Ir al contenido
Avanet

Solucionar problemas de instalación de Sophos Endpoint en macOS

Sophos Endpoint

Este runbook parte del síntoma visible y separa deliberadamente instalación, registro y configuración. Para una primera instalación normal, utilice la guía de instalación de macOS; utilice esta página si el proceso falla o queda incompleto.

Ruta rápida según el síntoma

  • macOS no abre el Installer o la barra termina sin instalar: compruebe primero origen, firma y cuarentena.
  • El registro indica Folder Insecurity o path is not secure: anote la ruta y los permisos actuales en modo de solo lectura; no aplique una reparación general.
  • El software está instalado pero el Mac no aparece en Sophos Fusion: compruebe Registration Status to Sophos Central y después red, proxy, hora y tenant.
  • El Mac aparece en Sophos Fusion pero sigue en rojo: identifique el permiso concreto en Sophos Endpoint > About > Open Endpoint Self Help Tool > Prerequisites.
  • Las actualizaciones fallan: diferencie primero permisos del Updater y Management Communication; no elimine archivos del Agent.

Antes de cambiar nada, anote el error exacto, la fase, las versiones de macOS y Agent y la hora. Así podrá confirmar si la siguiente acción corrige la misma causa.

Comprobar de forma segura confianza y cuarentena

Utilice solo SophosInstall.zip del tenant correcto de Sophos Fusion. Si Sophos Installer.app está en ~/SophosInstall, esta consulta de solo lectura muestra sus atributos:

xattr ~/SophosInstall/Sophos\ Installer.app

com.apple.quarantine, especialmente tras la extracción automática de Safari, puede provocar App Translocation y un fallo. Elimínelo solo si el Installer procede directamente del tenant de la organización y supera las comprobaciones de firma de la guía de instalación:

sudo xattr -r -d com.apple.quarantine \
  ~/SophosInstall/Sophos\ Installer.app

El comando está limitado deliberadamente a este bundle. No elimine atributos recursivamente de Downloads, no desactive Gatekeeper globalmente ni continúe con una firma rechazada o diferente. Descargue un Installer nuevo de su tenant.

Detenerse con seguridad ante Folder Insecurity

Folder Insecurity no es un error de escritura normal. El Installer se detiene si una parte no segura puede escribir en una ruta superior, porque una instalación privilegiada podría adoptar archivos ajenos. El diagnóstico suele indicar la ruta, por ejemplo /Library.

Registre propietario y modo en solo lectura:

ls -la /
ls -la /Library

Los valores seguros documentados son 755 root:wheel para / y /Library, y 755 root:admin para /Library/Application Support. El error también puede mencionar /Library/Caches o un subdirectorio Sophos. Compare la ruta exacta indicada con un Mac sano equivalente e identifique qué software de Imaging, Packaging o Management la cambió.

Deténgase si propietario o modo difieren. No ejecute chmod o chown genéricos ni desactive SIP siguiendo una receta copiada. Un cambio incorrecto puede dañar macOS u otro software, y no hay un rollback genérico fiable documentado. Solicite al administrador de macOS que corrija la baseline de origen o escale las evidencias a Apple o Sophos Support.

Distinguir instalación, registro y configuración

El Installer muestra tres estados separados:

  1. Software Installed: se han creado componentes locales.
  2. Registration Status to Sophos Central: el Agent se ha registrado en el tenant.
  3. Configuration Status: se han recibido políticas y configuración del tenant.

Cerrar la ventana no detiene el registro ni la descarga de configuración. La instalación local no prueba el registro y este no prueba una configuración completa. Asigne el error y el Server mostrado a una fase antes de reinstalar.

El Mac no aparece en Sophos Fusion

Compruebe en este orden:

  1. ¿Installer e información del tenant proceden de la cuenta de Sophos Fusion correcta?
  2. ¿Son correctos fecha, hora y zona horaria del Mac?
  3. ¿Funcionan DNS y HTTPS sin Captive Portal?
  4. ¿Permite el Proxy las destinaciones actuales de Sophos y son válidas credenciales y certificados Root?
  5. En Management Communication, ¿muestra Self Help Server, dirección resuelta, Proxy esperado y contacto correcto reciente?

Invalid Server URL indica un fallo de resolución. HTTP 503 pide al cliente reintentar más tarde. Si Registration funciona pero Configuration no, examine Management Communication y la última Policy recibida en vez de ejecutar de nuevo el Installer; la guía de instalación explica en detalle las marcas de tiempo de Policy, la página System y las funciones de los procesos.

Clasificar permisos y MDM

Abra Sophos Endpoint > About > Open Endpoint Self Help Tool > Prerequisites. Self Help es la referencia porque Security Extensions, Network Extensions y permisos de privacidad dependen de la versión del Agent y de los productos. Tras corregir, Prerequisites no debe mostrar permisos ausentes.

Para un Mac, siga Open System Settings o Allow Full Disk Access de Self Help. Para el diagnóstico TCC y Payload MDM de solo lectura use la guía específica de CLI y permisos; no edite manualmente bases TCC ni perfiles. En Macs gestionados, selección de perfil, Payloads y orden pertenecen a la guía de despliegue MDM.

Acotar errores de actualización con señales compatibles

No mezcle dos condiciones distintas del Updater:

  • En macOS 14 y 15, la falta de Full Disk Access para SophosUpdater puede bloquear actualizaciones en versiones de Endpoint anteriores a 2024.3 (10.9.1).
  • Desde Endpoint 2024.4 (10.9.5), el mismo permiso ausente puede poner en rojo Sophos Updater service health de forma preventiva aunque no haya fallado ninguna actualización. El estado rojo por sí solo no demuestra un error de actualización actual.

Compruebe primero Prerequisites. Para la primera condición, esta consulta de log de solo lectura sirve como señal de diagnóstico:

sudo log show \
  --predicate "subsystem == 'com.sophos.macendpoint'" \
  --last 1d |
grep -i 'Error renaming Installer directory'

Una coincidencia respalda este problema de permisos concreto, pero no demuestra cualquier causa de actualización. Para la condición anterior a 2024.3 (10.9.1) sin MDM, active manualmente SophosUpdater.app en System Settings > Privacy & Security > Full Disk Access; si no aparece, añada /Library/Sophos Anti-Virus/SophosUpdater.app con el botón más. Para el Health rojo preventivo en 2024.4 (10.9.5) y posteriores, use en su lugar Endpoint Self Help > Prerequisites > Allow Full Disk Access, porque el selector normal puede no mostrar un Updater que macOS no haya bloqueado. Con MDM, distribuya en ambos casos el perfil Sophos actual que corresponda a los componentes instalados. La corrección y validación completas están en la guía de CLI y permisos. No es un comando general de reparación del Agent ni un rollback de actualización.

Si Sophos Fusion muestra 6001 al descargar MacEndpoint y SophosUpdater.log también contiene 403 Forbidden o EXPIRED_TOKEN, compruebe DNS, proxy y MCS: el Mac no pudo renovar el token. HTTP 503 indica que el servicio pidió reintentar más tarde. Escale un servicio que siga missing en Services con el nombre del componente y el SDU, sin eliminar archivos del Agent.

Solo versiones antiguas: error en /Library/Preferences/Logging

Esta rama solo se aplica a macOS Ventura 13.6.3 o Sonoma 14.2 con Sophos Endpoint anterior a 2024.1. Tras un error de instalación, esta consulta de solo lectura puede mostrar el error de permisos en /Library/Preferences/Logging:

sudo log show --predicate "subsystem == 'com.sophos.macendpoint'" --last 2h | grep -i Logging

Solo con esa combinación exacta y una coincidencia se usa el procedimiento antiguo y limitado: permita Sophos Installer en System Settings > Privacy & Security > Full Disk Access, también Terminal si es necesario para una instalación iniciada allí, y repita la instalación. Endpoint 2024.1 y posteriores incluyen la corrección; no use este workaround antiguo con versiones actuales. Retire después el acceso de Terminal concedido solo para el diagnóstico.

Reintentar de forma controlada

  1. Corrija una sola causa confirmada y documente el cambio.
  2. Compruebe de nuevo Self Help, red o permisos de ruta.
  3. Para un problema de confianza o tenant, use un Installer recién descargado del tenant correcto.
  4. Realice un solo intento nuevo y siga los tres estados hasta el resultado.
  5. No elimine archivos Agent ni el objeto de Sophos Fusion como medida de Retry.

Si el objeto del dispositivo ya se eliminó de Sophos Fusion y por ello la instalación existente no puede volver a registrarse, no intente un registro manual no documentado. Solo para este caso, la vía compatible con Endpoint 2024.1 y posteriores es la eliminación completa y reinstalación. Siga Desinstalar Sophos Central Endpoint en macOS, incluida Tamper Protection y la validación. Para otros estados incoherentes, diagnostique el síntoma concreto y escale a Sophos Support si es necesario, en vez de eliminar el producto de forma general.

Validar y escalar con evidencias útiles

El proceso solo tiene éxito cuando:

  • Prerequisites no muestra permisos locales ausentes;
  • el Mac aparece en el tenant correcto en My Environment > Computers & Servers con comunicación actual;
  • los productos y políticas esperados están activos en los detalles del dispositivo;
  • Update y Management Communication de Self Help vuelven a mostrar un contacto correcto.

Si el error persiste, conserve mensaje exacto, Timestamp, tres estados del Installer, versiones macOS y Agent, ruta o componente, observaciones de Self Help, eventos de Sophos Fusion y estado Proxy/MDM. Cree un SDU mediante el proceso existente de diagnóstico/Support de Sophos e indique cuándo reprodujo el error. No modifique manualmente el archivo SDU generado. Envíelo solo mediante el caso o canal de carga aprobado de Sophos Support y no lo publique. Cuando sea posible, oculte datos únicamente en capturas o notas separadas; no añada credenciales a estas ni a las notas del caso.