In questo articolo Indice dei contenuti 2 sezioni
Chi gestisce parchi di PC aziendali ha da poco uno strumento in più: WindowsBackupAdmin, il modulo PowerShell pubblicato da Microsoft per amministrare i backup di Windows salvati nel cloud e, all’occorrenza, cancellarli. Il progetto è disponibile su GitHub e consente di vedere cosa c’è dentro quei backup, esportarli e rimuoverli. Utile soprattutto quando un computer va sostituito o dismesso, ma con un dettaglio da tenere bene a mente: il comando di eliminazione non lavora sul singolo dispositivo, cancella tutti i dati di backup delle impostazioni legati a un utente.
Il funzionamento ruota attorno a due comandi principali. Get-WindowsBackup serve a esaminare i dati, raggrupparli per dispositivo e, quando possibile, decodificare i payload. Remove-WindowsBackup invece elimina quanto archiviato per un determinato utente. Esistono anche gli alias View-WindowsBackup e Delete-WindowsBackup, per chi preferisce una sintassi più immediata.
Cosa si può fare con il modulo PowerShell
Il comando di lettura offre tre uscite diverse. Può generare un’esportazione JSON con i soli metadati, un JSON che include anche i valori decodificati oppure un archivio ZIP con i payload grezzi accompagnati da un manifest. Sono file che possono contenere informazioni sensibili, quindi il consiglio è trattarli come dati aziendali a tutti gli effetti e conservarli in una posizione con controllo degli accessi attivo.
L’installazione passa da PowerShell Gallery, con un semplice Install-Module WindowsBackupAdmin. Fatto questo, l’amministratore si autentica a Microsoft Graph e può interrogare il backup del proprio account. Per leggere i dati di un altro utente servono autorizzazioni delegate più ampie, nello specifico UserWindowsSettings.Read.All e User.Read.All. Va detto che il modulo non nasce per girare in modo completamente automatico tramite autorizzazioni applicative: l’accesso richiede autenticazione interattiva e un account abilitato.
L’approccio più prudente è partire dall’ispezione, lanciando Get-WindowsBackup e guardando cosa restituisce. Prima di esportare i payload conviene capire quali dispositivi compaiono e quali categorie di impostazioni sono state salvate. L’identificativo del dispositivo aiuta a ricostruire da dove arrivano i dati, però non serve a nulla in fase di cancellazione, perché non è possibile usarlo come filtro.
Perché Remove-WindowsBackup va maneggiato con cura
Qui sta il punto più delicato di tutta la faccenda. Remove-WindowsBackup non prevede un parametro DeviceId, non ha una modalità di anteprima, non offre una funzione di annullamento e non permette la cancellazione di una singola impostazione. Una volta che l’amministratore conferma, parte una richiesta a Microsoft Graph che elimina tutti gli oggetti windowsSetting associati all’utente. Punto.
La documentazione Microsoft aggiunge altri paletti. L’operazione passa dall’endpoint Graph beta, richiede il permesso UserWindowsSettings.ReadWrite.All e impone il ruolo Microsoft 365 Backup Administrator in Microsoft Entra. Le autorizzazioni applicative non sono supportate, e trattandosi di API in versione beta possono cambiare comportamento, permessi o disponibilità senza troppo preavviso.
Tradotto in pratica, il comando ha senso in scenari precisi: l’offboarding di un account, una richiesta formale di cancellazione dei dati, il reset completo di un profilo ormai danneggiato. Diventa invece pericoloso quando l’obiettivo è ripulire soltanto il backup di un vecchio portatile lasciando intatti quelli generati da altre macchine. In quel caso lo strumento fa più danni che altro.
Ultima precisazione, tutt’altro che secondaria: WindowsBackupAdmin non ha niente a che vedere con un backup completo del PC. Windows conserva le impostazioni supportate e l’elenco delle applicazioni Microsoft Store, niente di più. Nessuna immagine del disco, nessuna protezione dei documenti, delle app Win32 o dei dati Microsoft 365.
