Sophos Endpoint macOS CLI e autorizzazioni
Un rollout macOS automatizzato comprende due livelli separati: Sophos Installer registra e installa i componenti scelti. I profili MDM autorizzano poi le funzioni di sistema e Privacy protette da Apple. Un installer riuscito da solo non significa quindi protezione completa.
Per un rollout Jamf Pro vedere Distribuire Sophos Endpoint su macOS tramite MDM. Questo articolo si concentra sui parametri CLI e sulla verifica tecnica delle autorizzazioni.
Preparare l’installer
Su macOS Monterey 12.4 e successivi, l’archivio non deve essere estratto in Documents, Downloads o sul Desktop. Sophos raccomanda una directory nella Home dell’utente.
Dopo l’estrazione, l’installer eseguibile si trova nell’App Bundle. Help integrato e installazione unattended vengono avviati, per esempio, così:
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer --help
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer --install --quiet
L’installer è legato al tenant e viene trattato come artefatto Deployment riservato.
Impostare gruppo e Tag
Con --devicegroup un computer viene assegnato a un gruppo Central o sottogruppo:
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
--install --quiet \
--devicegroup "Workstations\Switzerland\Mac"
Gli spazi nel percorso del gruppo devono essere escaped correttamente per la Shell. Se il gruppo non esiste, l’installer può crearlo. Dopo il rollout si verifica comunque se la Policy prevista è realmente efficace.
I Tag possono essere indicati più volte:
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
--install --quiet \
--tag=Country:CH \
--tag=Department:Design \
--tag=VIP
I Tag aiutano nella ricerca e nell’operatività. Non sostituiscono un gruppo Policy finché le Policies non vengono assegnate in base ai Tag.
Prodotti e Agent Mode
--products accetta una selezione di prodotti separata da spazi. I valori documentati comprendono antivirus, intercept, mdr, xdr, deviceEncryption e all.
Una protezione completa con Anti-Virus e Intercept X appare, per esempio, così:
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
--install --quiet --products antivirus intercept
Se viene installato soltanto xdr, non si ottiene una protezione malware completa. Deve essere presente una protezione di terze parti compatibile. XDR only richiede sui Mac almeno macOS 13 Ventura.
I prodotti non licenziati non vengono installati. Dopo il rollout si verifica inoltre Agent Mode in Central.
Proxy e Message Relay
Per un Proxy esplicito sono disponibili queste opzioni:
--proxyaddress <URL>
--proxyport <port>
--proxyusername <user>
--proxypassword <password>
Un Message Relay viene indicato tramite IP e porta 8190:
--messagerelays 192.0.2.10:8190 192.0.2.11:8190
L’installer generato al Download conosce Update Cache e Message Relay esistenti in quel momento. Dopo modifiche a questa infrastruttura si usa un installer corrente o si indica espressamente il Relay tramite CLI.
Le password Proxy non devono restare in script leggibili, profili MDM o output. È preferibile una funzione Secret della piattaforma Deployment.
Sovrascrivere nomi computer e dominio
--computernameoverride e --domainnameoverride influenzano la visualizzazione in Sophos Central. Entrambe le opzioni sono previste per una nuova installazione.
--computernameoverride CH-ZRH-MAC-042
--domainnameoverride corp.example
Il nome computer viene passato all’installer senza ulteriori virgolette. Una modifica successiva può creare un secondo oggetto dispositivo. Gli override vengono quindi usati soltanto con un’origine dei nomi documentata.
--mcsPreferHostname segnala i nomi utente come domain\username invece di machine\username. Ciò può ridurre duplicati di utenti locali, ma deve corrispondere alla strategia delle identità.
Tenant e Registration Server
--customertoken <UUID> assegna l’installazione a un cliente Central. --mgmtserver <URL> imposta il MCS Registration Server. Entrambi i valori vengono normalmente acquisiti dall’installer legato al tenant e non inventati liberamente.
Con --bypasstaegisidcheck è possibile aggirare un Taegis Tenant ID Check divergente. Si tratta di un caso speciale mirato, non di un parametro standard per ogni rollout. Prima dell’uso si chiarisce perché i Tenant ID non coincidono.
Controllare i nomi tramite plist
In alternativa, nome computer, dominio e descrizione possono essere impostati nel file:
/Library/Preferences/com.sophos.mcs-overrides.plist
Gli override CLI hanno priorità sul file. I valori ammessi sono lunghi da 1 a 256 caratteri e non possono contenere, tra l’altro, interruzioni di riga o i caratteri <, >, &, ', " e /.
Se il file viene modificato dopo l’installazione, in Central può comparire un nuovo oggetto dispositivo, mentre il precedente resta presente. La modifica viene caricata con un riavvio o il seguente riavvio MCS:
sudo launchctl stop com.sophos.mcs
Autorizzazioni di sicurezza macOS
A seconda della versione e dei componenti installati, Sophos richiede in particolare:
- System Extension autorizzate,
- Network Extension e Content Filter autorizzati,
- Full Disk Access,
- autorizzazioni per le notifiche,
- autorizzazioni Web o Scan Extension.
I profili correnti vengono scaricati da Sophos Central prima dell’installer. I profili creati autonomamente vengono confrontati con la documentazione Sophos corrente, perché Team ID, Bundle ID e Payload possono cambiare insieme ai componenti.
Verificare le autorizzazioni
L’interfaccia Endpoint locale mostra i prerequisiti mancanti in About o nello Health Status. Sophos documenta inoltre una verifica Terminal e una verifica per Remote Deployment.
Per l’approvazione si confrontano tre livelli:
- MDM segnala tutti i profili come installati.
- L’Agent locale non segnala Security Permission mancanti.
- Central mostra correttamente Health, componenti e Last Active.
Se lo stato resta negativo, non si distribuiscono alla cieca nuovi profili. Prima si identifica quale concreta Extension o autorizzazione Privacy manca.
Le System Extension possono essere verificate nel Terminale:
systemextensionsctl list
Una voce Sophos funzionante mostra [activated enabled]. Stati come [activated waiting for user], [waiting for approval] o [blocked] confermano un problema di autorizzazione. Sono rilevanti in particolare Sophos Team ID 2H5GFH3774 e i Bundle ID com.sophos.endpoint.networkextension e com.sophos.endpoint.scanextension.
Se la finestra Allow non compare nonostante lo stato errato, usare prima Fix It in Endpoint Self Help > Prerequisites. La procedura Sophos documentata per generare nuovamente la richiesta tramite Finder, cestino, Put Back e riavvio è un passaggio di riparazione specifico per questo stato. Richiede Tamper Protection temporaneamente disattivato e non viene automatizzata come routine generale di autorizzazione.
Errori Update su macOS
Le autorizzazioni mancanti possono apparire come problema Update o Health. Da Sophos Endpoint for macOS 2024.4, Sophos Updater service health diventa rosso quando l’Updater non dispone di Full Disk Access. Questo può accadere prima che un Update fallisca realmente. Sui dispositivi senza MDM, l’autorizzazione viene concessa tramite Endpoint Self Help > Prerequisites > Allow Full Disk Access; cercare manualmente l’Updater nelle impostazioni macOS non funziona in modo affidabile.
In caso di errore si usano Event locali, Self Help e SDU. Si verificano inoltre stato dei profili MDM, ora di sistema, Proxy, Root Certificate e domini Sophos.