Automatiseren klinkt aantrekkelijk tot het moment dat een script om drie uur 's nachts iets doet wat niemand had bedoeld. Dat risico is reëel, en het is precies de reden dat ik terughoudend ben met alles wat zonder toezicht gebruikers of gegevens verwijdert.
Tegelijk zijn er beheertaken die zich uitstekend lenen voor automatisering, juist omdat ze saai en herhaalbaar zijn en de fouten die mensen erin maken voorspelbaar zijn. Hieronder vijf taken die ik in de praktijk regelmatig automatiseer, met per taak de waarborgen die ik erbij inbouw. De keuze tussen PowerShell en n8n komt daarbij steeds terug: PowerShell met de Microsoft Graph PowerShell SDK is sterk als je diep in Microsoft 365 moet zitten, n8n is prettig als je meerdere systemen aan elkaar knoopt en de stroom zichtbaar wil houden voor collega's die geen code lezen.
Het uitgangspunt: waarborgen eerst
Voordat ik één taak behandel, de spelregels die ik bij alles toepas. Ze kosten wat extra werk aan de voorkant en besparen daarna veel.
- Least privilege. Een automatisering krijgt exact de rechten die de taak nodig heeft, niet meer. Een rapportage leest alleen. Nooit een globale beheerdersrol omdat dat sneller werkt.
- Dry-run als standaard. Elk script draait eerst in een modus die alleen laat zien wat het zou doen. Pas als die uitvoer klopt, zet je de uitvoering aan.
- Logging op elke stap. Wie of wat is er gewijzigd, wanneer, door welke automatisering, met welk resultaat. Zonder logboek kun je een fout niet terugdraaien omdat je niet weet wat er is gebeurd.
- Goedkeuringsstap bij onomkeerbare handelingen. Verwijderen, uitzetten en licenties intrekken zijn geen dingen die vanzelf horen te gebeuren.
- Foutafhandeling die stopt. Bij een onverwachte fout stopt de verwerking en gaat er een melding uit. Doorgaan met de rest van de lijst is bijna altijd de verkeerde keuze.
- Menselijke controle op een vast moment. Iemand kijkt periodiek naar de uitvoer. Een automatisering waar niemand meer naar kijkt, is een automatisering die je niet meer vertrouwt.
1. Onboarding van nieuwe medewerkers
Waarom geschikt. Een nieuwe collega aanmaken is een lange, altijd identieke reeks handelingen: account, wachtwoordbeleid, licentie, groepslidmaatschappen, gedeelde postvakken, distributielijsten, mappen. Het is precies het soort werk waarbij mensen bij stap zeven iets vergeten omdat de telefoon gaat.
Wat je automatiseert. De aanmaak zelf, op basis van één ingevuld formulier of een regel uit een personeelssysteem. Rol bepaalt licentie en groepen, niet de persoon die het aanmaakt. Aan het eind gaat er een samenvatting naar de leidinggevende en naar de begeleider van de nieuwe collega.
Waarborgen. Werk met vaste rolprofielen in plaats van vrije invoer, want vrije invoer betekent dat iemand een groep intypt die niet bestaat. Laat de aanmaak starten na een expliciete goedkeuring door de leidinggevende. Log welke rechten zijn toegekend en op basis van welk profiel. En bouw een controle in die weigert door te gaan als het profiel onbekend is.
Met de Graph PowerShell SDK is dit goed te doen in één script. Werkt je HR-proces al in een ander systeem, dan is n8n vaak handiger omdat je daar het formulier, de goedkeuring en de melding zichtbaar in één stroom hebt staan.
2. Offboarding van vertrekkende medewerkers
Waarom geschikt. Offboarding is het spiegelbeeld van onboarding, maar met hogere inzet. Vergeten stappen betekenen hier dat iemand na vertrek nog toegang heeft. Tegelijk is het de taak waarbij ik het hardst waarschuw voor volledige automatisering.
Wat je automatiseert. Sessies intrekken, het account blokkeren, doorsturen van mail instellen, de manager toegang geven tot het postvak, licenties markeren voor intrekking en het apparaat aanmelden voor terugname. Wat ik bewust níét automatiseer: definitief verwijderen van accounts en gegevens.
Waarborgen. Splits de taak in een directe fase en een uitgestelde fase. De directe fase blokkeert toegang en draait meteen. De uitgestelde fase, met licentie-intrekking en opruimen, wacht een vastgestelde periode en vraagt om een handmatige bevestiging. Verwijderen doet een mens, met de checklist ernaast. Log alles, want dit is de reeks handelingen waar je maanden later vragen over kunt krijgen.
3. Licentierapportage
Waarom geschikt. Licenties zijn een sluipend kostenpost. Er komen er telkens bij, er gaan er zelden af, en niemand kijkt ernaar tot de verlenging in zicht is. Het is bovendien een taak die alleen leest, dus het risico is minimaal.
Wat je automatiseert. Een maandelijks overzicht van toegekende licenties per type, hoeveel er ongebruikt zijn, welke accounts een licentie hebben maar al langere tijd niet zijn ingelogd, en welke verschillen er zijn met de vorige maand. Dat verschil is het waardevolste deel: een lijst van driehonderd regels leest niemand, twaalf wijzigingen wel.
Waarborgen. Gebruik een account of app-registratie met alleen leesrechten. Verstuur de rapportage naar een vaste ontvanger en bewaar de historie, zodat je trends ziet. Laat de automatisering nooit zelf licenties intrekken; het rapport is een beslissingshulp, geen besluit.
Connect-MgGraph -Scopes "Organization.Read.All"
Get-MgSubscribedSku | Select-Object SkuPartNumber, ConsumedUnits
4. Inactieve accounts en apparaten signaleren
Waarom geschikt. Slapende accounts zijn een klassiek beveiligingsgat: een stagiair van vorig jaar, een tijdelijke consultant, een gedeeld account dat ooit voor een project is gemaakt. Ze vallen niemand op omdat er niets mee gebeurt. Precies daarom vindt een aanvaller ze prettig.
Wat je automatiseert. Wekelijks of maandelijks signaleren van accounts zonder aanmelding in een vastgestelde periode, accounts zonder meervoudige verificatie, en apparaten die al lange tijd niet meer hebben ingecheckt bij het beheer. De uitvoer is een lijst met een adviesregel per item, niet een uitgevoerde actie.
Waarborgen. Bouw een uitzonderingslijst in voor serviceaccounts en dienstverbanden die seizoensgebonden zijn, anders krijg je elke maand dezelfde valse meldingen en gaat men de lijst negeren. Zorg dat de melding stil blijft als er niets te melden valt. En houd het bij signaleren: het uitzetten van een account hoort een menselijk besluit te zijn, al is het maar omdat je niet weet of iemand met zwangerschapsverlof is.
5. Meldingen en tickets routeren
Waarom geschikt. Meldingen komen binnen via mail, een formulier, een chatkanaal en soms via iemand die langsloopt. Het handmatig verplaatsen van die meldingen naar de juiste plek is werk dat niets toevoegt.
Wat je automatiseert. Binnenkomende meldingen normaliseren naar één formaat, verrijken met gegevens over de melder en zijn afdeling, indelen op categorie en urgentie, en doorzetten naar de juiste behandelaar of het juiste kanaal. Daarnaast een bevestiging naar de melder, want de meeste irritatie ontstaat door stilte.
Waarborgen. Dit is bij uitstek een n8n-taak, omdat je de stroom visueel kunt volgen en collega's kunnen zien waar iets is blijven hangen. Zorg dat een melding die niet automatisch is in te delen naar een menselijke wachtrij gaat in plaats van naar de dichtstbijzijnde categorie. Vermijd dat de automatisering zelf antwoorden verzint over de inhoud; laat hem sorteren en doorgeven, niet oordelen. En bewaak de stroom zelf: een kapotte routering die niemand opmerkt is erger dan geen routering, omdat iedereen aanneemt dat het geregeld is.
Bonus: rapporteren over back-up en compliance
Strikt genomen een zesde, maar hij hoort erbij omdat hij zo weinig risico kent. Een dagelijkse controle die vaststelt of back-ups zijn geslaagd, of apparaten voldoen aan het beleid en of versleuteling actief is, en die alleen meldt wanneer iets afwijkt. Volledig lezend, geen wijzigingen, en het scheelt de wekelijkse ronde langs vier verschillende beheerschermen.
Wat betekent dit voor jouw organisatie?
De eerlijke samenvatting: automatiseer wat leest en signaleert zonder aarzeling, automatiseer wat aanmaakt met een goedkeuringsstap, en automatiseer wat verwijdert liever niet volledig. De winst zit zelden in het bespaarde kwartier, maar in het feit dat een taak nooit meer wordt overgeslagen.
Begin klein. Eén taak, één maand meekijken, dan pas de volgende. Wil je sparren over welke taak in jouw situatie de beste eerste stap is, dan denk ik daar graag vrijblijvend over mee.
Geschreven door Mohamed Zagoudi. Gepubliceerd op , laatst gecontroleerd op . Dit artikel is gebaseerd op eigen praktijkervaring en bevat geen verwijzingen naar specifieke klanten.