Sincronizzare Sophos Email con Google Directory

La sincronizzazione con Google Directory importa in Sophos Central caselle di posta, gruppi e liste di distribuzione da Google Workspace. La connessione prevede due livelli di autorizzazione distinti: prima un amministratore Google autorizza la connessione, poi si registrano nella Console di amministrazione Google Workspace l’ID client e gli ambiti OAuth visualizzati da Sophos. Attivare i filtri e sincronizzare solo dopo che il test della connessione è riuscito.

La funzione è disponibile se la licenza include Sophos Email o Sophos Phish Threat. Questa guida riguarda solo la fonte directory: non modifica i record MX o l’instradamento della posta e non sostituisce la configurazione di Gateway o Mailflow.

Verificare i prerequisiti

Prima di iniziare occorrono:

• un account amministratore Sophos Central autorizzato a configurare fonti directory;
• una licenza che includa Sophos Email o Sophos Phish Threat;
• un account amministratore Google Workspace con accesso amministrativo al workspace;
• il nome esatto del dominio Google indicato in Account > Domains > Manage domains;
• il permesso di autorizzare un client API e i relativi ambiti OAuth nella Console di amministrazione Google Workspace;
• se è applicato un criterio dell’organizzazione Google Cloud, un amministratore con ruolo Organization Policy Administrator.

Controllare in particolare il criterio Google Cloud iam.disableServiceAccountKeyCreation. Il criterio per la creazione delle chiavi degli account di servizio è attivo per impostazione predefinita nei nuovi account Google Workspace. Se resta attivo, la connessione a Google Directory può non riuscire intorno all’80%.

Consentire la creazione delle chiavi dell’account di servizio

Modificare il criterio dell’organizzazione solo con l’approvazione del responsabile Google Cloud. La rimozione di questa restrizione è una decisione di sicurezza, non una semplice impostazione Sophos.

1. Nella console Google Cloud, selezionare l’organizzazione nel selettore dei progetti.
2. Aprire IAM & Admin > IAM e verificare che l’account disponga del ruolo Organization Policy Administrator. Se necessario, modificare l’account e assegnare il ruolo.
3. Aprire IAM & Admin > Organization Policies e cercare Disable service account key creation oppure iam.disableServiceAccountKeyCreation.
4. Modificare il criterio, impostare Policy source su Inherit parent’s policy e applicarlo con Set Policy.
5. Riprovare la connessione in Sophos Central.

Se l’organizzazione non può disattivare il criterio, interrompere la configurazione. Sophos indica che la disattivazione è necessaria per completare correttamente la sincronizzazione.

Connettere e autorizzare Google Directory

1. Accedere alla Console di amministrazione Google e annotare il dominio da sincronizzare in Account > Domains > Manage domains.
2. In Sophos Central, aprire Global Settings > Platform > Directory service e selezionare Add directory service.
3. Immettere nome e descrizione, scegliere Google directory come tipo e inserire il dominio annotato.
4. In Configure Google directory sync settings, leggere e accettare i termini delle API Google Apps Admin e Google.
5. Selezionare Connect, accedere con l’account amministratore Google responsabile e concedere a sophos.com l’accesso richiesto. Proseguire solo dopo la conferma di Sophos.
6. Copiare la Client ID visualizzata in Sophos Central.
7. Seguire il collegamento fornito alla Console di amministrazione Google Workspace, aggiungere un nuovo client API e incollare l’ID client.
8. Copiare gli ambiti OAuth visualizzati in Sophos Central nel campo corrispondente della console Google e autorizzarli.
9. Tornare in Sophos Central ed eseguire Test connection. Salvare solo se il test riesce.

Copiare sempre ID client e ambiti OAuth dalla sessione Sophos Central corrente. Non usare valori di un altro ambiente o di documentazione precedente.

Selezionare utenti e gruppi in sicurezza

Sophos offre tre metodi:

• All users and groups sincronizza tutti gli utenti e gruppi. Per gli oggetti già presenti in Sophos Central è la prima scelta consigliata, perché offre al servizio il set più ampio per le corrispondenze.
• Add users by group filter importa tutti gli utenti appartenenti ai gruppi che soddisfano i criteri.
• Add users by user filter importa direttamente gli utenti che soddisfano i criteri.

Per gerarchie Google complesse può essere più opportuno applicare un filtro utenti o gruppi prima del primo ciclo. Decidere prima se devono corrispondere tutte o una qualsiasi delle condizioni. Per ogni condizione scegliere attributo, operatore disponibile e valore di confronto. Le condizioni aggiuntive affinano il risultato; i gruppi logici creano sottoinsiemi annidati.

Ogni filtro supporta al massimo 10 condizioni binarie e tre livelli di annidamento per gruppi AND/OR. Raggiunto uno dei limiti, non è possibile aggiungere altri filtri.

Importante: Sophos Central non consente di visualizzare in anteprima le modifiche che la sincronizzazione Google apporterà a Central. Un test di connessione riuscito non è un’anteprima degli oggetti.

La modifica di un filtro sostituisce la selezione precedente e può aggiungere o rimuovere utenti e gruppi sincronizzati in Sophos Central. Non influisce sugli oggetti gestiti manualmente in Central. Registrare quindi l’inventario previsto e il filtro precedente prima di cambiare i criteri.

Sincronizzare e verificare il risultato

1. Salvare la fonte directory e l’ambito degli oggetti scelto.
2. Selezionare Turn on, quindi Synchronize.
3. Attendere il completamento del ciclo.
4. In Manage protection > People, controllare gli utenti connessi. In presenza di più domini, cercare il nome del dominio.
5. In My Environment > Users & Groups, verificare anche gli utenti e gruppi previsti.

Confrontare il risultato con un inventario previsto invece di controllare solo pochi account. Includere caselle, gruppi e liste di distribuzione importanti per i criteri o per il servizio di posta. Registrare aggiunte e rimozioni inattese prima di modificare nuovamente il filtro.

Modificare le impostazioni o aggiungere un dominio

Prima di modificare una fonte connessa, disattivare la sincronizzazione con Turn off. È quindi possibile modificare nome, pianificazione e selezione di utenti/gruppi. Salvare, riattivare la fonte, eseguire un nuovo ciclo e confrontare di nuovo l’inventario.

Sophos può riutilizzare l’autorizzazione esistente per un altro dominio dello stesso account Google:

1. Verificare prima che un dominio dell’account Google sia già connesso, quindi annotare in Google il dominio aggiuntivo.
2. In Directory service, aggiungere un’altra fonte Google directory e inserire il dominio aggiuntivo.
3. Selezionare Connect, quindi Test connection e Save.
4. Attivare la fonte con Turn on e avviare Synchronize.
5. In Manage protection > People, filtrare per il nuovo dominio e confrontare gli utenti connessi con l’inventario previsto.

Disattivare, disconnettere o eliminare

Queste azioni hanno conseguenze diverse. Scegliere la procedura corrispondente al risultato desiderato.

Sospendere o modificare soltanto

Usare Turn off per interrompere i cicli o modificare le impostazioni. Non eliminare i dati se si devono conservare gli oggetti sincronizzati e le relative assegnazioni dei criteri.

Disconnettere la fonte

La sincronizzazione deve essere disattivata prima della disconnessione.

1. Aprire il dominio in Global Settings > Platform > Directory service e selezionare Turn off.
2. In Configure Google directory sync settings, selezionare Disconnect, quindi Continue.
3. Selezionare l’account amministratore Google associato. Concedere a sophos.com l’accesso richiesto e proseguire. Questo nuovo consenso consente a Sophos di ripulire i dati di connessione dell’account di servizio Google Cloud.
4. Attendere la conferma della disconnessione.

L’eliminazione dei dati è facoltativa per la sola disconnessione. Eseguirla soltanto se i dati delle caselle sincronizzate devono essere effettivamente cancellati.

Eliminare i dati sincronizzati

Avviso: Purge data è irreversibile. Elimina i dati sincronizzati e la configurazione di tutti i criteri collegati alle caselle sincronizzate. Non è possibile ripristinare né gli uni né l’altra.

Disattivare la fonte, aprire More > Purge data, confermare esplicitamente che l’azione non può essere annullata e avviare l’eliminazione. Verificare poi che lo stato della fonte indichi l’avvenuta eliminazione dei dati.

Eliminare definitivamente la fonte directory

Prima di eliminare una fonte Google Directory occorre eliminarne i dati. La fonte e i dati eliminati non possono essere ripristinati.

1. Registrare fonte, oggetti sincronizzati e criteri collegati e ottenere l’autorizzazione all’eliminazione.
2. Disattivare la sincronizzazione ed eseguire Purge data come descritto sopra.
3. Disconnettere la fonte con Disconnect. Usare l’account amministratore Google per consentire la pulizia dei dati di connessione e attendere la conferma.
4. Solo a quel punto selezionare More > Delete e confermare Delete directory source.

Risolvere i problemi con metodo

• Google segnala che l’accesso non è stato concesso: ripetere Connect o Disconnect con l’account amministratore Google corretto. Concedere a sophos.com l’accesso necessario o selezionare l’opzione di consenso nel dialogo Google.
• La connessione si interrompe intorno all’80% con “Key creation is not allowed on this service account”: controllare iam.disableServiceAccountKeyCreation. Far disattivare il criterio da un Organization Policy Administrator, quindi ripetere il test.
• Mancano utenti o gruppi dopo il ciclo: controllare se sono attivi filtri per utenti o gruppi, se devono corrispondere tutte o alcune condizioni e se attributo, operatore e valore corrispondono all’oggetto Google.
• Alcuni oggetti scompaiono dopo la modifica del filtro: può essere il risultato previsto. Il nuovo filtro sostituisce la selezione precedente e adegua gli oggetti sincronizzati. Confrontare filtro precedente, nuovo filtro e inventario previsto prima di sincronizzare ancora.
• Non è possibile disconnettere la fonte: verificare prima che la sincronizzazione sia disattivata, quindi ripetere il consenso con l’account amministratore Google connesso.

La configurazione è completa solo quando il test riesce, il ciclo termina e utenti, gruppi e liste di distribuzione corrispondono all’inventario previsto. Ripetere il confronto completo dopo ogni successiva modifica dei filtri.