Автоматизация оптимизации лицензий и аудита в Microsoft 365

By Mirko Peters · 2026-08-12

Добро пожаловать обратно в блог подкаста! Если вы когда-либо смотрели на ежемесячный счёт за программное обеспечение Microsoft 365 и думали, почему вы платите за лицензии, которыми никто не пользовался полгода, то вы определённо не одиноки…

Automatically translated with AI from the original post. Read the English original

Titelbild: Automating License Optimization and Audits in Microsoft 365

Добро пожаловать обратно в блог подкаста! Если вы когда-либо смотрели на ежемесячный счёт за Microsoft 365 и задавались вопросом, почему вы платите за места, которыми не пользовались полгода, — вы определённо не одиноки. Управление лицензиями — одна из тех скрытых операционных статей расходов, которые незаметно истощают IT-бюджеты и создают ненужные проблемы с соответствием требованиям и безопасностью. К счастью, у нас под рукой есть мощные инструменты автоматизации. В этом подробном руководстве мы разберём, как отслеживать, назначать и отзывать лицензии Microsoft 365 с помощью PowerShell, чтобы контролировать расходы, упростить подключение новых сотрудников и обеспечить строгое соответствие требованиям во всём вашем клиенте. Если вам нравится погружаться в технические стратегии автоматизации, обязательно посмотрите наш связанный эпизод, посвящённый тому, как Run Your Full Stack Locally with .NET Aspire — там больше о рабочих процессах разработчиков и инструментах.

Введение в автоматизацию оптимизации лицензий и аудита

Управлять клиентом Microsoft 365 вручную — верный путь к выгоранию и человеческим ошибкам. По мере роста организации сотрудники уходят, подразделения меняются, а потребности в программном обеспечении резко колеблются. Если всё оставить без контроля, администраторы начинают накапливать лицензии, продолжают платить бывшим подрядчикам или оставляют премиальные лицензии E5 назначенными неактивным учётным записям. Внедрив автоматизацию в стратегию оптимизации лицензий, вы избавляетесь от догадок. PowerShell позволяет запрашивать данные клиента, анализировать схемы использования и программно высвобождать неиспользуемые ресурсы, превращая реактивную административную рутину в проактивный финансовый механизм защиты.

Предварительные требования и настройка среды

Прежде чем писать хотя бы одну строку кода для высвобождения лицензий, нужно подготовить среду. Правильная подготовка гарантирует, что ваши скрипты будут выполняться без препятствий, связанных с разрешениями, и конфликтов сборок модулей.

Поддерживаемые системы

Вы можете запускать скрипты управления Microsoft 365 как в Windows, так и в macOS. Большинство администраторов предпочитают Windows 10 или более позднюю версию, а пользователи Mac могут использовать PowerShell Core. Всегда проверяйте, что ваша операционная система поддерживает последние модульные пакеты. Если при подключении к сервисам вы сталкиваетесь с ошибками интеграции Web Account Manager (WAM) или конфликтами зависимостей сборок, временным обходным решением может стать использование параметра DisableWAM, который позволит вашим скриптам продолжить работу.

Разрешения и роли

Безопасность — прежде всего. Никогда не запускайте административные скрипты под обычной учётной записью пользователя. Убедитесь, что у учётной записи, от имени которой выполняется скрипт, есть соответствующие роли, например «Глобальный администратор», «Администратор пользователей» или «Администратор лицензий». Придерживаясь принципа наименьших привилегий, вы гарантируете, что административные учётные данные содержат только те разрешения, которые необходимы для аудита и назначения лицензий.

Контрольный список настройки среды

Откройте Windows PowerShell от имени администратора.
Добавьте PowerShell Gallery как доверенный репозиторий:
```
Set-PSRepository -Name 'PSGallery' -InstallationPolicy Trusted
```
Установите необходимый поставщик NuGet, если система об этом запросит.
Настройте политику выполнения скриптов:
```
Set-ExecutionPolicy RemoteSigned
```

Установка основных модулей PowerShell для Microsoft 365

Чтобы эффективно управлять пользователями и лицензиями, на локальном компьютере должны быть установлены нужные инструменты. Экосистема Microsoft в значительной степени перешла к единым SDK, однако несколько базовых модулей по-прежнему критически важны для повседневных административных задач.

Обзор модулей

Microsoft.Graph: современный единый модуль, заменяющий устаревшие инструменты MSOnline и AzureAD.
ExchangeOnlineManagement: необходим для управления почтовыми ящиками, преобразования общих почтовых ящиков и отслеживания потока почты.
MicrosoftTeams: необходим для управления рабочими нагрузками совместной работы и политиками собраний.

Шаги установки

Основные современные модули можно установить, выполнив следующие команды в PowerShell с повышенными привилегиями:

Install-Module -Name Microsoft.Graph -Scope CurrentUser -Force
Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser -Force
Install-Module -Name MicrosoftTeams -Scope CurrentUser -Force

Всегда проверяйте установку с помощью Get-InstalledModule, чтобы убедиться, что конфликтующие версии не нарушат работу ваших автоматизированных сценариев.

Подключение PowerShell к клиенту Microsoft 365

Установление безопасного и надёжного подключения к клиенту — следующий критически важный шаг. Современные стандарты аутентификации требуют надёжных подходов, особенно при запуске скриптов без присутствия пользователя или по расписанию.

Варианты аутентификации

Интерактивный вход отлично подходит для быстрых разовых административных задач, но автоматизированные фоновые скрипты требуют безопасных альтернатив. Аутентификация на основе сертификатов или управляемые удостоверения позволяют подключаться безопасно, не прописывая пароли прямо в текстовых файлах скриптов.

Подключение к Graph и сервисам

Чтобы подключиться к бэкенду Microsoft Graph для управления пользователями и лицензиями, используйте:

Connect-MgGraph -Scopes "User.ReadWrite.All", "Organization.Read.All"

Для задач, специфичных для Exchange, и настройки почтовых ящиков установите сеанс с помощью:

Connect-ExchangeOnline

Когда скрипт завершит пакетные операции, не забудьте закрыть сеанс, выполнив Disconnect-ExchangeOnline или Disconnect-MgGraph.

Аудит неиспользуемых лицензий и инвентаризация лицензий

Оптимизация лицензий начинается с наглядности. Нельзя освободить лицензии, если неизвестно, кто ими пользуется, а кто их уже не использует. С помощью PowerShell можно выгрузить подробные отчёты о назначенных SKU и времени последнего входа.

Проверка подписанных SKU

Чтобы узнать общее количество купленных лицензий в вашем клиенте и количество доступных, выполните следующую команду:

Get-MgSubscribedSku | Select-Object SkuId, SkuPartNumber, @{Name="Total";Expression={$_.ConsolidatedStatus}}, @{Name="Assigned";Expression={$_.AssignedUnits}}

Поиск неактивных пользователей

Выявление учётных записей, которые не проходили аутентификацию более 90 дней, — самый быстрый способ сократить ненужные расходы на облако. Чтобы найти неактивные учётные записи, можно отфильтровать список пользователей:

$Threshold = (Get-Date).AddDays(-90)
Get-MgGet-MgUser -All -Property Id, DisplayName, UserPrincipalName, SignInActivity | Where-Object { $_.SignInActivity.LastSignInDateTime -lt $Threshold }

Экспорт этих данных в CSV-файл позволяет представить руководству IT понятные показатели экономии до того, как вы выполните массовое удаление лицензий.

Использование Set-MgUserLicense для назначения и отзыва лицензий

Как только вы определили недоиспользуемые лицензии или новых сотрудников, которым нужно предоставить доступ, основным инструментом для изменений становится командлет Set-MgUserLicense.

Программное назначение лицензий

Чтобы назначить конкретный SKU новому пользователю, создайте объект назначения лицензии, содержащий целевой SkuId:

$Params = @{
    AddLicenses = @(
        @{
            SkuId = "your-sku-guid-here"
        }
    )
    RemoveLicenses = @()
}
Set-MgUserLicense -UserId "alex.johnson@contoso.com" -BodyParameter $Params

Отзыв неиспользуемых лицензий

Чтобы вернуть лицензии у неактивных учётных записей или сотрудников, которые уже уволились, выполните обратную операцию: передайте идентификатор SKU в массив параметров RemoveLicenses. Так организация немедленно перестанет платить за неиспользуемые облачные ресурсы.

Автоматизация рабочих процессов назначения и отзыва лицензий при приёме и увольнении

Ручное создание и удаление пользователей вносит существенные задержки и риски для безопасности. Написав скрипты для процессов приёма и увольнения, вы обеспечите выдачу лицензий в момент прихода сотрудника и их отзыв сразу в день его ухода.

Автоматизированный скрипт увольнения может отключить учётную запись пользователя, снять назначенные лицензии, преобразовать его почтовый ящик в общий ресурс и выгрузить журналы аудита в защищённое хранилище — всё в рамках одного непрерывного блока выполнения. Такая синхронизация устраняет потери на лицензиях и сохраняет уровень безопасности организации.

Принципы безопасности и наименьших привилегий

Автоматизация даёт огромные возможности, поэтому её нужно строго контролировать. Соблюдение строгих принципов безопасности защищает ваш клиент от случайных ошибок конфигурации и вредоносного выполнения скриптов.

Доступ с наименьшими привилегиями: никогда не выдавайте права глобального администратора служебным учётным записям автоматизации. Ограничивайте разрешения строго тем, что действительно нужно скрипту.
Безопасность учётных данных: никогда не храните пароли в открытом виде внутри скриптов. Используйте Azure Key Vault, управляемые удостоверения или аутентификацию по сертификатам.
Полное журналирование: применяйте надёжные блоки try/catch и записывайте шаги выполнения скриптов в локальные или облачные журналы для полной прослеживаемости.

Устранение распространённых ошибок лицензирования и подключения

Даже опытные администраторы время от времени сталкиваются с препятствиями при запуске скриптов автоматизации Microsoft 365. Понимание того, как обрабатывать такие ошибки, сэкономит вам часы разочарований.

Ошибки отказа в доступе: убедитесь, что учётная запись, от имени которой выполняется скрипт, имеет необходимые роли каталога Azure AD, а ваше подключение к Graph запросило правильные области согласия.
Сбои назначения лицензий: убедитесь, что для целевого пользователя настроено «Местоположение использования». Microsoft 365 отклонит назначение лицензий, если поле страны у пользователя пустое.
Конфликты модулей: если командлеты не работают из-за конфликтующих версий модулей, полностью удалите устаревшие модули (например, MSOnline) и переведите окружение на современный SDK Microsoft Graph.

Заключение

Автоматизация оптимизации лицензий и аудита в Microsoft 365 соединяет эффективное администрирование ИТ с грамотным финансовым управлением. Используя PowerShell и командлеты вроде Set-MgUserLicense, вы можете избавиться от напрасных расходов на ПО, обеспечить строгое соответствие требованиям безопасности и упростить административные процессы для пользователей во всей организации. Если вы хотите расширить технический кругозор и глубже разобраться в современных инструментах и управлении инфраструктурой, обязательно посмотрите наш связанный выпуск о том, как запустить полный стек локально с .NET Aspire. Действуйте на опережение, защищайте свои скрипты и превращайте клиент Microsoft 365 в отлаженный, оптимизированный по затратам механизм!