De juiste toegang begint met goede medewerkersgegevens

Niet ieder veld is even belangrijk. Dit zijn de gegevens die direct invloed hebben op accounts, rechten, licenties en workflows.

Juist deze gegevens veranderen regelmatig. En als niemand ze bijwerkt, merkt IT dat vaak pas wanneer een onboarding of goedkeuring vastloopt.

`employeeHireDate` en `employeeLeaveDateTime` zijn de twee velden waarop Lifecycle Workflows plannen. Een joiner-workflow draait een aantal dagen voor of op de startdatum, een leaver-workflow op of na de vertrekdatum. Het tijdstip telt mee. Workflows draaien niet eerder dan het tijdstip in het veld, en de tenant verwerkt ze volgens een eigen schema dat standaard elke drie uur loopt. Microsoft raadt daarom een tijd vroeg op de dag aan voor de startdatum en laat op de dag voor de vertrekdatum.

Het schrijven van employeeLeaveDateTime is beter afgeschermd dan de andere velden. Een app heeft de toestemming User-LifeCycleInfo.ReadWrite.All nodig, en wie het veld met de hand in een gedelegeerde sessie zet, heeft de rol Global Administrator nodig. Lezen kan met de rol Lifecycle Workflows Administrator of Global Reader. Wie dat niet weet, zoekt lang naar de reden dat een script het veld niet kan zetten.

`manager` verwijst naar een ander gebruikersobject; er staat geen naam in. Je zet hem met een aparte aanroep, en hij klopt pas als de leidinggevende zelf een account heeft. Het organigram in Microsoft 365, de goedkeuringen in access packages, de taken in Lifecycle Workflows die de manager mailen en de dynamische regel Direct Reports for lezen allemaal deze verwijzing. Na een reorganisatie is het het veld dat het langst verkeerd blijft staan.

Connect-MgGraph -Scopes "User.ReadWrite.All"

$upn = "jan.jansen@bedrijf.nl"
Update-MgUser -UserId $upn `
  -Department "Financiële administratie" `
  -JobTitle "Medewerker crediteuren" `
  -EmployeeId "100482" `
  -UsageLocation "NL" `
  -EmployeeHireDate "2026-12-01T05:00:00Z"

$manager = Get-MgUser -UserId "petra.smit@bedrijf.nl"
Set-MgUserManagerByRef -UserId $upn -BodyParameter @{
  "@odata.id" = "https://graph.microsoft.com/v1.0/users/$($manager.Id)"
}

Soms heb je meer nodig dan de standaardvelden, bijvoorbeeld een kostenplaats. Microsoft biedt daarvoor twee plekken. Ze lijken op elkaar en worden vaak door elkaar gehaald.

Gebruik je de vijftien extension attributes, leg dan ergens vast welke waarvoor dient. De namen zeggen niets, en een tweede beheerder die extensionAttribute7 "vrij" vindt, overschrijft zonder het te weten de kostenplaats waar drie dynamische groepen op draaien. Microsoft wijst er ook op dat je hier geen gevoelige persoonsgegevens in zet, zoals een BSN of medische gegevens.

Bij een hybride omgeving is dit het eerste waar beheerders op vastlopen. Een gebruiker die uit Active Directory wordt gesynchroniseerd, heeft AD als bron. Velden als department, jobTitle en de extension attributes pas je dan in AD aan; in Entra ID zijn ze voor dat account alleen-lezen, en de volgende synchronisatie zou je wijziging toch overschrijven. Hoe die sync werkt en wat de source of authority per object betekent, lees je in Entra Connect of Cloud Sync.

Een eenmalige controle helpt, maar het is nog beter als wijzigingen vanuit HR automatisch worden doorgegeven.

Begin met een overzicht van actieve accounts waar een van de sturende velden ontbreekt. Dat zijn de mensen bij wie de automatisering nu al stil faalt.

Connect-MgGraph -Scopes "User.Read.All","User-LifeCycleInfo.Read.All"

$velden = "Id","UserPrincipalName","AccountEnabled","Department","JobTitle",
          "UsageLocation","EmployeeId","EmployeeHireDate","UserType"

Get-MgUser -All -Property $velden -ExpandProperty Manager |
  Where-Object { $_.AccountEnabled -and $_.UserType -eq "Member" } |
  Where-Object { -not $_.Department -or -not $_.JobTitle -or -not $_.UsageLocation -or
                 -not $_.EmployeeId -or -not $_.Manager } |
  Select-Object UserPrincipalName, Department, JobTitle, UsageLocation, EmployeeId,
    @{ n = "Manager"; e = { $_.Manager.AdditionalProperties.userPrincipalName } } |
  Export-Csv .\ontbrekende-attributen.csv -NoTypeInformation -Encoding UTF8

1. 1Draai het overzicht en sorteer op afdeling. Lege velden zitten zelden willekeurig verspreid: vaak is het één team, één vestiging of iedereen die na een bepaalde datum is begonnen.
2. 2Kijk naar de spelling. Tel per department hoeveel mensen er in staan. "ICT", "IT" en "I.C.T." naast elkaar betekent drie dynamische groepen die elk een deel missen.
3. 3Leg vast welk systeem de bron is per veld. Voor afdeling, functie, datum in dienst en leidinggevende is dat bijna altijd het HR-systeem, niet de beheerder die het account aanmaakt.
4. 4Herhaal de controle maandelijks. Een veld dat bij aanmaak klopte, klopt na de eerste overplaatsing vaak niet meer.