Visto che molto spesso le vie del forum sono infinite, provo a chiedere qua.

In azienda siamo sotto audit, e il reparto security ci chiede di implementare un controllo automatico che disattivi gli utenti di M365, se sono inattivi da più di 180 giorni.

Dal pannello di controllo di M365 non si riesce a fare, ho già aperto diversi ticket, e a quanto mi dicono, si può creare un api tramite microsoft Graph.

bene, le mie conoscenze informatiche si fermano, io non ho mai programmato e non so come fare.

Qualcuno che può aiutarmi?

non ho idea di che lavoro sia, se è una roba da 5 minuti o 50 ore.

Ah, nel caso, ci si mette d'accordo e non ci sono problemi a riconoscere un compenso

Mi sembrerebbe una rapina implementare uno script di Power Shell che si trova su Internet, quindi mi limito a suggerire questo software: https://dovestones.com/active-directory-reporting/

Nel senso che su Internet trovi gli script di Power Shell già belli e pronti per l'operazione che vuoi fare tu. Non serve saper programmare, anche perché non definirei Power Shell esattamente un linguaggio di programmazione, bensì di scripting, anche se per come si è evoluta le due cose ormai si sovrappongono, ma qui andiamo OT.

Chiamare un consulente esterno per eseguire uno script e schedularlo si può anche fare, ma se c'è un "reparto security" questo dovrebbe essere il suo pane quotidiano, sempre che non sia il classico reparto che invia PDF a raffica con procedure che nemmeno lui sa applicare.

600 Dollari per un software del genere sono pure pochi, considera che il suo target sono gli ambienti multi tenant di grandi dimensioni. Automatizzare questa operazione in un ambiente di 100 o meno utenti è indubbiamente utile, ma non necessario, puzza tanto di rilievo fatto leggendo un foglio A4 con delle domande preconfezionate con l'obiettivo di far vedere che l'auditing serve.
Chiedigli piuttosto cosa ne pensano del trattamento dei dati personali sul cloud Microsoft alla luce del Cloud Act e del fatto che (per la terza volta) Schrems ha tutte le possibilità di spazzare via il Data Privacy Framework.

Capito perfettamente.
Poi magari non c'è manco un backup immutabile/air gapped. O non c'è proprio un backup, "tanto è tutto in cloud".

ovviamente. Tanto è tutto in cloud.

Te ne racconto un'altra.

Noi abbiamo un piccolo nas dove salviamo alcuni file, ma è poca roba, salviamo tipo 50gb totali per tutta l'azienda.

Bene, se tengo il NAS, che è accessibile solo dai pc aziendali in sede, non ho configurato nulla per l'accesso da remoto, dobbiamo fare penetration test, network scan di tutta la rete e non ricordo che altro.

Tolto nas, messo tutto su one drive, perfetto. a loro va bene così. Nessun problema e non devo fare più penetration test etc..

Bah.

si sono in rete.

ma si ci sta.

E che non so cosa sia più sicuro tra un nas fisico che non è accessibili dall'esterno, e un account m365.

Tanto se vogliono, ormai hackerano tutto e ti entrano anche nella mail, anche se hai MFA attivo

Il loro discorso è semplice, meno roba proprietaria hai in casa, meglio per noi. Succede qualcosa? Scarichiamo la responsabilità su altri.


Cmq alla fine dovrei aver risolto con questo programma

https://activedirectorypro.com/365-pro-toolkit/

che è simile a quello postato da FrancoZ, costa un po meno.

Sono entrambi insicuri, visto che ci puoi accedere dalla rete.
Un ransomware ti cifra i dati sul NAS e i dati su 365 (comprese le versioni precedenti) allo stesso modo. Microsoft ti risponderà che sono caxxi tuoi perché loro garantiscono la continuità del servizio, non l'amministrazione lato cliente. Non possono sapere se i dati li hai cifrati tu volontariamente con VeraCrypt o se è stato un russo con un ransomware.

Hai due sole possibilità per metterti le chiappe al sicuro: un backup air gapped, cioè fisicamente scollegato dalla rete, con dei supporti che ruoti manualmente (dischi esterni o nastri che siano, i nastri se i dati sono tanti non vanno disprezzati), o un backup su server immutabile, dove entro un periodo predeterminato puoi solo aggiungere dati e non cancellarli/modificarli.

Non contare sullo scaricabarile, perché chi lo subisce poi chiede aiuto a uno che ne sa di più che trova da qualche parte una clausola contrattuale mai letta che dice che comunque era colpa tua.