Come viene concesso in licenza Sophos Fusion?
Sophos Fusion è una piattaforma di gestione comune, non un unico prodotto di licenza. Endpoint, XDR, MDR, Server, Device Encryption, Email, Firewall, Wireless e altri servizi hanno regole proprie di consumo e scadenza.
La conseguenza principale è che un numero nella pagina Licensing non va mai valutato senza nome del prodotto e contratto. Il consumo calcolato dal portale aiuta il controllo, ma non sostituisce License Schedule o EULA.
Principali modelli di conteggio
| Tipo di prodotto | Base tipica | Particolarità |
|---|---|---|
| Endpoint, XDR e MDR per Endpoint | generalmente utente | consumo separato per tipo, calcolato da utenti e dispositivi attivi |
| Device Encryption | utente o dispositivo protetto secondo contratto | con Flex l’installazione da sola può non generare consumo; è decisiva la Encryption Policy |
| Server Protection | server protetto | le sessioni RDS sono coperte da Server Protection, non come utenti Endpoint |
| Sophos Email | utenti e Shared Mailbox protetti | alias, liste e Public Folder generalmente non richiedono licenza propria |
| Firewall | appliance, istanza virtuale e Subscription | Base License, supporto e Security Subscription hanno effetti separati |
| Wireless, Switch e Access Point | dispositivo o servizio supporto | modello e durata dipendono dalla generazione hardware |
Prodotti, Bundle e nomi cambiano. Per un ordine conta sempre il License Schedule attuale del cliente specifico, non una vecchia lista di prodotti contenuta in un post del blog o in un’offerta.
Modelli spesso interpretati male
Alcuni prodotti Central non vengono conteggiati né come Endpoint né come hardware tradizionale. La seguente classificazione aiuta nel controllo mensile e in fase di rinnovo:
| Prodotto | Cosa conta | Particolarità operativa |
|---|---|---|
| Sophos Email | utenti e Shared Mailbox con almeno un messaggio elaborato negli ultimi 30 giorni | alias, liste e Public Folder non contano; aggiornamento circa ogni quattro ore |
| Sophos Mobile | utenti assegnati o dispositivi senza utente | più dispositivi dello stesso utente contano una volta; solo sync negli ultimi 30 giorni |
| Sophos Phish Threat | destinatari univoci di simulazione o training | calcolo giornaliero sugli ultimi 30 giorni; eliminare o terminare una campagna non riduce retroattivamente il consumo |
| Sophos AP6 | Support and Services per AP6 gestito in Central | senza una Subscription valida e quantitativamente sufficiente resta la gestione locale, ma Central non può modificare l’AP |
| Sophos Switch | Support and Services per Switch in uso | gestione Sophos Fusion, aggiornamenti firmware, supporto multicanale 24/7 e Advanced RMA richiedono una Subscription adeguata per ogni dispositivo |
| Workspace Protection | consumo massimo di un prodotto incluso | determina la quantità il valore più alto tra Protected Browser, ZTNA, DNS endpoint ed Email Monitoring |
Workspace Protection: Bundle e quantità necessaria
Workspace Protection è disponibile come licenza a termine autonoma o tramite MSP Flex. Il Bundle include:
- Sophos Protected Browser,
- Sophos ZTNA,
- Sophos DNS Protection for endpoints,
- Sophos Email Monitoring System.
La licenza Workspace Protection autonoma non include Sophos Endpoint completo. Per ottenere Endpoint nello stesso Bundle è necessario scegliere espressamente Sophos Endpoint Plus Workspace Protection. Per la configurazione tecnica di Sophos DNS Protection for endpoints, consultare la guida separata Configurare Sophos DNS Protection per Endpoint.
La quantità di Bundle necessaria non è la somma dei quattro prodotti, ma il consumo misurato più alto:
- Protected Browser: utenti autenticati univoci nell’arco di 30 giorni,
- ZTNA: utenti autenticati univoci nell’arco di 30 giorni,
- DNS Protection for endpoints: dispositivi che utilizzano DNS Protection,
- Email Monitoring System: mailbox.
Ad esempio, 75 utenti ZTNA, 80 utenti Protected Browser e 100 dispositivi con DNS Protection richiedono una quantità di 100, non 255. Nel Bundle combinato, il numero di dispositivi Sophos Endpoint entra nello stesso confronto. Se sono presenti anche 120 dispositivi Endpoint, la quantità determinante è 120.
Per i componenti basati sugli utenti, la stessa persona autenticata conta una sola volta anche se accede da più dispositivi. La stessa licenza ZTNA vale sia per i gateway locali sia per Sophos Cloud Gateways e per l’accesso con e senza agente. Per Sophos Cloud Gateways si aggiunge un diritto medio di larghezza di banda pari a 15 GB per utente al mese, da considerare separatamente nella pianificazione della capacità.
L’attivazione e la gestione si effettuano in Sophos Fusion tramite Profile icon > Licensing. Verificare che Standalone Workspace Protection o Sophos Endpoint Plus Workspace Protection sia attivo con la durata prevista. Confrontare quindi Protected Browser users, ZTNA authenticated users, DNS Protection devices ed Email Monitoring mailboxes e, per il Bundle combinato, anche Sophos Endpoint devices. Il controllo ha esito positivo se il valore visualizzato più alto non supera la quantità ordinata. Se la licenza prevista manca, è attiva la variante errata o la quantità non è sufficiente, confrontare il nome della licenza visualizzato e la data Expires con il License Schedule e la quantità ordinata; l’indicatore di consumo con il valore massimo mostra quale componente necessita di capacità aggiuntiva. Eventuali differenze nell’attivazione o nella quantità ordinata vanno quindi chiarite con il Sophos Partner. Per Workspace Protection è disponibile un Trial di 30 giorni.
Dopo la scadenza, i prodotti Workspace Protection non sono più disponibili in Sophos Fusion. La configurazione viene conservata e ricompare dopo il rinnovo. La scadenza non va quindi interpretata come un ordine di eliminazione o ricostruzione: occorre innanzitutto controllare il nome della licenza, la data Expires e il rinnovo.
Xstream Protection di Sophos Firewall copre soltanto DNS Protection autonomo e non dà diritto a DNS Protection for endpoints. Bundle e licenze Sophos Firewall fornisce i dettagli sui Bundle Firewall; Sophos DNS Protection descrive il servizio DNS Protection autonomo.
Per DNS Protection autonomo serve almeno una Firewall con licenza valida nel tenant. Se scade l’ultima licenza idonea o tutte le Firewall con licenza vengono trasferite a un altro tenant Central, il servizio termina nel tenant originario. Rimuovendo l’ultima Flex Firewall, un MSP può perdere l’accesso entro un giorno. Una licenza Air-Gap non supporta DNS Protection, perché il servizio richiede una Firewall attivata o gestita in Central. Con Trial e licenza acquistata insieme, il servizio resta disponibile finché almeno una delle due è valida.
Sophos Switch: gestione locale o Sophos Fusion?
Per un Sophos Switch, hardware, gestione locale e servizio aggiuntivo vanno considerati separatamente. L’acquisto dell’hardware include la gestione locale tramite interfaccia Web e CLI. Se nessuno Switch viene gestito con Sophos Fusion, non è necessaria una Subscription Sophos Switch Support and Services. Scegliere modelli e gestione Sophos Switch illustra la scelta tra funzionamento locale e centralizzato e i metodi di gestione disponibili.
Non appena gli Switch vengono gestiti con Sophos Fusion, ogni Switch in uso necessita di una Subscription Support and Services adeguata nell’account Sophos Fusion. Questa include:
- tutte le funzioni di gestione Sophos Fusion per gli Switch, tra cui gestione di porte e VLAN, configurazione del dispositivo e visualizzazione dello stato,
- aggiornamenti firmware,
- supporto multicanale 24/7,
- Advanced RMA.
Senza una Subscription valida, lo Switch continua a inoltrare il traffico di rete e rimane gestibile localmente. Non è però possibile apportare modifiche tramite Sophos Fusion. Le risorse self-service gratuite restano disponibili, mentre il supporto personale Sophos per telefono, chat o Support Case richiede una licenza di supporto valida. Questo confine di licenza va distinto dalla registrazione e dalla raggiungibilità tecnica: uno Switch può essere registrato o funzionare localmente senza che la relativa gestione Fusion disponga di una licenza valida.
La licenza si attiva e gestisce in Sophos Fusion da Profile icon > Licensing. Se la Subscription copre meno dispositivi di quelli effettivamente in uso, compare un avviso Oversubscription. Gli Switch aggiuntivi continuano a funzionare, ma per essi occorre acquistare un’altra Subscription. Lo stesso vale dopo la scadenza: il funzionamento non termina automaticamente, ma supporto e prestazioni soggette a licenza tornano coperti solo con una nuova Subscription valida.
Per l’accettazione si verificano quindi separatamente tre punti: lo Switch è raggiungibile localmente, la quantità di Subscription in Profile icon > Licensing è sufficiente per tutti gli Switch in uso e una piccola modifica reversibile da Sophos Fusion viene applicata correttamente. Registrare Sophos Switch in Sophos Fusion descrive la procedura completa di registrazione e controllo dello stato.
Per AP6 vale una separazione simile tra funzionamento locale e servizio Central. Gli Access Point APX, tuttavia, non richiedono una licenza AP6 Support and Services: APX e AP6 sono generazioni separate ai fini della licenza.
Sophos Email dopo la scadenza
Sophos Email e Sophos Email Plus sono livelli distinti. Portal Encryption è un add-on la cui quantità non può superare Sophos Email. Viene assegnato tramite Secure Message Policy ed è necessario per il branding del portale. Un cliente Email può provarlo, ma non avviare contemporaneamente il trial del servizio base e dell’add-on.
DMARC Manager è add-on per Sophos Email ed Email Monitoring System ed è incluso in Email Plus. I clienti MSP possono acquistare Email come Monthly Flex SKU; le regole di conteggio restano uguali.
License Usage Summary combina Email e Phish Threat in una quantità univoca, senza separarli. Per la causa si controllano anche mailbox, messaggi elaborati e destinatari Phish Threat.
Superare la quantità Email non interrompe subito la protezione. Central segnala l’account, crea un alert e mostra nel License Usage Summary le mailbox non coperte; inizialmente tutte restano protette. Poi si riduce il numero o si aumenta la licenza.
La scadenza reale è più critica. Sophos può fornire fino a 30 giorni aggiuntivi, ma non è una Grace Period garantita. In Gateway Mode, alla scadenza definitiva gli MX Record devono lasciare Sophos, altrimenti i messaggi vengono rifiutati. In Mailflow Mode Sophos avvia una pulizia Microsoft 365 automatica; Connector e Mail Flow Rule vanno comunque controllati. Un rinnovo durante la transizione decorre retroattivamente dalla fine precedente.
Sophos Mobile e Phish Threat
In Mobile, ogni utente assegnato a un dispositivo gestito conta una licenza indipendentemente dal numero di dispositivi; un dispositivo senza utente conta da solo. Il portale può essere impreciso e il superamento non viene subito imposto tecnicamente, ma il fabbisogno contrattuale resta valido. Android Enterprise limita inoltre a dieci gli Enrollment simultanei per utente.
Phish Threat conta il destinatario quando viene inviata una mail di campagna o training. Durante il periodo di licenza, lo stesso utente necessita di una sola licenza anche con molte mail. Dopo la scadenza non partono nuove campagne o Reminder, ma i dati delle campagne inviate continuano a essere raccolti. Con MSP Flex, la fatturazione segue i destinatari del periodo.
Per utente non significa assegnazione manuale
Endpoint non assegna una licenza come piano Microsoft 365. Central rileva utenti attivi sui dispositivi protetti e associa i dispositivi alle identità.
Un utente può avere più dispositivi; ai fini del calcolo, un dispositivo può essere associato a un solo utente. Login locali diversi della stessa persona su due dispositivi possono generare due utenti e un doppio conteggio; questi login vanno quindi associati a un utente esistente.
Anche i tipi vengono calcolati separatamente. Endpoint sul dispositivo A e XDR sul B possono generare un consumo per ciascuno. Device Encryption segue stato funzionale e policy propri.
Dispositivi inattivi e ritardo del calcolo
Dopo oltre 30 giorni senza connessione, gli Endpoint non vengono temporaneamente conteggiati. Quando tornano online rientrano e aggiornano i componenti.
È una regola di calcolo, non una strategia Lifecycle. Dispositivi obsoleti, persi o dismessi vanno comunque rimossi con un offboarding documentato. Altrimenti inventario, alert e responsabilità restano poco chiari.
Il numero nel portale può reagire con ritardo. Una divergenza subito dopo installazione, eliminazione o assegnazione utente non dimostra un errore.
Prevale il consumo contrattuale
Sophos precisa che il calcolo nel prodotto può divergere dall’obbligo EULA. Se Central sottostima, resta valido il consumo reale; il numero tecnico non autorizza sottolicenza.
Al contrario, non sempre le funzioni vengono bloccate subito in caso di eccesso. Lo scostamento va analizzato e corretto con il partner prima che diventi problema di rinnovo o compliance.
Primo acquisto, upgrade e rinnovo
Il primo acquisto attiva un prodotto nuovo nel tenant. Un upgrade amplia o sostituisce funzioni durante la durata. Un rinnovo prolunga i diritti esistenti.
La distinzione è tecnica. Una licenza acquistata si attiva in Profile icon > Licensing con la chiave del License Schedule, a meno che non se ne occupi il Sophos Partner. A seconda della vista, l’azione si chiama Apply Activation Code oppure Apply License Key. Un upgrade può installare nuovi componenti Agent o rendere disponibili policy. Sophos può aggiornare immediatamente i dispositivi interessati dopo una modifica alla licenza o al software, anche se sono configurati aggiornamenti pianificati. L’attivazione va quindi preparata come modifica tecnica, non come semplice operazione commerciale.
Un rinnovo dovrebbe soprattutto estendere la durata, ma può modificare funzioni se cambia edizione. A partire da 30 giorni prima della scadenza, Central mostra a ogni amministratore autorizzato un promemoria ricorrente all’accesso. Se infine scadono tutte le licenze, l’accesso può essere limitato a Licensing e il tenant può successivamente rischiare l’eliminazione. Prima della scadenza va quindi verificato il comportamento specifico di ogni prodotto, perché un diritto scaduto non produce ovunque lo stesso effetto tecnico.
Per un rinnovo prima della scadenza, il referente è il Sophos Partner o il contatto Sophos Renewals assegnato. Se le licenze sono già scadute, rivolgersi al proprio referente Sophos Sales o al partner per avviare il ripristino della licenza e della protezione. Se non si sa chi sia il proprio partner o Account Owner, Customer and Partner Care aiuta a individuare il contatto competente per il rinnovo.
Commercial, Education e Government possono avere condizioni diverse. L’idoneità va chiarita con il partner, non dedotta dal nome dell’organizzazione.
Chiarire trial e area dati prima dell’acquisto
Un trial Central dura normalmente 30 giorni e all’inizio non richiede una chiave di attivazione. In Profile icon > Licensing, il numero inizia con C anziché L, mentre Expires mostra la data di fine. Più trial di prodotto possono svolgersi in parallelo con date iniziali diverse, purché le funzioni non si sovrappongano. Un tenant trial è limitato a 1.000 elementi per tipo di oggetto, ad esempio utenti, gruppi, shared mailbox, public folder o dispositivi. Questo limite di directory viene rimosso dopo il passaggio a una licenza a pagamento.
Un prodotto già coperto da una licenza a pagamento non viene nuovamente offerto come trial. Dopo la scadenza occorre attendere 30 giorni prima di avviare autonomamente un altro trial dello stesso prodotto; un’estensione va richiesta al Sophos Partner o all’Account Manager. Decisione d’acquisto, fine del test e rollback devono quindi essere definiti nel piano pilota prima dell’avvio.
Anche l’area dati è una decisione di licenza. Sophos segnala restrizioni di prodotto per Australia, Brasile, Canada, India e Giappone, inclusi alcuni prodotti come ITDR, Sophos Mobile e gli access point APX; la panoramica attuale indica che le aree US ed EU supportano tutti i prodotti Sophos. Se in una di queste aree esiste già una licenza incompatibile, il Sophos Partner deve annullarla e generare una nuova chiave per un nuovo tenant adeguato. L’area va quindi scelta in base al portafoglio previsto prima di creare il tenant e acquistare le licenze.
Controllo mensile delle licenze
Un controllo affidabile confronta:
- prodotto, edizione e durata nella pagina Licensing,
- utenti, dispositivi, server o mailbox effettivi,
- componenti installati e attivati,
- oggetti inattivi, duplicati o associati male,
- quantità ordinata e base contrattuale,
- variazioni future per crescita, progetti o M&A.
Attivazione, verifica e rinnovo sono descritti in Attivare, verificare e rinnovare le licenze Sophos Fusion.