Gestire utenti e gruppi in Sophos Central
Gli utenti in Sophos Central sono molto più di una rubrica. Collegano accessi, dispositivi, gruppi, policy, caselle di posta, amministrazione e consumo delle licenze. Prima di crearli occorre quindi definire quale sistema è responsabile dell’identità.
Il percorso attuale è My Environment > Users & Groups. Gli utenti possono essere creati manualmente, tramite CSV, da un Directory Service oppure automaticamente quando un utente accede a un dispositivo protetto.
Scegliere la fonte corretta
| Metodo | Adatto a | Aspetti da considerare |
|---|---|---|
| Manuale | singoli utenti locali, account di test o di emergenza | lifecycle e modifiche devono essere gestiti in Central |
| Importazione CSV | acquisizione una tantum di molti utenti senza directory | gli aggiornamenti successivi richiedono un processo definito |
| AD o Entra ID | identità e gruppi aziendali | le modifiche si effettuano normalmente nella piattaforma sorgente |
| Google Directory | oggetti e-mail e Phish Threat da Google Workspace | sono necessari licenza Sophos e permessi OAuth adeguati |
| Automaticamente dal dispositivo | rilevamento degli accessi Endpoint attivi | gli account locali possono creare duplicati e consumo aggiuntivo di licenze |
Per la stessa popolazione di utenti va usata, se possibile, un’unica fonte autorevole. Oggetti manuali e sincronizzati con indirizzi e-mail simili ma non identici sono una causa frequente di duplicati.
In My Environment > Users & Groups > Users, l’elenco mostra stato di integrità, nome, indirizzo e-mail, Exchange Login facoltativo, Last Active, gruppo e ruolo. Last Active indica l’ultima volta in cui l’utente è stato segnalato a Sophos Central. La colonna dei ruoli è visibile solo se la persona connessa dispone a sua volta di diritti amministrativi. Un clic sull’intestazione di una colonna ordina la vista; per impostazione predefinita viene privilegiato Last Active. Il nome utente apre il profilo completo. Verde significa nessun Alert o solo Alert di bassa gravità, arancione Alert di media gravità e rosso Alert critici su almeno un dispositivo assegnato. Lo stato di integrità è quindi il punto di partenza per l’analisi, non un riscontro autonomo sul dispositivo. Anche le caselle di posta condivise (Shared Mailboxes) gestite in Microsoft Entra ID possono apparire come utenti; non hanno ruoli amministrativi né dispositivi associati.
La pagina gestisce utenti e gruppi e, se necessario, avvia la protezione dei loro dispositivi. I gruppi permettono di assegnare la stessa policy utente a più persone. Tuttavia, gli utenti non devono necessariamente essere creati manualmente prima di una distribuzione centralizzata del software: scaricare l’installer associato al tenant da My Environment > Installers. Quando viene eseguito sul dispositivo, Central aggiunge automaticamente l’utente connesso. Verificare poi nel profilo che siano associati il login e il dispositivo previsti.
Aggiungere manualmente un utente
- Aprire My Environment > Users & Groups.
- Selezionare Add User.
- Inserire il nome visualizzato senza anteporre il nome del dominio.
- Aggiungere indirizzo e-mail e, se necessario, Manager o Exchange Login.
- Facoltativamente, cercare e assegnare un gruppo di utenti esistente.
- Assegnare un ruolo solo se l’utente deve svolgere attività amministrative. In questo dialogo solo un Super Admin può assegnare un ruolo amministrativo.
- Facoltativamente, inviare un link di installazione per il tipo di protezione richiesto.
- Concludere con Save o Save and Add Another.
Un link di installazione richiede accesso a Internet e diritti di amministratore locale. Per un rollout gestito tramite MDM, RMM, GPO o distribuzione software, in genere non è il metodo preferito.
Per utenti già esistenti, selezionare le persone desiderate nella scheda Users, quindi scegliere Email Setup Link in alto a destra. Se sono concessi in licenza più tipi di protezione, nel dialogo va selezionato solo quello necessario. Il link non sostituisce un rollout aziendale controllato e non va inviato a utenti privi di diritti di installazione locale.
Il ruolo User non concede diritti amministrativi e serve per il Self Service Portal. Chi riceve un ruolo amministrativo riceve un’e-mail con le istruzioni per configurare l’account di amministrazione. I ruoli amministrativi vanno assegnati secondo il principio del privilegio minimo. I dettagli sono descritti in Assegnare correttamente i ruoli di Sophos Central.
Importare utenti tramite CSV
In Import users from CSV, Central mette a disposizione un modello. La dimensione massima del file è 1 MB. Nell’importazione si possono specificare anche i gruppi e, se necessario, crearne di nuovi.
Durante una sincronizzazione di Active Directory, Microsoft Entra ID o Google Cloud Directory, l’importazione CSV è bloccata. Nel dialogo di importazione si seleziona il file con Browse. Create new groups crea i gruppi mancanti indicati nel CSV; Give users access to Sophos Central Self Service invia la registrazione al Self Service Portal. Solo dopo, Add importa i record.
Gli indirizzi e-mail determinano l’abbinamento:
- se l’indirizzo corrisponde a un utente manuale esistente, l’importazione aggiorna tale oggetto;
- se corrisponde a un utente gestito da Directory Service, Central ignora la riga;
- se una riga contiene un Manager finora sconosciuto, Central può creare anche un oggetto utente per il Manager.
Il numero di utenti importati può quindi essere superiore al numero di righe del CSV. Prima di un’importazione produttiva va utilizzato un piccolo file di prova e la modifica va poi verificata nell’Audit Log.
Usare i gruppi per le policy
Nella scheda Groups è possibile creare gruppi e assegnare utenti. Un gruppo riunisce gli utenti ai quali applicare policy comuni. L’eliminazione di un gruppo non elimina i suoi utenti.
L’elenco dei gruppi mostra il nome e il numero di utenti contenuti. Il nome apre la pagina di dettaglio. Per un nuovo gruppo, selezionare Add Group, assegnare un Group Name univoco e cercare le persone in Available Users. Le frecce del selettore le spostano nell’elenco assegnato; Save conclude la creazione.
Per modificare un gruppo, aprirlo e selezionare Edit sotto il nome. Aggiungere o rimuovere membri con le stesse frecce e salvare con Save. Per eliminarlo, selezionare il gruppo nell’elenco e scegliere Delete in alto a destra, oppure usare Delete sotto il nome nella pagina di dettaglio. Nel dialogo Confirm Group Deletion, confermare con Yes. Prima occorre annotare i membri e controllare nella scheda Policies quali policy attive agiscono attraverso il gruppo. L’eliminazione non rimuove gli utenti, ma può terminare l’assegnazione di policy fino a quel momento applicata. Se un gruppo locale viene eliminato per errore, ricrearlo con lo stesso nome, i membri annotati e le assegnazioni di policy previste, quindi convalidare il risultato su un utente pilota.
Nella pagina di dettaglio del gruppo, la scheda Policies mostra le policy attive. Una policy aperta e modificata da questa posizione può essere assegnata a più gruppi. La modifica interessa quindi tutte le assegnazioni, non soltanto il gruppo visualizzato.
I gruppi vanno creati secondo una funzione stabile, ad esempio Finance-Users o Endpoint-Pilot, e non in base a progetti temporanei privi di un responsabile. I gruppi sincronizzati si gestiscono nella piattaforma sorgente.
Convalidare il profilo utente
Dopo la creazione, aprire il profilo utente e verificare:
- indirizzo e-mail e fonte autorevole;
- ruolo amministrativo e stato MFA;
- appartenenze ai gruppi;
- login assegnati;
- dispositivi e ultimo contatto;
- policy applicate;
- caselle di posta collegate ed eventi recenti.
Il simbolo di un lucchetto identifica un oggetto sincronizzato da AD o Entra ID. I suoi dati anagrafici non possono essere modificati direttamente in Central come quelli di un utente manuale.
La colonna sinistra con stato di integrità e dettagli dell’account rimane visibile anche passando da una scheda all’altra. Il badge del ruolo apre la definizione del ruolo amministrativo assegnato. Per un amministratore Central sono visibili anche le informazioni MFA; un Super Admin può utilizzare Reset per consentire una nuova configurazione dei metodi MFA. Il ripristino va eseguito solo dopo avere verificato l’identità e nell’ambito di un processo di recupero documentato.
Un utente manuale può essere modificato con Edit. First & Last name non deve contenere il nome del dominio. Per un oggetto di directory, questo campo mostra il Display Name fornito dalla sorgente, che non deve necessariamente rispettare lo schema nome/cognome. I Super Admin possono assegnare ruoli quali Super Admin, Admin, Help Desk, Read-only o User, ma non possono modificare autonomamente il proprio ruolo. User concede solo l’accesso al Self Service Portal. È inoltre possibile gestire indirizzo e-mail, Exchange Login facoltativo, gruppi e link di installazione. Save applica le modifiche. In seguito, ruolo, gruppi e indirizzo e-mail vanno ricontrollati nella Summary. Per gli utenti sincronizzati, i dati anagrafici restano nella sorgente; i gruppi in Central e i login aggiuntivi possono comunque essere consentiti.
Le aree del profilo vanno interpretate separatamente:
- Recent Events mostra gli eventi recenti del dispositivo; la scheda Events contiene l’elenco completo con Severity, agent segnalante, dettagli e link all’Events Report.
- Devices mostra tipo di dispositivo e sistema operativo, oltre ai server a cui l’utente si è connesso tramite Remote Desktop Services. Il nome apre la pagina di dettaglio. In Actions possono apparire, a seconda del prodotto, Update Now, Scan Now, Diagnose o Delete. Delete rimuove solo l’oggetto Central e non disinstalla Sophos, quindi non è un’operazione di pulizia.
- Policies mostra nome, stato di attivazione e funzioni incluse. L’apertura e la modifica di una policy interessa tutti gli utenti ai quali è assegnata.
- Groups mostra le appartenenze e permette di modificarle con Edit per le assegnazioni gestite localmente.
- Logins mostra gli accessi assegnati all’utente. Le modifiche vanno eseguite solo dopo avere verificato dispositivi ed effetti sulle licenze.
I falsi positivi specifici di un dispositivo non vanno autorizzati globalmente e senza valutazione dal profilo utente. Un’azione proposta in quella posizione può creare un’eccezione per tutti gli utenti e computer. La verifica tecnica e l’ambito più ristretto seguono il runbook per le esclusioni di Sophos Endpoint.
Esportare l’elenco utenti
In My Environment > Users & Groups > Users, Export to CSV crea il file users.csv. I filtri attivi vengono applicati all’esportazione. Per ottenere un elenco degli amministratori, impostare prima Admins only; per un’esportazione completa, rimuovere tutti i filtri non desiderati. Nome del file, tenant, filtro e data di esportazione vanno documentati, poiché users.csv da solo non dimostra successivamente l’ambito dell’export.
Distinguere policy utente e policy dispositivo
Una policy utente segue l’utente sui suoi dispositivi. Una policy dispositivo vale per un dispositivo o gruppo di dispositivi specifico, indipendentemente dalla persona connessa. Se entrambe si applicano alla stessa funzione, è determinante l’ordine nella pagina delle policy. Central verifica dall’alto verso il basso e utilizza la prima policy corrispondente.
La sola appartenenza a un gruppo non garantisce quindi che prevalga la policy prevista. Nel dettaglio dell’utente o del dispositivo va controllata la policy effettivamente applicata.
Verificare le policy di un utente
Il percorso operativo è My Environment > Users & Groups > Users. Aprire il nome utente e passare alla scheda Policies. L’elenco mostra le policy attivate e applicate all’utente. Nella Summary sono visibili, per ogni policy, il nome, lo stato Enabled e i simboli delle funzioni incluse.
Un clic sul nome della policy ne apre i dettagli e, con un ruolo adeguato, consente anche di modificarla. La modifica interessa però tutti gli utenti ai quali è assegnata, non solo il profilo attualmente aperto. Prima di salvare vanno quindi verificati assegnazioni, priorità della policy e gruppi interessati. Per l’elenco completo, passare dalla Summary alla scheda Policies; quindi verificare sull’utente o sul dispositivo pilota quale policy è effettivamente attiva.
Evitare i duplicati
I duplicati tipici derivano da:
- login locali differenti della stessa persona;
- UPN e indirizzi e-mail divergenti;
- creazione manuale parallela alla sincronizzazione;
- due fonti di directory con ambiti sovrapposti;
- imaging eseguito con un account di installazione locale.
I login vanno assegnati a un utente esistente solo dopo una verifica tecnica. Il comportamento attuale delle licenze è descritto in Unire i login di Sophos Central e correggere l’uso delle licenze.