Comprendere Sophos Central Enterprise e Sub-Estate
Sophos Central Enterprise riunisce più tenant Sophos Fusion (in precedenza Sophos Central) autonomi in una gestione Enterprise. Questi tenant si chiamano Sub-Estate. Il modello è adatto a gruppi aziendali, organizzazioni nazionali, unità giuridicamente separate o sedi che necessitano di un proprio confine dati e amministrativo.
Sophos Central Enterprise non equivale a un unico grande tenant con molti gruppi. Ogni Sub-Estate possiede utenti, dispositivi, policy, licenze, regione dati e amministratori locali propri.
Quando sono utili i Sub-Estate
Una Sub-Estate separata è appropriata quando esiste almeno un confine reale:
- responsabilità giuridica o organizzativa,
- regione dati propria,
- amministratori e approvazioni separati,
- licenza o centro di costo proprio,
- policy, report o requisiti Audit separati,
- acquisizione aziendale con integrazione graduale.
La sola presenza di reparti diversi non giustifica automaticamente più tenant. Se bastano la stessa amministrazione e regione dati, gruppi, policy e Custom Role sono spesso più semplici.
Cosa centralizza Enterprise
A seconda di licenza e funzione, il livello Enterprise può:
- creare, cercare e aprire Sub-Estate,
- mostrare stato e utilizzo licenze in modo aggregato,
- gestire amministratori Enterprise,
- riunire alert dei Sub-Estate autorizzati,
- distribuire template globali e impostazioni selezionate,
- gestire API Credential a livello Enterprise,
- distribuire licenze Master ai Sub-Estate.
Le funzioni di prodotto e le particolarità locali restano rilevanti nel Sub-Estate. Un Enterprise Template può bloccare e distribuire impostazioni, ma non sostituisce pilota e convalida locale.
I Template globali hanno limiti precisi
Solo un Enterprise Super Admin può gestire i Template globali. Un Template può includere al massimo 500 Sub-Estate, con un totale complessivo massimo di 5.000 dispositivi. Non appena una Sub-Estate viene assegnata a un Template, le impostazioni globali e le policy interessate vengono bloccate nel Sophos Fusion Admin locale. Diventano effettive con il push.
Un push sovrascrive le Base Policy esistenti e può richiedere alcuni minuti. Se in seguito si elimina il Template o si rimuove l’assegnazione della Sub-Estate, questa conserva le ultime impostazioni ricevute. Perciò il Template va prima provato su un piccolo gruppo di Sub-Estate. Prima del push si documentano le policy locali interessate; in seguito si verificano lo stato del push e le policy e impostazioni previste in ogni Sub-Estate pilota.
L’accesso richiede consenso
Attivando Enterprise Management, gli account associati vengono collegati come Sub-Estate. Un Enterprise Admin può aprire una Sub-Estate esistente solo dopo che un suo Super Admin ha autorizzato l’accesso Enterprise.
L’autorizzazione è ampia: l’Enterprise Admin diventa Super Admin dei Sub-Estate. Dopo l’opt-in, soltanto un Enterprise Super Admin può revocare il collegamento.
Regione dati e nuove Sub-Estate
Quando si crea una nuova Sub-Estate si sceglie la regione dati. In base alla disponibilità Sophos offre, tra le altre, USA, Canada, Irlanda, Germania, Australia, India, Brasile o Giappone. L’impostazione predefinita corrisponde alla regione della Sub-Estate primaria.
Prima della creazione, la regione viene concordata rispetto a privacy, latenza, integrazioni e requisiti legali. Una migrazione tenant successiva è molto più complessa della scelta corretta iniziale.
Ruoli e account personali
I ruoli Enterprise sono separati dai ruoli del singolo tenant Sophos Fusion Admin. Un accesso Enterprise Admin dedicato evita che il lavoro quotidiano nel tenant avvenga sempre con diritti Super Admin estesi al gruppo.
Solo un Enterprise Super Admin può creare API Credential a livello Enterprise. Anche qui valgono ruoli Service Principal propri, monitoraggio della scadenza e rotazione dei secret.
Alert e report
Enterprise può mostrare alert dei Sub-Estate autorizzati e offrire azioni. La vista Enterprise attuale comprende al massimo 90 giorni e 2.500 voci. Per indagini più vecchie o ampie si apre la Sub-Estate o si usa un SIEM.
Le Custom Dashboard possono mostrare dati di una o più Sub-Estate. In Dashboards > Manage Dashboards, la colonna Creator identifica l’amministratore che ha creato una Custom Dashboard.
Le dashboard Sophos e le Custom Dashboard possono essere esportate in PDF, ma Central Overview no. I widget basati su mappe risultano vuoti nel PDF. Se l’esportazione PDF fa parte del reporting, tali widget non devono quindi essere usati come unica evidenza.
Modelli di licenza
I Sub-Estate possono mantenere licenze individuali o passare a Enterprise Master Licensing. Le licenze Master formano un pool comune e vengono assegnate centralmente. La migrazione è irreversibile e richiede quindi pianificazione di licenze e costi.
Pianificare e attivare Sophos Central Enterprise Master Licensing descrive trasferimento, consolidamento e limiti di assegnazione.
Pianificare la struttura prima dell’attivazione
Prima di Enterprise Management si crea una matrice:
| Domanda | Decisione |
|---|---|
| Quali società o regioni diventano Sub-Estate? | confine operativo e giuridico |
| Chi è Enterprise Super Admin? | almeno due persone indipendenti |
| Chi può aprire quale Sub-Estate? | modello di ruoli e autorizzazioni |
| Quale regione dati si applica? | documentare per ogni nuova Sub-Estate |
| Licenze individuali o Master Pool? | chiarire prima della migrazione irreversibile |
| Quali impostazioni derivano dagli Enterprise Template? | definire pilota, override ed effetto di blocco |
| Come si conservano alert e dati Audit? | combinare viste Enterprise e Sub-Estate |
La procedura tecnica è descritta in Attivare Sophos Central Enterprise Management.