Sophos Fusion Enterprise Management aktivieren
Mit Enterprise Management wird ein Sophos-Fusion-Konto (früher Sophos Central) zum Ausgangspunkt einer übergeordneten Enterprise-Struktur. Zugehörige Fusion-Konten werden als Sub-Estates verknüpft. Die Aktivierung ist deshalb kein unverbindlicher UI-Schalter. Wer Rollen, Datenregionen und Tenant-Grenzen noch festlegt, beginnt besser mit Sophos Fusion Enterprise und Sub-Estates.
Voraussetzungen
Sophos setzt für die Aktivierung einen Sophos-Fusion-Tenant voraus, der kein Trial-Konto ist, sowie Super-Admin-Rechte im Ausgangstenant.
Für eine sichere Umstellung empfiehlt Avanet zusätzlich:
- mindestens zwei geplante Enterprise-Administratoren,
- dokumentierte Sub-Estates, Datenregionen und Verantwortlichkeiten,
- Entscheidung über individuelle oder spätere Master-Lizenzierung,
- getesteter lokaler Super Admin, der nicht für Enterprise umgewandelt wird.
Dediziertes Enterprise-Konto verwenden
Sophos erlaubt, das bestehende Sophos-Fusion-Admin-Konto für den ersten Enterprise Admin zu verwenden. Danach kann sich dieses Konto jedoch nicht mehr als normaler Admin im bisherigen Sophos Fusion Admin anmelden.
Für den Betrieb ist deshalb ein neues, eindeutiges Enterprise-Admin-Konto meist sicherer. Die E-Mail-Adresse darf noch keinem anderen Sophos-Fusion-Konto zugeordnet sein. Ein separates Konto vereinfacht Rollen, Audit und Notfallzugang.
Enterprise Management einschalten
Enterprise Management teilt eine grössere Organisation in getrennte Sub-Estates, beispielsweise pro Standort, und ermöglicht deren übergeordnete Sicherheitsverwaltung durch Enterprise-Administratoren. Nach der Aktivierung kann die Funktion nur in Sophos Fusion Enterprise durch einen Enterprise Super Admin wieder ausgeschaltet werden. Dieser Rückweg wird vor der Umstellung organisatorisch und technisch abgesichert.
- Profil-Symbol öffnen und Account preferences wählen.
- Unter Enterprise Management den Schalter aktivieren.
- Save und danach Continue wählen.
- Create a new account wählen oder mit Use my Sophos Fusion login credentials to create the first Sophos Fusion Enterprise admin das bestehende Konto verwenden.
- Eindeutige Kontodaten des ersten Enterprise Admin erfassen.
- Enable Enterprise Management and Save abschliessen.
- Bei einem neuen Konto den E-Mail-Setup-Link öffnen und das Kennwort setzen.
- Mit dem Enterprise-Konto separat anmelden und Sub-Estates prüfen.
Wenn für ein bestehendes Sophos-Fusion-Konto bereits föderierte Anmeldung verwendet wurde und genau dieses Konto umgewandelt wird, übernimmt Enterprise die entsprechenden Sign-in-Einstellungen. Auch deshalb muss der Anmeldeweg vorab in einer privaten Browser-Sitzung getestet werden.
Als unmittelbare Erfolgskontrolle zeigt Account preferences, dass Enterprise Management eingeschaltet ist und nennt den Enterprise Admin. Danach meldet man sich mit dessen Zugangsdaten über die normale Sophos-Fusion-Anmeldeseite an; die Anmeldung öffnet Sophos Fusion Enterprise.
Sub-Estate-Zugriff freigeben
Die Verknüpfung allein erlaubt noch nicht automatisch den Zugriff auf jede bestehende Sub-Estate. Ein lokaler Super Admin öffnet dort Profil > Account preferences, prüft, dass Enterprise Management eingeschaltet ist und die Daten des Enterprise Admin angezeigt werden, und aktiviert danach Enterprise Admin access.
Erst danach kann der Enterprise Admin die Sub-Estate öffnen und erhält dort weitreichende Rechte. Die Freigabe wird pro Sub-Estate mit Owner, Datum und Zweck dokumentiert.
Wichtig: Nach dem Opt-in kann der lokale Admin ihn nicht selbst wieder ausschalten. Nur ein Enterprise Super Admin kann die Sub-Estate auf Enterprise-Ebene trennen.
Abnahme
Nach der Aktivierung werden geprüft:
- Anmeldung mit zwei Enterprise-Administratoren,
- weiterhin funktionierender lokaler Super Admin jeder Sub-Estate,
- korrekte Liste und Namen aller Sub-Estates,
- Datenregion jeder Sub-Estate,
- Freigabestatus des Enterprise-Zugriffs,
- Alert- und Dashboard-Sicht,
- Audit-Einträge der Aktivierung und Freigaben,
- noch unveränderte lokale Lizenzen, sofern Master Licensing nicht separat aktiviert wurde.
Enterprise Management und Enterprise Master Licensing sind zwei verschiedene Schritte. Die Strukturaktivierung verschiebt nicht automatisch alle Lizenzen in einen gemeinsamen Pool.
Enterprise-Struktur wieder ausschalten
Das Trennen einer einzelnen Sub-Estate ist nicht dasselbe wie das Ausschalten der ganzen Enterprise-Struktur. Nur ein Enterprise Super Admin kann über das Profil-Symbol unter Account Preferences die Enterprise-Verwaltung deaktivieren. Vorher müssen alle Sub-Estates mindestens einen Administrator mit der Rolle Super Admin besitzen. Ausserdem darf Master Licensing weder aktiviert sein noch gerade umgestellt werden.
Sind diese Bedingungen erfüllt, Disable enterprise management wählen, die Hinweise unter Confirm disable prüfen, die Bestätigung aktivieren und mit Disable enterprise abschliessen.
Dabei werden alle Enterprise-Administratoren abgemeldet. Enterprise Super Admins, die Enterprise Management aktiviert hatten, erhalten für ihr Sophos-Fusion-Admin-Konto die Rolle Super Admin. Alle anderen Enterprise-Administratoren werden gelöscht und müssen bei Bedarf später im passenden Fusion-Admin-Konto neu angelegt werden. Deshalb werden lokale Super-Admin-Zugänge und die spätere Rollenverteilung vor dem Ausschalten geprüft und dokumentiert.
Typische Fehlerbilder
Bisheriger Admin kann den Tenant nicht mehr öffnen
Das Konto wurde als Enterprise Admin verwendet und ist nicht mehr für den normalen Fusion-Admin-Login verfügbar. Ein anderer lokaler Super Admin muss den Tenant verwalten.
Sub-Estate ist sichtbar, lässt sich aber nicht öffnen
Der lokale Super Admin hat Enterprise Admin access noch nicht freigegeben. Die Verknüpfung allein genügt nicht.
Enterprise Management lässt sich nicht aktivieren
Rolle, Trial-Status und Kontozuordnung prüfen. Die Funktion benötigt einen bezahlten Tenant und Super Admin.
Lokaler Admin kann den Zugriff nicht zurücknehmen
Das ist beabsichtigt. Nach der Freigabe kann nur ein Enterprise Super Admin die Sub-Estate entkoppeln.