Sincronizzare Microsoft Entra ID con Sophos Fusion

La sincronizzazione con Microsoft Entra ID importa in Sophos Fusion (in precedenza Sophos Central) gli utenti e i gruppi del proprio tenant. Questi oggetti sono quindi disponibili per i prodotti Fusion e le assegnazioni di policy pertinenti. I dispositivi di Entra ID sono esclusi per impostazione predefinita. Possono essere selezionati separatamente per la sincronizzazione tramite Enable devices; l’importazione di utenti e gruppi non attiva automaticamente la sincronizzazione dei dispositivi.

La sincronizzazione della directory non equivale al Single Sign-On. Rende disponibili utenti e gruppi in Sophos Fusion, ma non abilita l’accesso Entra al portale Sophos Fusion. L’accesso degli amministratori e la relativa configurazione Identity Provider vengono impostati indipendentemente dalla sincronizzazione della directory.

⚠️ Con Directory.Read.All, l’applicazione Entra riceve un ampio accesso in lettura alla directory. Deve quindi essere utilizzata esclusivamente per questa sincronizzazione. Il client secret non deve mai comparire in ticket, screenshot, chat o nel repository. L’Application ID e il dominio del tenant non sono password, ma devono comunque essere anonimizzati nelle immagini pubbliche.

Alcuni screenshot esistenti mostrano ancora la vecchia denominazione Azure AD e un’interfaccia del portale precedente. La procedura resta riconoscibile; per i nomi dei menu e le autorizzazioni fa fede il testo aggiornato.

Requisiti

Prima della configurazione è necessario verificare i seguenti punti:

• un ruolo amministratore Sophos Fusion adeguato
• Microsoft Entra ID e l’autorizzazione a registrare un’applicazione single-tenant
• un ruolo Entra autorizzato a concedere l’admin consent per Microsoft Graph a livello di tenant
• il dominio primario del tenant in Microsoft Entra ID > Custom domain names
• indirizzi e-mail per gli utenti che Sophos Fusion deve importare
• un responsabile e una data pianificata per il successivo rinnovo del client secret

Gli utenti dello stesso dominio non possono essere sincronizzati contemporaneamente tramite Active Directory locale e Microsoft Entra ID. AD può tuttavia continuare a fornire dispositivi e gruppi di dispositivi, mentre Entra ID fornisce utenti e gruppi di utenti dello stesso dominio. Per questa ripartizione, Enable devices rimane disattivato nell’origine Entra. L’opzione aggiuntiva per i dispositivi Entra non dimostra che gli stessi dispositivi possano essere sincronizzati senza rischi da entrambe le origini. Office 365 GCC High non è supportato per questa sincronizzazione Entra ID.

Per ogni dominio è possibile collegare una sola origine Entra ID. Inoltre, utenti e indirizzi e-mail non possono essere sincronizzati contemporaneamente con più account Sophos Fusion.

Un account Sophos Fusion supporta al massimo 25 origini directory; per numeri superiori Sophos rimanda a Sophos Central Enterprise. Le licenze di prova limitano anche il numero di oggetti directory disponibili. Se gli utenti devono accedere al Self Service Portal per l’amministrazione autonoma della posta, configurare User access prima della sincronizzazione affinché gli utenti nuovi ed esistenti ricevano la notifica e l’accesso previsti.

La selezione facoltativa dei dispositivi non modifica il limite separato relativo ai dettagli di delega di utenti, gruppi o Shared Mailbox: questi dettagli non vengono sincronizzati. Gli oggetti Shared Mailbox possono essere importati, ma Fusion non ricostruisce da Entra i delegati associati. Questo limite è particolarmente importante prima di una migrazione da AD locale a Entra ID.

Collegare Microsoft Entra ID a Sophos Fusion

1. Preparare l’origine directory in Sophos Fusion

In Sophos Fusion, aprire l’icona Global Settings e passare a:

Platform > Directory service > Add Microsoft Entra ID

Inserire un nome univoco, una breve descrizione e il dominio primario del tenant. Dopo aver selezionato Next, Fusion richiede i dati dell’applicazione Entra che verrà creata nei passaggi successivi.

2. Registrare un’applicazione Entra dedicata

Nel Microsoft Entra admin center, eseguire i passaggi seguenti:

1. Aprire Enterprise applications > New application.
2. Selezionare Create your own application.
3. Inserire un nome univoco, ad esempio Sophos Microsoft Entra ID Sync.
4. Selezionare Register an application to integrate with Microsoft Entra ID e creare l’applicazione.
5. Come tipo di account, scegliere Accounts in this organizational directory only (Single tenant).
6. Come tipo di Redirect URI, scegliere Web e inserire https://central.sophos.com.
7. Registrare l’applicazione.

central.sophos.com viene mantenuto qui come URI di reindirizzamento tecnico compatibile con i sistemi legacy. Per l’accesso attuale al portale, utilizzare Sophos Fusion.

Single tenant limita l’applicazione alla propria directory. L’app dedicata separa inoltre la sincronizzazione della directory dall’accesso degli amministratori e da altre integrazioni che richiedono autorizzazioni aggiuntive o Redirect URI differenti.

3. Registrare Client ID e client secret

In Microsoft Entra ID > App registrations, aprire la nuova applicazione. In Overview, annotare l’Application (client) ID. L’Object ID non è il Client ID richiesto.

Successivamente, in Certificates & secrets > Client secrets > New client secret, creare un secret con una data di scadenza adatta al processo operativo. Subito dopo la creazione vengono visualizzati due valori diversi:

• Value: questo valore deve essere inserito in Sophos Fusion come client secret.
• Secret ID: questo identificatore non deve essere utilizzato per la connessione.

Il valore del secret è visibile una sola volta. Deve essere salvato immediatamente in un password manager approvato; vanno inoltre documentati il responsabile e la data di scadenza.

4. Concedere l’accesso in lettura tramite Microsoft Graph

Nella registrazione dell’app, aprire API permissions > Add a permission > Microsoft Graph e aggiungere esattamente questa autorizzazione:

Application permissions > Directory.Read.All

Selezionare quindi Grant admin consent for [Tenant]. Lo stato deve successivamente mostrare Granted for [Tenant].

Directory.Read.All è un’Application Permission perché Sophos Fusion esegue la sincronizzazione in background senza un utente Entra autenticato. Per questa sincronizzazione della directory non servono ulteriori Delegated Permissions come openid, profile, User.Read.All o Group.Read.All. Non va concesso nemmeno Directory.ReadWrite.All: la sincronizzazione richiede accesso in lettura, non autorizzazioni di scrittura nel tenant.

5. Salvare e testare la connessione in Sophos Fusion

Tornare all’origine directory preparata in Sophos Fusion e inserire i valori seguenti:

• Client ID: Application (client) ID dell’app Entra
• Domain: dominio primario in Custom domain names, non il Tenant ID
• Client secret: il Value salvato in precedenza, non il Secret ID
• Client secret expiration: data di scadenza del secret

Eseguire quindi Test connection, salvare le impostazioni con Save e ripetere il test di connessione con i dati salvati. Solo due test riusciti confermano che Fusion può utilizzare i valori memorizzati.

Selezionare gli utenti e verificare la prima sincronizzazione

Scegliere i filtri consapevolmente

Sophos Fusion può importare tutti gli utenti e i gruppi, gruppi selezionati tramite Object ID oppure oggetti selezionati mediante filtri di gruppo o utente. Se in Fusion sono già presenti utenti, All users and groups è spesso l’opzione più sicura per il primo confronto, perché offre a Fusion il maggior numero possibile di corrispondenze. Con una gerarchia di gruppi complessa, invece, può essere utile un insieme pilota definito in anticipo tramite Add users by group filter o Add users by user filter. Per configurare o modificare i filtri è necessario un ruolo Admin.

Un filtro di gruppo o utente può contenere al massimo dieci condizioni binarie e tre livelli di gruppi AND/OR nidificati. Questi limiti vanno considerati prima di creare filtri complessi; la vista dei filtri non può prevedere completamente l’impatto sugli oggetti Fusion esistenti.

Per le nuove origini Entra è stata annunciata una nuova impostazione predefinita: gli utenti Guest non verranno sincronizzati. Le origini esistenti mantengono la configurazione dei filtri attuale; non vi è quindi motivo di modificare preventivamente un filtro funzionante. Prima di una nuova sincronizzazione, stabilire esplicitamente se servono gli ospiti. Se devono essere inclusi, configurare consapevolmente il filtro utente disponibile con User Type e il valore effettivo di Entra per gli ospiti, quindi verificarlo con account ospite noti. Per una nuova origine, All users and groups da solo non dimostra in modo affidabile che gli ospiti siano inclusi. L’impostazione fa parte di un rilascio graduale; fanno fede la selezione salvata e il risultato verificato nel proprio tenant, non un presunto interruttore separato per gli ospiti.

Se un oggetto della directory corrisponde a un oggetto Fusion identico gestito finora manualmente, la sincronizzazione può acquisirlo come oggetto della directory. Prima della prima esecuzione è quindi necessario documentare le corrispondenze previste, i ruoli e le assegnazioni importanti delle policy. Un successivo purge dei dati sincronizzati è irreversibile e può rimuovere i dati associati.

⚠️ Una successiva modifica del filtro adegua l’inventario sincronizzato. Gli utenti e i gruppi non più inclusi dal nuovo filtro vengono rimossi da Sophos Fusion alla sincronizzazione successiva. Gli oggetti gestiti manualmente non sono interessati.

La variante scelta e i relativi criteri vengono salvati con Save. Solo successivamente si configurano la pianificazione e l’esecuzione produttiva.

La documentazione Sophos non descrive attualmente la Preview in modo uniforme e la funzione non è ancora disponibile in ogni tenant. Se il tenant offre Preview dopo il completamento della configurazione, per utilizzarla è necessario disattivare l’origine. L’anteprima mostra il set di dati selezionato, ma non tutte le conseguenze per gli oggetti Fusion esistenti. Rimane valida per sette giorni o fino alla sincronizzazione successiva; con più di 20.000 record, il risultato è disponibile solo come esportazione JSON. Se la funzione non è disponibile, eseguire il primo ciclo con un set pilota chiaramente definito e un elenco documentato degli oggetti attesi.

Sincronizzare tutti gli utenti e gruppi

Per il confronto più ampio, aprire Global Settings > Platform > Directory service, scegliere Microsoft Entra ID sync e, in Select users and groups to include in the synchronization, selezionare All users and groups. Attivare con Turn on, eseguire Synchronize e confrontare il risultato in My Environment > Users & Groups con l’elenco atteso.

Questa variante è spesso utile al primo ciclo quando Fusion contiene già utenti e gruppi, perché massimizza le possibili corrispondenze. Non è automaticamente adatta al funzionamento permanente: account di servizio e gruppi non necessari vanno esclusi dopo il confronto controllato.

Selezionare gruppi tramite Object ID

Group Object ID importa gruppi selezionati insieme ai loro utenti. Aprire ogni gruppo in Microsoft Entra, copiarne l’Object ID e aggiungerlo in Fusion con Group Object ID > Add group alla Group ID list. È possibile incollare più Object IDs contemporaneamente, separati da virgole o con un ID per riga. Fusion verifica ogni ID all’aggiunta e avvisa se non è valido, non corrisponde a un gruppo esistente o è già presente nella Group ID list. In caso di avviso, confrontare l’ID con il gruppo Entra selezionato e correggere la voce errata o duplicata. Prima di Turn on, controllare tutte le voci; un gruppo non necessario può essere rimosso dall’elenco tramite il relativo ID.

Il numero massimo di Group IDs non è attualmente documentato in modo univoco: la stessa guida indica dieci in un punto e quindici nella sezione Group Object ID. Non è quindi possibile ricavarne un massimo confermato. Prima di una modifica che dipende da questo limite, chiarire il numero consentito per il proprio tenant tramite la validazione del portale o con Sophos. Un elenco accettato dal portale non sostituisce la verifica del risultato effettivo della sincronizzazione.

Il passaggio agli Object ID sostituisce i filtri configurati in precedenza e può quindi modificare l’inventario Fusion. Dopo Synchronize, in My Environment > Users & Groups vanno verificati tutti i gruppi scelti, membri rappresentativi ed eventuali eliminazioni inattese.

Selezionare utenti tramite un filtro di gruppo

In Select users and groups to include in the sync > Add users by group filter, scegliere se devono corrispondere any o all delle condizioni e dei gruppi, quindi definire la condizione primaria, l’operatore appropriato e il valore di confronto. Gli operatori disponibili dipendono dall’attributo. Per Last Dir Sync Time sono previsti Equal, Not equal, Greater than or Equal, Less than or Equal, Greater than e Less than. Consentono di distinguere un istante preciso dai valori precedenti o successivi a una data limite.

Per Display Name, Mail e Mail Nickname, oltre a Equal, Not equal, Starts with e Ends with, sono disponibili In e Not in. Object ID supporta Equal, Not equal, In e Not in. Any proxy address, invece, offre solo confronti di uguaglianza, disuguaglianza, prefisso e suffisso; i campi booleani di Directory Sync e Security Enabled solo uguaglianza e disuguaglianza. Verificare quindi sempre l’operatore per il campo selezionato, senza riprenderlo da un altro filtro.

Add condition restringe ulteriormente i risultati. Add group crea un sottoinsieme nidificato all’interno degli utenti già individuati. Un filtro può, ad esempio, combinare utenti la cui ultima Directory Sync precede una data limite, che dispongono di un Proxy Address e il cui nome visualizzato inizia con Admin. Fusion consente in totale al massimo dieci condizioni binarie e tre livelli logici nidificati.

Dopo Turn on e Synchronize, il risultato viene verificato in My Environment > Users & Groups. Un esempio con una data storica non va copiato senza verifica; sono determinanti una data limite attuale e una popolazione attesa nota.

Selezionare utenti tramite un filtro utente

Add users by user filter opera direttamente sugli attributi dell’utente. Scegliere di nuovo any o all, quindi una condizione primaria, l’operatore consentito e il valore di confronto. Ad esempio, Country is Germany può selezionare utenti in Germania; per Country sono previsti anche Not equal, Starts with, Ends with, In e Not in.

In confronta un campo con più valori in una sola condizione; Not in esclude tali valori. Ad esempio, Department In, con i valori HR, Finance e Operations effettivamente utilizzati nel tenant, può selezionare tre reparti senza creare una condizione per ciascuno. Fanno fede i valori degli attributi memorizzati in Entra, non i nomi visualizzati tradotti. Inserire i valori multipli nell’input previsto; non presumere che la sintassi con virgole o interruzioni di riga dei Group Object IDs si applichi ad altri campi filtro.

Questi operatori multivalore sono previsti nel filtro utente per City, Country, Department, Display Name, Employee ID, Given Name, Immutable ID, Mail, Mail Nickname, State, Surname, Usage Location e User Principal Name. Object ID offre Equal, Not equal, In e Not in, ma non ricerche per prefisso o suffisso. Other Mails e Any proxy address consentono confronti di uguaglianza, disuguaglianza, prefisso e suffisso, ma non In o Not in. Account Enabled, Creation Type, il campo booleano di Directory Sync e User Type offrono solo uguaglianza e disuguaglianza; Any sign in name value e Any user identities issuer solo uguaglianza. Per Last Dir Sync Time valgono gli stessi sei operatori di data del filtro di gruppo.

Ulteriori blocchi Add condition e Add group affinano la selezione, ad esempio limitandola agli utenti tedeschi il cui nome visualizzato inizia con Admin. Anche qui valgono dieci condizioni binarie e tre livelli di nidificazione. Il filtro diventa produttivo solo con Turn on, viene poi eseguito con Synchronize e verificato in My Environment > Users & Groups rispetto agli utenti e ai gruppi attesi.

Includere facoltativamente i dispositivi Entra nella sincronizzazione

I dispositivi Entra sono esclusi dalla sincronizzazione della directory per impostazione predefinita. Se servono solo utenti e gruppi, o i dispositivi continuano a provenire da AD, lasciare Enable devices disattivato. All users and groups non è una selezione di dispositivi.

La documentazione del produttore rimane contraddittoria su questo punto: la guida di configurazione Entra esclude in generale la sincronizzazione delle modifiche ai dispositivi, mentre la guida dettagliata ai filtri descrive espressamente Enable devices. Questa opzione documentata non garantisce quindi tutte le funzionalità per dispositivi note in AD. La guida ai filtri parla di dispositivi Entra, non di gruppi di dispositivi Entra; non se ne possono dedurre l’abbinamento di AD, le strutture OU o gli effetti su criteri ed eliminazioni.

Prima di attivare l’opzione, documentare quali dispositivi devono provenire da ciascuna origine. L’opzione seleziona oggetti per la sincronizzazione della directory; non è una guida all’installazione di un agente Sophos o alla registrazione di un dispositivo in Entra ID. La sola selezione non dimostra né che un Endpoint sia protetto né che l’assegnazione di policy sia riuscita. Mantenere la configurazione esistente dell’app con Directory.Read.All come Application permissions e admin consent; non concedere autorizzazioni aggiuntive sulla base di supposizioni.

Per un’origine già configurata, seguire la procedura di modifica descritta sotto, con Turn off, salvataggio della configurazione e successiva attivazione consapevole:

1. Aprire Global Settings > Platform > Directory service e selezionare la directory Microsoft Entra ID desiderata.
2. In Microsoft Entra ID Config, espandere Select devices to include in the synchronization.
3. Attivare Enable devices.
4. Scegliere All devices per sincronizzare tutti i dispositivi Entra, oppure Filter devices per importare solo quelli che soddisfano i criteri di filtro definiti.
5. Salvare la selezione con Save. Prima di Turn on e del successivo Synchronize, riaprire la selezione dei dispositivi salvata e confrontarla con l’ambito previsto.

Gli attributi disponibili in Filter devices, la destinazione dei dispositivi importati, l’abbinamento degli oggetti esistenti e le conseguenze di una successiva esclusione non sono ancora sufficientemente chiariti per questa procedura. Gli operatori per utenti e gruppi elencati sopra non costituiscono quindi un elenco confermato per i filtri dei dispositivi. Neppure gli effetti di eliminazione e ripristino descritti per utenti e gruppi possono essere estesi ai dispositivi. Prima di sincronizzare dispositivi in produzione, chiarire questi punti nell’interfaccia del portale del proprio tenant e, se necessario, con Sophos; fino ad allora, lasciare l’opzione disattivata.

Dopo un’esecuzione pilota approvata, controllare lo stato dell’origine, l’ora dell’ultima sincronizzazione e i dispositivi definiti in anticipo rispetto all’elenco atteso. Test connection conferma solo l’accesso dell’applicazione, non l’abbinamento dei dispositivi, lo stato di protezione o l’effetto del filtro. Disattivare Enable devices non va considerato un ripristino degli oggetti dispositivo già modificati.

Configurare la pianificazione e avviare il primo ciclo

In Synchronization schedule, scegliere una pianificazione oraria, giornaliera, settimanale o mensile. Con Hourly, definire intervallo e ora locale di avvio. Se il tenant offre già la nuova selezione, è possibile anche un intervallo di 30 minuti. La funzione non è ancora disponibile per tutti i clienti; le origini esistenti mantengono la pianificazione invariata. Se l’opzione non è presente, continuare a usare la pianificazione attuale anziché ricreare l’origine. Con Daily, scegliere l’ora locale; con Weekly, i giorni della settimana e l’ora. Monthly supporta fino a due giorni del mese; Add another day aggiunge il secondo. None significa che ogni ciclo deve essere avviato manualmente. Save salva la pianificazione.

Per gli ampliamenti annunciati è prevista una sincronizzazione completa all’attivazione di un’origine e a ogni Synchronize manuale. Le esecuzioni pianificate possono essere complete o incrementali in base al numero di oggetti e alla pianificazione; è prevista almeno una sincronizzazione completa entro 24 ore. Questo descrive quanto annunciato, non una durata misurata nel proprio tenant né un termine garantito per l’importazione delle modifiche. Prima di aumentare la frequenza, verificare dimensioni della directory, durata delle esecuzioni e utilizzo dell’API Microsoft Graph del tenant. L’avvertenza del produttore sulle possibili conseguenze economiche non significa che ogni esecuzione aggiuntiva venga fatturata separatamente.

Quindi:

1. Attivare Turn on.
2. Avviare Synchronize.
3. In My Environment > Users & Groups, verificare un utente previsto, un gruppo previsto e la relativa appartenenza.
4. Nell’origine directory, controllare lo stato, l’ora dell’ultima sincronizzazione e il numero di utenti e gruppi importati.
5. In presenza di avvisi, aprire anche Alerts e Reports > Logs > General Logs > Events.

Dopo Turn on > Synchronize, Fusion aggiorna lo stato della sincronizzazione. I link Users e Groups portano direttamente agli inventari importati, che vanno controllati anche in My Environment > Users & Groups.

Un test di connessione riuscito dimostra soltanto che Fusion può utilizzare l’app Entra. Solo il controllo dell’inventario di utenti e gruppi conferma che i filtri e la sincronizzazione producono il risultato desiderato.

Per Entra ID e Google Directory sono state annunciate ulteriori notifiche della directory cloud relative a esecuzioni riuscite, avvisi, errori, sincronizzazioni di dimensioni eccessive e disattivazioni. Se disponibili nel tenant, valutarle in Alerts insieme allo stato dell’origine e agli eventi in Reports > Logs > General Logs > Events. Non si presuppongono né un nome specifico del tipo di avviso né una disponibilità già generalizzata. Se manca una notifica, restano da verificare l’ora dell’ultima sincronizzazione e l’inventario effettivo degli oggetti; l’assenza di avvisi non dimostra la riuscita di un’esecuzione.

Generare un’anteprima della sincronizzazione

La Preview è disponibile soltanto dopo una configurazione completa. Se la fonte è attiva, aprirla in Global Settings > Platform > Directory service e sospenderla con Turn off. Solo dopo il completamento del cambio di stato compaiono Preview e la scheda Preview.

Preview avvia il calcolo. Durante l’elaborazione Fusion mostra un banner; quando scompare, il risultato viene verificato nella scheda Preview. Il risultato resta valido per sette giorni o fino al successivo sync produttivo ed è esportabile in JSON. Con più di 20.000 record, la tabella completa non viene più mostrata e l’export JSON è obbligatorio.

La Preview descrive i dati sorgente selezionati, ma non sostituisce la verifica degli effetti su policy, caselle di posta ed eliminazioni. Prima di Turn on, in particolare, gli utenti e i gruppi non più inclusi vengono confrontati con l’ultimo inventario produttivo.

Migrare da Active Directory locale a Entra ID

Durante la migrazione, Entra ID sostituisce l’origine AD per utenti e gruppi di utenti di un dominio. AD può continuare a fornire dispositivi e gruppi di dispositivi dello stesso dominio. Le due procedure seguenti trattano questo passaggio degli utenti con Enable devices disattivato in Entra ID; non descrivono la migrazione dei dispositivi AD alla sincronizzazione facoltativa dei dispositivi Entra. Le cartelle pubbliche di posta possono invece essere gestite solo tramite AD, che in tal caso deve sincronizzare anche utenti e gruppi di utenti del dominio. Verificare questa dipendenza prima del passaggio.

Sincronizzare AD subito prima del cambio ed Entra ID subito dopo aver aggiunto la nuova origine, quindi confrontare gli oggetti delle due origini. Gli utenti AD senza corrispondenza vengono rimossi da Fusion e possono essere eliminate anche le relative caselle di posta. Fusion smette di aggiornare le Shared Mailbox esistenti da AD e non ne mostra più gli utenti delegati. Il controllo deve quindi includere utenti, gruppi, Shared Mailbox, dispositivi, gruppi di dispositivi e cartelle pubbliche, non soltanto il numero di utenti.

Usare solo Entra ID per il dominio

1. Sincronizzare l’origine AD e verificare utenti, gruppi, caselle di posta ed eventuali dispositivi.
2. Aprire l’origine AD in Global Settings > Platform > Directory service e selezionare Turn off.
3. Scegliere Add Microsoft Entra ID, configurare l’origine Entra come descritto sopra e sincronizzarla.
4. In Fusion verificare quali utenti e gruppi sono stati aggiornati, creati o rimossi. Dispositivi, gruppi di dispositivi e cartelle pubbliche esistenti restano presenti, ma senza AD non vengono più aggiornati.
5. Disinstallare Active Directory Synchronization Setup solo dopo l’approvazione dell’inventario Entra e quando non è più necessario aggiornare oggetti AD.

Mantenere Entra ID per gli utenti e AD per i dispositivi

1. Sincronizzare l’origine AD e verificare l’inventario corrente.
2. Modificare i filtri AD in modo da sincronizzare solo dispositivi e gruppi di dispositivi, quindi disattivare l’origine AD.
3. Aggiungere e attivare l’origine Entra, quindi verificare utenti, gruppi di utenti e Shared Mailbox.
4. Riattivare l’origine AD, sincronizzarla e controllare dispositivi e gruppi di dispositivi.

Dopo il passaggio, Entra ID aggiorna gli utenti e i gruppi corrispondenti e crea nuovi oggetti. Gli utenti AD senza corrispondenza vengono eliminati, mentre i gruppi AD senza corrispondenza restano presenti ma non vengono più aggiornati. Le Shared Mailbox AD mantengono l’ultimo stato AD ma perdono le associazioni visibili agli utenti; le nuove Shared Mailbox Entra compaiono anche in Users e Mailboxes. Questi effetti diversi richiedono un elenco separato degli oggetti attesi per la migrazione.

Rinnovare il client secret prima della scadenza

Un secret scaduto interrompe le sincronizzazioni successive. La rotazione deve quindi iniziare prima della data di scadenza:

1. Creare un nuovo client secret nella registrazione dell’app esistente e registrare in modo sicuro il relativo Value e la data di scadenza.
2. Sospendere l’origine Entra ID in Sophos Fusion con Turn off.
3. Inserire il nuovo valore del secret e la nuova data di scadenza.
4. Eseguire Test connection, selezionare Save ed eseguire nuovamente Test connection.
5. Attivare l’origine con Turn on, avviare una sincronizzazione e verificare utenti e gruppi.
6. Rimuovere il vecchio secret da Entra ID solo dopo una verifica riuscita.

Fino alla riattivazione dell’origine, una modifica di configurazione non ancora attivata in Fusion può essere annullata con Revert. Dopo Turn on, la nuova configurazione diventa effettiva al ciclo successivo.

Modificare, ripulire o eliminare la fonte

Nome, descrizione, filtri e pianificazione si modificano solo a fonte disattivata. La nuova configurazione diventa effettiva con Turn on e non può più essere riportata allo stato precedente con Revert. Prima di ogni modifica filtro vanno quindi documentate definizione precedente e popolazione attesa.

Purge data elimina in modo irreversibile i dati sincronizzati dalla fonte. Non è un test di connessione né il primo passo per un secret scaduto. Prima del Purge vanno verificati ruoli, associazioni ai dispositivi, caselle di posta, gruppi e policy. Per rimuovere anche la fonte, disattivarla, eseguire il Purge e solo dopo usare Delete directory source. La fonte eliminata e i relativi dati non possono essere ripristinati.

Modificare la configurazione della fonte Entra

La funzione potrebbe non essere ancora disponibile in ogni tenant. In Global Settings > Platform > Directory service, aprire la fonte e scegliere Turn off. Modificare nome, descrizione, configurazione Azure, filtri o pianificazione.

Se cambiano Client ID, Domain o Client Secret, eseguire Test connection. Save memorizza la configurazione; finché la fonte resta disattivata, Revert ripristina lo stato attivo al momento della disattivazione. Con Turn on, la modifica diventa definitiva, non può più essere annullata con Revert e si applica alla sincronizzazione successiva. Questo ciclo va verificato rispetto ai valori attesi per utenti, gruppi ed errori.

Eseguire il Purge dei dati Entra sincronizzati

Per rimuovere tutti i dati sincronizzati, aprire la fonte Entra in Global Settings > Platform > Directory service e arrestarla con Turn off. Scegliere quindi More > Purge data, confermare esplicitamente l’irreversibilità e selezionare di nuovo Purge data. Lo stato della fonte va monitorato finché non indica che il Purge è terminato.

Un Purge elimina i dati importati da questa fonte, non soltanto una cache. Prima dell’operazione si documentano quindi utenti, gruppi, caselle di posta, ruoli e assegnazioni delle policy interessati. Senza questa approvazione, l’operazione viene interrotta.

Eliminare completamente la fonte Entra

Dopo il Purge dei dati sincronizzati è possibile rimuovere la fonte. In Global Settings > Platform > Directory service, aprire la fonte, arrestarla con Turn off ed eliminarla tramite More > Delete. Se sono ancora presenti dati sincronizzati, Fusion richiede prima Purge now, la conferma dell’irreversibilità e Purge data.

Al termine del Purge, selezionare di nuovo Delete e quindi Delete directory source. Sia la fonte sia i dati eliminati non possono essere ripristinati. Successivamente si verificano separatamente l’app Entra e il relativo secret e, se erano destinati esclusivamente a questa fonte, li si rimuove da Microsoft Entra dopo la dismissione documentata dell’integrazione.

Individuare gli errori comuni

Verification failed due to invalid client ID

In genere è stato copiato l’Object ID invece dell’Application (client) ID oppure l’accesso della relativa Enterprise Application è disabilitato. Verificare entrambi gli elementi in Entra ID e ripetere il test di connessione.

AADSTS7000215: Invalid client secret

Fusion richiede il Value del secret visualizzato una sola volta dopo la creazione. Il Secret ID, dall’aspetto simile, non funziona. Se il valore non è più disponibile, creare un nuovo secret e inserirlo con attenzione.

AADSTS7000222: Client secret expired

Il secret è scaduto. Creare un nuovo valore, salvarlo in Fusion insieme alla nuova data di scadenza ed eseguire l’intera procedura di rotazione.

La connessione funziona, ma mancano utenti o gruppi

Verificare innanzitutto che l’origine sia attiva, che sia stata eseguita una sincronizzazione e che la pianificazione prevista sia abilitata. Controllare poi i filtri, l’indirizzo e-mail dell’utente, l’appartenenza al gruppo e il dominio primario. Nelle API permissions, Directory.Read.All deve comparire come autorizzazione Application con admin consent concesso.

Gli utenti compaiono due volte

Sophos Fusion non può unire in modo affidabile un utente Entra e un utente già creato tramite un accesso Endpoint se UPN, indirizzo e-mail e login non coincidono. Prima di qualsiasi pulizia manuale, documentare entrambe le identità, i dispositivi interessati e le relative assegnazioni delle policy.

Per un’unione controllata, nel profilo dell’utente creato dal dispositivo si rimuove e si salva il login in Logins > Edit. Lo stesso login viene poi assegnato all’utente Entra sincronizzato. L’utente creato dal dispositivo, ora vuoto, viene eliminato solo quando dispositivi, Health e Policies risultano correttamente associati all’oggetto Entra. Se possedeva un ruolo amministrativo, questo viene prima rimosso e poi assegnato consapevolmente all’utente Entra.

L’associazione automatica funziona solo se il login comunicato dall’Endpoint corrisponde all’UPN Entra. Separatori differenti, sottodomini aggiuntivi o un altro login locale creano oggetti separati. Prima di un rollout esteso, si verifica su un dispositivo pilota quale UPN viene effettivamente comunicato da Sophos Fusion.

Gli utenti scompaiono dopo una modifica del filtro

Spesso non si tratta di un errore di trasmissione. Il nuovo filtro definisce l’inventario sincronizzato successivo e può rimuovere oggetti importati in precedenza. Disattivare o correggere il filtro, documentare l’ambito previsto e solo dopo eseguire una nuova sincronizzazione.

Dopo ogni modifica del filtro, Fusion richiede nuovamente Test connection. Solo allora è possibile salvare la configurazione con Save o Save & Sync. Il messaggio The connection must be verified before saving the configuration rappresenta quindi un comportamento di protezione previsto e non un errore di autenticazione.

Domande frequenti