Zum Inhalt springen
Avanet

OpenID Connect und Okta für Sophos Central SSO konfigurieren

Central Admin

Sophos Central kann einen OpenID-Connect-Provider für SP-initiiertes Single Sign-on verwenden. Die Anmeldung beginnt bei Sophos Central und wird von dort zum Identity Provider weitergeleitet. Ein vom IdP gestarteter Dashboard-Link allein ist daher kein gültiger Funktionstest.

Voraussetzungen

Benötigt werden ein Super Admin, eine in Central verifizierte Domain, ein getesteter Rückfall-Admin und ein OIDC-Provider, der die von Sophos erwarteten Authorization Requests akzeptiert. Alle betroffenen Central-Konten müssen einer Domain und genau einem Identity Provider zugeordnet sein.

Central benötigt vier Providerwerte:

FeldBedeutung
Client IDöffentliche Kennung der für Sophos Central erstellten OIDC-Anwendung
Issuerexakte Aussteller-URL, deren Wert mit dem iss-Claim des ID Tokens übereinstimmt
Authz endpointHTTPS-Endpunkt für die Authorization Request
JWKS URLHTTPS-Endpunkt mit den öffentlichen Signaturschlüsseln des Providers

Die Callback URL lautet exakt https://federation.sophos.com/login/callback. Sophos fordert dabei openid profile email, response_type=id_token und response_mode=form_post an. Der Provider muss einen ID Token liefern; Sophos fordert in diesem Ablauf keinen Authorization Code an.

Okta-App einrichten

In der Okta Admin Console wird unter Applications > Create App Integration eine Anwendung angelegt:

  1. OIDC – OpenID Connect und danach Single-Page Application auswählen.
  2. Einen eindeutigen Namen wie Sophos Central SSO vergeben.
  3. Unter Grant type den Core Grant Authorization Code abwählen.
  4. Unter Advanced > Other grants Implicit (hybrid) aktivieren.
  5. Als Sign-in redirect URI https://federation.sophos.com/login/callback eintragen.
  6. Vorhandene Sign-out redirect URIs entfernen.
  7. Die Zuweisung zunächst auf eine definierte Pilotgruppe beschränken. Sophos zeigt als einfaches Beispiel eine Freigabe an alle Organisationsbenutzer; für einen sicheren Rollout ist eine Pilotgruppe kontrollierbarer.
  8. Speichern und die Client ID notieren.

Den Issuer liefert die verwendete Okta Authorization Domain. Bei einer Custom Domain sieht das beispielsweise wie https://login.example.com aus. Daraus ergeben sich normalerweise:

Issuer:         https://login.example.com
Authz endpoint: https://login.example.com/oauth2/v1/authorize
JWKS URL:       https://login.example.com/oauth2/v1/keys

Die Werte werden nicht aus einem Beispiel kopiert, sondern gegen die Discovery- beziehungsweise Provider-Konfiguration des eigenen Okta-Tenants geprüft. Ein Issuer mit anderem Authorization Server kann abweichende Pfade enthalten.

Provider in Sophos Central anlegen

  1. Global Settings > Access Control > Sign-in and Identity > Federated identity providers öffnen.
  2. Add identity provider wählen und Name sowie Beschreibung erfassen.
  3. Type: OpenID Connect und den passenden Vendor, beispielsweise Okta, wählen.
  4. Client ID, Issuer, Authz Endpoint und JWKS URL exakt eintragen.
  5. Die verifizierte Domain auswählen. Mehrere Domains sind möglich, ein Benutzer bleibt aber genau einer Domain zugeordnet.
  6. IdP enforced MFA nur wählen, wenn der Provider MFA für alle betroffenen Identitäten garantiert. Andernfalls No IdP enforced MFA verwenden.
  7. Speichern, Provider erneut öffnen und nach vollständiger Konfiguration mit Turn on aktivieren.

Für Google Workspace nennt Sophos OIDC als möglichen Provider, liefert in der Central-Anleitung aber keinen vergleichbaren vollständigen Feldsatz. Deshalb werden die Werte aus der tatsächlich verwendeten Google- beziehungsweise Cloud-Identity-OIDC-Konfiguration übernommen und im Pilot validiert. Okta-Pfade werden nicht auf Google übertragen.

Sign-in-Modus und Pilot

Unter Sophos sign-in wird zuerst der parallele Modus mit Sophos-Kennwort und föderierten Zugangsdaten gewählt. Danach werden mindestens diese Fälle getestet:

  • gültiger Pilotbenutzer mit IdP-MFA,
  • Benutzer ohne App-Zuweisung,
  • falsche oder nicht verifizierte Domain,
  • abgelaufene IdP-Sitzung,
  • Sign-out und erneute SP-initiierte Anmeldung,
  • zweiter Super Admin über den Rückfallweg.

Erst nach erfolgreichem Pilot wird Federated credentials only erwogen. Eine IdP-App-Zuweisung an alle Benutzer ersetzt nicht die Kontrolle, ob jedes Central-Konto der richtigen Domain und dem Provider zugeordnet ist.

Troubleshooting

  • Invalid redirect oder Login-Schleife: Callback, Anwendungstyp und Implicit-ID-Token-Flow prüfen.
  • Unknown issuer: iss im ID Token muss exakt zum Central-Feld Issuer passen.
  • Signatur kann nicht geprüft werden: JWKS URL, HTTPS-Erreichbarkeit und aktuell publizierten Key kontrollieren.
  • Benutzer wird nicht gefunden: email-Claim, Central-E-Mail und Domainzuordnung vergleichen.
  • Provider lässt sich nicht einschalten: Pflichtfelder, Domain und URL-Format sind unvollständig oder ungültig.
  • MFA fehlt oder erscheint doppelt: IdP-Policy und Central-Auswahl IdP enforced MFA gemeinsam prüfen.

Sign-in Rules, Break-Glass-Zugang, MFA-Recovery und die Umschaltung des Tenant-Modus erklärt Sophos Central Anmeldung mit MFA, Passkeys und IdP absichern.

Häufige Fragen

Unterstützt Sophos Central den Authorization Code Flow?

Die aktuelle Sophos-Anleitung beschreibt für diesen OIDC-Ablauf einen Implicit Request mit response_type=id_token und ohne angeforderten Authorization Code. Die Provider-App muss genau zu diesem dokumentierten Verhalten passen.