Microsoft prepara nuovi strumenti PowerShell per i backup di Windows

Microsoft ha pubblicato WindowsBackupAdmin, un modulo PowerShell pensato per amministrare i backup e il ripristino degli stessi.

Il progetto è disponibile su GitHub e permette di visualizzare, esportare e cancellare i dati conservati nel cloud. La funzione è utile soprattutto durante la sostituzione o la dismissione dei PC, ma il comando di eliminazione richiede particolare attenzione: rimuove tutti i dati di backup delle impostazioni associati a un utente, non soltanto quelli di un singolo dispositivo.

Come usare WindowsBackupAdmin

Il modulo espone principalmente due comandi:

• Get-WindowsBackup, per esaminare i dati di backup, raggrupparli per dispositivo e, quando possibile, decodificare i payload;
• Remove-WindowsBackup, per eliminare i dati archiviati per un utente.

Sono inoltre disponibili gli alias View-WindowsBackup e Delete-WindowsBackup. Il comando di lettura può produrre un’esportazione JSON con i soli metadati, un JSON contenente anche i valori decodificati oppure un archivio ZIP con i payload grezzi e un manifest. Questi file possono contenere informazioni sensibili, quindi vanno trattati come dati aziendali e conservati in una posizione sottoposta a controllo degli accessi.

Per installare il modulo è possibile usare PowerShell Gallery:

Install-Module WindowsBackupAdmin

Dopo l’installazione, l’amministratore può autenticarsi a Microsoft Graph e interrogare il backup del proprio account. Per leggere i dati di un altro utente servono autorizzazioni delegate più ampie, tra cui UserWindowsSettings.Read.All e User.Read.All. Il modulo non è pensato per l’esecuzione completamente automatica tramite autorizzazioni applicative: l’accesso avviene con autenticazione interattiva e con un account autorizzato.

Un esempio prudente consiste nell’iniziare dall’ispezione:

Get-WindowsBackup

Prima di esportare i payload, conviene verificare quali dispositivi e quali categorie di impostazioni sono presenti. L’identificativo del dispositivo aiuta a comprendere l’origine dei dati, ma non può essere usato per limitare la cancellazione.

La cancellazione elimina tutto il profilo

Il punto più delicato riguarda Remove-WindowsBackup. Il comando non offre un parametro -DeviceId, una modalità di anteprima, una funzione di annullamento o una cancellazione per singola impostazione. Dopo la conferma dell’amministratore, invia una richiesta a Microsoft Graph che elimina tutti gli oggetti windowsSetting dell’utente.

La documentazione Microsoft specifica inoltre che l’operazione passa dall’endpoint Graph beta, richiede UserWindowsSettings.ReadWrite.All e impone il ruolo Microsoft 365 Backup Administrator in Microsoft Entra. Le autorizzazioni applicative non sono supportate e le API beta possono cambiare comportamento, permessi o disponibilità.

Per questo motivo, il comando è adatto a casi come l’offboarding di un account, una richiesta di cancellazione dei dati o il reset completo di un profilo danneggiato. È invece rischioso se si vuole eliminare soltanto il backup di un vecchio laptop mantenendo quelli prodotti da altri dispositivi.

WindowsBackupAdmin non è inoltre un backup completo del PC. Windows conserva impostazioni supportate e l’elenco delle applicazioni Microsoft Store, ma non crea un’immagine del disco né sostituisce la protezione dei documenti, delle app Win32 o dei dati Microsoft 365.