método 4 (criação de tickets no RMM).

2. Crie um ticket automaticamente quando houver divergências.
3. Anexe o CSV ou a resposta da API ao ticket para análise.

Método 5: validar e reportar a cobertura de backup

Relatórios periódicos geram confiança nos clientes e comprovam conformidade com políticas internas ou externas.

Casos de uso: excelente para MSPs que apresentam resultados em Revisões Trimestrais de Negócios (QBRs) ou empresas que precisam de documentação de conformidade e auditoria. Veja As 5 principais estratégias de MSP para usar a QBR como ferramenta de vendas para mais informações.

Pré-requisitos:

• Ferramenta de backup SaaS com recursos de relatório
• Acesso às exportações de licenciamento do Microsoft 365/Google Workspace

Passos:

1. Gere relatórios mensais na sua ferramenta de backup.
2. Confronte a cobertura com as exportações de licenciamento.
3. Apresente os resultados nas QBRs, incluindo:
   • % de usuários cobertos
   • % de testes de restauração bem-sucedidos
   • exceções (contas sem licença ou excluídas, por exemplo)

⚠️ Pontos de atenção

Riscos	Possíveis consequências	Como reverter
Scripts ou chamadas de API falham em silêncio	Novos usuários podem continuar desprotegidos sem que ninguém perceba	Adicione logs, alertas por e-mail ou tickets no RMM a cada execução
Limites de requisições da API do fornecedor de backup	A automação pode pular usuários durante onboarding em massa	Escalone as execuções ou implemente lógica de nova tentativa
Mapeamento incorreto de grupos/UOs	Usuários podem ficar fora das políticas sem querer	Revise os mapeamentos trimestralmente e gere relatórios de validação
Inclusão de contas desativadas ou sem licença	Licenças de backup desperdiçadas e custos inflados	Filtre contas desativadas/sem licença nos scripts
Mudanças nas políticas do fornecedor (atualizações de API, descontinuações)	Scripts de automação param de funcionar sem aviso	Acompanhe as notas de versão do fornecedor e atualize os scripts com frequência

Exemplo de pontos de contato da automação

Veja como seria, na prática, um fluxo diário de automação da cobertura de backup dos usuários:

1. Consultar novas contas no Microsoft 365 e no Google Workspace: use o Microsoft Graph PowerShell (Get-MgUser) e o Google Admin SDK (users.list) para obter a lista de todas as contas ativas.
2. Comparar os resultados com os registros atuais de atribuição de backup: confronte a exportação com a lista de usuários da sua ferramenta de backup SaaS para identificar contas ainda não protegidas.
3. Atribuir usuários automaticamente às políticas de backup: chame a API do seu fornecedor de backup (Acronis, Dropsuite, Veeam etc.) para inscrever as contas sem cobertura. Isso cria um fluxo de atribuição automatizada de backup em ciclo fechado.
4. Gerar alertas ou tickets para contas sem cobertura: se alguns usuários não puderem ser atribuídos automaticamente (por divergência de licença, por exemplo), dispare um alerta na sua plataforma de RMM, como NinjaOne. O sistema pode gerar um ticket de suporte com o CSV dos usuários afetados em anexo.
5. Arquivar os resultados para conformidade e auditoria: guarde os CSVs ou logs diários mostrando quais contas foram verificadas, atribuídas ou sinalizadas. Esses relatórios ajudam a comprovar a conformidade regulatória e a prontidão para restauração em auditorias ou QBRs com clientes.

Dica: muitos MSPs executam esse trabalho a cada 24 horas por meio de um agendador do RMM. Alguns ainda incluem automação de testes de restauração uma vez por trimestre, de modo que a validação da cobertura e as taxas de sucesso de restauração fiquem embutidas no fluxo.

Boas práticas para automação de backup

• Use a atribuição por grupo para automatizar a cobertura de backup: grupos dinâmicos no Microsoft 365 e unidades organizacionais (UOs) no Google Workspace garantem que todo novo usuário licenciado entre automaticamente em uma política de backup. Isso reduz o esforço manual e assegura cobertura completa de backup dos usuários de SaaS desde o primeiro dia.
• Use APIs e scripts PowerShell para detectar usuários: scripts de detecção automatizada com a Microsoft Graph API ou o Google Admin SDK facilitam a identificação de contas desprotegidas. Essa abordagem proativa ajuda os MSPs a evitar lacunas de cobertura e apoia a conformidade com requisitos de retenção de dados e normas regulatórias.
• Automatize a atribuição de políticas com as APIs dos fornecedores: muitos fornecedores de backup oferecem APIs que permitem atribuir políticas automaticamente aos usuários sem cobertura. Unir detecção e atribuição cria um fluxo de automação de backup em ciclo fechado, que elimina o erro humano e aumenta a confiabilidade.
• Integre as verificações de cobertura de backup às plataformas de RMM: executar scripts agendados em PowerShell ou Python pelo NinjaOne ou outra ferramenta de RMM incorpora as verificações aos fluxos diários de TI. Assim, o monitoramento e os alertas de backup dos usuários de SaaS acontecem automaticamente, com as contas sem cobertura gerando tickets para análise.
• Valide a cobertura com relatórios automatizados e testes de restauração: os relatórios mensais da sua plataforma de backup SaaS devem ser confrontados com as exportações de licenciamento do Microsoft 365/Google Workspace. Incluir validação de backup e testes de prontidão para restauração nesses relatórios traz transparência, fortalece a confiança do cliente e facilita auditorias.

Como NinjaOne ajuda a automatizar a cobertura de backup

NinjaOne amplia a automação da cobertura de backup dos usuários ao incorporar seus scripts de detecção e atribuição diretamente aos fluxos diários de TI. Em vez de rodar essas verificações manualmente, NinjaOne as executa de forma agendada, gera alertas quando surgem problemas e oferece rastreamento integrado para conformidade.

Veja como MSPs e administradores de TI podem usar NinjaOne na prática:

• Execute scripts agendados para Microsoft 365 e Google Workspace: implante scripts PowerShell (para o Microsoft Graph) e Python (para o Google Admin SDK) pelo mecanismo de automação do NinjaOne.
• Armazene exportações CSV e logs no NinjaOne Docs: a cada execução do script de detecção, os resultados podem ser salvos automaticamente no NinjaOne Docs.
• Crie tickets automáticos para contas sem cobertura: se novas contas forem encontradas sem cobertura de backup, NinjaOne pode abrir um ticket de serviço automaticamente. O ticket pode incluir um link direto para a exportação CSV ou a resposta da API, para que o técnico saiba exatamente quem precisa de cobertura.
• Acompanhe as ações de correção em relação aos SLAs: cada ticket pode ser vinculado aos SLAs do cliente, facilitando medir em quanto tempo os usuários sem cobertura passam a ser protegidos.
• Apresente dados de cobertura em painéis de QBR: os relatórios do NinjaOne podem ser personalizados para mostrar métricas de cobertura de backup (como percentual de usuários protegidos e taxa de sucesso dos testes de restauração).

Dica de especialista: ao combinar NinjaOne com a API do seu fornecedor de backup SaaS, você cria um painel único para gerenciar a cobertura de backup dos usuários, da detecção à correção e ao relatório.

A cobertura de backup do NinjaOne em resumo

Recurso	Microsoft 365	Google Workspace
Backup automatizado	Exchange Online, SharePoint Online, OneDrive for Business e Teams, com backup diário	Gmail, Google Drive (incluindo drives compartilhados), Agenda e Contatos, com backup diário
Gerenciamento de usuários	Adicione usuários manualmente ou use o AutoDiscover para incluir todos automaticamente; listas de exclusão são suportadas.	Adicione usuários manualmente ou use o AutoDiscover para incluir todos automaticamente; listas de exclusão são suportadas.
Opções de restauração	Restaure caixas de correio inteiras, pastas específicas ou e-mails individuais para a pasta original, uma nova pasta ou anexando aos arquivos existentes.	Restaure drives inteiros, pastas específicas ou arquivos individuais, escolhendo o backup mais recente ou qualquer versão anterior.
Conformidade e segurança	Logs de auditoria registram as atividades de backup e restauração. O NinjaOne Archiver acrescenta retenção legal, políticas de retenção configuráveis e busca em texto completo para requisitos regulatórios.	Logs de auditoria registram as atividades de backup e restauração. O NinjaOne Archiver acrescenta políticas de retenção e busca em texto completo para requisitos regulatórios.

Proteja dados críticos com um processo de backup bem definido

Ao automatizar a cobertura de backup dos usuários, você garante que toda conta esteja protegida desde o primeiro dia. A atribuição por grupo dá a base sólida, enquanto a detecção via API e a atribuição automática de políticas fecham as lacunas restantes.

Adicionar integração com RMM e relatórios de validação vai além: coloca a supervisão do backup dentro da operação diária e das reuniões com clientes.

Temas relacionados:

• Guia completo de backup e recuperação de dados
• Guia completo de backup de endpoints
• Como fazer backup do Microsoft 365 Exchange Online
• Como fazer backup do Google Workspace Drive