Microsoft 365-licenties toewijzen zonder onnodig handwerk

In het beheercentrum zie je herkenbare productnamen. In scripts kom je technische codes tegen. Die horen bij dezelfde licenties.

Wat in het beheercentrum "Microsoft 365 E3" heet, is in PowerShell en Graph een SKU: een product met een technische naam (SkuPartNumber) en een GUID (SkuId). Elke SKU bestaat uit service plans: Exchange Online, SharePoint, Teams, Sway, Viva Engage en zo verder. Je wijst altijd een SKU toe, en per toewijzing kun je losse service plans uitzetten met disabledPlans. De SKU blijft dan hetzelfde en telt nog steeds als één licentie.

Let op dat de technische naam niet altijd lijkt op de productnaam: Microsoft 365 F3 heet SPE_F1. Microsoft publiceert de volledige lijst, met elk service plan erbij, als CSV op de pagina "Product names and service plan identifiers for licensing". Wat je tenant zelf heeft, en hoeveel ervan in gebruik is, vraag je op met Get-MgSubscribedSku.

Connect-MgGraph -Scopes "Organization.Read.All"

Get-MgSubscribedSku -All |
  Select-Object SkuPartNumber, SkuId, ConsumedUnits,
    @{ n = "Gekocht"; e = { $_.PrepaidUnits.Enabled } }

Een ontbrekende landcode lijkt een detail, maar kan een licentietoewijzing blokkeren.

Een licentie toewijzen aan een gebruiker zonder gebruikslocatie (usage location) lukt niet. Microsoft wil weten in welk land iemand de diensten gebruikt, omdat niet elke dienst in elk land beschikbaar is. De waarde is een landcode van twee letters volgens ISO 3166-1 alpha-2: NL, BE, DE.

Maak je een gebruiker aan in het Microsoft 365-beheercentrum, dan vraagt het formulier om de locatie. Accounts die uit Active Directory op locatie worden gesynchroniseerd, hebben standaard geen locatie. Bij een hybride omgeving is dit dus de eerste plek om te kijken als een licentie niet aankomt. Bij groepsgebaseerde licenties valt het minder op: daar krijgt een gebruiker zonder locatie het land van de tenant. Voor een medewerker in Duitsland in een Nederlandse tenant klopt dat niet. Hoe usage location zich verhoudt tot de andere velden op het gebruikersobject, lees je in Entra ID-gebruikersattributen.

Connect-MgGraph -Scopes "User.ReadWrite.All"

Get-MgUser -All -Property Id, DisplayName, UserPrincipalName, UsageLocation, UserType |
  Where-Object { -not $_.UsageLocation -and $_.UserType -eq "Member" } |
  Select-Object DisplayName, UserPrincipalName

Update-MgUser -UserId "jan.jansen@bedrijf.nl" -UsageLocation "NL"

Je hebt minimaal de rol License Administrator of User Administrator nodig. Er zijn twee ingangen, en welke je kiest hangt af van de vraag of je vanuit de persoon of vanuit het product werkt.

1. 1Vanuit de gebruiker: ga naar Users > Active users, kies de gebruiker en open Licenses and apps. Vink de licentie aan en klap per licentie de apps open om service plans uit te zetten. Kies Save changes. Voor meer mensen tegelijk selecteer je ze in de lijst en kies je Manage product licenses.
2. 2Vanuit het product: ga naar Billing > Licenses, kies het product en dan Assign licenses. Je voegt tot 20 gebruikers of groepen per keer toe. Onder Turn apps and services on or off zet je service plans uit.
3. 3Gaat er iets mis, dan zie je het op het tabblad Errors & issues van het product: geen licenties meer over, botsende service plans of een ongeldige usage location. Los de oorzaak op, kies de gebruiker en dan Reprocess.

Sommige diensten, zoals Sway, wijst Microsoft automatisch toe; die hoef je niet los aan te zetten. Wil je ze juist niet, dan zet je het service plan uit.

Voor meer dan een handvol mensen, of als onderdeel van een onboardingscript, gebruik je Microsoft Graph PowerShell. Microsoft beschrijft licentiebeheer in zijn documentatie alleen nog met deze module. Scripts die nog Set-MsolUserLicense of Set-AzureADUserLicense gebruiken, zet je om naar Set-MgUserLicense.

Connect-MgGraph -Scopes "User.ReadWrite.All","Organization.Read.All"

$sku = Get-MgSubscribedSku -All | Where-Object SkuPartNumber -eq "SPE_E3"
$uit = $sku.ServicePlans |
  Where-Object ServicePlanName -in "SWAY","YAMMER_ENTERPRISE" |
  Select-Object -ExpandProperty ServicePlanId

Set-MgUserLicense -UserId "jan.jansen@bedrijf.nl" -AddLicenses @(@{ SkuId = $sku.SkuId; DisabledPlans = $uit }) -RemoveLicenses @()

-RemoveLicenses is verplicht, ook als je niets weghaalt; geef dan een lege lijst mee. Hetzelfde verzoek in Microsoft Graph, voor een koppeling of een Logic App, ziet er zo uit. De app heeft minimaal de permissie LicenseAssignment.ReadWrite.All nodig.

POST https://graph.microsoft.com/v1.0/users/jan.jansen@bedrijf.nl/assignLicense
Content-Type: application/json

{
  "addLicenses": [
    {
      "skuId": "05e9a617-0261-4cee-bb44-138d3ef5d965",
      "disabledPlans": []
    }
  ],
  "removeLicenses": []
}

Van E3 naar E5 overstappen is een RemoveLicenses van de ene SKU en een AddLicenses van de andere. Controleer daarna met Get-MgUserLicenseDetail wat de gebruiker echt heeft.

Wie wil opschonen of automatiseren, moet eerst weten waar een licentie vandaan komt.

Voordat je een licentie weghaalt, wil je weten waar hij vandaan komt. Haal je een directe toewijzing weg terwijl dezelfde licentie ook via een groep binnenkomt, dan verandert er niets. Een licentie die via een groep binnenkomt, verdwijnt pas als de gebruiker uit die groep gaat of als de licentie van de groep af gaat. In het beheercentrum zie je op Billing > Licenses bij een groepstoewijzing de groepsnaam staan in plaats van de losse gebruikers. Per gebruiker staat het in licenseAssignmentStates: is assignedByGroup leeg, dan is de licentie direct toegewezen; anders staat er de ID van de groep.

$u = Get-MgUser -UserId "jan.jansen@bedrijf.nl" -Property LicenseAssignmentStates
$skus = Get-MgSubscribedSku -All

$u.LicenseAssignmentStates | ForEach-Object {
  $id = $_.SkuId
  [pscustomobject]@{
    Licentie = ($skus | Where-Object SkuId -eq $id).SkuPartNumber
    Bron     = if ($_.AssignedByGroup) { (Get-MgGroup -GroupId $_.AssignedByGroup).DisplayName } else { "Direct" }
    Status   = $_.State
  }
}

Alle drie de manieren beantwoorden de vraag hoe een licentie bij iemand komt. Geen van drieën beantwoordt de vraag wie hem hoort te hebben. Bij een directe toewijzing zit dat in het hoofd van de beheerder of in een onboardingformulier, bij een groep in het lidmaatschap en bij auto-claim bij de gebruiker zelf. Wisselt iemand van kantoor naar de werkvloer, dan moet iemand eraan denken om E3 te vervangen door F3. Vertrekt hij, dan moet iemand de licentie vrijgeven, liefst in de goede volgorde: zie licenties bij uitdiensttreding.

Beheer je dit voor meerdere klanten als MSP, dan speelt hetzelfde per tenant. Daarover gaat Microsoft 365-licenties voor MSP's.