Microsoft Entra ID mit Sophos Fusion synchronisieren

Mit der Microsoft-Entra-ID-Synchronisierung übernimmt Sophos Fusion (ehemals Sophos Central) Benutzer und Gruppen aus dem eigenen Tenant. Diese Objekte stehen anschliessend den dafür vorgesehenen Fusion-Produkten und Richtlinienzuweisungen zur Verfügung. Geräte aus Entra ID sind standardmässig nicht enthalten. Sie lassen sich separat über Enable devices für die Synchronisierung auswählen; die Übernahme von Benutzern und Gruppen aktiviert diesen Gerätesync nicht automatisch.

Der Verzeichnissync ist nicht dasselbe wie Single Sign-on. Er stellt Benutzer und Gruppen in Sophos Fusion bereit, aktiviert aber keine Entra-Anmeldung am Sophos-Fusion-Portal. Die Administratoranmeldung und ihre Identity-Provider-Konfiguration werden unabhängig vom Verzeichnissync eingerichtet.

⚠️ Die Entra-Anwendung erhält mit Directory.Read.All weitreichenden Lesezugriff auf das Verzeichnis. Sie sollte deshalb ausschliesslich für diesen Sync verwendet werden. Das Client Secret gehört niemals in Tickets, Screenshots, Chats oder das Repository. Application ID und Tenant-Domain sind keine Kennwörter, werden in öffentlichen Bildern aber trotzdem anonymisiert.

Die vorhandenen Screenshots zeigen teilweise noch die frühere Bezeichnung Azure AD und eine ältere Portaloberfläche. Die Arbeitsschritte bleiben erkennbar; für Menünamen und Berechtigungen ist der aktuelle Text massgebend.

Voraussetzungen

Vor der Einrichtung sollten folgende Punkte geklärt sein:

• eine passende Sophos-Fusion-Administratorrolle
• Microsoft Entra ID und die Berechtigung, eine Single-Tenant-Anwendung zu registrieren
• eine Entra-Rolle, die den tenantweiten Admin Consent für Microsoft Graph erteilen darf
• die primäre Tenant-Domain unter Microsoft Entra ID > Custom domain names
• E-Mail-Adressen für die Benutzer, die Sophos Fusion übernehmen soll
• ein Owner sowie ein Termin für die spätere Erneuerung des Client Secrets

Benutzer derselben Domain dürfen nicht gleichzeitig über lokales Active Directory und Microsoft Entra ID synchronisiert werden. AD kann jedoch weiterhin Geräte und Gerätegruppen liefern, während Entra ID die Benutzer und Benutzergruppen derselben Domain bereitstellt. Für diese Aufteilung bleibt Enable devices in der Entra-Quelle ausgeschaltet. Die zusätzliche Entra-Geräteoption belegt nicht, dass sich dieselben Geräte gefahrlos aus beiden Quellen synchronisieren lassen. Office 365 GCC High wird für diesen Entra-ID-Sync nicht unterstützt.

Pro Domain lässt sich nur eine Entra-ID-Quelle anbinden. Benutzer und E-Mail-Adressen dürfen ausserdem nicht gleichzeitig in mehrere Sophos-Fusion-Konten synchronisiert werden.

Ein Sophos-Fusion-Konto unterstützt höchstens 25 Verzeichnisquellen; für mehr Quellen verweist Sophos auf Sophos Central Enterprise. Bei Testlizenzen ist zudem die Zahl der verfügbaren Verzeichnisobjekte begrenzt. Soll der Self Service Portal-Zugang für die E-Mail-Selbstverwaltung genutzt werden, wird User access vor dem Verzeichnissync konfiguriert, damit neue und bestehende Benutzer die vorgesehene Benachrichtigung und den Portalzugang erhalten.

Die optionale Geräteauswahl ändert nichts an der getrennten Einschränkung für Delegationsdetails von Benutzern, Gruppen oder Shared Mailboxes: Diese werden nicht synchronisiert. Shared-Mailbox-Objekte können übernommen werden, die zugeordneten Delegierten werden in Fusion jedoch nicht aus Entra rekonstruiert. Diese Grenze ist besonders vor einem Wechsel von lokalem AD zu Entra ID relevant.

Microsoft Entra ID mit Sophos Fusion verbinden

1. Verzeichnisquelle in Sophos Fusion vorbereiten

In Sophos Fusion das Symbol Global Settings öffnen und zu folgendem Bereich wechseln:

Platform > Directory service > Add Microsoft Entra ID

Einen eindeutigen Namen, eine kurze Beschreibung und die primäre Tenant-Domain eintragen. Nach Next erwartet Fusion die Daten der Entra-Anwendung, die in den folgenden Schritten erstellt werden.

2. Dedizierte Entra-Anwendung registrieren

Im Microsoft Entra Admin Center folgende Schritte ausführen:

1. Enterprise applications > New application öffnen.
2. Create your own application wählen.
3. Einen eindeutigen Namen wie Sophos Microsoft Entra ID Sync eintragen.
4. Register an application to integrate with Microsoft Entra ID wählen und die Anwendung erstellen.
5. Als Kontotyp Accounts in this organizational directory only (Single tenant) wählen.
6. Als Redirect URI den Typ Web und den Wert https://central.sophos.com eintragen.
7. Die Anwendung registrieren.

central.sophos.com bleibt hier als technisch erforderliche, Legacy-kompatible Redirect URI bestehen. Für die aktuelle Portalanmeldung wird Sophos Fusion verwendet.

Single Tenant begrenzt die Anwendung auf das eigene Verzeichnis. Die dedizierte App trennt den Verzeichnissync ausserdem von der Administratoranmeldung und anderen Integrationen, die zusätzliche Berechtigungen oder Redirect URIs benötigen.

3. Client ID und Client Secret erfassen

Unter Microsoft Entra ID > App registrations die neue Anwendung öffnen. Auf Overview die Application (client) ID notieren. Die Object ID ist nicht die gesuchte Client ID.

Danach unter Certificates & secrets > Client secrets > New client secret ein Secret mit einem betrieblich passenden Ablaufdatum erstellen. Direkt nach dem Erstellen werden zwei unterschiedliche Angaben angezeigt:

• Value: Dieser Wert wird in Sophos Fusion als Client Secret eingetragen.
• Secret ID: Diese Kennung wird dafür nicht verwendet.

Der Secret-Wert ist nur einmal sichtbar. Er wird sofort in einem freigegebenen Passwortmanager gespeichert; zusätzlich werden Owner und Ablaufdatum dokumentiert.

4. Microsoft Graph lesend freigeben

In der App-Registrierung API permissions > Add a permission > Microsoft Graph öffnen und exakt folgende Berechtigung hinzufügen:

Application permissions > Directory.Read.All

Danach Grant admin consent for [Tenant] ausführen. Der Status muss anschliessend Granted for [Tenant] anzeigen.

Directory.Read.All ist eine Application Permission, weil Sophos Fusion den Sync im Hintergrund ohne angemeldeten Entra-Benutzer ausführt. Zusätzliche Delegated Permissions wie openid, profile, User.Read.All oder Group.Read.All sind für diesen Verzeichnissync nicht nötig. Auch Directory.ReadWrite.All wird hier nicht vergeben: Der Sync benötigt Lesezugriff, keine Schreibrechte im Tenant.

5. Verbindung in Sophos Fusion speichern und testen

Zur vorbereiteten Verzeichnisquelle in Sophos Fusion zurückkehren und folgende Werte eintragen:

• Client ID: Application (client) ID der Entra-App
• Domain: primäre Domain aus Custom domain names, nicht die Tenant ID
• Client secret: zuvor gesicherter Value, nicht die Secret ID
• Client secret expiration: Ablaufdatum des Secrets

Anschliessend Test connection ausführen, die Einstellungen mit Save speichern und den Verbindungstest mit den gespeicherten Daten nochmals wiederholen. Erst zwei erfolgreiche Tests bestätigen, dass Fusion die hinterlegten Werte verwenden kann.

Benutzer auswählen und den ersten Sync prüfen

Filter bewusst wählen

Sophos Fusion kann alle Benutzer und Gruppen, ausgewählte Gruppen per Object ID oder Objekte anhand von Gruppen- beziehungsweise Benutzerfiltern übernehmen. Bei bereits vorhandenen Fusion-Benutzern ist All users and groups für den ersten Abgleich oft die sicherste Variante, weil Fusion so die grösste Menge möglicher Übereinstimmungen erhält. Bei einer komplexen Gruppenhierarchie kann dagegen eine vorab definierte Pilotmenge über Add users by group filter oder Add users by user filter sinnvoll sein. Zum Einrichten oder Ändern der Filter wird eine Admin-Rolle benötigt.

Ein Gruppen- oder Benutzerfilter darf höchstens zehn binäre Bedingungen und drei Ebenen verschachtelter UND-/ODER-Gruppen enthalten. Diese Grenzen werden vor komplexen Filtern eingeplant; die Filteransicht kann die Auswirkungen auf bereits vorhandene Fusion-Objekte nicht vollständig vorwegnehmen.

Für neu angelegte Entra-Quellen ist als neue Standardvorgabe angekündigt, Guest-Benutzer nicht zu synchronisieren. Bestehende Quellen behalten ihre bisherige Filterkonfiguration; daraus entsteht kein Anlass, einen funktionierenden Filter vorsorglich zu ändern. Vor einem neuen Sync wird ausdrücklich festgelegt, ob Gäste benötigt werden. Sollen sie enthalten sein, wird der angebotene Benutzerfilter mit User Type und dem tatsächlichen Entra-Wert für Gäste bewusst konfiguriert und gegen bekannte Gastkonten geprüft. All users and groups allein ist bei einer neuen Quelle kein verlässlicher Nachweis, dass Gäste enthalten sind. Die Vorgabe gehört zu einem gestaffelten Ausbau; entscheidend sind die gespeicherte Auswahl und das geprüfte Ergebnis im eigenen Tenant, nicht eine angenommene separate Gast-Schaltfläche.

Trifft ein Verzeichnisobjekt auf ein gleiches, bisher manuell verwaltetes Fusion-Objekt, kann der Sync dieses als Verzeichnisobjekt übernehmen. Vor dem ersten Lauf gehören deshalb erwartete Übereinstimmungen, Rollen und wichtige Richtlinienzuweisungen in die Change-Dokumentation. Ein späteres Purge der synchronisierten Daten ist nicht rückgängig zu machen und kann zugehörige Daten entfernen.

⚠️ Ein späterer Filterwechsel passt den synchronisierten Bestand an. Benutzer und Gruppen, die der neue Filter nicht mehr erfasst, werden beim nächsten Sync aus Sophos Fusion entfernt. Manuell verwaltete Objekte bleiben davon unberührt.

Die gewählte Variante und ihre Kriterien werden mit Save gesichert. Erst danach werden Zeitplan und produktiver Lauf eingerichtet.

Die Sophos-Dokumentation beschreibt die Vorschau derzeit nicht einheitlich, und die Funktion ist noch nicht in jedem Tenant verfügbar. Wenn der Tenant nach abgeschlossener Einrichtung Preview anbietet, wird die Quelle dafür ausgeschaltet. Die Vorschau zeigt den ausgewählten Datenbestand, aber nicht jede Folge für bereits vorhandene Fusion-Objekte. Sie gilt sieben Tage oder bis zum nächsten Sync; bei mehr als 20'000 Datensätzen steht das Ergebnis nur als JSON-Export zur Verfügung. Fehlt die Funktion, wird der erste Lauf mit einer klar definierten Pilotmenge und dokumentierter Soll-Liste durchgeführt.

Alle Benutzer und Gruppen synchronisieren

Für den breitesten Abgleich wird Global Settings > Platform > Directory service geöffnet und Microsoft Entra ID sync gewählt. Unter Select users and groups to include in the synchronization folgt All users and groups. Danach wird die Quelle mit Turn on aktiviert, mit Synchronize ausgeführt und das Ergebnis unter My Environment > Users & Groups gegen die Soll-Liste geprüft.

Diese Variante ist beim ersten Sync oft sinnvoll, wenn Fusion bereits Benutzer und Gruppen enthält, weil die grösste mögliche Quellmenge auch die meisten bestehenden Objekte matchen kann. Sie ist nicht automatisch für den Dauerbetrieb geeignet; Servicekonten und nicht benötigte Gruppen werden nach dem kontrollierten Erstabgleich über einen engeren Filter ausgeschlossen.

Gruppen über Object ID auswählen

Group Object ID übernimmt ausgewählte Gruppen samt ihrer Benutzer. Dafür wird jede Gruppe in Microsoft Entra geöffnet, ihre Object ID kopiert und in Fusion über Group Object ID > Add group zur Group ID list hinzugefügt. Mehrere Object IDs lassen sich gleichzeitig einfügen, durch Kommas getrennt oder jeweils auf einer eigenen Zeile. Fusion prüft jede ID beim Hinzufügen und warnt, wenn sie ungültig ist, zu keiner vorhandenen Gruppe gehört oder bereits in der Group ID list steht. Bei einer Warnung wird die betreffende ID mit der ausgewählten Entra-Gruppe abgeglichen und der fehlerhafte oder doppelte Eintrag korrigiert. Vor Turn on werden alle Einträge kontrolliert; eine nicht benötigte Gruppe lässt sich anhand ihrer ID aus der Liste entfernen.

Die maximale Anzahl Group IDs ist derzeit nicht eindeutig dokumentiert: Dieselbe Anleitung nennt an einer Stelle zehn und im Abschnitt Group Object ID fünfzehn. Daraus lässt sich kein bestätigtes Maximum ableiten. Vor einer Umstellung, die von dieser Grenze abhängt, muss die zulässige Anzahl für den eigenen Tenant anhand der Portalvalidierung oder mit Sophos geklärt werden. Eine im Portal akzeptierte Liste ersetzt dabei nicht die Prüfung des tatsächlichen Sync-Ergebnisses.

Der Wechsel auf Object IDs ersetzt zuvor konfigurierte Filter und kann damit den Fusion-Bestand verändern. Nach Synchronize werden unter My Environment > Users & Groups jede gewählte Gruppe, repräsentative Mitglieder und unerwartete Löschungen geprüft.

Benutzer über einen Gruppenfilter auswählen

Unter Select users and groups to include in the sync > Add users by group filter wird zuerst festgelegt, ob any oder all Bedingungen und Gruppen zutreffen müssen. Danach folgen primäre Bedingung, passender Operator und Vergleichswert. Die verfügbaren Operatoren hängen vom Attribut ab. Bei Last Dir Sync Time sind Equal, Not equal, Greater than or Equal, Less than or Equal, Greater than und Less than vorgesehen. Damit lässt sich gezielt zwischen einem exakten Zeitpunkt und Werten vor oder nach einem Stichtag unterscheiden.

Für Display Name, Mail und Mail Nickname stehen neben Equal, Not equal, Starts with und Ends with auch In und Not in zur Verfügung. Object ID unterstützt Equal, Not equal, In und Not in. Any proxy address bietet dagegen nur Gleichheit, Ungleichheit, Präfix- und Suffixvergleich; die booleschen Felder für Directory Sync und Security Enabled nur Gleichheit und Ungleichheit. Der Operator wird deshalb immer am gewählten Feld geprüft, nicht von einem anderen Filter übernommen.

Mit Add condition werden Treffer weiter eingeschränkt. Add group bildet eine verschachtelte Teilmenge innerhalb der bereits gefundenen Benutzer. Ein Filter kann so beispielsweise Benutzer kombinieren, deren letzter Directory Sync vor einem Stichtag lag, die eine Proxy-Adresse besitzen und deren Anzeigename mit Admin beginnt. Fusion erlaubt insgesamt höchstens zehn binäre Bedingungen und drei logische Verschachtelungsebenen.

Nach Turn on und Synchronize wird das Ergebnis unter My Environment > Users & Groups geprüft. Ein Beispiel mit einem historischen Datum wird nicht ungeprüft kopiert; entscheidend sind ein aktueller Stichtag und eine bekannte Sollmenge.

Benutzer über einen Benutzerfilter auswählen

Add users by user filter arbeitet direkt mit Benutzerattributen. Wieder wird zuerst any oder all gewählt, dann eine Primärbedingung, ihr zulässiger Operator und der Vergleichswert. Für Benutzer aus Deutschland kann die Bedingung beispielsweise Country is Germany lauten; bei Country sind auch Not equal, Starts with, Ends with, In und Not in vorgesehen.

In prüft ein Feld gegen mehrere Werte in einer Bedingung, Not in schliesst diese Werte aus. Beispielsweise kann Department In mit den im eigenen Tenant tatsächlich verwendeten Werten HR, Finance und Operations drei Abteilungen auswählen, ohne für jede eine eigene Bedingung anzulegen. Massgebend sind die gespeicherten Entra-Attributwerte, nicht übersetzte Anzeigenamen. Die Mehrfachwerte werden in der dafür angebotenen Eingabe erfasst; die Komma-/Zeilenumbruchsyntax für Group Object IDs wird nicht ungeprüft auf andere Filterfelder übertragen.

Diese Mehrfachwertoperatoren sind im Benutzerfilter für City, Country, Department, Display Name, Employee ID, Given Name, Immutable ID, Mail, Mail Nickname, State, Surname, Usage Location und User Principal Name vorgesehen. Object ID bietet Equal, Not equal, In und Not in, aber keine Präfix- oder Suffixsuche. Bei Other Mails und Any proxy address gibt es Gleichheit, Ungleichheit, Präfix- und Suffixvergleich, jedoch kein In oder Not in. Account Enabled, Creation Type, das boolesche Directory-Sync-Feld und User Type bieten nur Gleichheit und Ungleichheit; Any sign in name value und Any user identities issuer nur Gleichheit. Für Last Dir Sync Time gelten dieselben sechs Datumsoperatoren wie beim Gruppenfilter.

Weitere Add condition- und Add group-Blöcke verfeinern die Auswahl, etwa auf deutsche Benutzer mit einem Anzeigenamen beginnend mit Admin. Auch hier gelten zehn binäre Bedingungen und drei Verschachtelungsebenen. Der Filter wird erst mit Turn on produktiv, danach mit Synchronize ausgeführt und unter My Environment > Users & Groups gegen die erwarteten Benutzer und Gruppen validiert.

Entra-Geräte optional in den Sync aufnehmen

Entra-Geräte sind standardmässig von der Verzeichnissynchronisierung ausgeschlossen. Wer nur Benutzer und Gruppen benötigt oder Geräte weiterhin aus AD bezieht, lässt Enable devices ausgeschaltet. All users and groups ist keine Geräteauswahl.

Die Herstellertexte widersprechen sich hier weiterhin: Die Entra-Setup-Anleitung schliesst das Synchronisieren von Geräteänderungen pauschal aus, während die detaillierte Filteranleitung Enable devices ausdrücklich beschreibt. Diese dokumentierte Option ist deshalb keine Zusage sämtlicher aus AD bekannter Gerätefunktionen. Die Filteranleitung nennt Entra-Geräte, nicht Entra-Gerätegruppen; AD-Matching, OU-Strukturen sowie Policy- und Löschwirkungen lassen sich daraus nicht ableiten.

Vor dem Aktivieren wird festgehalten, welche Geräte aus welcher Quelle kommen sollen. Die Geräteoption ist eine Auswahl für den Verzeichnissync, keine Anleitung zum Installieren eines Sophos-Agents oder zum Registrieren eines Geräts in Entra ID. Aus der Auswahl allein lässt sich weder ein geschützter Endpoint noch eine erfolgreiche Richtlinienzuweisung ableiten. Die bestehende App-Einrichtung mit Directory.Read.All als Application permissions und Admin Consent bleibt erhalten; zusätzliche Berechtigungen werden nicht auf Verdacht vergeben.

Für eine bereits eingerichtete Quelle folgt die Änderung dem unten beschriebenen Ablauf mit Turn off, gespeicherter Konfiguration und anschliessender bewusster Aktivierung:

1. Global Settings > Platform > Directory service öffnen und das gewünschte Microsoft-Entra-ID-Verzeichnis auswählen.
2. Auf Microsoft Entra ID Config den Bereich Select devices to include in the synchronization aufklappen.
3. Enable devices einschalten.
4. All devices wählen, wenn alle Entra-Geräte synchronisiert werden sollen, oder Filter devices, wenn nur Geräte passend zu den festgelegten Filterkriterien übernommen werden sollen.
5. Die Auswahl mit Save sichern. Vor Turn on und dem nächsten Synchronize die gespeicherte Geräteauswahl nochmals öffnen und mit dem geplanten Umfang vergleichen.

Welche Geräteattribute bei Filter devices verfügbar sind, wo die übernommenen Geräte erscheinen, wie bestehende Objekte zugeordnet werden und welche Folgen ein späterer Ausschluss hat, ist für diesen Ablauf noch nicht ausreichend geklärt. Die Benutzer- und Gruppenoperatoren oben sind deshalb keine bestätigte Liste für Gerätefilter. Auch die beschriebenen Lösch- und Rücksetzfolgen für Benutzer und Gruppen dürfen nicht auf Geräte übertragen werden. Vor einem produktiven Gerätesync müssen diese Punkte anhand der eigenen Portaloberfläche und bei Bedarf mit Sophos geklärt sein; bis dahin bleibt die Geräteoption ausgeschaltet.

Nach einem freigegebenen Pilotlauf werden Quellenstatus und letzte Sync-Zeit sowie die vorab bestimmten Geräte gegen die Soll-Liste geprüft. Test connection bestätigt nur den Zugriff der Anwendung, nicht Gerätezuordnung, Schutzstatus oder Filterwirkung. Ein Abschalten von Enable devices wird nicht als Wiederherstellung bereits veränderter Geräteobjekte behandelt.

Zeitplan und ersten Lauf starten

Unter Synchronization schedule einen stündlichen, täglichen, wöchentlichen oder monatlichen Zeitplan wählen. Bei Hourly werden Intervall und lokale Startzeit festgelegt. Bietet der eigene Tenant die neue Auswahl bereits an, ist auch ein Takt von 30 Minuten möglich. Die Funktion ist noch nicht für alle Kunden verfügbar; bestehende Quellen behalten ihren Zeitplan unverändert. Fehlt die Auswahl, wird der bisherige Zeitplan weiterverwendet, statt die Quelle neu anzulegen. Bei Daily wird die lokale Uhrzeit gewählt, bei Weekly Wochentage und Uhrzeit. Monthly unterstützt bis zu zwei Monatstage; Add another day fügt den zweiten hinzu. None bedeutet, dass jeder Lauf manuell gestartet werden muss. Save übernimmt den Zeitplan.

Für den angekündigten Ausbau ist bei Aktivierung einer Quelle und bei jedem manuellen Synchronize ein Vollsync vorgesehen. Geplante Läufe können abhängig von Objektzahl und Zeitplan vollständig oder inkrementell sein; vorgesehen ist mindestens ein Vollsync innerhalb von 24 Stunden. Das beschreibt den Ankündigungsstand, nicht eine im eigenen Tenant gemessene Laufzeit oder garantierte Übernahmefrist. Vor einer höheren Frequenz werden Verzeichnisgrösse, Laufdauer und die Nutzung der tenantseitigen Microsoft Graph API geprüft. Der Herstellerhinweis auf mögliche Kostenfolgen ist keine Aussage, dass jeder zusätzliche Lauf separat berechnet wird.

Danach:

1. Turn on aktivieren.
2. Synchronize starten.
3. Unter My Environment > Users & Groups einen erwarteten Benutzer, eine erwartete Gruppe und deren Mitgliedschaft prüfen.
4. An der Verzeichnisquelle Status, letzte Sync-Zeit sowie importierte Benutzer- und Gruppenzahl kontrollieren.
5. Bei Warnungen zusätzlich Alerts und Reports > Logs > General Logs > Events öffnen.

Nach Turn on > Synchronize aktualisiert Fusion den Synchronisationsstatus. Die Links Users und Groups führen direkt zu den übernommenen Beständen, die zusätzlich unter My Environment > Users & Groups kontrolliert werden.

Ein erfolgreicher Verbindungstest beweist nur, dass Fusion die Entra-App verwenden kann. Erst der kontrollierte Benutzer- und Gruppenbestand bestätigt, dass Filter und Synchronisierung das gewünschte Ergebnis liefern.

Für Entra ID und Google Directory sind zusätzliche Cloud-Directory-Meldungen zu erfolgreichen Läufen, Warnungen, Fehlern, übergrossen Synchronisierungen und Deaktivierungen angekündigt. Soweit sie im Tenant verfügbar sind, werden sie unter Alerts zusammen mit Quellenstatus und Ereignissen unter Reports > Logs > General Logs > Events ausgewertet. Es wird weder eine bestimmte Alert-Typbezeichnung noch eine bereits flächendeckende Freischaltung vorausgesetzt. Fehlt eine solche Meldung, bleiben letzte Sync-Zeit und tatsächlicher Objektbestand die Kontrolle; fehlende Alerts beweisen keinen erfolgreichen Lauf.

Synchronisationsvorschau erzeugen

Eine Vorschau steht erst nach vollständig abgeschlossener Einrichtung zur Verfügung. Läuft die Quelle bereits, wird sie unter Global Settings > Platform > Directory service geöffnet und mit Turn off angehalten. Erst wenn der Statuswechsel abgeschlossen ist, erscheinen Preview und der Tab Preview.

Preview startet die Berechnung. Währenddessen zeigt Fusion ein Banner; nach dessen Verschwinden wird das Ergebnis im Tab Preview geprüft. Das Resultat bleibt sieben Tage oder bis zum nächsten produktiven Sync gültig. Es kann als JSON exportiert werden. Bei mehr als 20'000 Datensätzen zeigt Fusion keine vollständige Tabellenansicht mehr; dann ist der JSON-Export zwingend.

Die Vorschau beschreibt den ausgewählten Quellbestand, ersetzt aber nicht die Prüfung von Policy-, Mailbox- und Löschfolgen. Vor Turn on werden insbesondere nicht mehr erfasste Benutzer und Gruppen gegen den letzten produktiven Bestand verglichen.

Von lokalem Active Directory zu Entra ID wechseln

Bei einer Migration ersetzt Entra ID die AD-Quelle für Benutzer und Benutzergruppen einer Domain. Geräte und Gerätegruppen können für dieselbe Domain weiterhin aus AD kommen. Die folgenden beiden Abläufe behandeln diesen Benutzerwechsel bei ausgeschaltetem Enable devices in Entra ID; sie sind keine Anleitung zur Migration von AD-Geräten in den optionalen Entra-Gerätesync. Öffentliche E-Mail-Ordner lassen sich dagegen nur über AD verwalten; dafür muss AD auch Benutzer und Benutzergruppen derselben Domain synchronisieren. Diese Abhängigkeit wird vor der Umstellung geprüft.

Unmittelbar vor dem Wechsel wird AD und unmittelbar nach dem Hinzufügen der neuen Quelle Entra ID synchronisiert; danach werden die Objekte beider Quellen verglichen. Nicht übereinstimmende AD-Benutzer werden beim Wechsel aus Fusion entfernt; ihre zugehörigen Mailboxen können ebenfalls entfallen. Für bestehende Shared Mailboxes beendet Fusion die Aktualisierung aus AD und zeigt ihre delegierten Benutzer nicht mehr an. Der Abgleich umfasst deshalb Benutzer, Benutzergruppen, Shared Mailboxes, Geräte, Gerätegruppen und öffentliche Ordner, nicht nur die Anzahl der Benutzer.

Nur Entra ID für die Domain verwenden

1. Die AD-Quelle synchronisieren und Benutzer, Gruppen, Mailboxen sowie gegebenenfalls Geräte kontrollieren.
2. Unter Global Settings > Platform > Directory service die AD-Quelle öffnen und mit Turn off anhalten.
3. Add Microsoft Entra ID wählen, die Entra-Quelle wie oben beschrieben einrichten und synchronisieren.
4. In Fusion kontrollieren, welche Benutzer und Gruppen aktualisiert, neu angelegt oder entfernt wurden. Bestehende Geräte, Gerätegruppen und öffentliche Ordner bleiben zwar erhalten, werden ohne AD aber nicht mehr aktualisiert.
5. Active Directory Synchronization Setup erst deinstallieren, wenn der Entra-Bestand fachlich abgenommen ist und keine AD-Objekte mehr aktualisiert werden sollen.

Entra ID für Benutzer und AD für Geräte weiterverwenden

1. Die AD-Quelle synchronisieren und den aktuellen Stand prüfen.
2. Die AD-Filter so ändern, dass nur Geräte und Gerätegruppen synchronisiert werden; danach die AD-Quelle ausschalten.
3. Die Entra-Quelle hinzufügen, einschalten und Benutzer, Benutzergruppen sowie Shared Mailboxes prüfen.
4. Die AD-Quelle wieder einschalten, synchronisieren und Geräte sowie Gerätegruppen kontrollieren.

Nach dem Wechsel aktualisiert Entra ID übereinstimmende Benutzer und Gruppen und legt neue Objekte an. Nicht übereinstimmende AD-Benutzer werden gelöscht, nicht übereinstimmende AD-Gruppen dagegen behalten und nicht mehr aktualisiert. Shared Mailboxes aus AD bleiben mit dem letzten AD-Stand erhalten, verlieren aber die sichtbaren Zuordnungen zu Benutzern; neue Entra-Shared-Mailboxes erscheinen zusätzlich unter Users und Mailboxes. Diese unterschiedlichen Folgen sind der Grund für die getrennte Soll-Liste vor der Migration.

Client Secret vor Ablauf erneuern

Ein abgelaufenes Secret stoppt spätere Synchronisationen. Deshalb sollte die Rotation nicht erst am Ablaufdatum beginnen:

1. In der bestehenden App-Registrierung ein neues Client Secret erstellen und dessen Value sowie Ablaufdatum sicher erfassen.
2. Die Entra-ID-Quelle in Sophos Fusion mit Turn off anhalten.
3. Neuen Secret-Wert und neues Ablaufdatum eintragen.
4. Test connection, Save und nochmals Test connection ausführen.
5. Die Quelle mit Turn on aktivieren, einen Sync starten und Benutzer sowie Gruppen kontrollieren.
6. Erst nach erfolgreicher Prüfung das alte Secret in Entra ID entfernen.

Bis zum erneuten Einschalten lässt sich eine noch nicht aktivierte Konfigurationsänderung in Fusion mit Revert zurücknehmen. Nach Turn on wirkt die neue Konfiguration beim nächsten Lauf.

Quelle ändern, purgen oder löschen

Name, Beschreibung, Filter und Zeitplan werden nur bei ausgeschalteter Quelle geändert. Die neue Konfiguration wird erst mit Turn on wirksam und lässt sich danach nicht mehr über Revert auf den vorherigen Stand zurücksetzen. Vor jeder Filteränderung wird deshalb die bisherige Definition dokumentiert und eine Soll-Liste der erwarteten Benutzer und Gruppen erstellt.

Purge data entfernt die von dieser Quelle synchronisierten Daten unwiderruflich. Der Vorgang ist weder ein normaler Verbindungstest noch der erste Schritt bei einem abgelaufenen Secret. Vor dem Purge werden Rollen, Gerätezuordnungen, Mailboxen, Gruppen und Policy-Verknüpfungen geprüft. Soll danach auch die Quelle verschwinden, wird sie ausgeschaltet, gepurgt und erst anschliessend über Delete directory source gelöscht. Eine gelöschte Quelle und ihre Daten lassen sich nicht wiederherstellen.

Entra-Quellenkonfiguration ändern

Die Funktion kann je nach Tenant noch nicht verfügbar sein. Für eine Änderung wird Global Settings > Platform > Directory service geöffnet, der Quellenname gewählt und die Synchronisation mit Turn off angehalten. Danach lassen sich Name, Beschreibung, Azure-Konfiguration, Filter und Zeitplan bearbeiten.

Wurden Client ID, Domain oder Client Secret verändert, folgt Test connection. Save sichert die neue Konfiguration. Solange die Quelle noch ausgeschaltet ist, stellt Revert den Stand wieder her, der beim Ausschalten aktiv war. Mit Turn on wird die Änderung verbindlich; ab dann kann sie nicht mehr per Revert zurückgenommen werden und wirkt beim nächsten Sync. Dieser Lauf wird gegen Benutzer-, Gruppen- und Fehler-Sollwerte geprüft.

Synchronisierte Entra-Daten purgen

Zum Entfernen aller synchronisierten Daten wird die Entra-Quelle unter Global Settings > Platform > Directory service geöffnet und mit Turn off gestoppt. Danach folgen More > Purge data, die ausdrückliche Bestätigung der Unumkehrbarkeit und nochmals Purge data. Der Quellenstatus wird beobachtet, bis er den abgeschlossenen Purge ausweist.

Ein Purge löscht die aus dieser Quelle übernommenen Daten, nicht bloss einen Cache. Deshalb werden vorher betroffene Benutzer, Gruppen, Mailboxen, Rollen und Policy-Zuordnungen dokumentiert. Ohne diese Abnahme wird die Aktion abgebrochen.

Entra-Quelle vollständig löschen

Eine Quelle lässt sich erst nach dem Purge ihrer synchronisierten Daten entfernen. Unter Global Settings > Platform > Directory service wird die Quelle geöffnet, mit Turn off angehalten und über More > Delete gelöscht. Sind noch synchronisierte Daten vorhanden, fordert Fusion zuerst Purge now, die Bestätigung der Unumkehrbarkeit und Purge data.

Nach abgeschlossenem Purge folgen erneut Delete und Delete directory source. Sowohl Quelle als auch gelöschte Daten sind nicht wiederherstellbar. Die Entra-App und ihr Secret werden anschliessend separat geprüft und, falls sie ausschliesslich dieser Quelle dienten, nach dem dokumentierten Rückbau in Microsoft Entra entfernt.

Typische Fehler gezielt eingrenzen

Verification failed due to invalid client ID

Meist wurde die Object ID statt der Application (client) ID kopiert oder das Sign-in der zugehörigen Enterprise Application ist deaktiviert. Beide Punkte in Entra ID prüfen und danach den Verbindungstest wiederholen.

AADSTS7000215: Invalid client secret

Fusion benötigt den einmalig angezeigten Value des Secrets. Die ähnlich aussehende Secret ID funktioniert nicht. Ist der Wert nicht mehr verfügbar, wird ein neues Secret erstellt und kontrolliert eingetragen.

AADSTS7000222: Client secret expired

Das Secret ist abgelaufen. Einen neuen Wert erstellen, in Fusion zusammen mit dem neuen Ablaufdatum hinterlegen und den vollständigen Rotationsablauf durchführen.

Verbindung funktioniert, aber Benutzer oder Gruppen fehlen

Zuerst prüfen, ob die Quelle eingeschaltet, ein Sync ausgeführt und der erwartete Zeitplan aktiv ist. Danach Filter, E-Mail-Adresse des Benutzers, Gruppenmitgliedschaft und die primäre Domain kontrollieren. Unter den API Permissions muss Directory.Read.All als Application-Berechtigung mit erteiltem Admin Consent stehen.

Benutzer erscheinen doppelt

Sophos Fusion kann einen Entra-Benutzer und einen bereits durch ein Endpoint-Login entstandenen Benutzer nicht sicher zusammenführen, wenn UPN, E-Mail-Adresse und Login voneinander abweichen. Vor einer manuellen Bereinigung zuerst beide Identitäten, betroffene Geräte und Richtlinienzuweisungen dokumentieren.

Für die kontrollierte Zusammenführung wird beim geräteerstellten Benutzer unter Logins > Edit der Login entfernt und gespeichert. Danach wird derselbe Login dem synchronisierten Entra-Benutzer zugewiesen. Erst wenn Geräte, Health und Policies korrekt am Entra-Objekt erscheinen, wird der nun leere geräteerstellte Benutzer gelöscht. Besass er eine Adminrolle, wird diese zuerst entfernt und anschliessend bewusst dem Entra-Benutzer zugewiesen.

Eine automatische Verknüpfung funktioniert nur, wenn der vom Endpoint gemeldete Login dem Entra-UPN entspricht. Abweichende Trennzeichen, zusätzliche Subdomains oder ein anderer lokaler Login erzeugen getrennte Objekte. Vor einem breiten Rollout wird deshalb auf einem Pilotgerät geprüft, welchen UPN Sophos Fusion tatsächlich meldet.

Benutzer verschwinden nach einer Filteränderung

Das ist häufig kein Übertragungsfehler. Der neue Filter bestimmt den nächsten synchronisierten Bestand und kann zuvor importierte Objekte entfernen. Filter wieder ausschalten oder korrigieren, den erwarteten Umfang dokumentieren und erst danach erneut synchronisieren.

Nach jeder Filteränderung verlangt Fusion erneut Test connection. Erst danach kann die Konfiguration mit Save oder Save & Sync gespeichert werden. Die Meldung The connection must be verified before saving the configuration ist deshalb erwartetes Schutzverhalten und kein Authentisierungsfehler.

Häufige Fragen