Assegnare correttamente utenti e gruppi Sophos Central Endpoint
Un Windows Login, un utente Sophos Central e un computer protetto sono tre oggetti diversi. Sophos li associa, ma possiedono gruppi, Policies e regole Lifecycle propri. Molti presunti errori Policy nascono dalla confusione tra questi livelli.
Utente, Login e dispositivo
| Oggetto | Significato | Utilizzo tipico |
|---|---|---|
| Utente | persona in Sophos Central | User Policy, assegnazione licenza ed Event |
| Login | nome di accesso locale o di dominio rilevato | collega un accesso a un utente Central |
| Computer | Endpoint Agent gestito | Computer Policy, gruppo, Health e software |
Un utente può possedere più dispositivi. Su un computer condiviso possono comparire più utenti.
Come vengono creati gli utenti in Central
Gli utenti possono essere creati in quattro modi:
- automaticamente, quando una persona accede a un computer protetto,
- manualmente in My Environment > Users & Groups > Users,
- tramite importazione CSV,
- attraverso un Directory Service come Active Directory o Microsoft Entra ID.
Per un ambiente produttivo si definisce un’origine identità primaria. Un funzionamento misto è opportuno soltanto se è chiaro quale origine fornisce quali oggetti.
Login rilevati automaticamente
Sophos segnala gli utenti Windows possibilmente con il dominio, per esempio CORP\muster. Senza dominio, su più computer possono comparire voci come PC01\user e PC02\user.
Questi Login non vengono eliminati indiscriminatamente. Prima si verifica se appartengono alla stessa persona e quali Policies o Event vi sono collegati. Successivamente si può assegnare un Login a un utente esistente o ripulire un duplicato in modo controllato.
Sui Mac e con account Windows locali, la strategia di denominazione è particolarmente importante. In una nuova installazione macOS, --mcsPreferHostname fa segnalare a Sophos i nomi come domain\username invece di machine\username. L’opzione può essere impostata solo durante una nuova installazione.
Su un Mac già installato, verificare il rilevamento del dominio tramite Samba:
scutil
show State:/Network/Global/SMB
Solo se compare il dominio corretto va attivato il reporting per gli account gestiti dal dominio:
sudo defaults write /Library/Preferences/com.sophos.mcs SMEMcsPreferDomainName -bool true
sudo launchctl stop com.sophos.configuration
Gli account locali continuano a essere segnalati con il nome del computer. Se macOS non rileva un dominio, Sophos usa anch’esso il nome del computer. Validare la modifica con un nuovo login e il successivo controllo dell’assegnazione in Central.
Creare utenti manualmente o tramite CSV
Un utente manuale necessita di un nome univoco e, per inviti o Self Service, di un indirizzo e-mail valido. Un indirizzo può essere usato in un solo dashboard Sophos Central. Se un ruolo non può essere cambiato perché l’indirizzo è già registrato, liberarlo prima nell’altro Tenant. Se non è accessibile, Sophos Support necessita dei vecchi e nuovi dati di Tenant, licenza e indirizzo per la pulizia manuale.
Testare le importazioni CSV prima con pochi account. Il file non deve superare 2 MB e deve essere codificato UTF-8. Import grandi possono fermarsi dopo cinque minuti su un caricamento infinito senza errore utile. Usare pacchetti di massimo 1.000 utenti; se resta un Timeout, ridurre a 500 e riprovare fuori dalle ore di punta della Data Region.
Prima dell’importazione si controlla:
- gli indirizzi e-mail sono univoci,
- gli utenti Directory Sync esistenti non vengono duplicati,
- caratteri speciali e separatori sono corretti,
- il modello target di gruppi e Policies è preparato,
- disattivazione ed eliminazione sono regolamentate.
Dopo ogni pacchetto controllare la pagina dei risultati. Se l’interfaccia si blocca, aggiornarla e verificare l’inventario prima di importare di nuovo lo stesso pacchetto. Così non si generano duplicati senza accorgersene.
Gruppi utenti e Policies
I gruppi utenti vengono gestiti in My Environment > Users & Groups > Groups. Possono essere creati localmente o sincronizzati da un’origine directory.
Un gruppo utenti è utile quando una Policy deve seguire una persona su più dispositivi, per esempio Web Control per una funzione o DLP per un settore particolarmente sensibile.
Un gruppo computer è utile quando la protezione dipende dal dispositivo, per esempio su sistemi kiosk, laboratorio o produzione.
Se sono applicabili User e Computer Policies dello stesso tipo, decide l’ordine delle Policies. Il tipo di destinazione non ha una priorità automatica.
Directory Sync senza duplicati
Gli utenti dello stesso dominio non vengono sincronizzati contemporaneamente e senza controllo da AD locale e Entra ID. Sophos supporta determinati modelli combinati, per esempio AD per i dispositivi ed Entra ID per gli utenti. I limiti vengono verificati prima della migrazione.
Per Microsoft Entra ID vedere Sincronizzare Microsoft Entra ID con Sophos Central. La sincronizzazione della directory locale è descritta in Sincronizzare Active Directory con Sophos Central.
Verificare l’assegnazione Policy
Nell’oggetto utente, la scheda Policies mostra quali User Policies sono applicate. Nell’oggetto computer si verifica l’assegnazione effettiva del dispositivo.
In caso di impostazione inattesa, si controlla in questo ordine:
- Quale utente è attualmente connesso?
- A quale utente Central è assegnato il Login?
- In quali gruppi utenti e computer si trovano gli oggetti?
- Quale Policy attiva compare per prima nell’elenco?
- Quando ha sincronizzato l’Endpoint l’ultima volta?
Proteggere gli utenti e inviare l’installer
Central può inviare agli utenti selezionati un’e-mail di installazione personalizzata. Dopo l’installazione, il dispositivo viene associato automaticamente all’utente.
Il destinatario necessita di diritti di amministratore locale e accesso Internet. Questo metodo comodo è quindi adatto a singole installazioni controllate. Per un Rollout di massa sono più tracciabili Software Distribution, Group Path, Logging e Pilot.
Esportare e controllare l’inventario
Export to CSV esporta esattamente l’elenco utenti attualmente filtrato. È così possibile includere in users.csv, ad esempio, soltanto amministratori, utenti di una determinata origine o account non chiariti. Per una revisione periodica vengono documentati nome del filtro, ora dell’Export e scopo, affinché l’ambito rimanga comprensibile.
La scheda Events dell’utente riunisce le Detection su tutti i dispositivi associati. Un’azione Allow o Exclude proposta in questa scheda può tuttavia avere effetto globale. Prima di un’autorizzazione si passa quindi al computer, all’Event e ai dettagli Detection concreti e si applica il processo di eccezione sicuro.
Eliminare gli utenti
Un utente viene eliminato soltanto dopo aver verificato Login, dispositivi, Event, Policies e origine directory. Admin e Super Admin possono eliminare utenti normali; soltanto un Super Admin può eliminare un amministratore. Anche un Super Admin non può eliminare il proprio account. Per gli utenti sincronizzati, la modifica avviene normalmente nell’origine. Altrimenti l’oggetto può ricomparire al Sync successivo.
Eliminare un utente non disinstalla alcun Endpoint Agent. Analogamente, eliminare un computer non rimuove automaticamente l’Agent locale.
Errori tipici
La User Policy non viene applicata
Spesso al dispositivo è collegato un altro Login, la Policy è troppo in basso nell’elenco o il dispositivo non ha contattato Central dopo la modifica.
L’utente compare più volte
Normalmente più nomi di computer locali segnalano lo stesso nome breve oppure due origini directory forniscono identità simili. E-mail, Domain Login e Source ID vengono confrontati prima di unire o eliminare le voci.
L’utente eliminato ricompare
Un Directory Service o un nuovo accesso locale crea o sincronizza nuovamente l’oggetto. La modifica deve avvenire nell’origine reale.