Proteggere l'accesso a Sophos Fusion con MFA, Passkey e IdP

Sophos Fusion (in precedenza Sophos Central) controlla Policies, eccezioni, Live Response e isolamento dei dispositivi. Un account amministrativo compromesso può quindi causare più danni di un singolo Endpoint infetto. MFA è il requisito minimo, ma non sostituisce ruoli adeguati né un processo di ripristino.

Distinguere gli accessi Partner, Customer ed Enterprise

Per Sophos Fusion Partner il requisito è esplicito: ogni amministratore Partner deve registrare almeno due metodi MFA e autenticarsi con MFA a ogni accesso. Sono supportati Passkey e Authenticator App TOTP; per accedere è possibile usare uno dei metodi registrati. Durante la registrazione iniziale vengono configurati una password e almeno un’app TOTP; i Passkey possono essere aggiunti in seguito. Quando Sophos richiede la registrazione di due metodi, occorre completarla. Le sezioni seguenti spiegano come configurare TOTP e Passkey e scegliere dispositivi indipendenti.

Un account Partner e un tenant Customer gestito non appartengono però allo stesso ambito amministrativo. Il requisito Partner non significa che gli account Customer o Enterprise ereditino automaticamente le impostazioni MFA, SSO o di ripristino. Prima di una modifica si verifica in quale portale è aperta la sessione e a quale account appartiene l’identità interessata. Per il Reset MFA, questo ambito determina l’amministratore autorizzato e la procedura corretta: il Super Admin del tenant Customer oppure il Partner Super Admin nel portale Partner. Le procedure Customer e Partner descritte di seguito non sostituiscono una procedura di ripristino Enterprise verificata separatamente.

Configurare subito MFA in modo ridondante

Ogni amministratore deve registrare almeno due metodi MFA e riceve una richiesta MFA a ogni accesso. Sophos supporta Passkey e Authenticator App con codici monouso basati sul tempo, abbreviati TOTP.

Per gli account privilegiati si registrano due metodi indipendenti, per esempio un Passkey su una chiave hardware e un’Authenticator App su un dispositivo separato. Due Passkey sullo stesso notebook non costituiscono una vera ridondanza. Sophos indica come possibili combinazioni anche due Passkey su dispositivi separati o due registrazioni Authenticator distinte.

Chiavi hardware sostitutive e informazioni di ripristino documentate vengono conservate in una cassaforte aziendale protetta. Non vengono archiviate nel password manager personale di un singolo collaboratore né in un ticket aperto.

Per ogni account amministrativo si possono registrare al massimo dieci Authenticator App TOTP. Un’estensione Authenticator per browser è tecnicamente possibile, ma proviene da terzi e non è sviluppata o supportata da Sophos. Prima dell’installazione vanno verificati publisher, autorizzazioni, canale di aggiornamento e policy aziendale. Per gli account privilegiati, un’estensione nello stesso profilo browser della sessione Sophos Fusion non separa adeguatamente i fattori.

I metodi registrati si gestiscono nel profilo tramite Manage login settings o Manage MFA. La semplice eliminazione della voce dall’Authenticator App locale non rimuove il metodo da Sophos Fusion. Durante un cambio dispositivo occorre prima testare un secondo metodo, poi rimuovere la vecchia registrazione Sophos Fusion e soltanto alla fine ripristinare il vecchio dispositivo.

Configurare un’Authenticator App

Dopo l’accesso con il metodo esistente, aprire icona del profilo > My info > Manage MFA. In alternativa, Sophos ID > My Profile > Manage MFA porta alla stessa gestione. Dopo una nuova autenticazione, in Multi-Factor Authentication selezionare il segno più, quindi Authentication App in Set up MFA method e infine Set up now.

Scansionare il QR Code monouso con l’Authenticator App approvata. Inserire in Sophos Fusion il codice di sicurezza generato, assegnare facoltativamente un nome univoco al dispositivo e scegliere Continue. Successful enrollment conferma la registrazione; un ulteriore Continue conclude la procedura. Al successivo accesso di prova, dopo indirizzo e-mail e password viene richiesto il codice di verifica corrente dell’app.

Per account sono consentite al massimo dieci Authenticator App. Il QR Code e il segreto TOTP sottostante non vanno salvati come screenshot. Dopo il test si configura un secondo metodo indipendente prima di rimuovere un vecchio dispositivo o una vecchia registrazione.

Configurare un’Authenticator App nel browser

Un’estensione browser può generare codici TOTP, ma per gli account privilegiati va usata soltanto dopo una valutazione esplicita del rischio:

1. Aprire icona del profilo > My info > Manage MFA e confermare con un metodo esistente.
2. In Multi-factor Authentication, scegliere il segno più, Authentication App e Set up now.
3. Lasciare aperto il QR Code monouso e installare in una scheda separata l’estensione approvata dallo store ufficiale del browser.
4. Tornare al QR Code, aprire l’estensione accanto alla barra degli indirizzi e selezionare Add Account > Scan QR from screen.
5. Inserire il codice in Verify Your Device > Security Code, assegnare facoltativamente un nome univoco e scegliere Continue.
6. Verificare in icona del profilo > My info > Manage MFA la nuova registrazione. Durante un accesso di prova devono funzionare il nome utente, la password e il codice dell’estensione.

Il QR Code è un segreto di registrazione monouso e non va salvato come screenshot né inviato in un ticket. Prima dell’approvazione dell’estensione si verificano il publisher, le autorizzazioni richieste nel browser, la fonte degli aggiornamenti e la sincronizzazione dei dati. Poiché profilo browser, sessione Sophos Fusion e segreto TOTP si troverebbero altrimenti nello stesso luogo, resta necessario un metodo separato su un altro dispositivo o una chiave hardware.

Gestire i metodi MFA registrati

Aprire icona del profilo > My info > Manage MFA oppure Sophos ID > My Profile > Manage MFA. Dopo una nuova autenticazione, Sophos Fusion mostra tutti i metodi registrati, il nome predefinito o personalizzato e l’ultimo utilizzo.

Il segno più aggiunge un’Authenticator App o un Passkey. Per ogni tipo sono consentite al massimo dieci registrazioni. Dal menu con tre punti si può scegliere Rename, inserire un nuovo nome e confermare con il segno di spunta; Delete rimuove la registrazione da Sophos Fusion.

Devono rimanere registrati almeno due metodi MFA. Quando resta soltanto il numero minimo richiesto, Sophos Fusion impedisce ulteriori eliminazioni. Continue chiude la gestione e torna alla Dashboard. Prima di eliminare un metodo precedente, quello nuovo va provato in un accesso separato.

Configurare un Passkey e scegliere dove salvarlo

Un Passkey viene aggiunto come metodo ulteriore dopo avere già configurato un’Authenticator App. In icona del profilo > My info > Manage MFA, dopo la nuova autenticazione, selezionare il segno più e Passkey. Il sistema operativo o Credential Manager guida attraverso PIN o biometria, ad esempio un’impronta con Windows Hello. Dopo Passkey Saved, confermare con OK, verificare la nuova voce nell’elenco e concludere con Continue.

La posizione di archiviazione fa parte della decisione di sicurezza: sono possibili un Credential Manager sul computer locale, come browser, sistema operativo o password manager aziendale, un Authenticator associato al dispositivo come YubiKey oppure un dispositivo mobile tramite QR Code. Per la resilienza si registrano Passkey su più dispositivi controllati. Sophos Fusion consente al massimo dieci Passkey.

Accedere con Passkey o Authenticator App

Per l’accesso con Passkey, aprire fusion.sophos.com, inserire l’indirizzo e-mail e scegliere Continue. Nella pagina Passkey, Login with passkey avvia il metodo registrato, ad esempio impronta digitale, PIN del dispositivo o chiave hardware. Dopo la verifica si apre la Dashboard Sophos Fusion.

Se sono registrati sia Passkey sia Authenticator App, Sophos Fusion preferisce il Passkey. Con Try another way, dopo avere inserito la password, si può scegliere un metodo diverso. Per l’accesso classico tramite Authenticator, a indirizzo e-mail e Continue seguono password e Sign in; in MFA Validation Required va inserito il codice corrente dell’app.

Entrambi i percorsi vanno testati dopo configurazione, cambio dispositivo e aggiornamento del browser. Un Passkey salvato non è sufficiente come Recovery se Credential Manager, accesso al dispositivo e sessione Sophos Fusion dipendono dallo stesso guasto o Account Lockout.

My info, ruolo e password locale

In icona del profilo > My info, un amministratore vede ruolo corrente, indirizzo di accesso Sophos Fusion e impostazioni di password e MFA. Un clic sul ruolo mostra tutte le autorizzazioni. L’indirizzo e-mail è quindi anche un importante criterio di associazione per login, verifica dei ruoli e casi di supporto.

La password Sophos locale si cambia in My info > Password > Change password. Dopo la verifica, Sophos Fusion mostra già la password attuale. La nuova password richiede almeno otto caratteri, una lettera minuscola, una maiuscola e un numero o carattere speciale. Dopo Reset Password, Sophos Fusion accede automaticamente con la nuova password e torna al portale; la vecchia password diventa subito non valida. Con autenticazione federata, la password viene invece modificata presso l’Identity Provider.

I dettagli account includono inoltre le preferenze personali per le e-mail. Non sono i destinatari tenant-wide configurati in Configure Email Alerts. Amministratori, liste di distribuzione e sistemi di ticketing che ricevono messaggi di sicurezza si gestiscono nella procedura separata per e-mail di Alert e notifiche di Sophos Fusion.

Proteggere le azioni sensibili con MFA transazionale

Transaction Authentication using MFA richiede un’autenticazione aggiuntiva prima di determinate azioni sensibili nel tenant Customer (CDB). Non è una protezione generale delle azioni nelle dashboard Partner o Enterprise. La conferma avviene con il Passkey o l’app di autenticazione già registrati per MFA Sophos. Secondo l’annuncio del 15 settembre 2026, la funzione è disattivata per impostazione predefinita.

Prima dell’attivazione, verificare il tenant Customer corretto, la disponibilità di un Super Admin per la modifica e il funzionamento di un metodo MFA registrato. I diritti e le licenze necessari per Live Response o per la specifica Response Action restano indipendenti. Se un amministratore può usare esclusivamente l’accesso federato e MFA è fornita esclusivamente dall’IdP federato, questa impostazione non è disponibile per lui. Non modificare la configurazione IdP soltanto per questo test.

1. Come Super Admin nel tenant Customer, aprire Global Settings > Access Control > Sign-in and Identity > Multi-factor Authentication e documentare lo stato attuale. Se l’opzione manca, verificare prima tenant, ruolo e modalità di accesso; il solo annuncio non dimostra che la funzione sia disponibile nel proprio tenant.
2. Prima dell’attivazione, informare gli amministratori interessati e consentire i popup per l’accesso Sophos. Se il browser li blocca, valutare un’eccezione mirata per sophos.com anziché disattivare globalmente il blocco dei popup.
3. In Transaction Authentication using MFA, attivare Require re-authentication before executing high risk operations. Non attivare per errore l’opzione separata Expand MFA Coverage: estende MFA ad altri accessi ai portali e, una volta attivata, non può più essere disattivata.
4. Riaprire la pagina e verificare che l’impostazione sia attiva. Gli amministratori interessati devono poi disconnettersi e accedere nuovamente affinché la modifica abbia effetto nella nuova sessione Fusion. Una sessione già aperta non costituisce una verifica valida dell’efficacia.

Nella nuova sessione, è prevista una nuova autenticazione a ogni avvio di una sessione Live Response. Per una Response Action, è necessaria se l’ultima nuova autenticazione non è avvenuta nei 15 minuti precedenti. Non si tratta di una finestra generale di 15 minuti per Live Response né di una garanzia che copra qualsiasi tipo di azione.

Verificare la richiesta MFA alla successiva azione esplicitamente autorizzata; non avviare un isolamento del dispositivo, un’altra Response Action o una sessione Live Response in produzione solo per eseguire il test. Se la richiesta prevista manca, controllare prima il nuovo accesso, l’impostazione salvata, il contesto Customer, l’eccezione IdP e il blocco dei popup. Se il comportamento resta diverso, non approvare l’azione sensibile come sufficientemente protetta, ma inoltrare il caso a Sophos Support con tenant, orario e osservazioni, senza credenziali. La guida consultata descrive l’attivazione, ma non una procedura affidabile di disattivazione o rollback; non garantire quindi una reversibilità non verificata.

Comprendere le sessioni associate al dispositivo con DBSC

Device Bound Session Credentials (DBSC) associano una sessione a una chiave crittografica sul dispositivo. Il browser dimostra regolarmente di possedere tale chiave; un cookie di sessione rubato risulta quindi meno utilizzabile su un altro dispositivo. È un ulteriore livello contro il furto delle sessioni, non un sostituto di MFA, endpoint sicuri o disconnessione volontaria.

Sophos ha annunciato DBSC per le dashboard Customer, Enterprise e Partner (CDB, EDB e PDB). Con browser e piattaforma supportati, la funzione opera in modo trasparente; non serve un interruttore lato cliente né un’implementazione DBSC personalizzata. L’annuncio Sophos del 15 settembre 2026 indica Google Chrome e Microsoft Edge dalla versione 146 su Windows con TPM e dalla versione 147 su macOS. Questi dati descrivono il supporto Sophos al momento dell’annuncio, non una verifica indipendente delle piattaforme né la garanzia di attivazione per ogni sessione.

Google descrive invece la funzionalità DBSC di base già per Chrome 145 su Windows. Non equivale alla soglia superiore di Sophos e non conferma il supporto di Edge o macOS per Sophos Fusion. Senza il supporto appropriato di browser e piattaforma, non considerare DBSC una protezione disponibile. Per l’introduzione, censire le versioni dei browser e dei sistemi operativi effettivamente utilizzati; il solo accesso riuscito non dimostra l’associazione DBSC.

Limitare le sessioni amministrative inattive

MFA protegge l’accesso, ma non una sessione già aperta su un computer incustodito. In Connected Sessions, Session Idle Timeout stabilisce dopo quante ore di inattività un amministratore deve autenticarsi nuovamente. Sophos documenta questa impostazione separatamente per i portali Customer, Enterprise e Partner. Prima di una modifica, verificare quindi il portale utilizzato, il relativo account o tenant e la modalità di accesso. Quando si accede agli account Customer tramite una sessione Partner o Enterprise, secondo l’annuncio sulle sessioni prevale il timeout di tale sessione. Il solo valore Customer non descrive quindi quella sessione. Questa priorità non è una copia automatica delle impostazioni Customer né un’eredità generale di MFA, SSO o altre impostazioni dell’account.

1. Nel portale interessato, aprire l’icona Global Settings e scegliere Access Control > Sign-in and Identity > Connected Sessions.
2. Documentare il valore attuale di Session Idle Timeout per poterlo eventualmente ripristinare. Sono consentiti valori da 1 a 23 ore; il valore predefinito documentato è di 3 ore.
3. Inserire la durata massima di inattività e scegliere Save. Per gli account amministrativi privilegiati, 1 ora è un esempio di configurazione pilota Avanet volutamente restrittiva, non il valore predefinito Sophos. Un valore più breve limita il tempo durante il quale una sessione inattiva e incustodita può restare utilizzabile, ma richiede accessi più frequenti durante l’attività operativa. La scelta viene concordata con gli amministratori responsabili; il timeout non sostituisce né il blocco dello schermo né la disconnessione volontaria.

Dopo il salvataggio, riaprire la pagina e verificare il valore salvato. Per verificarne l’efficacia, un amministratore di prova accede allo stesso portale in una sessione browser separata. La sessione viene lasciata aperta senza interazioni per un periodo superiore alla durata configurata; successivamente si apre una pagina protetta. Il risultato atteso è una nuova richiesta di accesso. Si completa quindi con successo il percorso di accesso locale o federato effettivamente utilizzato, inclusa l’MFA richiesta da quel percorso. Il test viene eseguito separatamente per ogni portale interessato.

Se la sessione resta utilizzabile dopo il periodo di inattività previsto, verificare prima il portale, il tenant, il valore salvato e l’eventuale attività durante il test. Ripetere poi il test con una nuova sessione appena autenticata; se il risultato continua a non corrispondere a quello atteso, documentare per Sophos Support il portale, la data e l’ora e il comportamento osservato, senza includere credenziali di accesso. Se occorre annullare la modifica, salvare nuovamente il valore precedente documentato e ripetere la verifica.

Session Idle Timeout non garantisce la revoca immediata di tutte le sessioni già aperte e non sostituisce le misure da adottare in caso di compromissione di un account. Non implica nemmeno che l’impostazione venga applicata automaticamente tra i portali Customer, Enterprise e Partner. In caso di incidente di sicurezza si verificano inoltre l’accesso all’account, i ruoli, l’IdP e gli Audit Log.

Valutare correttamente i Passkey

I Passkey resistono al phishing quando la chiave è associata al dominio Sophos Fusion autentico ed è protetta da PIN del dispositivo o biometria. Un Passkey sincronizzato è comodo, ma eredita le proprietà di sicurezza e Recovery dell’account Apple, Google o Microsoft utilizzato.

Per i Super Admin una chiave hardware gestita è un metodo particolarmente robusto. Prima di imporla a tutto il tenant si verificano accesso di emergenza, chiave sostitutiva e Offboarding.

Microsoft Authenticator non è supportato per un Sophos Passkey al di fuori di un accesso Entra ID federato. L’app può continuare a essere usata come TOTP Authenticator. I Cross-Device Passkey richiedono, a seconda della piattaforma, Bluetooth, vicinanza dei dispositivi e un workflow con QR Code.

Per ogni account si possono registrare al massimo dieci Passkey. La sostituzione dei vecchi fattori e la logica di blocco sono trattate separatamente nella sezione seguente, poiché riguardano sia gli account TOTP sia quelli con Passkey.

Il supporto Passkey attualmente documentato comprende Windows 10 e 11, macOS 10.15.7 o versioni successive, Android 9 o versioni successive, iOS e iPadOS 16 o versioni successive. Sophos indica come versioni minime Chrome 118, Firefox 119, Safari 16 o versioni successive ed Edge 119. Tra i sistemi di archiviazione comuni figurano Windows Hello, Google Password Manager, iCloud Keychain e 1Password; tra le chiavi associate al dispositivo, YubiKey 5 e YubiKey NFC. Possono funzionare anche altre combinazioni, se i produttori del browser e del sistema operativo implementano i protocolli Passkey necessari.

Sophos stima che questa copertura includa circa il 98 per cento delle combinazioni browser/sistema operativo e dei Credential Manager comuni. È un’indicazione di diffusione, non una garanzia. Sistema operativo, browser, Credential Manager, policy di sincronizzazione e Recovery vanno testati nelle versioni realmente utilizzate.

I Passkey sincronizzati funzionano per il login Sophos, ma la sincronizzazione resta una funzione del Credential Manager. iCloud Keychain può, ad esempio, rendere disponibili i Passkey tra Mac, iPhone e iPad della stessa identità iCloud. In caso di errore di sincronizzazione è quindi competente il produttore del Credential Manager. Per i Cross-Device Passkey, Bluetooth deve essere attivo su computer e dispositivo mobile, i dispositivi devono essere vicini e deve essere disponibile uno scanner QR Code.

Microsoft Authenticator può utilizzare un Sophos Passkey solo nel contesto di un accesso federato tramite Entra ID. Senza questo percorso di accesso, durante la registrazione appaiono in genere Failed to add passkey o Microsoft Authenticator doesn’t support this passkey. L’uso di Microsoft Authenticator come app TOTP resta possibile indipendentemente da questa limitazione.

Con 1Password Business, policy di Team o Shared Vault possono bloccare la registrazione del Passkey. In tal caso 1Password appare nel dialogo di Enrollment, ma è disattivato. L’amministratore 1Password competente deve abilitare l’autorizzazione di Enrollment nelle Team Policies; eliminare ripetutamente il metodo MFA Sophos non risolve questa policy esterna.

Metodi MFA obsoleti e Account Lockout

SMS ed e-mail più PIN sono metodi MFA obsoleti. I nuovi utenti Sophos Fusion devono usare un’Authenticator App TOTP o un Passkey. Se viene reimpostata l’MFA di un utente esistente con SMS o e-mail più PIN, Sophos Fusion lo tratta come nuovo utente e richiede TOTP o Passkey.

Dopo cinque tentativi consecutivi errati, Sophos Fusion blocca l’account inizialmente per un minuto. Ulteriori errori con lo stesso account estendono progressivamente il blocco fino a un massimo di cinque ore. Dopo un Lockout non si devono quindi continuare tentativi automatici. Se non esiste un secondo metodo o un altro Super Admin, Sophos Support può sbloccare l’account dopo la verifica dell’identità.

Accesso federato tramite Identity Provider

Con un Identity Provider supportato, Sophos Fusion può delegare l’autenticazione all’identità aziendale centrale. Ciò semplifica Conditional Access, Lifecycle e blocco centralizzato. Sophos Fusion utilizza un flusso avviato dal Service Provider, abbreviato SP-initiated SSO: l’accesso inizia in Sophos Fusion e da lì viene reindirizzato all’IdP.

La configurazione segue una sequenza fissa. Prima si verifica il proprio Domain tramite un record DNS TXT. La propagazione DNS può richiedere fino a 24 ore. Una verifica riuscita resta valida per un anno e deve poi essere rinnovata. Successivamente l’Identity Provider viene associato al Domain verificato e solo alla fine si attiva l’opzione di accesso desiderata. Queste operazioni richiedono diritti Super Admin.

Sophos Fusion può consentire esclusivamente credenziali federate oppure anche indirizzo e-mail e password Sophos Fusion. Con Microsoft Entra ID, Sophos Fusion mostra entrambe le opzioni anche se è attivo Federated credentials only. Con altri Identity Provider, questa impostazione reindirizza invece direttamente all’IdP senza una schermata di scelta. Tale comportamento differente deve essere incluso nel test di Lockout.

La selezione si effettua in Global Settings > Access Control > Sign-in and Identity > Sophos sign-in e si applica in linea di principio a tutti i prodotti Sophos Fusion. Per singoli amministratori si possono definire Custom Sign-in Rules, ad esempio per mantenere durante la fase pilota un login Sophos controllato come percorso di fallback. Ogni utente può essere associato a un solo dominio verificato e a un solo Identity Provider.

Con Federated credentials only, gli utenti non possono reimpostare autonomamente la password Sophos. Se in seguito si torna al solo login Sophos, questi account potrebbero non disporre ancora di una password utilizzabile e devono eseguire Reset Password. Gli utenti del Self Service Portal con accesso esclusivamente federato non ricevono un invito separato a creare una password, ma accedono direttamente tramite l’IdP.

L’opzione Expand MFA Coverage estende la richiesta MFA agli utenti gestiti in altri portali Sophos, come Self Service Portal, Partner Portal o Support Portal. Dopo l’attivazione non può più essere disabilitata. Va quindi salvata a livello di tenant solo dopo un test pilota con gli utenti dei portali effettivamente interessati.

Prima dell’attivazione si chiariscono i punti seguenti:

• associazione univoca tra indirizzo e-mail e Sophos Fusion Login,
• MFA e regole di accesso presso l’IdP,
• comportamento per account guest e partner,
• almeno un accesso di emergenza testato,
• esclusione di un Lockout in caso di configurazione errata di dominio o IdP.

L’accesso federato non sincronizza automaticamente utenti Endpoint o gruppi di dispositivi. Sono funzioni separate.

Quando UPN e indirizzo e-mail sono diversi

Sophos Fusion identifica inizialmente l’account tramite l’indirizzo e-mail registrato. Se Microsoft Entra ID utilizza internamente un User Principal Name differente, l’app Entra necessita di una configurazione OpenID Connect adattata con il Claim opzionale email e le autorizzazioni Microsoft Graph appropriate. In Sophos Fusion, l’utente continua a inserire l’indirizzo e-mail associato e si autentica poi nella pagina Microsoft con l’UPN.

La configurazione standard è sufficiente quando indirizzo e-mail e UPN coincidono. Una configurazione differente deve essere testata prima con un account di prova, poiché un Claim mancante o errato impedisce l’associazione anche se l’autenticazione Entra riesce.

Gestire e attivare un Identity Provider

Solo un Super Admin può gestire un Identity Provider federato e deve prima essere verificato almeno un dominio appropriato. In Global Settings > Access Control > Sign-in and Identity > Federated identity providers, Add identity provider consente di creare Microsoft Entra ID, OpenID Connect o Microsoft AD FS. I provider parzialmente configurati possono essere salvati, ma attivati solo quando la configurazione è completa e valida.

Selezionare il provider completato e scegliere Turn on. Da quel momento può essere utilizzato per l’accesso federato. Dallo stesso punto è possibile modificarlo o eliminarlo. Prima di usare Federated credentials only, ogni amministratore e utente interessato deve essere assegnato a un dominio verificato e a un provider attivo; in caso contrario si verifica un Lockout. Il provider va quindi testato dapprima con singoli account e mantenendo un accesso di fallback.

Le guide operative sono disponibili in Configurare Microsoft Entra ID come Identity Provider, Configurare OpenID Connect e Okta per Sophos Fusion e Collegare Microsoft AD FS a Sophos Fusion.

I ruoli restano decisivi

MFA protegge l’identità, ma non limita i suoi diritti. Super Admin viene utilizzato soltanto per modifiche al tenant, ai ruoli, alle API e particolarmente estese. Help Desk, Read-only e Custom Roles riducono il possibile danno causato da un errore o da un account compromesso.

L’assegnazione di ruoli e autorizzazioni Sophos Central Endpoint descrive i diritti specifici del prodotto.

Dispositivo MFA perso e Lockout

Il processo di ripristino viene testato prima che sia necessario. Si utilizza anzitutto un secondo metodo registrato. Se non è più disponibile alcun metodo, prima del Reset si verifica l’identità tramite un canale di contatto noto e confermato in modo indipendente; una sola e-mail con la richiesta di Reset non è sufficiente. L’utente interessato viene informato tramite il canale concordato. Non si richiedono password, Passkey, codici QR o codici di sicurezza a chi chiama, né li si conserva nel ticket.

Per un account utente nel tenant Customer, la procedura di ripristino è la seguente:

1. Utilizzare il secondo metodo registrato.
2. Chiedere a un Super Admin del tenant di usare Reset MFA sull’oggetto utente.
3. Inserire al successivo accesso il codice di sicurezza inviato da Sophos tramite e-mail.
4. Registrare due nuovi metodi MFA e verificarne la disponibilità indipendente.
5. Se non è disponibile un altro Super Admin, contattare Sophos Support con dati account verificabili.

Per un’identità Partner, invece, si ricorre al Partner Super Admin e alla procedura Partner descritta più avanti. L’e-mail di verifica Customer non garantisce lo stesso comportamento nella finestra di ripristino Partner. Dopo il Reset Partner, l’utente segue le richieste di accesso e registrazione effettivamente visualizzate e ripristina almeno due metodi indipendenti. Se non è disponibile un altro Super Admin per l’account Partner, si contatta Sophos Support; ulteriori tentativi di accesso falliti non sostituiscono questo ripristino.

Dopo un ripristino si rimuovono i vecchi metodi, se ne registrano di nuovi e si controllano gli Audit Log per accessi o modifiche anomali.

Eliminare la voce Sophos direttamente nell’Authenticator App non rimuove il metodo da Sophos Fusion. Resta registrato, ma non produce più codici validi. Il metodo deve quindi essere rimosso anche in Sophos Fusion o reimpostato da un Super Admin. Se vengono eliminati tutti i metodi locali, restano soltanto un secondo metodo registrato, il Reset da parte di un altro Super Admin o il percorso verificato tramite Sophos Support.

Reimpostare MFA come Super Admin

Questa procedura si applica a un account utente nel tenant Customer, non alla pagina Partner Administer MFA.

Solo un Super Admin può reimpostare le registrazioni MFA di un altro utente. Il percorso è My Environment > Users & Groups > Users. Aprire il nome utente, scegliere Reset MFA e poi nuovamente Reset. Un messaggio di stato in fondo alla pagina conferma il ripristino.

Sophos Fusion invia automaticamente all’utente un’e-mail di verifica con un codice di sicurezza. Al successivo accesso, il codice deve essere inserito e MFA configurata nuovamente per intero. Consegna, identità della persona e registrazione riuscita vanno controllate: il solo Reset non ripristina ancora un accesso sicuro. Se il proprio account è bloccato e non esiste un altro Super Admin, resta soltanto il recupero verificato tramite Sophos Support.

Reimpostare MFA nell’account Partner

La pagina Administer MFA è visibile soltanto a un Partner Super Admin. È la procedura Partner per le identità gestite; a questo scopo non si utilizza il percorso Customer My Environment > Users & Groups > Users. Gli amministratori dell’account Partner possono essere verificati in Global Settings > Access Control > Admin & Roles > Admins.

1. Nel portale Partner, aprire l’icona Global Settings e, in Access Control, selezionare la pagina Administer MFA.
2. Inserire l’indirizzo e-mail completo dell’identità interessata. È possibile cercare soltanto indirizzi associati a un account Partner. Un indirizzo parziale non è sufficiente. Se non viene trovato alcun risultato, non compare né un avviso né un messaggio di errore; questo non conferma un Reset. In tal caso si verificano l’ortografia e l’associazione all’account, anziché reimpostare MFA di un altro utente.
3. Per il risultato che corrisponde senza ambiguità all’identità, andare alla colonna Action e fare clic su Reset MFA. Un’indicazione in fondo alla pagina conferma il Reset riuscito.
4. Chiedere all’utente di configurare nuovamente MFA. Verificare poi un accesso riuscito e almeno due metodi registrati disponibili in modo indipendente. Il solo successo del Reset non conferma ancora il ripristino di un accesso sicuro.

Un Passkey perso non viene ricostruito da un ticket né sostituito condividendo la chiave di un’altra persona. Il ripristino avviene tramite un proprio metodo ancora disponibile o un Reset autorizzato; le registrazioni vecchie o perse vengono poi controllate. Se la voce Sophos è stata eliminata soltanto localmente dall’Authenticator App, la registrazione rimane nel portale Partner anche se non fornisce più codici utilizzabili. Continua quindi a valere la distinzione spiegata sopra tra eliminazione locale e rimozione della registrazione nel portale.

Reimpostare MFA di un utente Customer dal portale Partner

Per un utente del tenant Customer gestito, Sophos documenta un punto di accesso distinto:

1. Aprire My Business > My Customers e selezionare Customers.
2. In Sophos Central Customers, selezionare il cliente corretto e scegliere Launch customer. L’account Customer si apre con la propria dashboard; prima del Reset si verifica l’associazione al cliente.
3. Aprire My Environment > Users & Groups, selezionare l’utente interessato e scegliere Reset MFA nel suo profilo.
4. Verificare il messaggio di conferma in basso a destra e completare il ripristino con l’utente, incluse la notifica e la nuova registrazione.

Questo punto di accesso Customer non è la ricerca per e-mail in Administer MFA. Chi passa dalla dashboard Partner a un tenant Customer tramite SSO Partner non può modificare le impostazioni MFA dei Super Admins di quel tenant. Se è interessato un Super Admin Customer, si coinvolge quindi un altro Super Admin autorizzato dello stesso tenant; se tale accesso non è disponibile, si contatta Sophos Support. Il passaggio al tenant Customer non elimina questa restrizione.

Controllo periodico

Almeno ogni trimestre si verificano amministratori, ruoli, credenziali API, metodi MFA e identità esterne. In caso di uscita o cambio di ruolo, l’accesso Sophos Fusion non viene soltanto disattivato, ma anche rimosso dai ruoli Admin e dai gruppi IdP pertinenti.

Domande frequenti