Sincronizzare Google Workspace con Sophos Central

Sophos Central può importare mailbox, utenti, gruppi e liste di distribuzione da Google Workspace. La fonte Google Directory è destinata soprattutto a Sophos Email e Sophos Phish Threat ed è disponibile solo con una licenza appropriata.

La sincronizzazione non è una semplice copia della rubrica. Le modifiche ai filtri possono influire su oggetti e assegnazioni di policy, alcune autorizzazioni OAuth restano necessarie durante l’esercizio e un Purge può eliminare definitivamente configurazioni collegate.

Prerequisiti

Per la configurazione servono:

• una licenza Sophos Email o Phish Threat,
• un ruolo Sophos Central Admin con accesso al Directory Service,
• un amministratore Google Workspace con i diritti necessari,
• il dominio Google primario o secondario da sincronizzare,
• un filtro concordato per utenti e gruppi,
• un piano di change e ripristino.

Nei nuovi ambienti Google Workspace, la regola organizzativa iam.disableServiceAccountKeyCreation può impedire la creazione di Service Account Key. Se è attiva, la connessione Central può interrompersi intorno all'80% mostrando Key creation is not allowed on this service account.

Per l’autorizzazione si sceglie prima l’organizzazione nel Project Picker della Google Cloud Console. L’account esecutore necessita del ruolo Organization Policy Administrator in IAM & Admin > IAM. In IAM & Admin > Organization Policies si cerca poi Disable service account key creation, si apre Edit policy, si sceglie Inherit parent’s policy come Policy source e si salva con Set Policy. La modifica riguarda un controllo di sicurezza esteso all’organizzazione e si esegue solo con approvazione documentata.

Inventariare prima gli oggetti esistenti

Prima del primo sync si esportano o documentano tutti gli utenti, mailbox e gruppi già presenti in My Environment > Users & Groups o nel contesto Email. Sono determinanti indirizzi e-mail primari univoci.

Vanno controllati in particolare:

• utenti creati manualmente con lo stesso indirizzo,
• Shared Mailbox e alias,
• gruppi annidati o dinamici,
• account disattivati ed esterni,
• policy Email e collegamenti di gruppo esistenti.

Una fonte non viene usata in parallelo con un’altra per gli stessi oggetti senza testarne il matching. AD, Entra ID e Google Directory hanno scopi diversi e non vanno combinati indiscriminatamente.

Collegare Google Directory

Nella Google Admin Console si annota in Account > Domains > Manage domains il nome esatto del dominio. Il percorso Central è poi Global Settings > Platform > Directory service > Add directory service.

1. Inserire nome e descrizione, scegliere Google directory come Directory type, immettere il dominio annotato e selezionare Next.
2. In Configure Google directory sync settings leggere Google Apps Admin APIs Terms of Service e Google APIs Terms of Service e confermare con Accept.
3. Selezionare Connect, scegliere l’account Google Admin autorizzato, concedere a sophos.com l’accesso richiesto e scegliere Continue. Dopo la conferma chiudere con Close.
4. Copiare in Central la Client ID mostrata e aprire la Google Workspace Admin console collegata.
5. Nella delega a livello di dominio selezionare Add new e incollare la Client ID.
6. Tornare in Central, copiare gli OAuth scope mostrati per questo tenant, inserirli in Google e autorizzarli con Authorise.
7. Eseguire Test connection in Central e confermare il test riuscito con OK.
8. In Select users and groups to include in the synchronization scegliere un filtro controllato e salvare con Save.

Comprendere le autorizzazioni Google

Nel dialogo di consenso Google, Sophos richiede attualmente https://www.googleapis.com/auth/cloud-platform per creare, leggere, aggiornare o convalidare durante il setup le risorse Google Cloud necessarie. https://www.googleapis.com/auth/userinfo.email identifica l’account amministratore Google che concede il consenso. Google Directory, Google Post-Delivery Protection e Google Direct Delivery possono richiedere entrambe le autorizzazioni.

Alcune autorizzazioni servono solo per il setup e la convalida, mentre altre rimangono attive finché la connessione è abilitata. Se un’autorizzazione necessaria viene rimossa in Google, la funzione Sophos interessata riprende a funzionare solo dopo una nuova connessione.

Creare filtri sicuri

Central può sincronizzare tutti gli utenti e gruppi oppure usare un filtro di gruppo o utente. In una directory pulita e gestibile, un primo sync completo è spesso la base migliore per un matching corretto. In directory molto grandi o eterogenee si filtra invece inizialmente un gruppo pilota.

Il filtro deve basarsi su caratteristiche organizzative stabili, per esempio un gruppo Google definito. Nomi, paesi o condizioni temporali possono cambiare ed escludere inaspettatamente oggetti. Central consente al massimo dieci condizioni binarie e tre livelli di gruppi AND/OR annidati.

Per questo, prima di salvare si esporta da Google l’inventario atteso o lo si documenta tramite un gruppo pilota. Dopo il ciclo si confrontano quantità e campioni degli oggetti aggiunti e rimossi con l’elenco previsto.

Sincronizzare tutti gli utenti e gruppi Google

In Global Settings > Platform > Directory service si apre la fonte Google. In Select users and groups to include in the synchronization si sceglie All users and groups, quindi Turn on e Synchronize. Il risultato viene confrontato con l’inventario precedente in My Environment > Users & Groups.

Questa variante offre al primo ciclo la maggiore base di matching. Non sostituisce però un ambito pianificato: dopo il confronto controllato si escludono con un filtro stabile gli account non necessari.

Selezionare utenti Google tramite filtro di gruppo

In Select users and groups to include in the sync > Add users by group filter si decide innanzitutto se devono essere soddisfatte any o all le condizioni e i gruppi. Si impostano poi condizione principale, operatore disponibile per l’attributo e valore di confronto. Per Last directory sync time sono disponibili per esempio is, greater or equal e less or equal.

Add condition affina i risultati, Add group crea un sottoinsieme annidato degli utenti già corrispondenti. Un filtro può per esempio combinare utenti il cui ultimo Directory Sync precede una data attuale, con Proxy Address e Display Name che inizia per Admin. Una vecchia data dell’esempio Sophos non va copiata senza verifica.

Il passaggio al filtro sostituisce la definizione precedente. Dopo Turn on > Synchronize si controllano quindi utenti e gruppi aggiunti e rimossi in My Environment > Users & Groups.

Selezionare utenti Google tramite filtro utente

Add users by user filter opera direttamente sugli attributi utente. Dopo any o all si scelgono condizione principale, operatore ammesso e valore. Un esempio tracciabile è Country is Germany; secondo l’attributo è disponibile anche starts with.

Con Add condition e Add group si può limitare la selezione agli utenti tedeschi il cui Display Name inizia per Admin. Restano validi i limiti di dieci condizioni binarie e tre livelli. Turn on > Synchronize attiva il nuovo inventario, poi confrontato con il previsto in My Environment > Users & Groups.

Collegare un altro dominio dello stesso account Google

Una connessione Google già autorizzata può essere riutilizzata per un ulteriore dominio dello stesso account. Il dominio aggiuntivo si verifica prima in Google Admin > Account > Domains > Manage domains. In Central si crea poi un’altra fonte Google directory in Global Settings > Platform > Directory service, si inserisce il dominio e si seleziona Connect.

Central usa l’autorizzazione Google esistente. Tuttavia, Test connection, Save, Turn on e un ciclo manuale Synchronize vengono eseguiti separatamente. In Manage protection > People si filtra poi un campione per il nuovo dominio. Una seconda fonte non sostituisce l’univocità pulita di domini e oggetti.

Convalidare il primo sync

Dopo Save, la fonte viene attivata con Turn on ed eseguita per la prima volta con Synchronize. Al termine si verifica in Manage protection > People quali utenti siano stati collegati.

Non si controllano solo stato Successful e numero di oggetti. Il campione comprende:

• e-mail primaria e Display Name,
• appartenenza ai gruppi,
• Shared Mailbox o oggetto utente,
• policy Email o Phish Threat prevista,
• assenza di nuovi duplicati,
• assenza di account esterni o disattivati non desiderati.

Si definisce poi la pianificazione e si include un ciclo fallito nel processo operativo degli alert.

Modifiche e Disconnect

Prima di cambiare dominio, filtri o pianificazione si disattiva la sincronizzazione. Si salva poi la modifica, si riattiva e si avvia un test manuale.

Disconnect separa l’autorizzazione Google. Prima si disattiva il sync, poi si scollega in Configure Google directory sync settings. Nel dialogo Google occorre concedere nuovamente a sophos.com il consenso necessario affinché Sophos possa pulire i dati di connessione nel Google Service Account. Si controllano inoltre le autorizzazioni di terze parti nella Google Admin Console. Disconnect non equivale a Purge dei dati già sincronizzati.

Se la fonte deve essere eliminata integralmente, si controlla e se necessario si esegue il Purge dei dati. Seguono Turn off, Disconnect, consenso Google per la pulizia e More > Delete > Delete directory source. Fonte e dati eliminati con Purge non possono essere ripristinati.

Modificare la fonte Google

In Global Settings > Platform > Directory service si apre la fonte e la si ferma con Turn off prima di ogni modifica. Si possono poi cambiare dominio, nome, pianificazione e selezione di utenti e gruppi. Save conserva le modifiche e Turn on le riattiva. Un ciclo manuale Synchronize e il controllo in Manage protection > People o My Environment > Users & Groups completano il change.

Scollegare la connessione Google

Per il solo Disconnect si disattiva la fonte e si sceglie Disconnect in Configure Google directory sync settings. In alternativa More > Delete > Disconnect now porta alla stessa pulizia. Dopo Continue si sceglie l’account Google Admin, si conferma a sophos.com l’accesso necessario e si seleziona Continue. Quando Google conferma, Close chiude il dialogo. I dati Central già sincronizzati non vengono ancora eliminati.

Eliminare una fonte Google Directory

La fonte può essere eliminata solo dopo il Purge dei dati sincronizzati o dopo averlo completato durante la procedura. In Global Settings > Platform > Directory service si apre il nome e si seleziona Turn off.

Si scollega quindi tramite Configure Google directory sync settings > Disconnect o More > Delete > Disconnect now. Continue avvia la pulizia. Nel dialogo Google si sceglie l’account amministratore autorizzato, si concede l’accesso a sophos.com e si seleziona Continue. Dopo la conferma si chiude con Close.

Tornati in Central si sceglie More > Delete > Delete directory source. La fonte eliminata e i dati sottoposti a Purge non sono recuperabili. Si controllano poi anche delega a livello di dominio e autorizzazioni non più necessarie in Google e le si rimuove dopo approvazione.

Purge solo con approvazione

Per eseguire il Purge si apre la fonte in Global Settings > Platform > Directory service e la si arresta con Turn off. Si seleziona quindi More > Purge data, si conferma che l’operazione non può essere annullata e si seleziona di nuovo Purge data. Lo stato della fonte indica poi che i dati sono stati eliminati.

L’operazione non è reversibile. Sophos avverte che elimina anche le configurazioni di policy collegate alle mailbox sincronizzate.

Prima di un Purge si documentano quindi configurazione, gruppi, assegnazione policy, mailbox interessate e ricostruzione. Non è il primo passaggio di troubleshooting.

Problemi tipici

Il test connessione fallisce subito

Controllare dominio, account Google Admin, Client ID, scope autorizzati e regola organizzativa per Service Account Key. Se il dialogo segnala che non è stato concesso accesso ai dati Google Cloud, sophos.com non è stato autorizzato completamente nel Consent Screen. Un login del browser non dimostra l’autorizzazione API a livello di dominio.

Il sync riesce, ma mancano oggetti

Controllare filtri, e-mail primarie, gruppi annidati e account disattivati. Verificare poi se i tipi di oggetto previsti siano supportati dalla licenza e dalla funzione.

Gli utenti appaiono duplicati

Di norma indirizzo primario o oggetti manuali esistenti non coincidono. I duplicati non vanno eliminati indiscriminatamente. Si determina prima quale fonte debba possedere l’oggetto e quali collegamenti di policy esistano.

La connessione cade dopo mesi

Controllare consenso Google OAuth, autorizzazioni terze rimosse, account amministratori cambiati e stato Central. Un nuovo Full Sync senza analisi della causa può peggiorare i dati.

Domande frequenti