Preparare in sicurezza Sophos Central Directory Sync per Sophos Email

Directory Sync è una funzione condivisa della piattaforma Sophos Central. Fornisce utenti, gruppi, indirizzi email, alias e, secondo la sorgente, altri oggetti utilizzabili da Sophos Email. La sincronizzazione in sé non è una funzione di Sophos Email: non configura domini, flusso di posta, routing MX o policy Email.

Percorso rapido: scegli un’unica sorgente autorevole per utenti e gruppi per ciascun dominio, confronta indirizzi email univoci e oggetti Central esistenti, prepara le autorizzazioni AD o Entra, genera l’anteprima di una selezione limitata e sincronizza solo dopo aver verificato aggiunte, modifiche ed eliminazioni previste. Turn off, Purge data ed eliminazione della sorgente sono tre operazioni diverse, non reset intercambiabili.

Definire il modello delle sorgenti prima della prima esecuzione

Central gestisce le sorgenti in Global Settings > Platform > Directory service. Prima della configurazione documenta il sistema autorevole per ciascun dominio e tipo di oggetto:

utenti e gruppi da Active Directory (AD) locale oppure Microsoft Entra ID;
dispositivi e gruppi di dispositivi solo da AD;
Public Folders solo da AD e insieme a utenti e gruppi dello stesso dominio;
Shared Mailboxes secondo il tipo di sorgente; una mailbox in un gruppo Microsoft 365 richiede Entra ID o Google Directory.

Per ciascun dominio è consentita al massimo una sorgente per ogni tipo di directory: una sorgente AD e una sorgente Entra ID. Anche se entrambe sono configurate, utenti e gruppi devono provenire da un’unica sorgente autorevole. AD può essere eseguito in parallelo solo per l’ambito separato di dispositivi e gruppi di dispositivi. Utenti e indirizzi email devono essere univoci nel tenant Central e non possono essere sincronizzati verso più account Central Admin. Central supporta fino a 25 sorgenti; i trial limitano anche il numero di oggetti.

Directory Sync non unisce record solo perché hanno lo stesso nome visualizzato. Può assumere la gestione di un oggetto Central manuale corrispondente e rimuoverne in seguito i dati durante un purge. Prima del pilot, la lista di confronto deve includere almeno email principale, alias, UPN o login di dominio, oggetto sorgente, identità Central esistente, gruppi e mailbox collegata.

Se si usa il Sophos Central Self Service Portal (SSP) per l’amministrazione autonoma della posta, configura User access prima di Directory Sync. In questo modo utenti nuovi ed esistenti ricevono la notifica e l’accesso previsti.

Preparare AD Sync

AD Sync richiede un amministratore Central, la versione corrente di Active Directory Synchronization Setup, .NET Framework 4.6.2, API Credentials con ruolo Service Principal Directory Sync e un account con accesso in lettura all’intera foresta selezionata. Concedi all’account AD solo i diritti necessari e usa LDAP su SSL quando possibile. Firewall o proxy devono raggiungere le destinazioni Central richieste da Sophos.

Ogni utente da proteggere necessita di un indirizzo email univoco in AD. Per impostazione predefinita l’utility non sincronizza utenti e mailbox disabilitati. Per le Shared Mailboxes lascia attivo Exclude disabled user accounts; disattivarlo può creare duplicati. Utenti e gruppi vengono sincronizzati insieme. Shared Mailboxes e Public Folders richiedono Sync users and user groups.

Limita la selezione con Search Bases, ad esempio una OU pilota, e filtri LDAP. Una modifica del filtro può escludere oggetti già sincronizzati ed eliminarli da Central. Configurazione completa, esempi e limiti AD sono in Sincronizzare Active Directory con Sophos Central.

Preparare Microsoft Entra ID

Entra ID richiede un ruolo di amministratore Central, Microsoft Entra ID, una Azure Application dedicata e l’Application permission Microsoft Graph Directory.Read.All con consenso amministratore. Central richiede dominio tenant, Application (client) ID, Value del Client Secret e scadenza. Object ID e Secret ID non sono i valori richiesti. Office 365 GCC High non è supportato.

Prima della connessione, utenti e gruppi Central esistenti devono avere un oggetto Entra corrispondente e ogni utente da proteggere un indirizzo email. UPN, email o login Endpoint diversi possono creare utenti separati. Entra ID sincronizza utenti e gruppi, ma non dispositivi, gruppi di dispositivi, Public Folders o dettagli di delega delle Shared Mailboxes.

Dopo aver inserito i dati dell’app, esegui Test connection, poi Save e ancora Test connection. Anche dopo una modifica ai filtri esegui prima Test connection e solo dopo Save o Save & Sync. Sincronizzare Microsoft Entra ID con Sophos Central descrive app e filtri in dettaglio.

Visualizzare l’anteprima, approvare ed eseguire il sync

Non verificare soltanto il numero di oggetti nuovi. Confronta con l’inventario atteso utenti, gruppi, indirizzi, alias e mailbox da aggiungere, modificare e rimuovere.

Active Directory

Controlla Search Bases, OU, filtri utenti e gruppi ed Exclude disabled user accounts.
Avvia Preview and Sync e verifica soprattutto Users to Add, Users to Modify ed eliminazioni previste.
Seleziona Approve Changes and Continue solo quando ogni modifica è spiegabile.
Dopo l’importazione controlla sorgente, ultima esecuzione, quantità degli oggetti e oggetti Email protetti.

L’anteprima AD può mostrare membri di altri domini anche se il sync effettivo aggiunge al gruppo solo utenti del dominio del gruppo. I gruppi cross-domain richiedono quindi un test pratico delle appartenenze.

Microsoft Entra ID

L’anteprima Entra è disponibile solo dopo la configurazione completa. Sospendi una sorgente attiva con Turn off; dopo il cambio di stato compaiono Preview e la scheda Preview. Il risultato vale sette giorni o fino al sync successivo. Con oltre 20.000 record va esportato come JSON.

Dopo la verifica abilita la sorgente con Turn on e avvia Synchronize. Un test di connessione riuscito prova solo l’accesso all’app, non la correttezza della selezione. Il successo è confermato soltanto quando sorgente e orario sono aggiornati e utenti, gruppi, alias, Shared Mailboxes e destinatari protetti corrispondono all’inventario.

Passare da AD a Entra ID senza creare duplicati

Prima della migrazione prepara sorgenti AD ed Entra valide per lo stesso dominio e confronta gli utenti. Nomi visualizzati uguali non bastano. Verifica soprattutto email, UPN o login, gruppi, alias e associazione mailbox.

Per Entra ID come unica sorgente, esegui e approva un ultimo sync AD. Sospendi quindi AD con Turn off, aggiungi Entra ID, sincronizza e verifica tutto. Disinstalla il software AD o revocane l’identità tecnica solo dopo l’approvazione.

Se AD deve continuare a fornire i dispositivi, limita prima i filtri a dispositivi e relativi gruppi. Entra ID assume utenti e gruppi; riattiva poi AD soltanto per l’ambito dispositivi separato. Due stati verdi non sostituiscono la verifica che gli ambiti non si sovrappongano.

Accetta esplicitamente questi effetti:

Un utente Entra corrispondente aggiorna l’oggetto esistente; la mailbox associata rimane.
Un utente AD senza corrispondenza può essere eliminato da Central insieme alla mailbox.
Un gruppo AD senza corrispondenza rimane, ma non viene più aggiornato.
Shared Mailboxes e Public Folders AD esistenti rimangono all’ultimo stato AD senza aggiornamenti; per le Shared Mailboxes non sono più mostrati gli utenti associati.
Possono essere create nuove Shared Mailboxes Entra. Un sync AD locale non controllato dopo la migrazione può rimuovere mailbox a causa dei diversi tipi di oggetto.

In caso di eliminazioni inattese, non alternare ripetutamente le sorgenti. Correggi prima matching, filtri e inventario atteso.

Controllare gli oggetti protetti e risolvere i problemi con metodo

Dopo ogni prima esecuzione, modifica ai filtri o migrazione verifica almeno:

utenti e gruppi attesi, appartenenze e indirizzi email univoci;
alias, mailbox personali e condivise e Public Folders;
sorgente, stato, ora dell’ultimo sync, avvisi e conteggi;
destinatari e gruppi da proteggere con Sophos Email;
oggetti nuovi, duplicati, obsoleti o rimossi in modo inatteso.

Se manca un oggetto, inizia dalla sorgente: attributo email, stato, OU o Search Base, filtro e appartenenza. Poi verifica stato ed eventi in Reports > Logs > General Logs > Events. Per AD controlla anche versione utility, credentials, proxy, LDAP e log AD Sync. Le versioni iniziali non supportano l’autenticazione corrente; se l’upgrade automatico fallisce, usa l’installer attuale e configura il ruolo Service Principal Directory Sync.

Per Verification failed due to invalid client ID, assicurati di usare l’Application (client) ID e non un Object ID. Se è corretta, imposta Enabled for users to sign in? su Yes nel centro Entra in Enterprise apps > All applications > [App] > Properties. Dopo una modifica dei filtri, The connection must be verified before saving the configuration è previsto: prima Test connection, poi Save o Save & Sync.

Per l’escalation prepara descrizione, tenant e licenza, orario, versione sync, tutti i log pertinenti, screenshot e IP pubblico del sistema al momento della raccolta. Abilita Remote Access solo per il caso specifico e dopo approvazione interna.

Disattivare, eseguire il purge o eliminare una sorgente

Turn off sospende la sincronizzazione ma non elimina automaticamente gli oggetti. Usa questo stato per una modifica, anteprima o migrazione controllata. Prima documenta istanze attive, pianificazione e ultimo sync riuscito.

Per un purge AD, apri la sorgente in Global Settings > Platform > Directory service, sospendila con Turn off e seleziona Purge data. Users and user groups rimuove anche Shared Mailboxes e Public Folders. I dispositivi gestiti con gli utenti associati e gli amministratori sono eccezioni e non vengono eliminati. Dopo la conferma esplicita non esiste Undo.

Eliminare o disconnettere una Directory Source è un ulteriore passaggio del ciclo di vita, non sinonimo di Turn off o Purge data. Prima dell’eliminazione finale esegui il purge con la procedura specifica della sorgente, controlla gli oggetti protetti rimasti e solo dopo rimuovi sorgente e app, secret o API Credentials non più necessari. Interrompi senza lista approvata, owner, collaudo e modello target documentato.

Se Directory Sync non è il modello di proprietà previsto, scopri quindi come aggiungere, importare e gestire manualmente le caselle Sophos Email.