Microsoft 365-migratie: checklist zonder verrassingen

Twee soorten migraties

Deze checklist dekt twee veelvoorkomende scenario’s: van on-premises Exchange naar Exchange Online, en van de ene Microsoft 365-tenant naar de andere, bijvoorbeeld na een overname of fusie. De fasen zijn grotendeels gelijk. Het grootste verschil zit in identiteit en domeinen: bij een tenant-to-tenant-migratie kan een domein maar in één tenant tegelijk geverifieerd zijn. Je moet het dus uit de brontenant verwijderen voordat je het aan de doeltenant toevoegt, en dat dwingt een hard omschakelmoment af.

Fase 1: Inventarisatie

• Gebruikersmailboxen, met grootte, aantal items en archiefmailboxen.
• Gedeelde mailboxen, ruimte- en apparaatmailboxen, met hun machtigingen (Volledige toegang, Verzenden als, Verzenden namens).
• Distributiegroepen, beveiligingsgroepen met mail en Microsoft 365-groepen.
• Doorstuurregels, transportregels, connectoren en apparaten of applicaties die via SMTP mailen.
• Openbare mappen, als die er zijn. Die vragen een eigen migratiepad.
• OneDrive- en SharePoint-data, inclusief grootte, gedeelde links en externe deling.
• Teams: teams, kanalen, eigenaren, apps en gastgebruikers. Chatgeschiedenis is bij een tenant-to-tenant-migratie lastig te verplaatsen; stem vooraf af wat wel en niet mee gaat.
• Bewaarbeleid, litigation holds en eDiscovery-vereisten.

In Exchange Online geeft dit een snel overzicht per type ontvanger:

Get-EXOMailbox -ResultSize Unlimited | Group-Object RecipientTypeDetails | Select-Object Name, Count

Fase 2: Identiteit en licenties

• Kies hoe identiteiten in Entra ID komen: synchronisatie vanuit Active Directory met Microsoft Entra Connect Sync of Entra Cloud Sync, of alleen-cloudaccounts.
• Zorg dat UPN’s een routeerbaar, geverifieerd domein gebruiken en bij voorkeur gelijk zijn aan het primaire e-mailadres.
• Begrijp hoe matching werkt. Bij een soft match koppelt synchronisatie op basis van het primaire SMTP-adres of de UPN aan een bestaand cloudaccount; bij een hard match op basis van het bronanker (ImmutableId). Test dit vooraf met een paar accounts.
• Bepaal welke licenties nodig zijn en wijs ze tijdig toe, bij voorkeur via groepsgebaseerde licenties. In een hybride scenario moet je opletten dat er bij het toekennen van een licentie niet per ongeluk een tweede, lege cloudmailbox ontstaat naast de on-premises mailbox.
• Bij tenant-to-tenant: bepaal of gebruikers nieuwe accounts in de doeltenant krijgen, hoe wachtwoorden of MFA worden geregeld en wat er met de oude accounts gebeurt.

Fase 3: Migratiemethode kiezen

• Cutover-migratie: alle mailboxen in één keer van on-prem naar Exchange Online. Geschikt voor kleinere omgevingen zonder synchronisatie en zonder behoefte aan een langere overgangsperiode.
• Gefaseerde (staged) migratie: in batches. Microsoft ondersteunt dit alleen voor zeer oude Exchange-versies, dus in de praktijk zelden nog relevant.
• Hybride migratie: on-prem Exchange en Exchange Online werken tijdelijk samen, met gedeelde vrij/bezet-informatie en verplaatsing per batch. De beste keuze voor grotere omgevingen of als je directorysynchronisatie gebruikt. Het vraagt een ondersteunde en gepatchte Exchange-omgeving; Exchange 2016 en 2019 zijn sinds oktober 2025 uit ondersteuning, dus plan dit zorgvuldig.
• Tenant-to-tenant: Microsoft biedt cross-tenant mailbox- en OneDrive-migratie, waarvoor een aanvullende licentie per gebruiker nodig is. Daarnaast zijn er diverse migratietools van derden die ook Teams en SharePoint meenemen. Vergelijk ze op wat ze daadwerkelijk migreren, hoe ze met machtigingen omgaan en hoe de delta-synchronisatie werkt.

Fase 4: DNS voorbereiden

• Verlaag de TTL van MX-, autodiscover- en SPF-records ruim van tevoren.
• Bereid het nieuwe MX-record voor; neem de exacte waarde over uit het beheercentrum, want die verschilt per domein.
• Controleer het autodiscover-record (CNAME naar autodiscover.outlook.com) en verwijder verouderde SRV- of A-records die Outlook de verkeerde kant op sturen.
• Werk SPF bij. Zorg dat alle legitieme verzenders erin staan en dat je onder de limiet van tien DNS-lookups blijft.
• Zet DKIM aan in de nieuwe omgeving met de CNAME-records die het portal toont.
• Heb je nog geen DMARC, begin dan met p=none en rapportage, zodat je ziet wie namens je domein mailt. Verscherp pas na de migratie.

Fase 5: Pilot

Kies een pilotgroep van vijf tot tien mensen met verschillende rollen: iemand met een gedeelde mailbox, iemand die veel agenda’s deelt, iemand die vooral op mobiel werkt en bij voorkeur een kritische collega. Laat ze minimaal een week werken en noteer elk probleem.

Fase 6: Communicatie

• Kondig de migratie twee tot drie weken vooraf aan, met datum, wat gebruikers merken en wat ze zelf moeten doen.
• Stuur een korte instructie voor Outlook, mobiel en Teams.
• Vertel waar ze met vragen terechtkunnen op de eerste werkdag, en zorg dat er die ochtend iemand fysiek of direct bereikbaar is.

Fase 7: Het omschakelweekend

1. Bevries wijzigingen: geen nieuwe mailboxen, groepen of machtigingen meer in de bron.
2. Voer de laatste incrementele synchronisatie uit.
3. Pas MX en autodiscover aan (bij tenant-to-tenant: verwijder het domein uit de bron en voeg het toe aan de doeltenant).
4. Controleer met een externe tool of de nieuwe DNS-records zichtbaar zijn en test in- en uitgaande mail.
5. Voer een laatste delta-sync uit voor mail die nog in de bron is binnengekomen.
6. Test met de pilotgebruikers: Outlook, webmail, mobiel, gedeelde mailboxen en Teams.

Fase 8: Terugdraaiplan

Bepaal vooraf wat het beslismoment is om terug te draaien en wie dat besluit neemt. Bij een cutover betekent terugdraaien meestal de DNS-records terugzetten en de bronmailboxen weer in gebruik nemen; mail die intussen in de nieuwe omgeving is binnengekomen moet je dan terughalen. Bij hybride kun je mailboxen terugverplaatsen naar on-prem. Bij tenant-to-tenant is terugdraaien na de domeinverhuizing het lastigst, dus test daar het grondigst vooraf.

Fase 9: Nazorg en controles

• Outlook: maak bij tenant-to-tenant bij voorkeur een nieuw profiel aan. Controleer of de cache opnieuw is opgebouwd en of gedeelde mailboxen automatisch verschijnen.
• Mobiele apparaten: in veel gevallen moet het account opnieuw worden toegevoegd in Outlook Mobile of de systeemmail-app.
• Gedeelde agenda’s en gedelegeerde toegang: test of machtigingen goed zijn meegekomen.
• Machtigingen op gedeelde mailboxen, Verzenden als en Verzenden namens.
• Doorstuurregels, handtekeningen, ruimteboekingen en scan-naar-mail.
• Mailflow: controleer de berichttracering op afwijzingen en spamclassificatie in de eerste dagen.

Fase 10: Ontmanteling

• Houd de bronomgeving een afgesproken periode alleen-lezen beschikbaar.
• Controleer of bewaarplichten en back-ups geregeld zijn voordat je data verwijdert.
• Bij hybride: bepaal of je een Exchange-server voor ontvangerbeheer nodig houdt of dat je overstapt op de beheertools zonder actieve server, volgens de actuele richtlijnen van Microsoft.
• Zeg licenties in de brontenant op, schakel oude accounts uit en ruim verouderde DNS-records, connectoren en relay-instellingen op.