Preparar Sophos Endpoint en imágenes maestras VDI

Un Endpoint instalado normalmente no debe clonarse como plantilla VDI. Pueden generarse identidades duplicadas y resultar imposible atribuir de forma fiable las políticas, el estado Health y las alertas a cada clon. Sophos ofrece un modo específico para Gold Images Windows.

Se admiten versiones actuales de Windows Client y Server desde Windows 10 o Server 2016, con las versiones mínimas de Thin Installer y Core Agent. Comprobar Supported Systems antes de empezar.

Limitaciones

No preparar una Gold Image con Server Lockdown, Update Cache o BitLocker Device Encryption. Estas funciones contradicen el Lifecycle o crean un estado no transferible limpiamente.

Los clones comparten el identificador del disco de arranque, pero tienen identificadores TPM distintos. BitLocker detecta esta discrepancia y entra en Recovery Mode.

Desactivar Tamper Protection de forma controlada durante la preparación y reactivarla antes de finalizar. El master permanece protegido y no se usa como Endpoint normal.

Persistent o non-persistent

En escritorios persistent, la identidad permanece. Los non-persistent se recrean regularmente y requieren --nonpersistent para que Sophos Fusion (anteriormente Sophos Central) los trate correctamente.

La elección también afecta a la limpieza. Una regla Removal of Inactive Devices puede eliminar definitivamente clones non-persistent. El master creado con --goldimage no se incluye.

Preparar el master

El sistema de origen limpio se actualiza por completo y recibe todas las aplicaciones productivas. Solo después se instala Sophos con el modo Gold Image previsto. Un ejemplo simplificado es:

.\SophosSetup.exe --quiet --goldimage --products=endpoint --devicegroup="VDI\Persistent"

Para non-persistent, añadir la opción correspondiente. Definir grupo, Proxy, Relay y demás parámetros como en un despliegue automatizado normal.

El timeout después de iniciar la máquina virtual es de 120 segundos por defecto y admite de 0 a 900 segundos. Sophos comprueba el nombre del equipo al finalizar ese plazo. El nombre definitivo del clon debe asignarse dentro de ese intervalo; ampliarlo no corrige una asignación de nombres defectuosa.

Notification Mode

Con SophosSetup.exe --goldimage --notificationmode, el master se registra inicialmente en Sophos Fusion y se comunica hasta el siguiente reinicio. Después, la comunicación permanece desactivada hasta ejecutar GoldImageCli.exe activate o Activate and Update en el master sin renombrar. Un clon desplegado se activa con GoldImageCli.exe clone.

GoldImageCli impide clone mientras no cambie el nombre del equipo e impide activate cuando ya ha cambiado. Para clones instantáneos de VMware Horizon, configurar C:\Program Files\Sophos\AutoUpdate\GoldImageCli.exe con el parámetro clone como script de post-sincronización.

Automatizar y registrar el proceso en la pipeline. Liberar el Snapshot solo cuando Sophos muestre claramente el estado previsto.

Clones solo desde el master

Crear escritorios directamente desde la Gold Image preparada. No reutilizar un clone iniciado como plantilla o se duplican de nuevo Runtime State e identidad.

Tras el primer arranque, comprobar identidad nueva, grupo, Agent Mode, políticas y Update. Un Login correcto no demuestra registro como dispositivo separado.

Para pools non-persistent, use un conjunto limitado y reutilizable de nombres de equipo, aproximadamente del tamaño máximo simultáneo. Sin límite, Sophos Fusion acumula objetos de dispositivo y usuario aunque la limpieza VDI esté activa.

Lifecycle en Sophos Fusion

Los clones non-persistent generan muchos objetos breves. En Global Settings > Products and Services > Endpoint and Server > Removal of Inactive Devices, crear una regla para el grupo VDI. Permanently remove VDI desktops elimina los clones correspondientes.

Activarla solo en grupos non-persistent delimitados. Una regla global amplia puede eliminar portátiles offline. Restaurar dispositivos no restaura Update Cache ni Message Relay.

Actualizar la Gold Image

Probar Updates del agent o sistema en una copia del master y crear una imagen aprobada nueva. Un paquete Fixed-Term o LTS caducado no debe permanecer en el master: estos paquetes regulan las actualizaciones funcionales del producto, no el contenido de Threat Protection que se actualiza continuamente.

Para mantener el master, iniciarlo y esperar el timeout en Timeout Mode; en Notification Mode, activar el master sin cambios con activate. Actualizar el sistema, las aplicaciones y Sophos, comprobar Health, reactivar Tamper Protection y crear un nuevo snapshot apagado. Nunca crear clones durante una actualización incompleta.

Tras cada release, comprobar al menos un clone persistent y, si se usa, uno non-persistent. Duplicate Device, grupos erróneos o registros frecuentes son criterios de parada.

Software Packages controla actualizaciones funcionales, no el contenido Threat Protection, que sigue actualizándose. Sin paquete fijo, cada instancia nueva puede iniciar un upgrade. Defina el canal del master antes de publicarlo.

Validación segura y rollback

Comprobar el modo y los requisitos

Timeout Mode comprueba el nombre del equipo a los 120 segundos de forma predeterminada; --goldimagetimeout=<segundos> admite de 0 a 900. Notification Mode está pensado para VMware Horizon Instant Clone y evita registrar máquinas intermedias. Los requisitos CLI actuales de Sophos exigen para este modo Thin Installer 1.20.627 o posterior, Core Agent 2024.2.0.527 o posterior, o Server Core Agent 2024.2.0.534 o posterior. Timeout Mode exige Thin Installer 1.14 y Core Agent o Server Core Agent 2022.1.0.78 o posterior.

Antes de instalar, crear un snapshot de rollback probado, verificar la conectividad con Sophos Fusion y el grupo VDI exacto, y desactivar Tamper Protection. No usar un dispositivo con Server Lockdown, Update Cache, BitLocker o componentes Sophos Encryption. Ejemplo completo para un pool Horizon non-persistent:

.\SophosSetup.exe --quiet --goldimage --notificationmode --nonpersistent --products=endpoint --devicegroup="VDI\NonPersistent"

--products=endpoint es una selección deliberada de productos. Si se necesitan otros componentes con licencia, hay que adaptar la lista de productos según la documentación de la línea de comandos del instalador. Los nombres de grupo que contienen espacios deben ir entre comillas.

Sellar la imagen

Esperar a que finalice la instalación, confirmar que el master aparece en el grupo previsto sin errores Health locales y volver a activar Tamper Protection. En Notification Mode, el master se comunica hasta el primer reinicio y después permanece offline deliberadamente. Ejecutar C:\Program Files\Sophos\AutoUpdate\GoldImageCli.exe activate solo en el master sin cambios y C:\Program Files\Sophos\AutoUpdate\GoldImageCli.exe clone solo en un clon terminado cuyo nombre haya cambiado. Horizon puede usar el ejecutable con el parámetro clone como script de post-sincronización. Apagar correctamente el master validado, sellar el snapshot apagado y conservar la imagen aprobada anterior hasta superar la validación de clones.

Documentar la versión aprobada, las versiones del instalador y de los agentes, el modo, el grupo y el ID del snapshot. Un invitado Windows Server sigue siendo un servidor en Sophos Fusion aunque proporcione un escritorio: necesita una licencia Server y políticas Server.

Validar la identidad y el lifecycle

Iniciar simultáneamente al menos dos clones directamente desde el master. Comprobar para cada uno nombre único y objeto de Sophos Fusion independiente, licencia Endpoint o Server, grupo y Policies previstos, valor Last active reciente, estado saludable y actualizaciones terminadas. Sophos limpia la configuración heredada solo tras detectar el cambio de nombre. No sustituir el proceso eliminando archivos, claves del registro, servicios Sophos ni el objeto de Sophos Fusion. Sophos también ha retirado los métodos manuales y mediante script que antes evitaban identidades duplicadas. A partir de Core Agent 2022.1 y Central Installer 1.14 debe usarse el proceso con parámetros del instalador descrito aquí. Si la plataforma no puede proporcionar el cambio de nombre y la acción de clonación en este orden, detener el despliegue y adaptar el proceso de la plataforma o de la imagen; no recurrir a un script de limpieza antiguo.

En pools non-persistent, --nonpersistent y Permanently remove VDI desktops deben usarse juntos. La eliminación VDI permanente no puede restaurarse y los clientes MSP y Marketplace deben elegir al menos 31 días. Sophos Fusion permite como máximo dos reglas Targeted, que no pueden contener exclusiones; el periodo de inactividad de la regla Global debe ser mayor que el de cada regla Targeted. Se requiere el rol Admin o Super Admin para crear o modificar estas reglas. Sophos Fusion comprueba cada 24 horas a medianoche de la región de datos. Probar primero una regla Targeted limitada al grupo VDI; el master --goldimage no se incluye en reglas de eliminación.

Volver atrás si falla la validación

Si hay identidades duplicadas, falla el registro o las Policies son incorrectas, detener el rollout del pool, descartar los clones afectados y volver al último template apagado aprobado. Eliminar un objeto de Sophos Fusion no repara su identidad local. Actualizar el master solo en un ciclo controlado y publicar un snapshot nuevo únicamente tras repetir con éxito la prueba de clones.

Troubleshooting

Ante Duplicate Device Alerts, comprobar --goldimage y clonación directa desde el master. Eliminar objetos de Sophos Fusion después no repara de forma fiable una imagen normal.

Si los clones no aparecen o quedan sin protección, comprobar red, Proxy o Relay y logs. Para Lifecycle erróneo, revisar --nonpersistent y grupo de la regla.

Si un clon sigue offline, comprobar su nombre y confirmar que Horizon ejecutó realmente GoldImageCli.exe clone después de asignarlo. Introducir el ejecutable en Post-Synchronization Script Name y clone en Post-Synchronization Script Parameters. Si el master rechaza activate, comprobar primero si la plataforma cambió su nombre; no forzar la activación manipulando la identidad. Si falla la limpieza, verificar la pestaña Endpoint o Server, la pertenencia al grupo y el plazo Days inactive, y esperar el siguiente ciclo diario.

Con Citrix App Layering, prepare Sophos en una App Layer propia, no en OS Layer. La pipeline necesita las exclusiones UniRSD documentadas por Sophos para Endpoint Defense. Como este procedimiento del Registro de Windows depende de la versión, no copie valores de imágenes antiguas: compruébelos antes de cada publicación con la KBA actual de Sophos.

Sophos admite muchas plataformas si el guest OS está soportado, pero no sustituye la matriz del hypervisor. Microsoft, por ejemplo, no admite antivirus de terceros en hosts Azure Stack HCI v1; Sophos allí sale de su ruta de soporte.

Artículos relacionados

Opciones CLI: Desplegar automáticamente Sophos Endpoint en Windows. Limpieza y restauración: Gestionar dispositivos y grupos Sophos Fusion Endpoint.

Preguntas frecuentes