Sécuriser la connexion Sophos Fusion avec MFA, Passkeys et IdP

Sophos Fusion (anciennement Sophos Central) contrôle les Policies, les exceptions, Live Response et l’isolation des appareils. Un compte administrateur compromis peut donc causer davantage de dommages qu’un seul Endpoint infecté. MFA constitue l’exigence minimale, mais ne remplace ni des rôles appropriés ni une procédure de récupération.

Distinguer les accès Partner, Customer et Enterprise

Pour Sophos Fusion Partner, l’exigence est explicite : chaque administrateur Partner doit enregistrer au moins deux méthodes MFA et s’authentifier avec MFA à chaque connexion. Les Passkeys et les Authenticator Apps TOTP sont pris en charge ; l’une des méthodes enregistrées peut être utilisée pour se connecter. Lors de l’enregistrement initial, un mot de passe et au moins une application TOTP sont configurés ; des Passkeys peuvent ensuite être ajoutés. Dès que Sophos demande l’enregistrement de deux méthodes, il faut le terminer. Les sections suivantes expliquent la configuration de TOTP et des Passkeys ainsi que le choix d’appareils indépendants.

Un compte Partner et un tenant Customer administré ne relèvent toutefois pas du même périmètre d’administration. L’exigence Partner ne signifie pas que les comptes Customer ou Enterprise héritent automatiquement des paramètres MFA, SSO ou de récupération. Avant toute modification, vérifier dans quel portail la session est ouverte et à quel compte appartient l’identité concernée. Pour une réinitialisation MFA, ce périmètre détermine l’administrateur autorisé et la procédure appropriée : le Super Admin du tenant Customer ou le Partner Super Admin du portail Partner. Les procédures Customer et Partner décrites ci-dessous ne remplacent pas une procédure de récupération Enterprise vérifiée séparément.

Configurer MFA immédiatement et de manière redondante

Chaque administrateur doit enregistrer au moins deux méthodes MFA et une MFA lui est demandée à chaque connexion. Sophos prend en charge les Passkeys ainsi que les Authenticator Apps avec des codes à usage unique basés sur le temps, ou TOTP.

Pour les comptes privilégiés, deux méthodes indépendantes sont enregistrées, par exemple un Passkey sur une clé matérielle et une Authenticator App sur un appareil distinct. Deux Passkeys sur le même ordinateur portable ne constituent pas une véritable redondance. Sophos cite également comme combinaisons possibles deux Passkeys sur des appareils distincts ou deux enregistrements Authenticator séparés.

Les clés matérielles de remplacement et les informations de récupération documentées sont conservées dans un coffre-fort d’entreprise protégé. Elles ne sont pas placées dans le gestionnaire de mots de passe personnel d’un seul collaborateur ni dans un ticket ouvert.

Un compte administrateur peut enregistrer au maximum dix Authenticator Apps TOTP. Une extension Authenticator pour navigateur est techniquement possible, mais elle provient d’un fournisseur tiers et n’est ni développée ni prise en charge par Sophos. Avant son installation, il faut vérifier l’éditeur, les autorisations, le mode de mise à jour et la politique de l’entreprise. Pour les comptes privilégiés, une extension dans le même profil de navigateur que la session Sophos Fusion ne sépare pas correctement les facteurs.

Les méthodes enregistrées se gèrent dans le profil sous Manage login settings ou Manage MFA. La simple suppression d’une entrée dans l’Authenticator App locale ne retire pas la méthode de Sophos Fusion. Lors d’un changement d’appareil, il faut donc d’abord tester une seconde méthode, puis supprimer l’ancien enregistrement Sophos Fusion et seulement ensuite réinitialiser l’ancien appareil.

Configurer une Authenticator App

Après une connexion avec la méthode actuelle, ouvrir Icône de profil > My info > Manage MFA. Il est également possible d’accéder à la même gestion par Sophos ID > My Profile > Manage MFA. Après une nouvelle authentification, sélectionner le signe plus dans Multi-Factor Authentication, l’option Authentication App sous Set up MFA method, puis Set up now.

Scanner le QR Code à usage unique avec l’Authenticator App approuvée. Saisir ensuite dans Sophos Fusion le Security Code généré, attribuer éventuellement un nom d’appareil unique et sélectionner Continue. Successful enrollment confirme l’enregistrement ; un autre clic sur Continue termine la procédure. Lors de la prochaine connexion de test, l’adresse e-mail et le mot de passe sont suivis du code de vérification actuel de l’application.

Un compte peut enregistrer au maximum dix Authenticator Apps. Le QR Code et le secret TOTP sous-jacent ne doivent pas être conservés sous forme de capture d’écran. Après le test, configurer une deuxième méthode indépendante avant de supprimer un ancien appareil ou un ancien enregistrement.

Configurer une Authenticator App dans le navigateur

Une extension de navigateur peut générer des codes TOTP, mais ne devrait être utilisée pour des comptes privilégiés qu’après une évaluation consciente des risques. La procédure complète est la suivante :

1. Dans Sophos Fusion, ouvrir Icône de profil > My info > Manage MFA et utiliser une méthode existante pour confirmer l’identité.
2. Sous Multi-factor Authentication, sélectionner le signe plus, choisir Authentication App, puis ouvrir Set up now.
3. Laisser ouvert le QR Code affiché une seule fois. Dans un onglet séparé, installer l’extension approuvée depuis l’Extension Store officiel du navigateur.
4. Revenir à la page du QR Code, ouvrir l’extension à côté de la barre d’adresse et y sélectionner Add Account > Scan QR from screen.
5. Saisir le code à usage unique généré sous Verify Your Device > Security Code, attribuer éventuellement un nom d’appareil unique, puis sélectionner Continue.
6. Sous Icône de profil > My info > Manage MFA, vérifier que la nouvelle méthode est enregistrée. Lors d’une connexion de test, le nom d’utilisateur, le mot de passe et le code de l’extension doivent fonctionner.

Le QR Code est un secret d’enregistrement à usage unique et ne doit être ni enregistré sous forme de capture d’écran ni envoyé dans un ticket. Avant l’approbation, il faut vérifier l’éditeur, les droits de navigateur demandés, la source des mises à jour et la synchronisation des données de l’extension. Comme le profil du navigateur, la session Sophos Fusion et le secret TOTP se trouveraient autrement au même endroit, une méthode distincte sur un autre appareil ou une clé matérielle reste indispensable.

Gérer les méthodes MFA enregistrées

La page de gestion s’ouvre par Icône de profil > My info > Manage MFA ou, au choix, par Sophos ID > My Profile > Manage MFA. Après une nouvelle authentification, Sophos Fusion affiche toutes les méthodes enregistrées, leur nom par défaut ou leur nom d’affichage, ainsi que leur dernière utilisation.

Le signe plus permet d’ajouter une autre Authenticator App ou un Passkey. Chaque type de méthode peut comporter au maximum dix enregistrements. Dans le menu à trois points d’une méthode, sélectionner Rename, saisir un nouveau nom et confirmer avec la coche. Delete retire l’enregistrement de Sophos Fusion.

Au moins deux méthodes MFA doivent rester enregistrées. Dès qu’il ne reste que le nombre minimal imposé, Sophos Fusion ne permet plus d’en supprimer une autre. Continue ferme la gestion et renvoie au Sophos Fusion Dashboard. Avant de retirer une ancienne méthode, tester la nouvelle lors d’une connexion séparée.

Configurer un Passkey et choisir son emplacement de stockage

Un Passkey n’est ajouté comme méthode supplémentaire qu’après la configuration d’une Authenticator App. Sous Icône de profil > My info > Manage MFA, après la nouvelle authentification, sélectionner le signe plus, puis Passkey. Le système d’exploitation ou le Credential Manager guide l’utilisateur pour la vérification par PIN ou biométrie. Sous Windows, il peut par exemple s’agir d’une empreinte digitale via Windows Hello. Après Passkey Saved, confirmer avec OK, contrôler le nouvel enregistrement dans la liste des méthodes et terminer avec Continue.

L’emplacement de stockage fait partie de la décision de sécurité. Il peut s’agir d’un Credential Manager sur l’ordinateur local, par exemple le navigateur, le système d’exploitation ou le gestionnaire de mots de passe de l’entreprise, d’un Authenticator lié à un appareil comme un YubiKey, ou d’un appareil mobile via une procédure avec QR Code. Pour assurer la résilience, des Passkeys sont enregistrés sur plusieurs appareils contrôlés. Sophos Fusion autorise au maximum dix Passkeys.

Se connecter avec un Passkey ou une Authenticator App

Pour une connexion avec Passkey, ouvrir d’abord fusion.sophos.com, saisir l’adresse e-mail et sélectionner Continue. Sur la page Passkey, Login with passkey lance la méthode enregistrée précédemment, par exemple une empreinte digitale, le PIN de l’appareil ou une clé matérielle. Une fois la vérification réussie, le Sophos Fusion Dashboard s’ouvre.

Si un Passkey et une Authenticator App sont enregistrés, Sophos Fusion privilégie le Passkey. Try another way permet de choisir une autre méthode après la saisie du mot de passe. Pour la connexion classique avec Authenticator, saisir l’adresse e-mail, sélectionner Continue, puis saisir le mot de passe et sélectionner Sign in. Sur la page MFA Validation Required, saisir le code actuel de l’Authenticator App.

Les deux méthodes sont testées après leur configuration, un changement d’appareil et une mise à jour du navigateur. Un Passkey enregistré ne suffit pas à lui seul pour la récupération si le Credential Manager, l’accès à l’appareil et la session Sophos Fusion sont affectés par la même panne ou le même verrouillage du compte.

My info, rôle et mot de passe local

Sous Icône de profil > My info, un administrateur voit son rôle actuel, son adresse de connexion Sophos Fusion ainsi que les paramètres du mot de passe et de MFA. Un clic sur le nom du rôle ouvre l’ensemble de ses autorisations. L’adresse e-mail est donc aussi un élément d’association important pour la connexion, la vérification du rôle et les demandes de support.

Un mot de passe Sophos local se modifie sous My info > Password > Change password. Après la vérification, Sophos Fusion affiche le mot de passe actuel déjà prérempli. Le nouveau mot de passe doit comporter au moins huit caractères, dont une minuscule, une majuscule et un chiffre ou un caractère spécial. Après Reset Password, Sophos Fusion connecte automatiquement l’administrateur avec le nouveau mot de passe et revient au portail ; l’ancien mot de passe est immédiatement invalidé. En cas de connexion fédérée, le mot de passe est en revanche modifié auprès de l’Identity Provider concerné.

Les détails du compte contiennent également les paramètres personnels d’abonnement aux e-mails. Ces abonnements personnels ne sont pas identiques aux destinataires d’alertes du tenant sous Configure Email Alerts. Les administrateurs, listes de diffusion et systèmes de gestion des tickets qui reçoivent les notifications de sécurité sont gérés dans la procédure distincte consacrée aux e-mails d’alerte et notifications Sophos Fusion.

Protéger les actions sensibles avec la MFA transactionnelle

Transaction Authentication using MFA exige une authentification supplémentaire avant certaines actions sensibles dans le tenant Customer (CDB). Il ne s’agit pas d’une protection générale des actions dans les dashboards Partner ou Enterprise. La confirmation utilise le Passkey ou l’application d’authentification déjà enregistré pour la MFA Sophos. Selon l’annonce du 15 septembre 2026, la fonction est désactivée par défaut.

Avant l’activation, vérifier le bon tenant Customer, la disponibilité d’un Super Admin pour effectuer la modification et le fonctionnement d’une méthode MFA enregistrée. Les droits et licences nécessaires à Live Response ou à la Response Action concernée restent indépendants. Si un administrateur est autorisé à utiliser uniquement la connexion fédérée et que la MFA est assurée exclusivement par l’IdP fédéré, ce paramètre n’est pas disponible pour lui. Ne pas modifier la configuration de l’IdP uniquement pour ce test.

1. En tant que Super Admin dans le tenant Customer, ouvrir Global Settings > Access Control > Sign-in and Identity > Multi-factor Authentication et consigner l’état actuel. Si l’option manque, vérifier d’abord le tenant, le rôle et le mode de connexion ; l’annonce seule ne prouve pas sa disponibilité dans le tenant concerné.
2. Avant l’activation, informer les administrateurs concernés et autoriser les fenêtres contextuelles pour la connexion Sophos. Si le navigateur les bloque, examiner une exception ciblée pour sophos.com plutôt que de désactiver globalement le blocage des fenêtres contextuelles.
3. Sous Transaction Authentication using MFA, activer Require re-authentication before executing high risk operations. Ne pas activer par erreur l’option distincte Expand MFA Coverage : elle étend la MFA à d’autres connexions aux portails et ne peut plus être désactivée après son activation.
4. Ouvrir à nouveau la page et vérifier que le paramètre est activé. Les administrateurs concernés doivent ensuite se déconnecter puis se reconnecter pour que la modification prenne effet dans leur nouvelle session Fusion. Une session déjà ouverte ne constitue pas un test valable de son effet.

Dans la nouvelle session, une nouvelle authentification est attendue à chaque démarrage d’une session Live Response. Pour une Response Action, elle est requise si la dernière nouvelle authentification n’a pas eu lieu au cours des 15 minutes précédentes. Il ne s’agit ni d’une fenêtre générale de 15 minutes pour Live Response ni d’une garantie couvrant tous les types d’actions possibles.

Contrôler la demande MFA lors de la prochaine action explicitement autorisée ; ne pas déclencher une isolation d’appareil, une autre Response Action ou une session Live Response en production uniquement pour tester. Si la demande attendue manque, vérifier d’abord la nouvelle connexion, le paramètre enregistré, le contexte Customer, l’exception IdP et le blocage des fenêtres contextuelles. Si le comportement reste différent, ne pas valider l’action sensible comme suffisamment protégée ; transmettre à Sophos Support le tenant, l’heure et les observations, sans identifiants de connexion. L’aide consultée décrit l’activation, mais aucune procédure fiable de désactivation ou de retour arrière ; ne pas garantir une annulation sans vérification.

Comprendre les sessions liées à l’appareil avec DBSC

Device Bound Session Credentials (DBSC) lient une session à une clé cryptographique présente sur l’appareil. Le navigateur prouve régulièrement qu’il possède cette clé ; un cookie de session volé devient ainsi moins exploitable sur un autre appareil. C’est une couche de protection supplémentaire contre le vol de session, et non un remplacement de la MFA, de la sécurité des endpoints ou d’une déconnexion volontaire.

Sophos a annoncé DBSC pour les dashboards Customer, Enterprise et Partner (CDB, EDB et PDB). Avec un navigateur et une plateforme pris en charge, la fonction est transparente ; aucun bouton d’activation côté client ni aucune implémentation DBSC personnalisée ne sont nécessaires. L’annonce Sophos du 15 septembre 2026 cite Google Chrome et Microsoft Edge à partir de la version 146 sur Windows avec TPM ainsi que la version 147 sur macOS comme minimum. Ces indications décrivent la prise en charge Sophos au moment de l’annonce, et non une validation indépendante des plateformes ou une garantie d’activation pour chaque session.

Google décrit en revanche la capacité DBSC de base dès Chrome 145 sur Windows. Elle ne correspond pas au seuil supérieur de Sophos et ne confirme pas la prise en charge d’Edge ou de macOS pour Sophos Fusion. Sans prise en charge adaptée du navigateur et de la plateforme, ne pas considérer DBSC comme une protection disponible. Pour le déploiement, recenser les versions de navigateurs et de systèmes d’exploitation réellement utilisées ; une connexion réussie ne prouve pas à elle seule la liaison DBSC.

Limiter les sessions administrateur inactives

MFA protège la connexion, mais pas une session déjà ouverte sur un ordinateur laissé sans surveillance. Sous Connected Sessions, Session Idle Timeout définit après combien d’heures d’inactivité un administrateur doit se reconnecter. Sophos documente ce paramètre séparément pour les portails Customer, Enterprise et Partner. Avant toute modification, vérifier le portail utilisé, le compte ou tenant correspondant et le mode de connexion. Lors d’un accès aux comptes Customer via une session Partner ou Enterprise, le délai de cette session fait foi selon l’annonce relative aux sessions. La valeur Customer seule ne décrit donc pas cette session. Cette priorité n’est ni une copie automatique des paramètres Customer ni un héritage général des exigences MFA, SSO ou d’autres paramètres du compte.

1. Dans le portail concerné, ouvrir l’icône Global Settings et sélectionner Access Control > Sign-in and Identity > Connected Sessions.
2. Documenter la valeur actuelle sous Session Idle Timeout pour pouvoir la rétablir si nécessaire. Les valeurs autorisées vont de 1 à 23 heures et la valeur par défaut documentée est de 3 heures.
3. Saisir la durée maximale d’inactivité et sélectionner Save. Pour les comptes administrateur privilégiés, 1 heure constitue un exemple de pilote Avanet volontairement strict, et non une valeur par défaut Sophos. Une durée plus courte limite le temps pendant lequel une session inactive laissée sans surveillance peut rester utilisable, mais impose des reconnexions plus fréquentes en exploitation. Le choix est convenu avec les administrateurs concernés ; le délai d’expiration ne remplace ni le verrouillage de l’écran ni une déconnexion volontaire.

Après l’enregistrement, ouvrir à nouveau la page et vérifier la valeur enregistrée. Pour tester l’effet du paramètre, un administrateur de test se connecte au même portail dans une session de navigateur distincte. Cette session reste ouverte sans aucune interaction pendant une durée supérieure à celle configurée ; une page protégée est ensuite ouverte. Une nouvelle demande de connexion est attendue. Il faut alors effectuer avec succès le parcours de connexion local ou fédéré réellement utilisé, y compris la MFA qui y est requise. Le test est réalisé séparément pour chaque portail concerné.

Si la session reste utilisable après la durée d’inactivité prévue, vérifier d’abord le portail, le tenant, la valeur enregistrée et toute activité éventuelle pendant le test. Recommencer ensuite le test avec une session nouvellement authentifiée ; si le résultat reste différent de celui attendu, documenter le portail, l’heure et le comportement observé pour Sophos Support, sans inclure d’identifiants de connexion. Si la modification doit être annulée, enregistrer à nouveau la valeur précédente documentée et répéter le contrôle.

Session Idle Timeout ne garantit pas la révocation immédiate de toutes les sessions déjà ouvertes et ne remplace pas les mesures à prendre en cas de compromission d’un compte. Il ne permet pas non plus de conclure à une application automatique entre les portails Customer, Enterprise et Partner. En cas d’incident de sécurité, l’accès au compte, les rôles, l’IdP et les Audit Logs sont également contrôlés.

Bien évaluer les Passkeys

Les Passkeys résistent au phishing lorsque la clé est liée au véritable domaine Sophos Fusion et protégée par le PIN ou la biométrie de l’appareil. Un Passkey synchronisé est pratique, mais hérite des propriétés de sécurité et de récupération du compte Apple, Google ou Microsoft utilisé.

Pour les Super Admins, une clé matérielle gérée offre une méthode particulièrement robuste. Avant de l’imposer à tout le tenant, il faut vérifier le fonctionnement de l’accès d’urgence, des clés de remplacement et de la procédure de départ des collaborateurs.

Microsoft Authenticator n’est pas pris en charge pour un Passkey Sophos en dehors d’une connexion Entra ID fédérée. L’application peut toujours servir de TOTP Authenticator. Selon la plateforme, les Cross-Device Passkeys nécessitent Bluetooth, la proximité des appareils et une procédure avec QR Code.

Un compte peut enregistrer au maximum dix Passkeys. Le remplacement des anciens facteurs et la logique de verrouillage sont traités séparément dans la section suivante, car ils concernent aussi bien les comptes TOTP que les comptes avec Passkey.

La prise en charge actuellement documentée des Passkeys comprend Windows 10 et 11, macOS 10.15.7 ou version ultérieure, Android 9 ou version ultérieure, ainsi qu’iOS et iPadOS 16 ou version ultérieure. Sophos indique comme versions minimales Chrome 118, Firefox 119, Safari 16 ou version ultérieure et Edge 119. Les moyens de stockage courants sont Windows Hello, Google Password Manager, iCloud Keychain et 1Password ; Sophos mentionne YubiKey 5 et YubiKey NFC comme clés liées à un appareil. D’autres combinaisons peuvent fonctionner si les fabricants du navigateur et du système d’exploitation implémentent les protocoles Passkey nécessaires.

Sophos estime que cette prise en charge couvre environ 98 pour cent des combinaisons de navigateurs et de systèmes d’exploitation utilisées, ainsi que les Credential Managers courants. Il s’agit d’une indication de couverture et non d’une garantie de plateforme. Le système d’exploitation, le navigateur, le Credential Manager, la politique de synchronisation et la récupération doivent être testés avec les versions réellement utilisées.

Les Passkeys synchronisés fonctionnent pour la connexion Sophos, mais la synchronisation elle-même reste une fonction du Credential Manager. iCloud Keychain peut par exemple mettre les Passkeys à disposition entre les Mac, iPhone et iPad d’une même identité iCloud. En cas d’erreur de synchronisation, le fournisseur du Credential Manager est donc compétent. Pour les Cross-Device Passkeys, Bluetooth doit être activé sur l’ordinateur et l’appareil mobile, les deux appareils doivent se trouver à proximité et un lecteur de QR Code doit être disponible.

Microsoft Authenticator ne peut utiliser un Passkey Sophos que dans le contexte d’une connexion Entra ID fédérée. Sans ce mode de connexion, les messages Failed to add passkey ou Microsoft Authenticator doesn’t support this passkey apparaissent généralement lors de l’enregistrement. Son utilisation comme application TOTP reste possible indépendamment de cette restriction.

Avec 1Password Business, les Team Policies ou Shared Vault Policies peuvent bloquer l’enregistrement d’un Passkey. 1Password apparaît alors dans la boîte de dialogue d’enregistrement, mais reste grisé. L’administrateur 1Password responsable doit autoriser l’enregistrement dans les Team Policies ; la suppression répétée de la méthode MFA Sophos ne corrige pas cette politique externe.

Méthodes MFA obsolètes et verrouillage du compte

Les SMS ainsi que les e-mails avec PIN sont des méthodes MFA obsolètes. Les nouveaux utilisateurs Sophos Fusion doivent utiliser une Authenticator App TOTP ou un Passkey. Si la MFA d’un utilisateur existant qui utilise les SMS ou un e-mail avec PIN est réinitialisée, Sophos Fusion le traite également comme un nouvel utilisateur lors du nouvel enregistrement et exige TOTP ou un Passkey.

Après cinq tentatives de connexion incorrectes consécutives, Sophos Fusion verrouille d’abord le compte pendant une minute. D’autres échecs avec le même compte prolongent progressivement le verrouillage jusqu’à cinq heures au maximum. Il ne faut donc pas poursuivre automatiquement les tentatives après un verrouillage du compte. Si aucune seconde méthode ni aucun autre Super Admin n’est disponible, Sophos Support peut déverrouiller le compte après vérification de l’identité.

Connexion fédérée avec un Identity Provider

Avec un Identity Provider pris en charge, Sophos Fusion peut déléguer l’authentification à l’identité centrale de l’entreprise. Cela simplifie Conditional Access, la gestion du cycle de vie des identités et la désactivation centralisée. Sophos Fusion utilise un processus lancé par le Service Provider, appelé SP-initiated SSO : la connexion commence dans Sophos Fusion, puis est redirigée vers l’IdP.

La configuration suit un ordre fixe. Le domaine de l’entreprise est d’abord vérifié au moyen d’un enregistrement DNS TXT. La propagation DNS peut prendre jusqu’à 24 heures. Une vérification réussie est valable un an et doit ensuite être renouvelée. L’Identity Provider est alors associé au domaine vérifié, et l’option de connexion souhaitée n’est activée qu’en dernier. Ces opérations exigent des droits Super Admin.

Sophos Fusion peut autoriser uniquement les identifiants fédérés ou également l’adresse e-mail et le mot de passe Sophos Fusion. Avec Microsoft Entra ID, Sophos Fusion continue d’afficher les deux options malgré le réglage Federated credentials only. Avec d’autres Identity Providers, ce réglage redirige directement vers l’IdP sans étape de sélection. Cette différence de comportement doit faire partie du test de verrouillage.

La sélection s’effectue sous Global Settings > Access Control > Sign-in and Identity > Sophos sign-in. Elle s’applique en principe à tous les produits Sophos Fusion. Des Custom Sign-in Rules peuvent être définies pour certains administrateurs, par exemple afin de conserver une connexion Sophos contrôlée comme solution de repli pendant la phase pilote. Un utilisateur ne peut être associé qu’à un seul domaine vérifié et à un seul Identity Provider.

Avec Federated credentials only, les utilisateurs ne peuvent pas réinitialiser eux-mêmes leur mot de passe Sophos. Si le tenant revient ensuite à une connexion Sophos exclusive, ces comptes ne disposent peut-être pas encore d’un mot de passe utilisable et doivent passer par Reset Password. Les utilisateurs du Self-Service Portal qui utilisent uniquement la connexion fédérée ne reçoivent pas d’invitation distincte pour créer un mot de passe, mais se connectent directement via l’IdP.

L’option Expand MFA Coverage étend la demande MFA aux utilisateurs gérés dans d’autres portails Sophos, comme le Self Service Portal, le Partner Portal ou le Support Portal. Une fois activée, elle ne peut plus être désactivée. Elle ne doit donc être enregistrée pour tout le tenant qu’après un pilote avec les utilisateurs des portails réellement concernés.

Avant l’activation, les points suivants sont clarifiés :

• association univoque entre l’adresse e-mail et le Sophos Fusion Login,
• MFA et règles d’accès chez l’IdP,
• comportement des comptes invités et partenaires,
• au moins un accès d’urgence testé,
• prévention d’un verrouillage dû à une mauvaise configuration du domaine ou de l’IdP.

La connexion fédérée ne synchronise pas automatiquement les utilisateurs Endpoint ni les groupes d’appareils. Il s’agit de fonctions distinctes.

Lorsque l’UPN et l’adresse e-mail diffèrent

Sophos Fusion identifie d’abord le compte à partir de l’adresse e-mail enregistrée. Si Microsoft Entra ID utilise en interne un autre User Principal Name, l’Entra App nécessite une configuration OpenID Connect adaptée avec le Claim facultatif email et les Microsoft Graph Permissions appropriées. Dans Sophos Fusion, l’utilisateur continue de saisir l’adresse e-mail qui lui est attribuée, puis s’authentifie sur la page Microsoft avec son UPN.

La configuration standard suffit lorsque l’adresse e-mail et l’UPN sont identiques. Une configuration différente doit d’abord être testée avec un compte de test, car un Claim absent ou incorrect empêche l’association, même si l’authentification Entra a réussi.

Gérer et activer les Identity Providers

Seul un Super Admin peut gérer un Identity Provider fédéré. Au moins un domaine correspondant doit avoir été vérifié auparavant. Sous Global Settings > Access Control > Sign-in and Identity > Federated identity providers, sélectionner Add identity provider pour ajouter Microsoft Entra ID, OpenID Connect ou Microsoft AD FS. Les Providers dont la configuration n’est que partielle peuvent être enregistrés, mais ne peuvent être activés qu’après une configuration complète et valide.

Pour l’activation, sélectionner le Provider terminé, puis Turn on. Il peut ensuite être utilisé pour la connexion fédérée. Les Providers peuvent être modifiés ou supprimés au même endroit. Avant d’activer Federated credentials only, chaque administrateur et utilisateur concerné doit être associé à un domaine vérifié et à un Provider activé ; sinon, un verrouillage se produit. Le Provider est donc d’abord testé avec des comptes individuels et une solution de repli conservée.

Les procédures détaillées pour les Providers sont disponibles sous Configurer Microsoft Entra ID comme Identity Provider, Configurer OpenID Connect et Okta pour Sophos Fusion et Connecter Microsoft AD FS à Sophos Fusion.

Les rôles restent déterminants

MFA protège l’identité, mais ne limite pas ses droits. Super Admin n’est utilisé que pour les modifications du tenant, des rôles, des API et les changements particulièrement étendus. Help Desk, Read-only et Custom Roles réduisent les conséquences possibles d’une erreur ou d’un compte compromis.

La page Planifier les rôles et autorisations Sophos Central Endpoint explique les attributions propres au produit.

Appareil MFA perdu et verrouillage du compte

La procédure de récupération est testée avant d’être nécessaire. Utiliser d’abord une seconde méthode enregistrée. Si aucune méthode n’est disponible, vérifier l’identité par un canal de contact connu et confirmé de manière indépendante avant la réinitialisation ; un e-mail demandant une réinitialisation ne suffit pas à lui seul. Informer l’utilisateur concerné par le canal convenu. Ne demander à la personne qui appelle ni mot de passe, ni Passkey, ni code QR, ni code de sécurité, et ne pas les conserver dans le ticket.

Pour un compte utilisateur dans le tenant Customer, la procédure de récupération est la suivante :

1. Utiliser la seconde méthode enregistrée.
2. Demander à un Super Admin du tenant d’utiliser Reset MFA dans l’objet utilisateur.
3. Saisir lors de la connexion suivante le Security Code envoyé par Sophos par e-mail.
4. Enregistrer deux nouvelles méthodes MFA et tester leur disponibilité indépendante.
5. Si aucun autre Super Admin n’est disponible, contacter Sophos Support avec des informations de compte vérifiables.

Pour une identité Partner, faire plutôt appel au Partner Super Admin et suivre la procédure Partner décrite plus bas. L’e-mail de vérification Customer ne garantit pas le fonctionnement du dialogue de récupération Partner. Après la réinitialisation Partner, l’utilisateur suit les invites de connexion et d’enregistrement réellement affichées et rétablit au moins deux méthodes indépendantes. Si aucun autre Super Admin n’est disponible pour le compte Partner, contacter Sophos Support ; des tentatives de connexion supplémentaires infructueuses ne remplacent pas cette récupération.

Après une récupération, les anciennes méthodes sont supprimées, de nouvelles sont enregistrées et les Audit Logs sont contrôlés afin d’identifier toute connexion ou modification inhabituelle.

La suppression de l’entrée Sophos directement dans l’Authenticator App ne retire pas la méthode de Sophos Fusion. Elle y reste enregistrée, mais ne fournit plus de codes valides. La méthode doit donc également être supprimée dans Sophos Fusion ou réinitialisée par un Super Admin. Si toutes les méthodes locales sont supprimées, il ne reste qu’une seconde méthode enregistrée, la réinitialisation par un autre Super Admin ou la procédure vérifiée auprès de Sophos Support.

Réinitialiser MFA en tant que Super Admin

Cette procédure s’applique à un compte utilisateur dans le tenant Customer, et non à la page Partner Administer MFA.

Seul un Super Admin peut réinitialiser les enregistrements MFA d’un autre utilisateur. Le chemin est My Environment > Users & Groups > Users. Ouvrir le nom de l’utilisateur, sélectionner Reset MFA, puis de nouveau Reset. Un message de statut au bas de la page confirme que la réinitialisation a réussi.

Sophos Fusion envoie ensuite automatiquement à l’utilisateur un e-mail de vérification contenant un Security Code. Lors de la connexion suivante, ce code doit être saisi et MFA doit être entièrement reconfigurée. Il faut contrôler la réception, l’identité de la personne à l’origine de la demande et le succès du nouvel enregistrement ; une réinitialisation seule ne rétablit pas encore un accès sûr. Si le propre compte du demandeur est verrouillé et qu’aucun autre Super Admin n’est disponible, seule la récupération vérifiée auprès de Sophos Support reste possible.

Réinitialiser MFA dans le compte Partner

La page Administer MFA n’est visible que pour un Partner Super Admin. Elle constitue la procédure Partner pour les identités administrées ; le chemin Customer My Environment > Users & Groups > Users ne doit pas être utilisé à cette fin. Les administrateurs du compte Partner peuvent être vérifiés sous Global Settings > Access Control > Admin & Roles > Admins.

1. Dans le portail Partner, ouvrir l’icône Global Settings et, sous Access Control, sélectionner la page Administer MFA.
2. Saisir l’adresse e-mail complète de l’identité concernée. Seules les adresses associées à un compte Partner peuvent être recherchées. Une adresse partielle ne suffit pas. Si aucun résultat n’est trouvé, aucun avis ni message d’erreur ne s’affiche ; cela ne confirme pas une réinitialisation. Dans ce cas, vérifier l’orthographe et le rattachement au compte plutôt que de réinitialiser un autre utilisateur.
3. Pour le résultat correspondant sans ambiguïté à l’identité, aller dans la colonne Action et cliquer sur Reset MFA. Une indication au bas de la page confirme la réussite de la réinitialisation.
4. Demander à l’utilisateur de reconfigurer MFA. Vérifier ensuite une connexion réussie et au moins deux méthodes enregistrées disponibles indépendamment. La réussite de la réinitialisation seule ne confirme pas le rétablissement d’un accès sûr.

Un Passkey perdu ne se reconstitue pas à partir d’un ticket et ne se remplace pas en partageant la clé d’une autre personne. La récupération utilise une méthode personnelle encore disponible ou une réinitialisation autorisée ; les enregistrements anciens ou perdus sont ensuite contrôlés. Si l’entrée Sophos a uniquement été supprimée localement dans l’Authenticator App, son enregistrement reste dans le portail Partner, même s’il ne fournit plus de codes utilisables. La distinction expliquée plus haut entre suppression locale et retrait de l’enregistrement du portail reste donc valable.

Réinitialiser MFA d’un utilisateur Customer depuis le portail Partner

Pour un utilisateur du tenant Customer administré, Sophos documente un point d’entrée distinct :

1. Ouvrir My Business > My Customers et sélectionner Customers.
2. Dans Sophos Central Customers, sélectionner le bon client et choisir Launch customer. Le compte Customer s’ouvre avec son dashboard ; vérifier le rattachement au client avant la réinitialisation.
3. Ouvrir My Environment > Users & Groups, sélectionner l’utilisateur concerné et choisir Reset MFA dans son profil.
4. Vérifier le message de réussite en bas à droite et terminer la récupération avec l’utilisateur, y compris la notification et le nouvel enregistrement.

Ce point d’entrée Customer n’est pas la recherche par e-mail de Administer MFA. Une personne qui passe du dashboard Partner à un tenant Customer par SSO Partner ne peut pas modifier les paramètres MFA des Super Admins de ce tenant. Si un Super Admin Customer est concerné, faire intervenir un autre Super Admin autorisé du même tenant ; si aucun accès de ce type n’est disponible, contacter Sophos Support. Le passage au tenant Customer ne lève pas cette restriction.

Contrôle régulier

Au moins chaque trimestre, les administrateurs, les rôles, les identifiants API, les méthodes MFA et les identités externes sont contrôlés. Lors d’un départ ou d’un changement de rôle, l’accès Sophos Fusion est non seulement désactivé, mais aussi retiré des rôles Admin et des groupes IdP concernés.

Questions fréquentes