Configurare Sophos Backup & Recovery M365 e verificare un ripristino

Sophos Backup and Recovery M365 è un’offerta cloud di backup e ripristino basata su Rubrik per Exchange, OneDrive, SharePoint e Teams. Si accede da My Products > Backup and Recovery M365 in Sophos Fusion (in precedenza Sophos Central); configurazione e ripristino avvengono nel portale Rubrik Security Cloud. Una licenza attiva o un reindirizzamento riuscito non dimostrano ancora che i dati previsti siano sottoposti a backup.

La sequenza sicura è: verificare diritto e tenant, collegare Microsoft 365 a Rubrik, assegnare policy tramite una SLA Domain, controllare i backup riusciti e verificare un ripristino circoscritto. Il percorso seguente segue l’aiuto amministratore Sophos del 27 maggio 2026, riletto il 27 ottobre 2026. Descrive il modello ospitato da Rubrik e un esempio Exchange, non una procedura universale per tutti i workload M365.

Chiarire incarico, tenant e diritti prima di iniziare

Registrare organizzazione Microsoft 365, utenti e workload da proteggere. I responsabili confermano tenant Sophos Fusion, abbonamento acquistato e stato del provisioning. Sophos M365 Backup and Recovery non supporta Enterprise Master Licensing. Le sue licenze non possono essere condivise tra Sub-Estates; in presenza di più tenant cliente, ciascuno richiede licenze separate. La licenza e l’assegnazione delle organizzazioni/subscription Microsoft 365 previste vengono confermate separatamente prima dell’ordine. Vedere Enterprise Master Licensing.

Occorre inoltre un account amministratore Microsoft 365 con i diritti necessari al collegamento. La guida generale Sophos non definisce un ruolo minimo universale. Prima del consenso devono quindi essere chiari i permessi effettivamente richiesti, le applicazioni coinvolte e chi approva. I diritti amministrativi Sophos non sostituiscono quelli Microsoft.

Nel ticket di modifica vanno pianificati anche regione dei dati, conservazione, perdita ammissibile e tempo di ripristino. Gli ultimi due valori sono spesso chiamati RPO e RTO: quanto può essere vecchia la copia ripristinata e quanto a lungo può rimanere indisponibile il servizio? Il backup non sostituisce soluzioni di archiviazione, eDiscovery o legal hold richieste separatamente.

Confermare le condizioni commerciali prima dell’ordine: verificare quantità minima, spazio incluso, durata, possibilità di espansione e disponibilità trial/MSP nell’offerta corrente. Le condizioni di lancio non garantiscono quelle attuali. L’analisi di Sophos Backup & Recovery con Rubrik tratta acquisto e architettura; questa guida si concentra su configurazione e prove.

1. Collegare la subscription Microsoft 365 a Rubrik

1. Aprire My Products > Backup and Recovery M365 in Sophos Fusion. Dopo il reindirizzamento verificare l’organizzazione Rubrik e scegliere Inventory > SaaS > Microsoft 365 > Add Subscription.
2. In Microsoft 365 Setup proseguire con Next. Sotto Grant Rubrik Access to Azure, inserire in Microsoft Entra Domain il dominio del tenant Entra previsto, reperibile nella sua panoramica Entra. Sign in to Azure apre l’accesso; poi scegliere Add Subscription. Fermarsi se il tenant è inatteso o il consenso non è chiaro.
3. In Azure Configuration definire dove collocare i dati. Sophos raccomanda Store data in its original geographic regions; selezionare anche la posizione centrale. Confrontare l’impostazione con il proprio piano di residenza, senza considerarla una conferma di ogni requisito di riservatezza.
4. Rubrik genera per impostazione predefinita una chiave Azure. Use your own Azure key è un’opzione separata con Azure Tenant ID, Azure Key Vault ID e Azure Key Name. Usare una propria chiave solo con gestione, modello di accesso e recupero chiariti. La guida non giustifica la sostituzione preventiva di chiavi esistenti. Proseguire con Add Subscription.
5. In Authorize Access to Microsoft 365 eseguire gli accessi previsti per Exchange, OneDrive, SharePoint e Teams. In Grant Access to Microsoft Management App autorizzare tramite Sign in to Microsoft 365 Management app. Controllare ogni volta tenant e diritti mostrati, poi completare Add Subscription.

Una subscription collegata dimostra inizialmente l’integrazione. La protezione di dati specifici dipende anche da perimetro, assegnazione SLA e backup riusciti. Ripetere il consenso per tutte le applicazioni non risolve un errore di un singolo workload; isolare prima il passaggio e il suo messaggio.

2. Assegnare una SLA Domain appropriata

Una SLA Domain descrive la policy di backup, soprattutto frequenza e conservazione. Non è semplicemente il dominio email né un tempo di ripristino garantito.

In Inventory > SaaS > Microsoft 365, fare clic su Assign SLA Domain. In Manage Protection, selezionare le applicazioni Microsoft 365 previste e continuare con Next. In Assign an SLA Domain, scegliere una policy esistente appropriata. Sophos documenta questi valori predefiniti:

L’offerta generale cita fino a dieci anni di conservazione e backup immutabili. Non significa che un profilo predefinito configuri già dieci anni o l’immutabilità richiesta. Per valori diversi pianificare una Custom SLA Domain adatta secondo l’aiuto Rubrik aggiornato e verificarne diritto e configurazione effettivi. I nomi dei profili non sono raccomandazioni per ogni cliente.

Dopo Next, controllare tutto il perimetro e la policy in Confirmation, poi scegliere Assign. Per il primo pilota verificare oggetti di test e stato di protezione nel portale; scegliere applicazioni nella procedura guidata non prova una granularità arbitrariamente fine del pilota.

3. Dimostrare il backup prima di avere bisogno del ripristino

Scegliere una casella di test autorizzata e crearvi un messaggio innocuo dal nome riconoscibile, ad esempio Backup-Pilot-2026-10-27. Non deve contenere credenziali, dati aziendali o dei clienti. Documentare prima finestra di backup e punto di ripristino attesi.

Controllare poi nel portale Rubrik subscription, perimetro, SLA Domain assegnata e backup completato. Solo uno snapshot disponibile con l’oggetto previsto consente la verifica di ripristino seguente. Un’integrazione verde, una SLA configurata o un backup precedente non dimostrano che il nuovo messaggio sia stato acquisito.

4. Eseguire un ripristino Exchange limitato

Un ripristino scrive dati o crea un export. Destinazione, quantità e autorizzazione devono quindi essere definiti prima dell’ultimo Recover. Per il pilota si usa una casella di test; non ripristinare in-place una casella di produzione per precauzione.

1. Aprire Inventory > SaaS > Microsoft 365. In Selected Subscription, scegliere la subscription confermata e fare clic su Enter Subscription.
2. In Data Source, scegliere Exchange. In Username, selezionare la persona di test autorizzata e in Snapshots un orario appropriato nel calendario.
3. Aprire lo snapshot con Recover. In Exchange Recovery, scegliere Mailbox, poi Next per cartelle o messaggi. Selezionare solo il messaggio concordato; usare la ricerca se necessario.
4. Decidere consapevolmente il percorso. Restore to original user usa la persona originale; Restore to another user, un’altra. Download from Cloud crea uno ZIP con uno o più PST; Recover to a different subscription riguarda un altro contesto tenant/subscription. Le varianti richiedono autorizzazioni diverse e non sono opzioni di test intercambiabili.
5. Nel seguito documentato scegliere In-place recovery oppure Recover to a new folder. Per il test circoscritto utilizzare una nuova cartella nella destinazione confermata, se disponibile nel percorso selezionato. Secondo l’aiuto, Recover to a new folder rimane nella regione originale. Ricontrollare destinazione, regione e perimetro prima di Next.
6. Verificare il riepilogo e solo dopo confermare Recover. Controllare completamento e messaggi del job nel portale. Con la persona responsabile del test verificare poi che il messaggio previsto sia leggibile nel posto corretto. Confrontare oggetto, contenuto ed eventuale allegato con l’originale.

Il verbale contiene orario dello snapshot, ID o riferimento tracciabile del job, oggetti sorgente e destinazione, perimetro, esito e durata misurata. Un singolo messaggio ripristinato non convalida una casella intera, un sito SharePoint o una struttura Teams. Per questi compiti pianificare prove rappresentative separate.

Per file OneDrive, contenuti SharePoint e dati Teams, preparare e verificare il ripristino M365 di altri workload guida nella delimitazione di sorgente, destinazione e gestione dei conflitti, con tre scenari di test distinti. Prima del ripristino, verificare autorizzazioni e snapshot adatti a ogni workload.

Un ripristino completato non dispone di un annullamento universale. Dopo la verifica, ripulire cartelle di test aggiuntive, oggetti ripristinati o export PST solo nel perimetro concordato e secondo la conservazione prevista. Non eliminare messaggi produttivi o snapshot come presunto rollback.

Se accesso, backup o ripristino falliscono

Dopo il timeout Rubrik riapre l’accesso Fusion: Sophos elenca il problema come PHISH-11524 nei problemi noti letti il 27 ottobre 2026. Riguarda una sessione SSO Rubrik scaduta mentre quella Fusion è ancora valida. Il rimedio temporaneo documentato è accedere nuovamente a Sophos Fusion e riaprire il collegamento SSO a Rubrik. Non è una correzione permanente né un motivo per rimuovere la subscription o ampliare i diritti.

La subscription è collegata ma mancano gli snapshot attesi: controllare separatamente tenant, workload, perimetro effettivo, SLA, orario di backup e messaggio preciso. Backup riusciti di un’altra subscription non sono prove sostitutive.

Il ripristino non dà risultati utilizzabili: confrontare persona sorgente, orario dello snapshot, messaggio scelto, destinazione e messaggio del job con il ticket. Non ripetere la stessa scrittura finché l’esito è incerto. Chiarire prima se i dati siano già stati ripristinati.

Per l’aiuto dettagliato aprire l’icona Help nel portale Rubrik e cercare il titolo esatto, ad esempio Setting up a Microsoft 365 subscription for Rubrik hosting o Recovering email messages to the original location. Sophos segnala che i link diretti possono inizialmente richiedere l’accesso. Restare nel percorso autorizzato del portale; l’articolo non presuppone accessi aggiuntivi o aumenti di privilegi.

Per l’escalation indicare subscription, workload, orario con fuso, passaggio, errore ripulito e riferimento noto del job. Token, chiavi, contenuto PST e messaggi riservati non vanno in descrizioni pubbliche. Usare caso e canale di trasferimento confermati secondo Preparare e aprire un ticket di supporto.