Per effettuare correttamente l'offboarding di un utente in Microsoft 365, e smettere di pagare una licenza che continua a generare costi molto dopo che qualcuno se n'è andato, seguite una sequenza fissa nel suo ultimo giorno anziché una corsa affannosa settimane più tardi. Tagliate prima l'accesso, preservate i dati, poi rilasciate la licenza così che la postazione smetta di costarvi. L'intera sequenza è breve:
- Bloccare l'accesso e revocare le sessioni attive.
- Rimuovere le appartenenze a gruppi e applicazioni.
- Convertire la casella di posta in una casella condivisa.
- Trasferire l'accesso a OneDrive e SharePoint.
- Rimuovere la licenza Microsoft 365.
- Cancellare o ritirare il dispositivo in Intune.
- Eseguire un audit mensile degli account obsoleti.
L'ordine è deliberato. La sicurezza viene prima così che un account in uscita non possa essere usato, la gestione dei dati viene poi così che nulla di importante vada perso, e la licenza viene rimossa solo una volta che la casella di posta e i file sono al sicuro. Ogni giorno tra la data di uscita di una persona e il passo cinque è una postazione che state ancora pagando, quindi l'obiettivo è una checklist di offboarding di Microsoft 365 ripetibile che si esegue in ore, non una pulizia che prima o poi affronterete.
Dal giorno zero al giorno trenta: tagliate l'accesso, preservate la casella di posta e i file, rimuovete la licenza, cancellate il dispositivo, poi effettuate l'audit a trenta giorni.
Passo 1: Bloccare l'accesso e revocare le sessioni
Iniziate chiudendo la porta. Nell'interfaccia di amministrazione di Microsoft 365, andate su Utenti e poi Utenti attivi, selezionate la persona e reimpostate la sua password. Poi, nella scheda Account, scegliete Disconnetti da tutte le sessioni. Bloccare l'accesso impedisce immediatamente qualsiasi nuovo accesso, e l'account viene disconnesso dai servizi Microsoft entro circa 60 minuti.
Il ritardo conta perché un token di accesso è valido per circa un'ora, quindi Disconnetti da tutte le sessioni non è sempre istantaneo. Per revocare l'accesso all'istante, usate PowerShell. Revoke-MgUserSignInSession del modulo Microsoft.Graph.Users.Actions invalida ogni token di aggiornamento e cookie di sessione del browser dell'account reimpostando a ora la sua validità di accesso.
Connect-MgGraph -Scopes "User.RevokeSessions.All"
Revoke-MgUserSignInSession -UserId "leaver@contoso.com"
Dove la velocità è critica, le terminazioni più rapide arrivano dall'interfaccia di amministrazione di Exchange o da PowerShell, dove la modifica ha effetto entro circa 30 minuti, e da Microsoft Entra, in circa 60 minuti. Se l'account si sincronizza da un Active Directory on-premises, aspettatevi un'attesa più lunga mentre la modifica si replica. Una cosa da tenere presente sul fronte dei costi: bloccare l'accesso ferma l'accesso ma non ferma la fatturazione. La postazione continua a costare finché non raggiungete il passo cinque, quindi il blocco è l'inizio dell'offboarding, non la sua interezza.
Passo 2: Rimuovere le appartenenze a gruppi e applicazioni
Successivamente, spogliate l'account delle sue appartenenze: gruppi di sicurezza, gruppi Microsoft 365, liste di distribuzione, Teams, deleghe di caselle di posta condivise e qualsiasi applicazione assegnata direttamente. Questo rimuove i percorsi di accesso residui e mantiene la directory pulita per il vostro prossimo audit.
C'è qui un legame diretto con il costo. Dove una licenza è assegnata tramite l'assegnazione basata sui gruppi, la postazione è consumata dall'appartenenza al gruppo, quindi rimuovere la persona dal gruppo di licenze è ciò che libera realmente la licenza. Lasciatela nel gruppo e la postazione, e il suo costo, resta collegata qualsiasi altra cosa facciate. Se l'appartenenza è guidata da un gruppo dinamico basato sugli attributi dell'utente, aggiornare o disabilitare l'account può rimuoverla automaticamente, quindi controllate la regola anziché darlo per scontato. Chi lascia l'azienda ma resta in un gruppo di licenze è semplicemente una licenza che state ancora pagando.
Passo 3: Convertire la casella di posta in una casella condivisa
La maggior parte di chi lascia l'azienda ha bisogno che la propria email e il proprio calendario restino raggiungibili per un po', per il passaggio di consegne o per i clienti che scrivono ancora all'indirizzo. Convertire la casella di posta dell'utente in una casella condivisa conserva tutto questo senza una postazione a pagamento, perché una casella condivisa contiene fino a 50 GB senza una licenza assegnata.
Nell'interfaccia di amministrazione, andate su Utenti e poi Utenti attivi, selezionate l'utente, aprite la scheda Posta e scegliete Converti in casella di posta condivisa. Potete anche eseguire Set-Mailbox -Identity "leaver@contoso.com" -Type Shared in Exchange Online PowerShell. Vale la pena chiarire alcune avvertenze. La casella di posta deve ancora detenere una licenza nel momento in cui la convertite, altrimenti l'opzione non compare, e la licenza la rimuovete in seguito. Se la casella supera i 50 GB dovrete ridurla, oppure la casella condivisa richiede una licenza Exchange Online Plan 2 per arrivare a 100 GB. Non eliminate l'account utente, perché ancora la casella condivisa. E se dovete mantenere la casella in Litigation Hold o In-Place Hold, deve portare una licenza Exchange Online Plan 2, oppure una licenza Exchange Online Plan 1 con il componente aggiuntivo Exchange Online Archiving. Questa conversione è la mossa che vi permette di abbandonare la licenza a pagamento pur mantenendo il contenuto, quindi è centrale per fermare la spesa senza perdere dati.
Passo 4: Trasferire l'accesso a OneDrive e SharePoint
Prima che l'account sparisca, date a qualcuno l'accesso ai file di chi lascia l'azienda. Nell'interfaccia di amministrazione di Microsoft 365, aprite l'interfaccia di amministrazione di SharePoint, andate su Altre funzionalità e poi Profili utente e poi Gestisci profili utente, trovate l'ex dipendente e usate Gestisci proprietari della raccolta siti per aggiungere il suo responsabile come proprietario del suo OneDrive. Il responsabile può quindi raggiungere i file all'URL OneDrive abituale.
Il tempismo conta per la conservazione. Dopo aver eliminato un account, il suo contenuto OneDrive e Outlook viene conservato per 30 giorni, che è la vostra finestra per ripristinarlo. Se rimuovete la licenza ma non eliminate l'account, il contenuto OneDrive vi resta accessibile anche oltre i 30 giorni. Dove il contenuto deve essere conservato più a lungo per motivi legali o di conformità, applicate un criterio di conservazione di Microsoft Purview o un blocco prima di rilasciare qualsiasi cosa. Trasferire i dati in modo deliberato è ciò che vi permette di rilasciare la licenza tempestivamente anziché tenere in vita un account a pagamento per ogni evenienza.
Passo 5: Rimuovere la licenza Microsoft 365
Questo è il passo che ferma il costo, quindi rimuovere la licenza quando un dipendente se ne va non dovrebbe mai essere la parte che aspetta. Nell'interfaccia di amministrazione, andate su Utenti e poi Utenti attivi, selezionate l'utente, aprite Licenze e app, deselezionate i prodotti che volete recuperare e salvate. Se la licenza è stata assegnata tramite un gruppo, rimuovete invece l'utente da quel gruppo, come visto al passo due.
Siate consapevoli di cosa comporta la rimozione di una licenza per i dati: una volta rimossa o eliminata la licenza, email, contatti e calendario dell'account vengono conservati per 30 giorni e poi eliminati definitivamente, che è esattamente il motivo per cui la conversione della casella di posta al passo tre viene prima. Una volta libera la postazione potete riassegnarla a un nuovo assunto o ridurre la quantità prepagata al rinnovo così che smetta del tutto di fatturare. Ogni giorno di ritardo su questo passo dopo un'uscita è una licenza ancora sulla fattura senza alcun ritorno.
Passo 6: Cancellare o ritirare il dispositivo in Intune
Se chi lascia l'azienda aveva un dispositivo gestito, occupatevene nell'interfaccia di amministrazione di Microsoft Intune sotto Dispositivi. Due azioni contano e non sono la stessa cosa. Ritira rimuove i dati aziendali, le app gestite, le impostazioni e i profili e annulla la registrazione del dispositivo lasciando intatti i dati personali, il che si adatta a un dispositivo personale o portato dall'utente. Cancella riporta il dispositivo alle impostazioni di fabbrica e rimuove tutto, il che si adatta a un dispositivo di proprietà aziendale che state recuperando. L'una o l'altra azione viene applicata alla successiva connessione del dispositivo.
Un paio di dettagli evitano guai più avanti. Prima di ritirare un dispositivo aggiunto a Microsoft Entra protetto da BitLocker, eseguite il backup della sua chiave di ripristino BitLocker e di eventuali credenziali di amministratore locale, perché il processo può sospendere BitLocker. E notate che ritirare un dispositivo non revoca da solo i token di accesso, il che è un altro motivo per cui la revoca delle sessioni al passo uno conta. Questo passo riguarda l'esposizione dei dati più che il costo delle licenze, ma appartiene allo stesso runbook così che nulla venga dimenticato.
Usa report Intune pianificati per dimostrare quali dispositivi dei dipendenti in uscita sono stati cancellati, ritirati o ancora in attesa del check-in.
Passo 7: Eseguire un audit ricorrente degli account obsoleti
Gli offboarding vengono dimenticati. Qualcuno se ne va durante una settimana intensa, il ticket è completato a metà, e mesi dopo una licenza sta ancora fatturando su un account bloccato che nessuno guarda. Un audit mensile è la rete di sicurezza. Esaminate gli account senza attività di accesso recente in Microsoft Entra, le licenze ancora assegnate ad account bloccati o mai inseriti, e le caselle di posta condivise che in qualche modo portano ancora una postazione a pagamento.
Questo audit è il partner naturale della ricerca delle licenze Microsoft 365 inutilizzate, dove gli stessi dati di attività e un ciclo di recupero mensile intercettano le postazioni che i singoli offboarding lasciano sfuggire. Eseguite i due insieme e il divario tra l'uscita di una persona e la rimozione della sua licenza resta misurato in ore anziché in mesi.
Dove si inserisce EtherInsights
L'offboarding è un processo, non un evento isolato, e più account e tenant gestite, più facilmente una postazione sfugge e continua a fatturare. EtherInsights traccia il ciclo di vita delle licenze così che chi lascia l'azienda, le postazioni dormienti e gli account con licenza ma bloccati emergano in un unico luogo con le evidenze per agire, e la gestione delle licenze e l'offboarding di Microsoft 365 trasforma questo in un processo ripetibile di offboarding e recupero su tutto l'ambiente.
L'offboarding è anche un controllo di sicurezza, non solo di costo, perché chi lascia l'azienda con un accesso ancora attivo è un rischio tanto quanto una postazione sprecata. La stessa vista del tenant si estende alla sicurezza e conformità di Microsoft 365, dove una linea di base e il rilevamento della deriva mantengono accesso e configurazione nello stato in cui il processo di offboarding li ha lasciati.
Una checklist di offboarding pulita protegge i vostri dati e ferma il silenzioso aumento graduale dei costi di chi lascia l'azienda mantenendo le proprie licenze. Tagliate l'accesso, preservate la casella di posta e i file, liberate la postazione, cancellate il dispositivo ed effettuate l'audit ogni mese, e ogni uscita si chiude correttamente anziché lasciare una fattura alle spalle.
Esplora la gestione delle licenze e l'offboarding di Microsoft 365 per scoprire come offboarding e recupero delle licenze funzionano come un unico processo ripetibile attraverso i vostri tenant.