Asignar correctamente los roles de administración de Sophos Fusion (antes Sophos Central)

El rol adecuado de Sophos Fusion sigue el principio de mínimo privilegio: Super Admin se reserva para administrar roles y API, Admin es adecuado para una administración amplia, Help Desk para tareas de soporte, Read-only para consulta y User únicamente para el Self Service Portal. Para permisos más precisos se utiliza una Custom Role.

¿Qué rol de administración es adecuado?

Sophos Fusion incluye cinco roles predefinidos. Las funciones adicionales de XDR y específicas de productos dependen de las licencias disponibles. Si falta la licencia de producto necesaria, la capacidad correspondiente puede quedar totalmente oculta en la administración de roles.

Información: Los roles predefinidos no pueden editarse ni eliminarse.

Super Admin

Super Admin tiene acceso completo y, además, administra roles, asignaciones de roles, Custom Roles, API Tokens y API Credentials. Puede abrir tickets con Sophos Support y activar Remote Assistance.

Importante: Siempre debe haber al menos un Super Admin en el tenant.

Admin

Admin tiene amplio acceso a las funciones licenciadas de Sophos Fusion, pero no puede administrar roles ni asignaciones de roles, API Tokens o API Credentials. También puede utilizar tickets de soporte y Remote Assistance. En la página Quarantined Messages, este rol puede liberar correos en cuarentena.

Help Desk

Help Desk dispone básicamente de acceso de lectura a las configuraciones, pero también puede consultar registros e informes confidenciales, recibir alertas y resolverlas únicamente si la página Alerts se abrió desde el dashboard, actualizar agentes de Sophos, analizar equipos y modificar el cobranding. Puede abrir tickets con Sophos Support, pero no activar Remote Assistance. Tampoco puede administrar roles ni credenciales de API.

Con una licencia de Phish Threat, Help Desk ve usuarios, campañas, series, resultados e informes. Sin embargo, no puede notificar un correo como spam ni modificar los usuarios asignados a una campaña de Phish Threat. Por tanto, los botones de edición no disponibles y las opciones de rol ausentes son limitaciones previstas, no errores de visualización.

Read-only

Read-only puede consultar configuraciones, registros confidenciales, informes y alertas, y abrir tickets con Sophos Support. Con una licencia de Phish Threat puede ver usuarios, campañas, series, resultados e informes. Sin embargo, no puede activar Remote Assistance, administrar roles o API Credentials, asignar políticas, modificar configuraciones, resolver alertas, actualizar agentes ni analizar equipos. Tampoco están disponibles acciones de licencia como Start Trial y Apply License Key.

User

User no tiene permisos de administración y solo utiliza el Self Service Portal. La activación y el ciclo de vida del usuario se explican en Configurar el acceso a Sophos Fusion Self Service Portal.

Los roles de Sophos Fusion solo se aplican a la plataforma de Sophos. No conceden derechos de administración en Microsoft 365 ni sustituyen a un Microsoft 365 Global Administrator o al consentimiento de administrador que se requiera allí. En una configuración entre productos, las tareas de Sophos y Microsoft 365 se asignan y comprueban por separado; para el procedimiento se sigue la guía del componente correspondiente.

ITDR en el modelo de roles de Sophos Fusion

Sophos ITDR utiliza los roles de administración predefinidos de Sophos Fusion. Super Admin y Admin acceden a las funciones con licencia, mientras que Help Desk y Read-only tienen, en principio, acceso de solo lectura; User sigue limitado al Self Service Portal. Sophos no documenta un rol ITDR predefinido independiente ni una capacidad de Custom Role específica de ITDR. Por tanto, una opción visible en una Custom Role no debe interpretarse como un «permiso de ITDR».

Para configurar ITDR, se utiliza un Super Admin o Admin existente y, antes de la ventana de mantenimiento, se comprueba que My Products > Identity > Settings > Integrations y la acción prevista estén disponibles. Después, se prueba la cuenta prevista con privilegios mínimos para el acceso de lectura habitual. Las capacidades dependientes de licencias pueden no aparecer en absoluto sin la licencia adecuada; en las Custom Roles solo se aplican a los productos seleccionados. Planificar Sophos ITDR: requisitos, licencias, regiones y roles explica los roles separados de Sophos y Entra y la ausencia de un rol mínimo de ITDR documentado.

Asignar o cambiar un rol

Solo un Super Admin puede asignar o cambiar roles de administrador. Cada usuario solo puede tener un rol; una asignación nueva sustituye a la anterior.

La página Global Settings > Access Control > Admins and Roles tiene dos pestañas: Admins administra las cuentas de administrador y Roles muestra los roles y sus miembros. Para asignar un rol se utiliza Roles. La navegación y las pestañas usan las etiquetas aquí indicadas; los controles del cuadro de miembros aparecen como Role Members, Edit, Available Users y Assigned Users.

1. Abrir Global Settings > Access Control > Admins and Roles.
2. Seleccionar la pestaña Roles y después el rol deseado.
3. Junto a Role Members, hacer clic en Edit.
4. Mover usuarios entre Available Users y Assigned Users y guardar con Save.

En el mismo cuadro de diálogo se pueden cambiar varios administradores a la vez. Antes de guardar, hay que comprobar para cada persona seleccionada que el nuevo rol deba sustituir por completo al actual.

Después de la primera asignación de un rol de administrador, el usuario recibe un correo para configurar su cuenta administrativa. Se comprueban la entrega y el inicio de sesión satisfactorio; que el rol aparezca en la lista no demuestra que la invitación y la configuración de MFA se hayan completado.

El rol de un administrador que tiene una sesión activa no puede modificarse. La persona afectada debe cerrar primero la sesión; si se trata del rol propio, otro Super Admin realiza el cambio. A continuación, debe probarse el inicio de sesión con la cuenta afectada y comprobarse que solo estén disponibles las páginas y acciones previstas.

Comprobar los detalles del rol y permisos adicionales

En Global Settings > Access Control > Admins and Roles > Roles, al hacer clic en el nombre del rol se abre la página de detalles. Muestra el Access Level Full, Help Desk o Read-only, capacidades especializadas y la lista de administradores asignados. Al hacer clic en un nombre se abren todos los datos de ese usuario.

Los campos de capacidades más importantes significan:

• Access sensitive logs & reports permite acceder a registros e informes confidenciales, incluidos los Audit Logs.
• Access policy management permite modificar configuraciones de políticas.
• Access policy assignment permite asignar políticas existentes a usuarios y dispositivos.
• Start Live Response sessions on computers o servers permite la conexión directa para investigar y corregir el tipo de dispositivo correspondiente.
• Manage Data Collection and Investigation settings for computers o servers permite activar Live Response y las cargas al Data Lake en la política Data Collection and Investigation correspondiente.

Live Response y Data Collection and Investigation solo están disponibles para Super Admins o Custom Roles en las que se hayan seleccionado conjuntamente el producto necesario y la capacidad adecuada. Por eso se revisa la página de detalles antes de asignar el rol y durante el control trimestral; el nombre del rol por sí solo no demuestra los permisos efectivos.

Roles personalizados

Solo los Super Admins pueden crear Custom Roles en Global Settings > Access Control > Admins and Roles > Roles > Add role. Después de Add role, se introducen Name y Description y se elige una Base Role. A continuación, cada Product necesario recibe su propio Access Type: Full, Help Desk, Read-only o None.

Un ejemplo práctico es un rol Endpoint Help Desk con la Base Role Read-only: Endpoint Protection recibe el Access Type Help Desk, Mobile recibe Read-only y cada producto innecesario recibe None. En Additional access and management options solo se seleccionan los permisos expresamente necesarios para registros, asignación de políticas o Live Response. Las opciones disponibles dependen del producto, el Access Type y las licencias. Save crea el rol; solo después se asigna a un administrador y se prueba con su cuenta.

Policy Management y Policy Assignment

En Custom Roles, Policy Management y Policy Assignment no son lo mismo:

• Policy Management permite crear, modificar y eliminar políticas.
• Policy Assignment permite asignar políticas existentes a usuarios, grupos o dispositivos.

Las dos opciones son mutuamente excluyentes. Policy Management tiene mayor alcance. Si se activa con una Base Role Help Desk o Read-only, la Custom Role obtiene las mismas capacidades que la Base Role Full para administrar políticas, dispositivos y usuarios. Por tanto, este permiso adicional no debe considerarse inocuo solo porque la Base Role sea restringida.

Tener en cuenta Shared Settings

Algunas configuraciones globales se utilizan conjuntamente en Endpoint y Server y, en parte, también en Encryption. Entre ellas se encuentran Tamper Protection, Allowed Applications, Website Management, Proxy Configuration, Blocked Items, Bandwidth Usage con acceso adicional a Encryption, DLP Rules, Manage Content Control List, Reject Network Connections y XDR Threat Analysis Center.

Si una Custom Role no tiene acceso a Endpoint Protection o Server Protection, las configuraciones compartidas son de solo lectura y no se pueden añadir ni administrar exclusiones. Cuando la configuración también utiliza Encryption, la Custom Role debe incluir asimismo ese producto. No es un error de la interfaz, sino una consecuencia de la configuración entre productos.

Permisos adicionales críticos y sus condiciones

Los permisos adicionales no se hacen efectivos únicamente por una casilla visible. La Base Role, el producto y el Access Type también deben ser adecuados:

Logs & Reports access se aplica a todos los productos y Access Types de la Custom Role. Lo mismo ocurre con Policy Management y Policy Assignment, aunque ambos permisos siguen teniendo efectos diferentes. Cada combinación se prueba con una cuenta de prueba: la acción permitida debe funcionar y una acción no permitida debe fallar. En especial, Live Response, las cargas al Data Lake, la desactivación de Tamper Protection y la retirada de un aislamiento reciben un propietario designado y se revisan trimestralmente.

Permisos de XDR dependientes de la licencia

Con una licencia XDR, Sophos Fusion amplía los roles con capacidades específicas de investigación y respuesta. Estos permisos no están incluidos globalmente en un «acceso XDR»:

Que un elemento de menú sea visible no demuestra el permiso. Para acciones especialmente potentes se comprueban con una cuenta de prueba tanto un caso permitido como otro rechazado, y el estado de la licencia se documenta junto con el rol.

Añadir un administrador

Solo un Super Admin puede asignar un rol de administración. En Global Settings > Access Control > Admins and Roles > Admins se crea un usuario nuevo como Admin o se asigna un usuario existente a un rol en la pestaña Roles.

Para un administrador nuevo, se selecciona Add Admin en la pestaña Admins. En la página Add User se introducen el nombre, la dirección de correo y el rol previsto. Exchange Login y Manager son opcionales. Si es necesario, un grupo se mueve de Available groups a Assigned groups. Save finaliza la creación; Save and Add Another guarda y abre inmediatamente el siguiente registro. Después, Sophos Fusion envía automáticamente el correo de bienvenida para configurar la cuenta administrativa.

Un usuario ya existente no se vuelve a crear. En la pestaña Roles se abre el rol de destino, se elige Edit en Role Members y se mueve a la persona con las flechas del selector de Available Users a Assigned Users. Save aplica la asignación. Si el usuario ya tiene otro rol, la selección nueva lo sustituye por completo.

Email setup link se refiere a la protección de un dispositivo y es independiente del correo de bienvenida para el acceso administrativo. En un despliegue de software administrado de forma centralizada no se utiliza un Setup Link personal como sustituto.

Retirar un rol de administrador o eliminar al usuario

Solo un Super Admin puede retirar administradores. Hay dos intervenciones diferentes: retirar el rol administrativo conserva al usuario normal de Sophos Fusion, mientras que Delete user elimina el objeto de usuario.

Para retirar únicamente el rol se abre Global Settings > Access Control > Admins and Roles > Roles. En el rol deseado se elige Edit junto a Role Members. En Assigned Users se marca a la persona y se elimina con las flechas del selector. Después permanece como usuario sin esos permisos administrativos y puede conservar funciones de usuario específicas del producto.

Para eliminarlo se abre el nombre del administrador en Global Settings > Access Control > Admins and Roles > Admins y se selecciona Delete user. Antes se comprueban los dispositivos, las políticas, los buzones, el Directory Owner y la responsabilidad de soporte.

Un usuario eliminado puede volver a aparecer automáticamente. Si inicia sesión en un dispositivo asignado que Sophos Fusion sigue administrando, Sophos Fusion lo vuelve a crear como usuario. Si procede de AD, Entra ID o Google Directory y sigue existiendo en el alcance de sincronización activo, también se recrea en la siguiente ejecución del directorio. Por eso, una baja sostenible elimina primero la asignación de origen o bloquea la cuenta y solo después borra el objeto de Sophos Fusion.

Corregir problemas de roles por direcciones de correo duplicadas

Un rol de administrador necesita una dirección de correo que sea única en el tenant y entre otras cuentas de Sophos Fusion. Si falta o ya existe la misma dirección o nombre de usuario, Sophos Fusion rechaza la asignación. Si el conflicto se encuentra en otro tenant de Sophos Fusion, allí debe registrarse una dirección alternativa o el administrador responsable debe depurar el registro que ya no se necesite.

Para duplicados sincronizados desde AD se sigue este procedimiento controlado:

1. Abrir My Environment > Users & Groups y buscar la dirección de correo completa.
2. Si aparecen varios resultados, decidir qué usuario debe recibir el rol de administrador.
3. Abrir cada otro duplicado editable, seleccionar Edit, eliminar la dirección repetida y confirmar con Save.
4. Repetir la búsqueda hasta que solo quede el registro único deseado.
5. Abrir ese usuario, seleccionar Edit, establecer el rol previsto en Role y elegir Save.

Si solo se ve un usuario no editable o el cambio no puede guardarse, normalmente la dirección ya se utiliza en otra cuenta de Sophos Fusion o SSP. Eliminar más usuarios sincronizados localmente no resuelve este conflicto entre tenants.

Volver a enviar el correo de bienvenida y la invitación al SSP

Sophos Fusion solo envía una vez el correo de bienvenida o la notificación del Self Service Portal al asignar el rol. La URL incluida no caduca. Si el mensaje tampoco está en el filtro de spam, no existe un botón Resend separado: tras una revisión de consecuencias, el usuario debe eliminarse de Sophos Fusion y volver a crearse con el rol o la asignación SSP adecuados.

Antes de eliminarlo se comprueban los dispositivos, las políticas, los buzones y las relaciones de grupos. Si la misma dirección ya está asociada a otra cuenta de Sophos Fusion Admin o a un Self Service Portal de otra cuenta de Sophos Fusion, la nueva creación tampoco enviará un correo de bienvenida. Una dirección solo puede utilizarse una vez; primero debe resolverse el conflicto en la otra cuenta.

Eliminar una Custom Role

Solo un Super Admin puede eliminar una Custom Role; los roles predefinidos no pueden borrarse. Mientras haya administradores asignados a la Custom Role, Sophos Fusion bloquea la eliminación. Primero se cambia a esas personas de forma controlada a otro rol o se las retira del rol.

La ruta es Global Settings > Access Control > Admins and Roles > Roles. En la lista se marca la fila correspondiente en un punto fuera del nombre y se selecciona Delete. Otro Delete confirma la eliminación definitiva. Después se revisan las cuentas de prueba y las asignaciones documentadas para que ninguna automatización o documentación de entrega siga refiriéndose al rol eliminado.

Cada usuario solo puede tener un rol de administración. El nuevo sustituye al antiguo. Después de cada asignación se prueba el inicio de sesión en una sesión privada del navegador y se comprueba que los registros confidenciales, los cambios de políticas, Live Response y los accesos a productos funcionen exactamente como está previsto.

Revisión trimestral de roles

El control incluye:

• todos los Super Admins y su recuperación de MFA,
• usuarios sin propietario actual,
• Custom Roles y su rol base,
• acceso a productos Full, Help Desk, Read-only o None,
• registros e informes confidenciales,
• Policy Management o Assignment,
• Live Response y Data Collection,
• API Credentials como identidades técnicas separadas.

Las Custom Roles no utilizadas solo se eliminan cuando ya no depende de ellas ningún miembro o proceso. Los cambios de roles se revisan en el Audit Log.

Problemas típicos

No se puede asignar el rol

Al usuario le falta una dirección de correo, la misma dirección ya existe en Sophos Fusion o está asignada a otra cuenta de Sophos Fusion. En los duplicados sincronizados se corrigen la fuente de directorio y la coincidencia, en lugar de crear más usuarios.

No se puede cambiar el rol propio

El rol activo propio no puede sustituirse directamente. Un segundo Super Admin realiza el cambio después de que la persona afectada haya cerrado la sesión.

Un Custom Admin ve un producto, pero no puede modificar configuraciones globales

Se comprueban conjuntamente el acceso al producto, la Base Role, la capacidad adicional y Shared Settings. Tener acceso solo a Endpoint o solo a Server puede ser insuficiente para configuraciones compartidas.

El acceso de administrador funciona, pero la recuperación de MFA no

El rol y la autenticación son aspectos separados. Se preparan al menos dos métodos MFA y un segundo Super Admin conforme a Proteger el inicio de sesión de Sophos Fusion con MFA, passkeys e IdP.

Preguntas frecuentes