Microsoft 365 Offboarding mit Entra Lifecycle Workflows automatisieren

Um Microsoft 365 Offboarding zu automatisieren, bauen Sie Workflows für Ausscheidende in Microsoft Entra ID Lifecycle Workflows, die anhand eines Datumsattributs am Benutzerobjekt auslösen statt anhand eines Tickets, an das jemand denken muss. Sie setzen employeeLeaveDateTime am Konto, und Entra führt vor dem letzten Arbeitstag einen Pre-Offboarding-Workflow aus, am Tag selbst einen Offboarding-Workflow und danach einen Post-Offboarding-Workflow, jeder mit integrierten Aufgaben wie Disable User Account, Remove user from all groups, Remove all licenses for user und Delete User Account. Der Auslöser ist ein Datum, der Geltungsbereich ist eine Regel, und der Lauf hinterlässt eine Historie, die Sie einem Prüfer zeigen können. Dieser Leitfaden führt durch den gesamten Aufbau, benennt die erforderliche Lizenz ehrlich und behandelt die vier Dinge, die er Ihnen nicht abnimmt.

Der Ausscheidende, der vier Monate lang eine Lizenz behielt

Beginnen Sie mit dem Fehler, den das beheben soll, denn es ist fast nie ein technischer Fehler. Jemand geht. Der Service Desk sperrt die Anmeldung am letzten Arbeitstag, wird dann zu etwas Dringendem gerufen, und der Rest der Abfolge passiert nie. Vier Monate später ist das Konto weiterhin aktiviert, weiterhin in drei Sicherheitsgruppen, hält weiterhin einen vollen Platz und steht weiterhin auf der Rechnung.

Die Rechnung lohnt sich mit Ihren eigenen Zahlen statt mit dem Vergleichswert irgendeines Anbieters. Eine Organisation mit 250 Benutzern und üblicher Fluktuation verliert vielleicht 30 Personen im Jahr. Wird jedes Offboarding im Schnitt sechs Wochen zu spät abgeschlossen, sind das grob 3,5 Platzmonate Verschwendung pro Ausscheidendem, also etwa 105 Platzmonate im Jahr. Bei £22 pro Platz ist das ein gutes Stück über £2,300; bei £35 sind es eher £3,700. Ändern Sie einen Eingangswert, und das Ergebnis verschiebt sich, und genau das ist der Punkt: Ihre Finanzleitung kann diese Rechnung im Kopf prüfen.

Die Kosten sind der Teil, der ein Budgetgespräch auslöst. Das Risiko ist der Teil, der ein Gespräch auf Leitungsebene auslöst. Ein Ausscheidender mit aktiven Gruppenmitgliedschaften hat weiterhin alles, was diese Gruppen gewähren, und bei 50 bis 600 Benutzern hält dieselbe Person meist auch gemeinsam genutzte Zugangsdaten, eine Teams-Mitgliedschaft mit Kundendaten darin und ein Postfach, das seit ihrem Weggang niemand gelesen hat. Automatisierung zählt hier nicht deshalb, weil die manuellen Schritte schwierig wären, sondern weil ein manueller Prozess, der 30 Mal im Jahr läuft, mindestens einmal übersprungen wird, und Sie werden nicht wissen, welches Mal.

Was das Löschen im Admin Center tatsächlich abdeckt

Die manuelle Ausgangslage ist eine genaue Beschreibung wert. Im Microsoft 365 Admin Center unter Users then Active users führt das Auswählen einer Person und Delete user ein ganzes Bündel aus: Es kann die Lizenzen entfernen, jemandem Zugriff auf OneDrive und die E-Mail geben und dann das Konto löschen. Für einen einzelnen Ausscheidenden ist das ein wirklich nützlicher Ablauf, und niemand muss sich schämen, ihn zu nutzen.

Was es nicht ist, ist ein Prozess. Es tut nichts, bis ein Mensch es öffnet, es behandelt jeden Ausscheidenden gleich, unabhängig von Rolle oder Abteilung, es erzeugt außer dem Überwachungsprotokoll keinen Nachweis, den irgendjemand als Beleg anerkennen würde, und es kann weder eine Woche vor dem letzten Arbeitstag noch dreißig Tage danach laufen. Die richtige Reihenfolge der Schritte zählt außerdem mehr, als die meisten erwarten, denn wer eine Lizenz entfernt, bevor das Postfach geklärt ist, verliert Daten. Die Checkliste für das Microsoft 365 Offboarding legt diese Abfolge Schritt für Schritt dar und bleibt die richtige Referenz dafür, wie gut aussieht. In diesem Artikel geht es darum, diese Abfolge von allein laufen zu lassen.

Die Lizenzfrage, beantwortet bevor Sie irgendetwas planen

Klären Sie das, bevor Sie irgendetwas entwerfen, denn es entscheidet, ob der Rest dieses Artikels für Sie relevant ist.

Lifecycle Workflows erfordert Lizenzen für Microsoft Entra ID Governance oder die Microsoft Entra Suite. Es steckt nicht in Microsoft Entra ID P1, es steckt nicht in Microsoft Entra ID P2, und damit auch nicht in Microsoft 365 E3 oder E5 aufgrund des dort enthaltenen Entra-Plans. Microsoft Entra ID Governance ist ein eigenes Abonnement, das auf einem qualifizierenden Plan aufsetzt, und Microsoft hat ausdrücklich erklärt, dass der SKU Entra ID P2 keine neuen Funktionen für Identity Governance mehr erhält.

Sie benötigen außerdem genügend Lizenzen für jeden Mitgliedsbenutzer im Geltungsbereich des Workflows, plus für die Person, die ihn konfiguriert, statt eines einzelnen Administratorplatzes. Microsofts eigenes Rechenbeispiel ist ein Pre-Offboarding-Workflow mit einem Geltungsbereich von 50 Benutzern, der 51 Lizenzen benötigt. Für eine Organisation mit 300 Benutzern, die 30 Personen im Jahr offboardet, ändert das die Form des Business Case: Sie lizenzieren nicht 30 Ausscheidende, sondern die gesamte Population, die der Geltungsbereich des Workflows abdeckt.

Es gibt eine Testphase. Ein Global Administrator in einem kommerziellen Tenant, der bereits ein qualifizierendes Produkt wie Microsoft Entra ID P1 hält und sie noch nicht genutzt hat, kann sie im Microsoft 365 Admin Center unter Billing then Purchase services starten, indem er nach Microsoft Entra ID Governance sucht und Details then Start free trial auswählt. Das ist der ehrliche Weg, die folgenden Workflows im eigenen Tenant zu testen, bevor irgendjemand etwas unterschreibt.

Den Workflow für Ausscheidende aufbauen

Das Erstellen eines Workflows im Microsoft Entra Admin Center beginnt immer mit einer Vorlage, und es gibt 14 davon. Vier sind für Ausscheidende relevant, und dass es vier sind, liegt daran, dass Offboarding nicht ein einzelner Moment ist.

Pre-Offboarding of an employee läuft standardmäßig sieben Tage vor employeeLeaveDateTime und trägt Remove user from selected groups und Remove user from selected Teams. Das ist der Schritt, den man überspringt und dann bereut: Hier nehmen Sie jemanden aus der Lohnbuchhaltungsgruppe und dem Finance Team, solange die Person noch für die Übergabe da ist.

Offboard an employee läuft am Austrittsdatum selbst, mit Disable User Account, Remove user from all groups und Remove user from all Teams. Das ist der Workflow, der die Tür schließt.

Post-Offboarding of an employee läuft nach dem Austrittsdatum, mit Remove all licenses for user, Remove user from all Teams und Delete User Account. Das ist der Workflow, der die Abrechnung des Platzes beendet, und der Versatz, den Sie hier wählen, ist die teuerste einzelne Zahl im gesamten Entwurf.

Real-time employee termination hat überhaupt keine Ausführungsbedingung. Er läuft ausschließlich bei Bedarf, trägt Remove user from all groups, Delete User Account und Remove user from all Teams, und er existiert für den Fall, dass jemand noch heute das Haus verlässt.

Im breiteren Aufgabenkatalog stimmen Sie jeden einzelnen ab. Neben den obigen Aufgaben enthält er Revoke all refresh tokens for user, Remove all access package assignments for user, Send email to manager before user's last day, Send email on user's last day und Send email to user's manager after their last day. Dass der Sitzungsentzug eine integrierte Aufgabe ist, ist erwähnenswert, denn zahlreiche Offboarding-Leitfäden stellen ihn immer noch als etwas dar, das man skripten muss.

Zwei weitere Vorlagen verdienen Erwähnung, auch wenn sie nicht streng vom Austritt gesteuert werden: Pre-Offboard inactive users und Offboard inactive users lösen anhand von Anmeldeinaktivität statt eines Austrittsdatums aus, standardmäßig nach 90 beziehungsweise 120 Tagen. Sie sind der automatisierte Verwandte des Berichts aus unserem Leitfaden zum Finden inaktiver Microsoft 365 Benutzer und fangen die Konten ab, die nie ein Austrittsdatum hatten, weil niemand jemals mitgeteilt hat, dass die Person gegangen ist.

Zeitplanung, Geltungsbereich und das Attribut, an dem alles hängt

Drei Konfigurationsdetails entscheiden, ob das in der Praxis funktioniert.

Das Attribut gibt es nicht geschenkt. employeeLeaveDateTime wird nicht für Sie befüllt. Es kommt aus HR-gesteuerter Bereitstellung, aus Microsoft Entra Connect oder aus einem Skript, das es über Microsoft Graph schreibt. Das Schreiben in einem delegierten Kontext erfordert die Rolle Global Administrator zusammen mit den Berechtigungen User.Read.All und User-LifeCycleInfo.ReadWrite.All, was eine höhere Hürde ist als bei den meisten Berichtsaufgaben und früh mit den Verantwortlichen für Ihre HR-Integration besprochen werden sollte. Setzt niemand das Datum, läuft nichts, und der Workflow wirkt defekt, obwohl er schlicht untätig ist.

Die Zeitplanung ist opt-in. Neue Workflows sind standardmäßig aktiviert, die Zeitplanung jedoch nicht, sodass ein Workflow korrekt aussehen und trotzdem nie auslösen kann. Einmal eingeplant, werden Workflows in einem tenantweiten Intervall ausgewertet, das standardmäßig bei drei Stunden liegt und zwischen 1 und 24 Stunden eingestellt werden kann, unter ID Governance then Lifecycle workflows then Workflow settings im Microsoft Entra Admin Center. Zum Ändern benötigen Sie mindestens die Rolle Lifecycle Workflows Administrator.

Bedarfsläufe ignorieren Ihre Ausführungsbedingungen. Wer einen Workflow bei Bedarf ausführt, wendet dessen Aufgaben auf den Benutzer an, unabhängig davon, ob dieser Geltungsbereich und Auslöser erfüllt. Genau das wollen Sie bei einer taggleichen Kündigung und genau das wollen Sie beim Testen nicht, testen Sie also gegen ein Konto, dessen Verlust Sie verkraften.

Eine gute Nachricht zum Timing: Wird das Austrittsdatum spät gesetzt, etwa weil das HR-System nachträglich aktualisiert wurde, versucht Lifecycle Workflows dennoch, den Benutzer zu verarbeiten, sofern die Einrichtung innerhalb von drei Tagen nach dem vorgesehenen Verarbeitungszeitpunkt abgeschlossen ist. Dieses Nachholverhalten gilt nicht für die Option Time based attribute V2, die sich derzeit in der Public Preview befindet.

Fünf Züge. Entra automatisiert eins, zwei, drei und fünf. Der vierte entscheidet, ob irgendjemand den anderen vier vertraut.

Die vier Dinge, die es nicht tut

Lifecycle Workflows steuert die Identität. Microsoft 365 Offboarding ist breiter als die Identität, und diese vier Lücken bleiben Ihre.

Das Postfach. Es gibt keine Aufgabe, die ein Benutzerpostfach in ein freigegebenes Postfach umwandelt, und die Reihenfolgefalle ist real: Das Postfach muss im Moment der Umwandlung noch lizenziert sein, das muss also vor dem Post-Offboarding-Workflow geschehen, der die Lizenz abzieht, nicht danach.

Die Dateien. Einer Führungskraft Zugriff auf das OneDrive des Ausscheidenden zu geben, ist eine Aufgabe im SharePoint Admin Center. Nichts in den Vorlagen für Ausscheidende berührt das.

Das Gerät. Retire und Wipe liegen im Microsoft Intune Admin Center, und keine Lifecycle-Aufgabe erreicht sie. Geplante Intune-Berichte sind der praktische Weg, um zu belegen, welche Geräte von Ausscheidenden sich tatsächlich gemeldet haben und konform waren.

Die Rechnung. Remove all licenses for user gibt die Zuweisung frei. Es reduziert nicht die Menge eines vorab bezahlten Abonnements, sodass die Einsparung Ihre Rechnung erst erreicht, wenn jemand zur Verlängerung handelt. Stammt die Lizenz aus gruppenbasierter Lizenzierung, hält die Gruppenmitgliedschaft den Platz, weshalb die Gruppenaufgaben und die Lizenzaufgabe in denselben Workflow gehören.

Hier ist das Skript für die erste Lücke, zugeschnitten darauf, einmal pro Ausscheidendem im Fenster zwischen dem letzten Arbeitstag und dem Post-Offboarding-Lauf ausgeführt zu werden.

# Fills the gaps Lifecycle Workflows does not cover, before the licence is removed
Connect-ExchangeOnline
Connect-MgGraph -Scopes "User.RevokeSessions.All"
$Leaver  = "leaver@contoso.com"
$Manager = "manager@contoso.com"
# Belt and braces: end every active session now rather than waiting for token expiry
Revoke-MgUserSignInSession -UserId $Leaver
# Convert while the mailbox is still licensed, or the conversion is not available
Set-Mailbox -Identity $Leaver -Type Shared
Add-MailboxPermission -Identity $Leaver -User $Manager -AccessRights FullAccess -InheritanceType All
Add-RecipientPermission -Identity $Leaver -Trustee $Manager -AccessRights SendAs -Confirm:$false
Write-Host "$Leaver converted to shared and delegated to $Manager"

Lesen Sie es, bevor Sie es ausführen. Revoke-MgUserSignInSession ist überflüssig, wenn Ihr Offboarding-Workflow die Entzugsaufgabe bereits trägt, und harmlos, wenn nicht. Die Umwandlung hält E-Mail und Kalender mit bis zu 50 GB ohne bezahlten Platz erreichbar, und genau das macht es sicher, den Workflow einen Tag später die Lizenz abziehen zu lassen. Löschen Sie das Konto nicht, solange das freigegebene Postfach in Gebrauch ist, denn das Konto verankert es.

Wenn diese Abfolge nach etwas aussieht, das Sie lieber fortlaufend laufen sehen würden, als sich pro Ausscheidendem daran zu erinnern, zeigt eine 14-tägige EtherInsights Testphase dieselben Prüfungen gegen Ihren eigenen Tenant.

Die ehrliche Grenze dieser Automatisierung

Lifecycle Workflows ist gut. Es ist auch ein Mechanismus, kein Ergebnis, und drei Dinge trennen das eine vom anderen.

Jemand muss es verantworten. Ein Workflow ohne Eigentümer driftet: Die Regel für den Geltungsbereich passt nicht mehr auf eine umbenannte Abteilung, eine Vorlage wird in einer hektischen Woche geändert, und niemand bemerkt es, bis ein Offboarding still gar nichts tut. Die Workflow-Historie liefert das Rohmaterial, einsehbar nach Benutzern, Läufen und Aufgaben, doch Rohmaterial ist keine Überprüfung.

Jemand muss den Nachweis erzeugen. Ihr Prüfer, Ihr Cyber Essentials Assessor und der Sicherheitsfragebogen Ihres größten Kunden stellen dieselbe Frage in unterschiedlichen Worten: Zeigen Sie mir, dass der Zugriff innerhalb Ihres angegebenen Zeitrahmens entfernt wurde, für diese namentlich genannten Personen, an diesen Daten. Das ist eine Berichtsaufgabe zusätzlich zum Workflow, kein Nebenprodukt davon.

Und jemand muss das Zurückholen bis zur Rechnung verfolgen. Der vom Workflow freigegebene Platz ist erst dann eine Einsparung, wenn die Abonnementmenge sinkt. Zwischen diesen beiden Ereignissen liegen ein Verlängerungsdatum und ein Gespräch mit der Finanzabteilung, und genau dort stirbt die meiste Rückholarbeit still. Unser Leitfaden zum Belegen von Cloud-Kosteneinsparungen erklärt, warum dieser letzte Schritt ein Vorher und Nachher braucht statt einer Behauptung.

Nichts davon spricht gegen den Aufbau der Workflows. Bauen Sie sie diesen Monat. Es spricht dafür, klar zu sagen, dass die Automatisierung das Ausführungsproblem löst und das Verantwortungsproblem genau dort lässt, wo es war.

Wo EtherInsights ansetzt

EtherInsights ist die Konsole, die darüber sitzt. Sie prüft das Offboarding fortlaufend statt pro Ticket, macht Ausscheidende, die noch aktiviert oder noch lizenziert sind, als Befunde mit benanntem Eigentümer und nächster Maßnahme sichtbar und hält das Vorher und Nachher fest, sodass ein Zurückholen in Ihrer Finanzprüfung als Nachweis ankommt statt als Behauptung. Wo Sie Lifecycle Workflows haben, sagt sie Ihnen, ob die Workflows tatsächlich getan haben, wozu Sie sie entworfen haben. Wo nicht, weil die Governance-Lizenz noch nicht freigegeben ist, gibt sie Ihnen dieselbe Sichtbarkeit ohne eine solche.

Microsoft 365 Lizenzverwaltung und Offboarding betreibt die Schleife aus Eintritt, Wechsel und Austritt als einen Prozess über Tenants hinweg, mit der Arbeit an brachliegenden Plätzen aus dem Finden ungenutzter Lizenzen in derselben Ansicht. Es kostet £0.79 pro aktivem Benutzer mit einer 14-tägigen Testphase, sodass Sie die Lücke zwischen Ihren Austrittsdaten und Ihren Lizenzentfernungen messen können, bevor Sie sich zu etwas verpflichten, und das ist meist die Zahl, die die Diskussion entscheidet.

Setzen Sie das Austrittsdatum sauber, bauen Sie die drei geplanten Workflows, skripten Sie das Postfach und tragen Sie eine monatliche Überprüfung in den Kalender ein. Wenn diese Überprüfung immer wieder verschoben wird, haben Sie die eigentliche Beschränkung gefunden, und sie war nie das Werkzeug.

Microsoft 365 Lizenzverwaltung und Offboarding entdecken, um zu sehen, wie Prüfungen für Ausscheidende, Lizenzrückholung und der Nachweispfad als ein durchgehender Prozess behandelt werden statt als Workflow, den niemand beobachtet.