Een medewerker uit dienst: wanneer trek je de Microsoft 365-licentie in?

Een goede offboarding voorkomt twee problemen tegelijk: een oud-medewerker houdt geen toegang, en collega’s verliezen geen informatie die ze nog nodig hebben.

Het principe: eerst de deur dicht, dan de gegevens veiligstellen, dan pas de licentie vrij, en het account als laatste. Zo ziet dat er in stappen uit.

1. 1Toegang dicht. Blokkeer het aanmelden en trek de sessies in, zodat ook een al ingelogde telefoon of laptop eruit gaat. Komt het account uit Active Directory op locatie, schakel het dan daar uit; anders zet de synchronisatie het weer aan.
2. 2Beslis wat je bewaart. Moet de mail blijven voor collega's (omzetten naar gedeelde mailbox), voor wet- of regelgeving (bewaarbeleid of litigation hold, zie verderop), of helemaal niet?
3. 3Zet de mailbox om naar een gedeelde mailbox, terwijl de licentie er nog op zit. Zonder licentie zie je de optie niet.
4. 4Geef de manager of opvolger toegang tot de gedeelde mailbox en zet een afwezigheidsbericht dat naar de juiste collega verwijst.
5. 5Regel OneDrive. Laat de manager of opvolger de bestanden overzetten die nog nodig zijn, naar een SharePoint-site of een eigen OneDrive.
6. 6Reset het wachtwoord. Na het omzetten blijven de oude gebruikersnaam en het oude wachtwoord werken op de gedeelde mailbox.
7. 7Haal de licentie weg, maar alleen als de mailbox onder de 50 GB zit en er geen hold op hoeft.
8. 8Verwijder het account pas later, of niet. Een omgezette gedeelde mailbox heeft het account nodig als anker; verwijder het dus niet zolang je de mailbox gebruikt.

Connect-MgGraph -Scopes "User.ReadWrite.All","Organization.Read.All"
Connect-ExchangeOnline

$upn = "jan.jansen@bedrijf.nl"

# 1. Toegang dicht
Update-MgUser -UserId $upn -AccountEnabled:$false
Revoke-MgUserSignInSession -UserId $upn

# 3. Omzetten, eerst de grootte controleren
Get-MailboxStatistics -Identity $upn | Select-Object DisplayName, TotalItemSize
Set-Mailbox -Identity $upn -Type Shared

# 4. Manager erbij en een afwezigheidsbericht
Add-MailboxPermission -Identity $upn -User "petra.devries@bedrijf.nl" -AccessRights FullAccess -InheritanceType All
Set-MailboxAutoReplyConfiguration -Identity $upn -AutoReplyState Enabled -InternalMessage "Jan werkt hier niet meer. Neem contact op met Petra de Vries." -ExternalMessage "Jan werkt hier niet meer. Neem contact op met Petra de Vries."

# 7. Licentie vrij
$sku = Get-MgSubscribedSku -All | Where-Object SkuPartNumber -eq "SPE_E3"
Set-MgUserLicense -UserId $upn -AddLicenses @() -RemoveLicenses @($sku.SkuId)

Een gedeelde mailbox is vaak een praktische oplossing, bijvoorbeeld wanneer klanten nog reageren op oude e-mails.

Omzetten naar een gedeelde mailbox (convert to shared mailbox) is de gebruikelijke manier om de mail van een vertrokken medewerker te houden zonder een licentie te blijven betalen. Alle mail en agenda-items blijven staan. In het beheercentrum ga je naar Users > Active users, kies je de gebruiker en op het tabblad Mail Convert to shared mailbox. Wel gelden er een paar voorwaarden.

Wie de gedeelde mailbox opent, heeft zelf wel een Exchange Online-licentie nodig; de gedeelde mailbox heeft er geen nodig. Welke rechten je de manager geeft en waarom automapping via een groep niet werkt, staat in gedeelde mailboxen en mailboxrechten. In een hybride Exchange-omgeving zet je de mailbox om met de cmdlets van je Exchange op locatie; anders kan de synchronisatie hem terugzetten naar een gebruikersmailbox.

De licentie vrijgeven is niet altijd de goede keuze. In deze gevallen houd je hem, of kies je een andere route:

• Litigation hold of een lopend onderzoek. Een mailbox zonder licentie is niet meer doorzoekbaar met eDiscovery, en een hold op een gedeelde mailbox vraagt een licentie op die mailbox.
• Een mailbox groter dan 50 GB die je als gedeelde mailbox wilt houden: daarvoor is Exchange Online Plan 2 nodig.
• Een archiefmailbox die mee moet: zonder licentie heeft de gedeelde mailbox geen ruimer archief.
• OneDrive die je langer dan 93 dagen toegankelijk wilt houden, zonder de bestanden te verplaatsen. Na 93 dagen zonder licentie staat hij in het archief.

Moet je de mail alleen bewaren voor de regels, en hoeft niemand erin te werken, dan is een inactive mailbox vaak beter dan een licentie blijven betalen. Je zet een bewaarbeleid (retention policy) op de mailbox, controleert dat de hold echt is toegepast, en verwijdert daarna het account. De mailbox blijft dan bewaard zolang het beleid dat zegt, en de licentie komt vrij. Microsoft raadt hiervoor een retentiebeleid aan in plaats van litigation hold.

De laatste werkdag is druk. Zonder vaste stappen raakt het intrekken van een licentie al snel los van het bewaren van de juiste gegevens.

Elke stap hierboven is goed te doen. Het probleem is dat het er acht zijn, in een vaste volgorde, op een vaste dag, en dat die dag meestal pas bij IT bekend is als iemand eraan denkt het door te geven. Een vertrek dat een week te laat binnenkomt, betekent een week lang een actief account, of een licentie die al weg was voordat de mailbox was omgezet. Een vertrek dat helemaal niet binnenkomt, betekent een licentie die maanden doorloopt; daarover gaat Microsoft 365-licentiekosten verlagen.

Het volledige offboardingverhaal in Entra ID, met apparaten, MFA-methoden en applicaties buiten Microsoft 365, staat in offboarding in Entra ID. Waarom het juist bij uitdiensttreding zo vaak blijft liggen, lees je in automatische deprovisioning.