Sophos Endpoint unter Windows automatisiert ausrollen

Dieser Artikel behandelt ausschliesslich den unbeaufsichtigten Rollout von SophosSetup.exe mit Softwareverteilung, RMM oder Skripten. Für eine einzelne interaktive Installation und für die detaillierte Fehlerbehebung dienen die verlinkten separaten Artikel.

RMM ist dabei ein generischer Ausführungsweg, keine von Sophos zertifizierte Produktintegration. Das eingesetzte Werkzeug muss den Installer im System- oder lokalen Administratorkontext starten, Paket und Wrapper gemeinsam bereitstellen, den echten Exitstatus übernehmen sowie Timeout und Wiederholungen kontrollierbar behandeln.

Geltungsbereich und Rollout-Vertrag

Vor dem ersten Lauf werden Zielgeräte, Wartungsfenster, erwartetes Produkt, Zielgruppe, Netzwerkweg und verantwortliche Person festgehalten. Der Ablauf beginnt mit wenigen repräsentativen Pilotgeräten und wird erst danach in begrenzten Wellen erweitert. Core-Agent-Release-Änderungen werden vor jeder Welle anhand von Sophos Endpoint Updates, Cache und Message Relay geprüft; eine veröffentlichte Version kann wegen der gestaffelten Freigabe noch nicht überall verfügbar sein.

Der Deployment-Job gilt nicht allein wegen eines Prozesscodes als erfolgreich. Er muss den echten Exitstatus zurückgeben, und das Gerät muss lokal sowie in Sophos Fusion (ehemals Sophos Central) den vereinbarten Zustand erreichen.

Installer und Voraussetzungen vorbereiten

Den Windows-Installer im richtigen Tenant unter My Environment > Installers mit Download Complete Windows Installer neu herunterladen. Trotz dieser Bezeichnung ist SophosSetup.exe ein schlanker Installer, der die für die Lizenz verfügbaren Funktionen nachlädt. Sophos erlaubt ausdrücklich, ihn auf andere Computer zu übertragen und mit Werkzeugen wie SCCM automatisiert auszuführen. Keinen benutzerspezifischen Installer aus dem Ablauf Email Deployment verwenden: Damit würden alle Geräte dem Sophos-Fusion-Konto des Absenders zugeordnet.

Der Installer ist tenantgebunden und vertraulich: Eine fremde Person erhält damit keinen Portalzugriff, kann aber Geräte im Tenant registrieren. Kopien nach dem Rollout löschen und den Installer nur über eine zugriffsgeschützte Verteilung bereitstellen. Nach einem Abfluss können unter My Environment > Installers mit Expire Previously Downloaded Installers alle früher heruntergeladenen Installer gesperrt werden; dieser Schritt lässt sich nicht rückgängig machen.

Vor dem Pilot müssen folgende Punkte erfüllt sein:

Die Windows-Version wird derzeit von Sophos Fusion unterstützt.
Der Deployment-Job muss im Kontext eines lokalen Administrators oder des Systemkontos ausgeführt werden.
Die benötigten Lizenzen sind vorhanden. Ein angefordertes, nicht lizenziertes Produkt wird nicht installiert.
Firewall oder Proxy erfüllen die Sophos Endpoint Netzwerk- und Proxy-Anforderungen, darunter ausgehend TCP 443 und DNS 53. Die dokumentierten Anforderungen vor jedem Rollout erneut prüfen und keine statische Kurzliste aus einem alten Deployment-Skript übernehmen.
Die Deinstallations- oder Koexistenzentscheidung für vorhandenen Konkurrenzschutz ist vorab getestet.
SophosSetup.exe und die Argumente werden lokal oder über die kontrollierte Softwareverteilung bereitgestellt. Das Paket gehört genau zu dem Tenant, in dem das Gerät erscheinen soll.

Pilotbefehl bauen

Dieser PowerShell-Aufruf installiert XDR unbeaufsichtigt, ordnet den Computer der Untergruppe Pilot unter Workstations zu, setzt zwei Tags und gibt den tatsächlichen Prozesscode an das Deployment-System zurück:

$ErrorActionPreference = 'Stop'
$agentPaths = @(
    if (${env:ProgramFiles(x86)}) {
        Join-Path ${env:ProgramFiles(x86)} 'Sophos\Management Communications System\Endpoint\McsClient.exe'
    }
    if ($env:ProgramFiles) {
        Join-Path $env:ProgramFiles 'Sophos\Management Communications System\Endpoint\McsClient.exe'
    }
)
$installedAgent = $agentPaths | Where-Object {
    Test-Path -LiteralPath $_ -PathType Leaf
} | Select-Object -First 1
if ($installedAgent) {
    Write-Output "Sophos agent already installed: $installedAgent"
    exit 0
}

$installer = Join-Path $PSScriptRoot 'SophosSetup.exe'
if (-not (Test-Path -LiteralPath $installer -PathType Leaf)) {
    throw "SophosSetup.exe must be staged beside this wrapper: $installer"
}
$arguments = @(
    '--quiet'
    '--products=xdr'
    '--devicegroup=Workstations\Pilot'
    '--tag=Rollout:wave-0'
    '--tag=ManagedBy:RMM'
)
$process = Start-Process -FilePath $installer -ArgumentList $arguments -Wait -PassThru
$exitCode = $process.ExitCode
Write-Output "SophosSetup.exe exit status: $exitCode"
exit $exitCode

Der Wrapper ist für Neuinstallationen gedacht. Findet er bereits McsClient.exe, endet er mit Code 0 und ändert weder Tenant-Zuordnung noch Produktumfang, Gruppe oder Tags. Bestehende Installationen werden deshalb separat in Sophos Fusion geprüft und bei Bedarf mit dem vorgesehenen Migrations- oder Verwaltungsablauf angepasst.

Rückwärtsschrägstriche bilden bei --devicegroup die Gruppenhierarchie. Bei Leerzeichen muss der gesamte Gruppenpfad in Anführungszeichen stehen, etwa --devicegroup="Application Servers\Terminal Servers". Eine noch nicht vorhandene Gruppe oder Untergruppe wird erstellt. Deshalb verwendet ein Pilot einen absichtlich gewählten Pfad und kontrolliert ihn danach in Sophos Fusion.

Tags verwenden --tag=<name>:<value>; ein reiner Name wie --tag=Pilot ist ebenfalls zulässig. Mehrere Tags werden als mehrere Argumente angegeben.

Bereitstellungsweg wählen

Unabhängig vom Werkzeug bleiben die Abnahmekriterien gleich: Der tenantgebundene Installer läuft im Computerkontext, der Prozesscode wird ausgewertet und der erwartete Zustand wird lokal sowie in Sophos Fusion geprüft. Beim AD- und beim hier beschriebenen Intune-Weg übernimmt der Wrapper zusätzlich die Erkennung einer vorhandenen Installation und gibt den Installer-Code unverändert zurück. Beim direkten MECM-Aufruf übernimmt eine Application die Wiederholungskontrolle über ihre Detection Method; bei einem Package müssen Zuweisung und Zeitplan unbeabsichtigte Neuinstallationen verhindern. Sophos dokumentiert Active-Directory-Startskripte sowie Microsoft Intune und MECM.

Active-Directory-Startskript

Den oben gezeigten PowerShell-Wrapper als Deploy-SophosEndpoint.ps1 speichern. Er kann als Startskript für Computer eingesetzt werden. Anders als ein Login-Skript läuft er vor der Benutzeranmeldung mit Computerrechten; bei einem Login-Skript müsste der angemeldete Benutzer lokaler Administrator sein. Wrapper und SophosSetup.exe liegen an einem zugriffsgeschützten Ort, den nur Administratoren ändern und die Ziel-Computerkonten lesen dürfen.

In Group Policy Management Console (gpmc.msc) wird die GPO zuerst mit einer Pilot-OU verknüpft. Der exakte Pfad lautet Computer Configuration > Policies > Windows Settings > Scripts (Startup/Shutdown) > Startup; für PowerShell wird dort der Tab PowerShell Scripts verwendet. Show Files… öffnen und sowohl Deploy-SophosEndpoint.ps1 als auch die tenantgebundene SophosSetup.exe in diesen Ordner kopieren. Beide müssen nebeneinander liegen, damit $PSScriptRoot den Installer findet. Danach über Add… > Browse die Datei Deploy-SophosEndpoint.ps1 auswählen. Unter Scope werden Links und Security Filtering kontrolliert; nur die Pilotcomputer oder eine dafür bestimmte Computergruppe erhalten Read und Apply Group Policy. Für den Pilottest gpupdate /force ausführen und den Computer neu starten.

Der von Sophos gezeigte Batch-Ansatz erkennt eine bestehende Installation über Sophos\Management Communications System\Endpoint\McsClient.exe: auf 64-Bit-Systemen unter %ProgramFiles(x86)%, auf x86 unter %ProgramFiles%. Der eigene Wrapper darf stattdessen eine intern validierte, mindestens ebenso eindeutige Erkennung nutzen. Vor der breiten Zuweisung prüfen, dass die Freigabe erreichbar ist, der Prozess im Computerkontext läuft, bei jedem Start keine Neuinstallation erfolgt und der Exitstatus protokolliert wird.

Microsoft Intune

Ein Konto mit Berechtigung zur Intune-Verwaltung verwenden. Eigene Quell-, Ausgabe- und Toolordner anlegen; die dokumentierten Beispiele nutzen C:\Temp\IntunePackageSource, C:\Temp\IntunePackageOutput und C:\Temp\Intune-Win32-App-Packaging-Tool-master. SophosSetup.exe und den freigegebenen Wrapper in den Quellordner legen und Microsofts IntuneWinAppUtil.exe starten. Quellordner, SophosSetup.exe als Setup-Datei und Ausgabeordner angeben und Catalog folder: N beantworten. Die erfolgreiche Erstellung meldet INFO File 'C:\Temp\IntunePackageOutput\SophosSetup.intunewin' has been generated successfully.

Im Microsoft Intune admin center unter Apps > All Apps > Add den App-Typ Windows app (Win32) wählen und SophosSetup.intunewin über Select app package file hochladen. In Program verwendet der veröffentlichte Grundablauf SophosSetup.exe --quiet; für diesen Rollout Install command exakt auf powershell.exe -NoProfile -NonInteractive -ExecutionPolicy Bypass -File ".\Deploy-SophosEndpoint.ps1" setzen. Das Paket muss Deploy-SophosEndpoint.ps1 und SophosSetup.exe nebeneinander enthalten, damit der Wrapper die Pilotargumente liefert und $PSScriptRoot korrekt auflöst. Für den im verlinkten Deinstallationsleitfaden beschriebenen aktuellen Windows- und Core-Agent-Scope Uninstall command exakt auf "C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet setzen (Aufruf SophosUninstall.exe --quiet). Nur auf Legacy-Plattformen stattdessen "C:\Program Files\Sophos\Sophos Endpoint Agent\uninstallcli.exe" --quiet (Aufruf uninstallcli.exe --quiet) verwenden; Voraussetzungen, geschützte Produkte und Neustartbehandlung folgen diesem Leitfaden. Die Standardzuordnungen unter Return code und Code type bleiben unverändert, sofern der getestete Deployment-Vertrag keine andere Behandlung verlangt. Unter Requirements werden Zielarchitektur und Minimum OS passend zur eigenen Flotte gewählt.

Als dokumentierte Mindest-Erkennung dient unter Detection rules die manuell konfigurierte Dateiregel Rule type: File, Path: %ProgramFiles%\Sophos\Sophos UI, File or folder: Sophos UI.exe, Detection method: File or folder exists. Diese Regel zuerst auf den eigenen Produktmix prüfen; sie verhindert Wiederholungen, beweist aber weder die Registrierung in Sophos Fusion noch korrekte Produkte und Gruppe. Dependencies und Supersedence bleiben ohne bewusst geplante Abhängigkeit unverändert. In Assignments > Required zunächst nur die Pilotgruppe hinzufügen und nach Review + create die automatische Installation auf eingeschriebenen Geräten beobachten. Windows Autopilot ist der von Sophos empfohlene Einschreibungsweg, keine Voraussetzung für die Paketlogik.

Microsoft Endpoint Configuration Manager (MECM)

MECM bietet Packages als einfacheren Legacy-Weg und Applications mit Erkennung, Abhängigkeiten, Anforderungen und Versionierung. Für ein Package führt der Pfad über Software Library > Application Management > Packages > Create Package. This package contains source files verweist auf die geschützte SophosSetup.exe-Quelle; als Standard program wird SophosSetup.exe --quiet mit Program can run: Whether or not a user is logged on, Run mode: Run with administrative rights und Drive mode: Runs with UNC name angelegt. Bei Deploy werden Pilot-Device Collection, Distribution Point, Purpose: Required, Zeitplan und User Experience bewusst gewählt.

Für eine Application führt derselbe Bereich über Applications > Create Application > Manually specify the application information. Der Deployment Type verwendet den UNC-Quellpfad und setzt Installation program exakt auf SophosSetup.exe --quiet; dieser direkte MECM-Befehl unterscheidet sich vom wrappergestützten Intune-Befehl oben und enthält Produkt-, Gruppen- oder Tag-Argumente aus dem Pilotbeispiel nicht automatisch. Solche Optionen werden bewusst in den direkten Befehl oder einen für MECM geprüften Wrapper übernommen. Sophos dokumentiert drei mit And verknüpfte Dateiklauseln: C:\Program Files\Sophos\Endpoint Defense\SEDService.exe ohne 32-Bit-Zuordnung sowie C:\Program Files\Sophos\AutoUpdate\SophosUpdate.exe und C:\Program Files\Sophos\Management Communications System\Endpoint\McsClient.exe jeweils als 32-Bit-Anwendung auf 64-Bit-Systemen; jede Datei muss vorhanden sein. Unter User Experience gelten Installation behavior: Install for system, Logon requirement: Whether or not a user is logged on, Installation program visibility: Normal und keine Benutzerinteraktion. Als geschätzte Installationsdauer werden zehn Minuten eingetragen. Die Application wird erst danach wie das Package an eine Pilot-Collection und einen Distribution Point mit Purpose: Required verteilt.

Bei allen Wegen wird das Paket nach einer Installer-Erneuerung kontrolliert ersetzt. Alte Kopien, Startskript-Verweise und Zuweisungen werden erst entfernt, wenn die neue Pilotwelle abgenommen ist. Die Optionen in den folgenden Abschnitten können je nach Bereitstellungsweg in den direkten Installationsbefehl oder in einen Wrapper übernommen werden; die direkten MECM-Befehle enthalten die Pilotparameter nicht automatisch.

Optionen bewusst wählen

Die aktuelle Windows-CLI-Dokumentation führt unter anderem folgende unterstützte Optionen auf:

--quiet, --noproxydetection, --nocompetitorremoval und --language=<ID> steuern Oberfläche, Proxy-Erkennung, Konkurrenzprodukt-Entfernung und Installer-Sprache.
--products=<liste> akzeptiert endpoint, xdr, xdrsensor, deviceEncryption, ztna, all und none; mehrere Werte werden durch Kommas getrennt.
--devicegroup, --tag, --computernameoverride und --domainnameoverride steuern Ablage und angezeigte Identität. Overrides nur mit einer eindeutigen Namensstrategie verwenden.
--crtcatalogpath=<pfad> verweist auf einen eigenen Katalog der zu entfernenden Konkurrenzprodukte.
--customertoken=<UUID> und --epinstallerserver=<URL> sind nur einzusetzen, wenn der konkrete automatisierte beziehungsweise Partner-Ablauf diese von Sophos gelieferten Werte verlangt.
--registeronly registriert bereits installierten Sophos-Schutz in einem anderen Konto. Vorher muss Tamper Protection auf dem Gerät deaktiviert sein; der Installer muss aus dem Zielkonto stammen.
--goldimage, --notificationmode, --goldimagetimeout=<sekunden> und --nonpersistent gehören in einen separat validierten VDI-Gold-Image-Ablauf mit den von Sophos genannten Mindestversionen, nicht in einen normalen Arbeitsplatz-Rollout.

--bypassacscheck gilt laut Sophos nur für Windows 10 x86 Legacy-Plattformen. --bypasstaegisidcheck umgeht eine Taegis-Tenant-ID-Prüfung. Solche Bypass-Optionen werden nicht vorsorglich in ein Standardpaket aufgenommen.

Konkurrenzschutz und Produktwahl

endpoint installiert Anti-Malware-Schutz ohne XDR. xdr enthält XDR und den vollständigen Schutz von endpoint. xdrsensor installiert XDR-Funktionen, aber keinen Anti-Malware-Schutz; das Gerät benötigt dann Schutz eines Drittanbieters. none installiert nur die Core Agents und kann für eine schrittweise Kompatibilitätsprüfung vorgesehen werden. all installiert alle lizenzierten Produkte und ignoriert nicht lizenzierte.

Bei der Installation von Sophos Anti-Virus versucht der Installer standardmässig, erkannte Konkurrenzprodukte zu entfernen. --nocompetitorremoval unterbindet diesen Versuch. Die Option ist keine allgemeine Koexistenzzusage. Vor endpoint oder xdr werden Erkennung, Deinstallation, Neustartbedarf und Rückfallplan mit dem konkreten Drittprodukt getestet. xdrsensor wird nur gewählt, wenn der verbleibende Drittanbieterschutz ausdrücklich verantwortlich ist.

Proxy, Message Relay und lokale Quelle

Ein Proxy kann nur für die Installation mit --proxyaddress=<host>:<port> oder --pacurl=<URL> vorgegeben werden. Bei authentifizierten Proxys unterstützen Windows-Endpoints laut Sophos nur Digest Authentication; Anmeldedaten werden mit --proxyusername und --proxypassword übergeben. --noproxydetection schaltet die automatische Proxy-Erkennung aus.

Message Relays werden kommasepariert als host:port angegeben. Der dokumentierte Standardport ist 8190:

SophosSetup.exe --quiet --products=endpoint `
  --messagerelays=relay01.example.net:8190,10.20.30.40:8190

Für Update Caches gibt es keine CLI-Zuweisung. Der Installer bewertet automatisch die Erreichbarkeit der im Sophos-Fusion-Konto konfigurierten Caches.

--localinstallsource=<pfad> reduziert Downloads, ersetzt aber den Internetzugang nicht: Einige Dateien werden weiterhin heruntergeladen. Am angegebenen Ort muss ein Ordner SophosLocalInstallSource existieren. Ein leerer Ordner wird bei der ersten Installation befüllt; zum Vorbefüllen nennt Sophos Inhalte aus %ProgramData%\Sophos\AutoUpdate\data\repo oder %ProgramData%\Sophos\UpdateCache\www\v3.

Secrets, Exitstatus und Protokolle

Installer, Customer Token und Proxy-Kennwort gehören nicht in öffentliche Shares, Quellcode, Kommandoausgaben oder Tickets. Wo möglich, liefert der Secret Store der Deployment-Plattform Werte erst zur Laufzeit. Da Befehlszeilen für lokale Administratoren und Inventarisierungswerkzeuge sichtbar sein können, ist ein authentifizierter Proxy ohne eigens dafür begrenzte Zugangsdaten ein Risiko.

Das Deployment-Werkzeug erfasst Startzeit, Ziel, freigegebene Argumente und den unveränderten Prozess-Exitstatus wie im Beispiel. Die offizielle CLI-Seite veröffentlicht keine stabile Zuordnung numerischer Exitcodes; deshalb wird keine Tabelle erfunden. Ein Code ist ein technisches Signal, aber die Prüfungen in Sophos Fusion und auf dem Gerät bleiben für die Abnahme verbindlich.

Die Installer-Logs liegen unter C:\ProgramData\Sophos\CloudInstaller\Logs\ und tragen das zeitgestempelte Muster SophosCloudInstaller_<date>_<time>.log. Für die Diagnose wird die Datei des betroffenen Installationsversuchs verwendet. --traillogging protokolliert Nachrichteninhalte zwischen Gerät und Sophos Fusion. Diesen Modus nur nach Vorgabe von Sophos Support einsetzen; Support muss auch den expliziten Abschaltweg aus dem aktuellen MCS-Diagnoseverfahren vorgeben und dessen Wirkung verifizieren. Logs vor einer Weitergabe auf Secrets prüfen.

Pilot abnehmen und Wellen freigeben

Auf jedem Pilotgerät wird geprüft, ob der erwartete Sophos-Schutz aktiv ist, keine unerwartete Drittanbieter-Schutzlücke besteht und ein nötiger Neustart erledigt ist. Nach der Agent-Installation wird in Sophos Fusion unter My Environment > Computers & Servers bestätigt, dass das Gerät mit dem erwarteten Integritätsstatus, den installierten Produkten, dem Wert für die letzte Aktivität und der Gruppe erscheint. Weitere Angaben stehen auf der Detailseite des Computers.

Erst nach einem vereinbarten Beobachtungsfenster folgt eine kleine repräsentative Welle, danach grössere Wellen. Pro Welle werden Installationsquote, Registrierung in Sophos Fusion, Health, Neustarts und Konflikte verglichen. Unterschiedliche Standorte, Proxywege, Windows-Versionen und Drittprodukte gehören in den Pilot, bevor sie breit ausgerollt werden.

Stoppen, zurückrollen und eskalieren

Die nächste Welle wird gestoppt, wenn Geräte nicht in Sophos Fusion erscheinen, der Schutz nicht aktiv wird, der Fehleranteil den vereinbarten Grenzwert überschreitet oder Netzwerk-, Neustart- beziehungsweise Konkurrenzproduktprobleme gehäuft auftreten. Zuerst Zielzuweisung und automatische Wiederholungen des Deployment-Jobs anhalten; fehlgeschlagene Geräte nicht in einer Endlosschleife erneut installieren.

Ein Rollback des Jobs stellt einen vom Installer entfernten Konkurrenzschutz nicht automatisch wieder her. Falls die Abnahme scheitert, werden betroffene Geräte isoliert behandelt: je nach vorher genehmigtem Plan Sophos korrekt deinstallieren, das frühere Produkt wiederherstellen oder den funktionierenden Sophos-Zustand beibehalten. Geräteobjekte in Sophos Fusion, Tamper Protection und Installer-Gültigkeit werden nicht blind verändert. Die vollständige Sophos-Entfernung ist im separaten Deinstallationsartikel beschrieben.

Zur Eskalation werden Tenant/Region, Zeitpunkt, Gerät, Windows-Version, verwendete freigegebene Argumente, unveränderter Exitstatus, Welle und die passende Datei SophosCloudInstaller_<date>_<time>.log gesammelt. Secrets werden entfernt. Bei nicht erklärbaren oder reproduzierbaren Installationsfehlern geht dieses Paket an Sophos Support; für Release-Abweichungen wird zusätzlich die tatsächlich angebotene Core-Agent-Version notiert.