Comprendere Sophos Central Enterprise e Sub-Estate
Sophos Central Enterprise riunisce più tenant Sophos Central autonomi in una gestione Enterprise. Questi tenant si chiamano Sub-Estate. Il modello è adatto a gruppi aziendali, organizzazioni nazionali, unità giuridicamente separate o sedi che necessitano di un proprio confine dati e amministrativo.
Central Enterprise non equivale a un unico grande tenant con molti gruppi. Ogni Sub-Estate possiede utenti, dispositivi, policy, licenze, regione dati e amministratori locali propri.
Quando sono utili i Sub-Estate
Una Sub-Estate separata è appropriata quando esiste almeno un confine reale:
- responsabilità giuridica o organizzativa,
- regione dati propria,
- amministratori e approvazioni separati,
- licenza o centro di costo proprio,
- policy, report o requisiti Audit separati,
- acquisizione aziendale con integrazione graduale.
La sola presenza di reparti diversi non giustifica automaticamente più tenant. Se bastano la stessa amministrazione e regione dati, gruppi, policy e Custom Role sono spesso più semplici.
Cosa centralizza Enterprise
A seconda di licenza e funzione, il livello Enterprise può:
- creare, cercare e aprire Sub-Estate,
- mostrare stato e utilizzo licenze in modo aggregato,
- gestire amministratori Enterprise,
- riunire alert dei Sub-Estate autorizzati,
- distribuire template globali e impostazioni selezionate,
- gestire API Credential a livello Enterprise,
- distribuire licenze Master ai Sub-Estate.
Le funzioni di prodotto e le particolarità locali restano rilevanti nel Sub-Estate. Un Enterprise Template può bloccare o unificare impostazioni, ma non sostituisce pilota e convalida locale.
L’accesso richiede consenso
Attivando Enterprise Management, gli account associati vengono collegati come Sub-Estate. Un Enterprise Admin può aprire una Sub-Estate esistente solo dopo che un suo Super Admin ha autorizzato l’accesso Enterprise.
L’autorizzazione è ampia: l’Enterprise Admin diventa Super Admin dei Sub-Estate. Dopo l’opt-in, soltanto un Enterprise Super Admin può revocare il collegamento.
Regione dati e nuove Sub-Estate
Quando si crea una nuova Sub-Estate si sceglie la regione dati. In base alla disponibilità Sophos offre, tra le altre, USA, Canada, Irlanda, Germania, Australia, India, Brasile o Giappone. L’impostazione predefinita corrisponde alla regione della Sub-Estate primaria.
Prima della creazione, la regione viene concordata rispetto a privacy, latenza, integrazioni e requisiti legali. Una migrazione tenant successiva è molto più complessa della scelta corretta iniziale.
Ruoli e account personali
I ruoli Enterprise sono separati dai ruoli del singolo tenant Central Admin. Un accesso Enterprise Admin dedicato evita che il lavoro quotidiano nel tenant avvenga sempre con diritti Super Admin estesi al gruppo.
Solo un Enterprise Super Admin può creare API Credential a livello Enterprise. Anche qui valgono ruoli Service Principal propri, monitoraggio della scadenza e rotazione dei secret.
Alert e report
Enterprise può mostrare alert dei Sub-Estate autorizzati e offrire azioni. La vista Enterprise attuale comprende al massimo 90 giorni e 2.500 voci. Per indagini più vecchie o ampie si apre la Sub-Estate o si usa un SIEM.
Le dashboard PDF possono essere esportate da una Sub-Estate, ma Central Overview no. Le Custom Dashboard personali restano associate al rispettivo amministratore.
Modelli di licenza
I Sub-Estate possono mantenere licenze individuali o passare a Enterprise Master Licensing. Le licenze Master formano un pool comune e vengono assegnate centralmente. La migrazione è irreversibile e richiede quindi pianificazione di licenze e costi.
Pianificare la struttura prima dell’attivazione
Prima di Enterprise Management si crea una matrice:
| Domanda | Decisione |
|---|---|
| Quali società o regioni diventano Sub-Estate? | confine operativo e giuridico |
| Chi è Enterprise Super Admin? | almeno due persone indipendenti |
| Chi può aprire quale Sub-Estate? | modello di ruoli e autorizzazioni |
| Quale regione dati si applica? | documentare per ogni nuova Sub-Estate |
| Licenze individuali o Master Pool? | chiarire prima della migrazione irreversibile |
| Quali impostazioni derivano dagli Enterprise Template? | definire pilota, override ed effetto di blocco |
| Come si conservano alert e dati Audit? | combinare viste Enterprise e Sub-Estate |
La procedura tecnica è descritta in Attivare Sophos Central Enterprise Management.