Sophos Mobile: verificare il percorso di registrazione in Apple Business e i prerequisiti

Guida alle decisioni per le verifiche preliminari, non una guida passo passo alla distribuzione. Questo articolo aiuta a svolgere le verifiche preliminari sui dispositivi di proprietà dell’azienda: scegliere il percorso di registrazione, chiarire i rischi di cancellazione e rilascio, verificare le assegnazioni in Apple Business e Sophos e solo dopo confermare la registrazione su un dispositivo pilota. Non tratta né i dispositivi personali né l’esecuzione della dismissione. La registrazione automatica dei dispositivi si chiama Automated Device Enrollment (ADE); Sophos indica ancora alcune delle relative schermate come Apple DEP.

Chiarire prima il percorso di registrazione e il rischio per i dati

Dispositivo già presente in Apple Business: verificare lì l’assegnazione al servizio di gestione esterno Sophos Mobile. In Sophos Mobile, alla categoria del dispositivo deve essere assegnato un profilo Apple Business appropriato, come profilo predefinito o individuale, prima che il dispositivo passi attraverso ADE alla configurazione successiva. Un profilo predefinito None, senza assegnazione individuale, non comporta la registrazione automatica in Sophos.
Dispositivo assente da Apple Business: per iPhone/iPad Sophos descrive l’aggiunta manuale con Apple Configurator per Mac, che comporta il ripristino del dispositivo alle impostazioni di fabbrica. Apple descrive inoltre Apple Configurator per iPhone, utilizzabile anche per Mac idonei con Apple Silicon o chip T2 e macOS 12.0.1 o versioni successive. Un Mac già configurato deve essere inizializzato prima di questa aggiunta. L’affermazione di Sophos secondo cui non è possibile aggiungere manualmente i Mac non si applica a quest’altro percorso con Configurator. Prima di qualsiasi cancellazione: chiarire la proprietà del dispositivo, il backup dei dati e il blocco di attivazione; per l’aggiunta concreta, verificare prima il percorso adatto al dispositivo e a Configurator nella guida Apple all’aggiunta di dispositivi ad Apple Business.

Non proseguire prematuramente con la configurazione di un dispositivo aggiunto manualmente: per il percorso con Apple Configurator per Mac, Apple avverte di non proseguire con l’impostazione assistita sul dispositivo dopo l’assegnazione al servizio di gestione, se si intende usare ADE. Nell’aggiunta di un iPhone/iPad con Apple Configurator per iPhone, invece, Apple prevede di proseguire dopo aver verificato la presenza del dispositivo presso il servizio di gestione; per i Mac con questo Configurator la procedura è diversa. Verificare la procedura Apple specifica per il dispositivo: ciò non dimostra ancora che la registrazione in Sophos sia riuscita.

I 30 giorni non equivalgono a un vincolo permanente: per i dispositivi aggiunti manualmente tramite Configurator, Apple indica, dopo l’assegnazione e la registrazione riuscite, un periodo provvisorio di 30 giorni durante il quale gli utenti possono rimuovere il dispositivo da Apple Business, dalla supervisione o dal servizio di gestione dei dispositivi. Le pagine Apple in tedesco e in inglese usano qui congiunzioni diverse (rispettivamente «oder», cioè «o», e «and», cioè «e»); non dedurne passaggi di rilascio efficaci indipendentemente l’uno dall’altro.

Attenzione: la rimozione del profilo può causare la perdita dei dati in condizioni specifiche: per iPhone/iPad con iOS/iPadOS 14 o versioni successive aggiunti ad Apple Business tramite Apple Configurator per Mac, secondo Apple la rimozione del profilo di registrazione del servizio di gestione dei dispositivi ripristina il dispositivo alle impostazioni di fabbrica e lo rilascia automaticamente da Apple Business. Prima di una simile decisione, eseguire un backup dei dati e verificare il percorso su un dispositivo pilota sacrificabile. Questa conseguenza non vale indistintamente per tutti i dispositivi ADE; modificare l’assegnazione di un profilo Sophos non equivale a rimuovere il profilo dal dispositivo.

Non è questo il percorso: la registrazione diretta separata di iPhone/iPad in Sophos tramite Configurator e l’URL di registrazione automatica Sophos di un gruppo di dispositivi non aggiunge di per sé i dispositivi ad Apple Business e non sostituisce l’assegnazione ADE; ciò non esclude un’aggiunta indipendente ad Apple Business.

Prerequisiti da verificare prima della consegna

Organizzazione, dispositivo e profilo

Verificare organizzazione e integrazione: controllare l’organizzazione Apple Business e l’accesso autorizzato, un certificato Apple Push Notification Service (APNs) caricato in Sophos Mobile e l’istanza Sophos collegata. Per il collegamento, Sophos indica i ruoli Apple Administrator o Device Enrollment Manager. Il token di servizio Apple Business si trova in Sophos sotto Setup > Apple setup > Apple DEP.

Verificare dispositivo e profilo: controllare l’assegnazione al servizio di gestione corretto in Apple Business, la categoria del dispositivo (iOS & iPadOS o macOS), il profilo predefinito o individuale e la connessione di rete durante la configurazione. Secondo Sophos, per i dispositivi acquistati da un rivenditore la comparsa in Apple Business può richiedere fino a 24 ore. In Sophos, sotto Devices > Apple DEP, eseguire se necessario Synchronize with Apple Business; in assenza di un profilo predefinito, assegnare un profilo individuale. Non procedere alla distribuzione finché l’assegnazione non è stata chiarita.

In entrambi i tipi di profilo, il gruppo di dispositivi selezionato in Device group viene assegnato durante la registrazione. Sophos consiglia un gruppo dedicato ai dispositivi Apple Business per semplificarne la gestione; non è obbligatorio. Anche il Task bundle selezionato viene trasferito ai dispositivi durante la registrazione. L’area di selezione contiene solo pacchetti di attività senza un’attività di registrazione. Non si può quindi presumere che un pacchetto proveniente da un altro percorso di registrazione sia adatto solo in base al nome.

Associazione degli utenti e prerequisito di attivazione non chiarito

L’impostazione Assign user to device collega l’accesso durante la registrazione all’associazione dell’utente. Le possibilità documentate variano in base alla piattaforma:

iOS/iPadOS: Yes - LDAPS authentication utilizza la connessione Active Directory configurata tramite LDAPS. Yes - Self Service Portal authentication porta alla pagina di accesso del Sophos Fusion Self Service Portal (SSP) e supporta i metodi di accesso di Sophos Fusion, inclusi l’accesso federato e l’autenticazione a più fattori. Entrambi i valori Yes associano al dispositivo l’utente che ha effettuato l’accesso.
macOS: secondo Sophos, Yes - LDAPS authentication consente l’accesso con e-mail e password di Sophos Fusion oppure, se è configurata una connessione LDAP, con credenziali di Active Directory. Anche in questo caso viene associato l’utente che ha effettuato l’accesso. Non trasferire al profilo macOS l’opzione SSP separata di iOS/iPadOS.
Entrambe le piattaforme: secondo le pagine dei profili, No significa che durante la registrazione non avvengono né accesso né associazione di utenti. Un’eventuale associazione successiva dell’utente è un’azione separata.

L’attivazione resta da chiarire prima della distribuzione: la preparazione descritta da Sophos indica come prerequisito per l’attivazione utenti registrati nell’SSP. Questa indicazione coesiste con quelle dei profili relative a No. Verificare su un dispositivo pilota, prima della distribuzione, se e come queste indicazioni interagiscono nel proprio tenant; non dedurne né un obbligo SSP universale né un’attivazione garantita senza accesso. Le opzioni dei profili descritte non chiariscono questo prerequisito ancora irrisolto.

Assegnazione MDM e possibilità di rimozione

Decidere se gli utenti possano saltare l’assegnazione alla gestione dei dispositivi mobili (MDM) durante la configurazione tramite User can skip MDM policy assignment. Per iPhone/iPad verificare inoltre se il profilo di registrazione debba essere rimovibile: secondo Sophos, User can remove MDM policy può essere disattivato solo per i dispositivi supervisionati. Questo prerequisito non garantisce che il profilo sia universalmente non rimovibile. Il ripristino condizionato e il rilascio automatico da Apple Business descritti sopra, in caso di effettiva rimozione del profilo, restano limitati al percorso con Configurator lì indicato.

Mettere in sicurezza l’accesso USB e l’identità di supervisione

Per iPhone/iPad non disattivare Allow USB pairing with all hosts prima di aver verificato un Mac autorizzato con un certificato host adatto e un percorso di ripristino. Con l’opzione attivata è possibile l’abbinamento con qualsiasi computer. Con l’opzione disattivata è limitato ai Mac appositamente autorizzati; l’abbinamento USB con computer Windows non è quindi possibile. Chiarire i flussi di lavoro Windows interessati prima del cambiamento.

Prima di applicare la restrizione, identificare l’organizzazione specifica in Apple Configurator e il relativo certificato: ogni organizzazione configurata al suo interno ha un proprio certificato. Sophos descrive il caricamento di questo certificato dell’organizzazione, esportato come CER, nella sezione dedicata all’abbinamento USB del profilo Apple Business. Il certificato dell’identità di supervisione caricato deve corrispondere all’identità nel portachiavi dei Mac previsti; i Mac con questo certificato nel portachiavi possono supervisionare il dispositivo. Più certificati caricati possono autorizzare più host. Se l’abbinamento con tutti gli host è disattivato e non è stato caricato alcun certificato, non è possibile connettersi ad Apple Configurator 2. Non distribuire la restrizione USB senza aver testato un Mac autorizzato.

Diversa è la condivisione di un’identità di supervisione come P12: altre postazioni Configurator con la stessa identità possono configurare in sicurezza i dispositivi supervisionati. Questa condivisione amplia quindi l’insieme delle postazioni autorizzate e deve essere riservata ai soli destinatari autorizzati, tramite esportazione PKCS-12 crittografata e protetta da password. Non equivale a caricare un ulteriore CER. Sostituire un’identità di supervisione non è un modo innocuo per annullare un’impostazione USB: Apple richiede di cancellare, preparare nuovamente e supervisionare nuovamente i dispositivi. Prima di un simile cambiamento, chiarire dati e responsabilità; qui non sono stati testati né un cambio di identità né un ripristino.

App SMC e completamento della registrazione

Confermare il comportamento dell’app sul dispositivo pilota: se Install SMC app è attivato, Sophos indica due alternative: nella scheda iOS setup disattivare l’opzione Apple ID (che salta la configurazione dell’account), affinché gli utenti accedano con il proprio Apple Account durante la configurazione, oppure aggiungere Sophos Mobile Control alle app di Apple Business e configurare in Sophos Mobile l’assegnazione automatica dell’app ai dispositivi. Per il percorso tramite le app di Apple Business, verificare espressamente prima della consegna che nella location Apple Business interessata siano presenti licenze disponibili per Sophos Mobile Control e che l’assegnazione automatica ai dispositivi sia configurata. Questo non garantisce né l’installazione né il completamento. Per completare la registrazione, gli utenti devono aprire l’app SMC e consentirle di sincronizzarsi con Sophos Mobile; la semplice disponibilità dell’app non basta. Verificare sul dispositivo pilota nel proprio tenant il comportamento dell’alternativa scelta, senza presumere che sia già stato testato.

Impostazione assistita: stato di sicurezza e trasferimento dei dati

Le schede iOS setup e macOS setup saltano singoli passaggi dell’impostazione assistita. Queste impostazioni non costituiscono blocchi permanenti delle funzioni: gli utenti possono comunque attivare in seguito la relativa opzione. Per una restrizione permanente serve la configurazione Restrictions appropriata: per iOS/iPadOS in una iOS device policy, per macOS, a seconda dell’ambito di applicazione, in una macOS device policy o in una macOS user policy. Qui non vengono configurati questi criteri, né vengono garantiti valori predefiniti o un’applicazione delle restrizioni testata.

Opzioni di sicurezza e diagnostica

Per entrambe le piattaforme, Sophos descrive i seguenti effetti dei passaggi di configurazione saltati:

Passcode salta la creazione di un codice di sblocco. Touch ID & Face ID salta la configurazione biometrica; in questo passaggio non viene configurato un accesso biometrico in sostituzione di un codice.
Location services e Siri saltano la rispettiva configurazione; i servizi di localizzazione o Siri sono inizialmente disattivati.
Diagnostics salta la configurazione della diagnostica. Secondo Sophos, i dati diagnostici e di utilizzo descritti per questa opzione non vengono inviati ad Apple. Su macOS, iCloud Analytics riguarda separatamente i dati diagnostici e di utilizzo dell’account iCloud: saltando questo passaggio, secondo Sophos questi specifici dati non vengono inviati ad Apple.

Si tratta di effetti documentati nel contesto della configurazione, non di una garanzia che ogni opzione sia applicabile a ogni dispositivo o rimanga disattivata permanentemente. In particolare, non ne derivano né un blocco generale della telemetria né uno stato di sicurezza confermato sul dispositivo pilota.

Non confondere FileVault con una finestra di dialogo saltata: nel profilo macOS, secondo Sophos saltare FileVault disk encryption comporta concretamente che FileVault risulti disattivato. Prima della consegna, chiarire la politica di crittografia prevista e verificare lo stato effettivo di FileVault sul dispositivo pilota; non equiparare un passaggio di configurazione saltato a una crittografia attiva.

Trasferimento dei dati e account locali per piattaforma

Su iOS/iPadOS, Restore from backup salta il ripristino dei dati da iCloud o il trasferimento da un dispositivo Android. L’impostazione separata Disable “Move Data from Android” rende invece non disponibile l’opzione per il trasferimento dei dati da Android. Entrambe riguardano il trasferimento dei dati, non il ripristino del profilo di registrazione Sophos. Anche nascondere una pagina non è sempre efficace: Safety & Handling può comparire prima del recupero del profilo Apple Business; in tal caso, secondo Sophos, la relativa impostazione per saltare il passaggio non ha effetto.

Su macOS, Restore from backup salta il ripristino dei dati da Time Machine o una migrazione del sistema, non il meccanismo di backup MDM di iOS/iPadOS descritto sotto. Registration salta la creazione di un account del computer. iCloud Drive salta l’attivazione del caricamento automatico dei file da Documents e Desktop. Prima della consegna, chiarire il percorso previsto per gli account e il trasferimento dei dati; anche queste indicazioni descrivono passaggi di configurazione, non un ripristino testato o un blocco permanente del caricamento.

Profilo MDM da un backup iOS/iPadOS

Un backup non garantisce la registrazione MDM: nel profilo iOS/iPadOS, secondo Sophos Don’t use MDM policy from backup impedisce il ripristino del profilo di registrazione Sophos da un backup durante la configurazione solo con iOS 26 e iPadOS 26. Se un dispositivo con iOS 26/iPadOS 26 viene configurato da un backup contenente il vecchio profilo di registrazione Sophos, secondo Sophos tenta di ristabilire la connessione con Sophos Mobile; se è già stato rimosso da Sophos Mobile, la connessione viene rifiutata. Verifica preliminare condizionata prima di un ripristino pianificato, non una procedura di recupero testata: in questo caso, secondo Sophos, attivare prima Don’t use MDM policy from backup e assegnare al dispositivo il profilo Apple Business così aggiornato prima del ripristino alle impostazioni di fabbrica; solo dopo sarebbe possibile prendere in considerazione tale ripristino. A partire da iOS 27/iPadOS 27, secondo Sophos il profilo non viene comunque ripristinato da un backup. Separata da questa impostazione è Restore from backup nella scheda iOS setup: l’opzione salta il passaggio di ripristino dei dati durante la configurazione. Dopo la cancellazione o il ripristino, verificare nuovamente gestione e supervisione su un dispositivo pilota sacrificabile; non dedurre da un backup che registrazione o supervisione siano state mantenute.

L’assegnazione non equivale ancora al collaudo

In Devices > Apple DEP, leggere congiuntamente le colonne Profile, Profile status ed Enrolled device. L’assegnazione visualizzata non corrisponde necessariamente al profilo già in uso:

Pushed: il dispositivo è registrato in Sophos Mobile con il profilo visualizzato in Profile. Alla configurazione successiva utilizzerà lo stesso profilo.
Assigned: un profilo è assegnato, ma non è ancora utilizzato. Se in Enrolled device compare un nome di dispositivo, il dispositivo è già registrato, ma utilizza un altro profilo o nessun profilo. Senza un nome di dispositivo, non è registrato. Alla configurazione successiva verrà utilizzato il profilo visualizzato in Profile.
Removed: il profilo è stato revocato dopo la registrazione. Ciò non implica né una disiscrizione immediata né un rilascio da Apple Business.
Empty: non è assegnato alcun profilo. Se in Enrolled device compare un nome di dispositivo, il dispositivo è registrato, ma non utilizza alcun profilo; senza un nome di dispositivo, non è registrato.

Con Unassign profile, alla configurazione successiva si applica il profilo predefinito configurato. Se manca anche questo, non avviene alcuna registrazione automatica in Sophos; lo stesso vale per Removed ed Empty senza un profilo predefinito. Secondo Sophos, sui dispositivi già registrati un profilo ADE modificato viene applicato solo dopo la cancellazione e una nuova configurazione. Questa indicazione di stato non autorizza il ripristino alle impostazioni di fabbrica: prima di un simile intervento restano necessarie le verifiche su dati, proprietà e blocco di attivazione. L’assegnazione di un profilo o la sua revoca non costituiscono un rilascio da Apple Business.

Sul dispositivo pilota verificare inoltre lo stato del dispositivo e l’indicazione della supervisione, nonché, se pertinente, la sincronizzazione SMC. Per questo articolo non sono stati testati né un tenant né un dispositivo.

Trattare separatamente token, certificati e uscita

Secondo Sophos, il token di servizio Apple Business dell’integrazione Sophos è valido un anno. Per creare un nuovo token di servizio usare lo stesso Apple Account utilizzato per il token originale; annotare il responsabile e la data di scadenza. Non è il certificato APNs.

Apple indica come motivi per sostituire il token anche la modifica della password dell’Apple Account gestito della persona che ha scaricato il token di servizio e la sua uscita dall’organizzazione. Chiarire quindi responsabilità e accesso prima di un simile cambiamento; qui non viene descritta né una sostituzione testata né una procedura di ripristino.

Per il rinnovo APNs, identificare il certificato esistente tramite APNs Topic in Sophos e UID nel Subject DN del portale Apple. Sophos avverte che rinnovare il certificato sbagliato comporta una nuova registrazione: se il Topic non corrisponde, fermarsi prima di salvare. Questa non è una guida completa al rinnovo.

Reset DEP non è un rinnovo ordinario: con questa operazione Sophos elimina da Sophos Mobile il token di servizio e tutti i dispositivi e profili Apple Business. Da ciò non si può stabilire il comportamento immediato dei dispositivi finali già registrati.

Verifica preliminare al rilascio per ciascun dispositivo, non un passaggio di rilascio: prima di «Release from Organization», chiarire lo stato effettivo del blocco di attivazione (attivo/disattivo) e, se attivo, il tipo (basato sull’utente oppure basato sull’organizzazione). Affinché sia possibile rimuoverlo tramite Apple Business, il dispositivo deve essere stato aggiunto prima dell’attivazione del blocco e non deve essere già stato rilasciato; la sola assegnazione a un servizio di gestione non ne è prova. Definire in anticipo il percorso autorizzato per la rimozione o il ripristino e la persona responsabile: con ruoli autorizzati e condizioni del dispositivo soddisfatte, Apple Business può rimuovere un blocco basato sia sull’utente sia sull’organizzazione; secondo Apple, un servizio di gestione collegato non può rimuovere un blocco basato sull’utente, mentre in linea di principio può rimuoverne uno basato sull’organizzazione. Limite specifico di Sophos: il comando Sophos per rimuovere il blocco di attivazione richiede un dispositivo ancora registrato in Sophos e, secondo Sophos, non funziona sui dispositivi con almeno due slot SIM/eSIM; Sophos indica che ciò riguarda tutti i modelli di iPhone correnti alla data della sua documentazione. L’indicazione generale di Apple non implica quindi che la rimozione tramite Sophos funzioni su un iPhone. Verificare separatamente l’autorizzazione alla rimozione del blocco di attivazione e quella al rilascio dei dispositivi. Non avviare il rilascio senza un percorso specifico per il dispositivo già chiarito; un codice di bypass Sophos qui non è stato né verificato né indicato come soluzione garantita.

Arrestare l’offboarding prima di «Release from Organization»: non rilasciare un dispositivo inviato ad Apple per la riparazione: se Apple sostituisce durante la riparazione un dispositivo già rilasciato, secondo Apple il dispositivo sostitutivo non sarà disponibile in Apple Business. I dispositivi che l’organizzazione non possiede né controlla più (per esempio dopo un trasferimento di proprietà) devono invece essere rilasciati ai sensi dell’accordo Apple Business, ma solo da una funzione di offboarding con autorizzazione distinta e dopo una verifica specifica dei dati, del blocco di attivazione e delle responsabilità per ciascun dispositivo. La riparazione non costituisce un motivo di rilascio. Rilasciare un dispositivo da Apple Business non equivale a revocare l’assegnazione di un profilo Sophos, né a cambiare semplicemente l’assegnazione al servizio di gestione. L’operazione di rilascio confermata non può essere annullata: finché il dispositivo è rilasciato non può essere assegnato a un servizio di gestione; Apple Business non può più gestirne il blocco di attivazione. Il dispositivo deve poi essere inizializzato e ripristinato. Secondo Apple è possibile una nuova aggiunta separata tramite Apple Configurator o il rivenditore/operatore autorizzato originario: non annulla il rilascio precedente. Verificare se il servizio di gestione collegato può rilasciare dispositivi senza accedere ad Apple Business: le pagine di supporto Apple si contraddicono sull’impostazione predefinita di questa autorizzazione al rilascio. Non presumere quindi alcuna impostazione predefinita, ma verificare nel proprio tenant la configurazione effettiva del servizio collegato prima di una procedura di rilascio. Prima della dismissione o del trasferimento di proprietà, chiarire dati, blocco di attivazione e autorizzazioni in una procedura di rilascio e ripristino affidata a un responsabile distinto; qui non sono riportati passaggi per il rilascio.