Перестаньте терять деньги: как автоматизировать оптимизацию лицензий Microsoft 365 с помощью PowerShell

By Mirko Peters · 2026-08-11 · Updated 2026-08-28

Automatically translated with AI from the original post. Read the English original

Titelbild: Stop Wasting Money: How to Automate Microsoft 365 License Optimization with PowerShell

Добро пожаловать в блог! Если вы управляете клиентом Microsoft 365, вам наверняка знакомо неприятное ощущение, когда в конце месяца открываешь счёт за подписку. Вы видите десятки, а то и сотни активных лицензий, назначенных пользователям, которые не входили в систему с прошлого финансового года. Ручные проверки в портале создают видимость продуктивной работы, но регулярно пропускают неактивные учётные записи, рискованный общий доступ и огромные потери на лицензиях. Если вам надоело выборочно проверять центр администрирования и получать неприятные сюрпризы во время квартальных аудитов, пора внедрить автоматизацию в свой рабочий процесс.

В этой статье мы подробно разберём, как написать запланированный скрипт PowerShell, который сопоставляет журналы входа с активными лицензиями. К концу руководства вы поймёте, как выявлять неиспользуемые SKU, каждый месяц возвращать ненужные расходы и защищать клиент от разрастания административной нагрузки.

Введение в оптимизацию лицензий Microsoft 365

Оптимизацию лицензий часто воспринимают как головную боль раз в год. ИТ-менеджеры в спешке выгружают данные вручную, пишут руководителям подразделений, чтобы уточнить, работают ли ещё подрядчики, и гадают, заброшена ли учётная запись. Такой реактивный подход гарантированно ведёт к перерасходу бюджета. Каждый день, когда у ушедшего подрядчика или сотрудника, покинувшего компанию, остаётся лицензия E5 или Business Premium, ваша организация теряет деньги.

Чтобы это исправить, нужно рассматривать оптимизацию лицензий как непрерывный автоматизированный процесс. Используя возможности PowerShell и Microsoft Graph, мы можем создать скрипты, которые берут на себя рутинную работу и предоставляют пригодные для действий данные ещё до того, как остынет утренний кофе.

Почему ручных проверок в портале недостаточно

Зачем полагаться только на встроенный центр администрирования Microsoft 365? Портал рассчитан на удобство, а не на глубокое управление. Когда вы входите в веб-интерфейс, вы видите снимки состояния на определённый момент без исторического контекста. Портал не позволяет легко сопоставить даты последнего входа с конкретными SKU лицензий для тысяч пользователей в одном понятном представлении.

Кроме того, ручные проверки полностью зависят от человеческой памяти. Вы не забыли проверить сервисные учётные записи? Вы убедились, что общему почтовому ящику действительно нужна лицензия Exchange Online Plan 2? Человеческая ошибка приводит к слепым зонам, а эти слепые зоны стоят денег и создают риски для безопасности.

Выбор подходящих модулей PowerShell и областей действия

Прежде чем писать хотя бы одну строку логики скрипта, нужно собрать инструменты. Экосистема PowerShell от Microsoft развивается, и использование устаревших модулей приведёт только к предупреждениям об устаревании и нерабочим скриптам. Ваш основной набор должен включать:

Microsoft Graph PowerShell: современный стандарт для управления пользователями, группами и объектами каталога.
ExchangeOnlineManagement: необходим для аудита почтовых ящиков, правил пересылки и лицензирования общих почтовых ящиков.
PnP.PowerShell: критически важен для проверки сайтов SharePoint, гостевых ссылок и разрастания внешнего общего доступа.

При выдаче разрешений скриптам обязательно применяйте принцип наименьших привилегий. Никогда не используйте учётные данные глобального администратора для автоматизированных скриптов.

Определение еженедельных отчётов аудита только для чтения

Золотое правило ИТ-автоматизации простое: сначала только чтение. Никогда не начинайте путь автоматизации со скриптов, которые автоматически удаляют пользователей или снимают лицензии. Первая итерация должна быть полностью посвящена сбору данных.

Настройте еженедельное расписание, которое запускает комплексный аудит только для чтения. Этот аудит должен оценивать неактивных пользователей, списки гостевого доступа, назначения лицензий в сопоставлении с реальной активностью входа, конфигурации почтовых ящиков и осиротевшие группы Microsoft 365. Установив еженедельный ритм, вы заменяете хаотичные аварийные работы десятиминутной проверкой аккуратных, автоматически сформированных отчётов.

Сопоставление журналов входа с активными лицензиями

Главный секрет оптимизации лицензий — это перекрёстное сопоставление. Лицензия, назначенная учётной записи, ничего не значит, если пользователь не проходил аутентификацию 90 дней. Скрипту нужно получить два основных набора данных из Microsoft Entra ID:

Назначенные пользователю SKU лицензий.
Дату последнего входа пользователя (интерактивного и неинтерактивного).

Сопоставив эти два источника данных с помощью объектов PowerShell, вы сможете сразу вычислить потери из-за неиспользуемых лицензий. Если время последнего входа пользователя превышает заданный порог (например, 60 или 90 дней), скрипт помечает такую учетную запись как кандидата на возврат лицензии.

Автоматизация доставки отчетов и хранения артефактов

Отчет, который лежит без дела в локальной папке, бесполезен. Нужно доставлять результаты напрямую тем, кто может принять меры. Настройте скрипт так, чтобы он формировал структурированные CSV-файлы и понятные HTML-сводки.

Далее пусть скрипт отправляет сводку по электронной почте в группу рассылки IT-управления или публикует её в специальном канале Microsoft Teams через webhook. Кроме того, сохраняйте исходные CSV-артефакты в защищенной библиотеке документов SharePoint для управления, чтобы вести историческую документацию для целей соответствия требованиям.

Безопасное планирование с помощью Azure Automation и Планировщика заданий

Где должны размещаться эти скрипты? Их можно запускать с локальной машины или с Windows Server через Планировщик заданий, используя защищенное хранилище учетных данных, однако подход корпоративного уровня — это Azure Automation.

Развертывая скрипты как runbook-процессы Azure Automation и выполняя аутентификацию через управляемую идентичность (Managed Identity), вы исключаете риск жестко заданных паролей или истекших секретов служебных принципалов. Azure Automation без проблем берет на себя среду выполнения, журналирование и обработку ошибок в облаке.

Внедрение защитных механизмов безопасности и соответствия требованиям

Автоматизация без защитных механизмов — это катастрофа, которая ждет своего часа. Чтобы защитить свой клиент, встройте в конвейер автоматизации следующие меры защиты:

Подробное журналирование: фиксируйте каждый шаг выполнения скрипта с идентификаторами корреляции.
Блоки Try/Catch: корректно обрабатывайте ограничения скорости запросов (throttling), сетевые тайм-ауты и ошибки разрешений, отправляя оповещения на общий почтовый ящик, если запуск завершился неудачей.
Очереди отложенных действий: вместо того чтобы автоматически отзывать лицензии, сначала направляйте действия с высоким влиянием через очередь «отложенных» действий или рабочий процесс согласования.

Поэтапное внедрение стратегии устранения проблем

Не пытайтесь автоматизировать всё в первый день. Внедряйте стратегию устранения проблем поэтапно:

Неделя 1–2: только отчеты. Собирайте данные, анализируйте ложные срабатывания и корректируйте списки исключений.
Неделя 3–4: мягкие действия. Начните истекать устаревшие гостевые ссылки и выводить рекомендации по удалению лицензий, требующие ручного согласования.
Постоянно: автоматизируйте низкорисковые задачи, сохраняя этапы ручного согласования для деструктивных изменений.

Устранение типичных проблем при автоматизации в PowerShell

Даже лучшие скрипты иногда спотыкаются. Если результаты пустые, перепроверьте разрешения Graph и версии модулей, а затем протестируйте запрос в Graph Explorer, чтобы изолировать проблему. Если сбои возникают случайным образом, скорее всего, ваш скрипт упирается в ограничения скорости запросов (throttling). Реализуйте экспоненциальную задержку и логику повторных попыток, чтобы запуски оставались стабильными. Наконец, остерегайтесь ложных срабатываний: поддерживайте надежный список исключений для служебных учетных записей и аварийных учетных записей (break-glass).

Часто задаваемые вопросы

Автоматизация сломает мой клиент?

Нет, если начать в режиме только чтения, добавить согласования и строго ограничить разрешения, предоставляемые учетным записям автоматизации.

Нужен ли мне сейчас Graph PowerShell?

Да, это современный путь развития. Используйте его вместе с модулями Exchange Online и PnP, чтобы охватить все административные области.

Как быстро можно увидеть окупаемость?

Первый еженедельный запуск обычно выявляет поразительное количество неиспользуемых лицензий и устаревших гостевых учетных записей, что сразу открывает возможности для экономии.

Что насчет мульти-гео или MSP?

Параметризуйте конфигурации клиентов, централизуйте инфраструктуру журналирования и помечайте выходные отчеты идентификатором клиента (tenant ID), чтобы масштабировать решение на несколько сред.

Заключение

Автоматизация оптимизации лицензий Microsoft 365 — один из самых эффективных проектов, которые может взять на себя администратор. Она прекращает ежемесячные потери на неиспользуемое программное обеспечение, повышает уровень безопасности за счет очистки устаревших учетных записей и избавляет от рутинных ручных проверок в портале.

Если вы хотите получить полное пошаговое руководство по этим концепциям, включая разбор скриптов в реальном времени и более глубокие архитектурные советы, обязательно посмотрите соответствующий эпизод подкаста: Automate Microsoft 365 Tenant Cleanup with PowerShell. Слушайте и поднимайте свои навыки автоматизации на новый уровень уже сегодня!