Microsoft Entra ID SSO für Sophos Firewall WebAdmin einrichten

Für Microsoft Entra ID SSO am WebAdmin braucht es vier zusammenpassende Einstellungen: eine Entra-Gruppe oder App-Rolle, ein lokales Device-Access-Profil, die exakte Web admin console URL als Redirect URI und den Entra-Server unter Administrator authentication methods. Erst diese Kette macht aus einem erfolgreich angemeldeten Entra-Benutzer einen Firewall-Administrator mit den vorgesehenen Rechten.

Wenn die Umgebung statt OAuth bereits eine zentrale Device-Administration über TACACS+ verwendet, passt der getrennte Ablauf TACACS+ für Sophos Firewall Administratoren. Anders als Entra Role Mapping erzeugt TACACS+ dabei keine automatische lokale Profilzuweisung.

⚠️ Vor der Aktivierung: Eine bestehende lokale Admin-Sitzung offen lassen, den lokalen admin aus dem Managementnetz testen und den Konsolen- beziehungsweise Device-Console-Zugang kennen. SSO und Entra-MFA sind kein Grund, WebAdmin breit aus der WAN-Zone freizugeben. Wenn Pilotlogin, Rechte oder lokaler Rückweg nicht funktionieren, wird Entra noch nicht produktiv priorisiert.

WebAdmin SSO in acht Schritten

WebAdmin-FQDN, DNS, Zertifikat, Systemzeit und enge Erreichbarkeit aus dem Managementnetz prüfen.
Unter Profiles > Device access die benötigten Administratorprofile vorbereiten.
In Microsoft Entra ID eine eigene Single-Tenant-App mit Pilotadministrator, App-Rolle oder Security-Gruppe und überwachtem Client Secret anlegen.
Unter Authentication > Servers einen Server vom Typ Microsoft Entra ID SSO anlegen oder den vorhandenen Server erweitern.
User type auf Administrator setzen und die Entra-Rollen oder -Gruppen in der richtigen Reihenfolge auf die lokalen Profile mappen.
Die von der Firewall angezeigte Web admin console URL exakt als Redirect URI der Entra-App eintragen und Test connection erfolgreich ausführen.
Den Entra-Server unter Authentication > Services > Administrator authentication methods aktivieren, nach oben verschieben und Apply wählen.
In einem privaten Browserfenster einen Pilotadmin, einen nicht gemappten Benutzer, die tatsächlichen Berechtigungen und den lokalen Fallback separat testen.

Die Funktion gibt es seit SFOS 19.5 GA Build 197. Der hier beschriebene Ablauf und die Einschränkungen entsprechen SFOS 22.

Was die einzelnen Ebenen steuern

WebAdmin SSO verbindet mehrere Kontrollen, die leicht verwechselt werden:

Device Access und Local Service ACL bestimmen, aus welchen Netzen die WebAdmin-Konsole erreichbar ist.
Microsoft Entra ID authentifiziert den Benutzer und liefert Rollen- oder Gruppeninformationen im Token.
Role mapping auf der Firewall ordnet den ersten passenden Token-Wert einem lokalen Administratorprofil zu.
Device-Access-Profil bestimmt, welche Menüs der Administrator nicht, lesend oder schreibend verwenden darf.
Administrator authentication methods aktiviert den Entra-Server für den WebAdmin-Login.

Eine normale Firewall-Regel schaltet WebAdmin nicht frei. Umgekehrt gibt eine erreichbare Loginseite noch keine Administratorrechte. Die sichere Netzfreigabe erklärt Device Access und Local Service ACL auf Sophos Firewall.

Fehlt ein passendes Role mapping, kann die Anmeldung bei Entra ID erfolgreich sein. SFOS legt das Konto dann aber nur als normalen Benutzer an und verweigert den WebAdmin-Zugang. Das ist kein Browserfehler, sondern eine fehlende Zuordnung administrativer Rechte.

Entra-Gruppen oder App-Rollen

SFOS unterstützt beide Varianten:

Security-Gruppen sind einfach, wenn die Organisation Berechtigungen bereits über klar benannte Gruppen verwaltet. Im Mapping muss der Gruppenname exakt stimmen.
App-Rollen gelten gezielt für die Firewall-Anwendung. Im Mapping wird der exakte Value der Rolle verwendet, nicht nur ihr Anzeigename.

Für neue Admin-Integrationen sind app-spezifische Rollen gut nachvollziehbar. Security-Gruppen bleiben eine passende Alternative, wenn Gruppenmitgliedschaften bereits sauber freigegeben, geprüft und dokumentiert werden. Beide Modelle sollten nicht unkontrolliert gemischt werden.

SFOS wertet die Mappings von oben nach unten aus und verwendet den ersten Treffer. Full-Access- und Read-only-Zuordnungen müssen deshalb gegenseitig ausschliessend sein. Wird eine Überschneidung erkannt, werden zuerst die Entra-Zuweisungen korrigiert und danach beide Rollen erneut getestet; die Mapping-Reihenfolge dient nicht als Berechtigungsmodell.

Beispiel und Voraussetzungen planen

Das folgende Beispiel verwendet Dokumentationswerte. Sie werden durch die eigene Umgebung ersetzt:

WebAdmin-FQDN: fw01.example.com
Entra-App: Sophos Firewall - FW01 - WebAdmin
Full-Access-App-Rolle: sfosAdminFull
Read-only-App-Rolle: sfosAdminReadOnly
Lokales Full-Access-Profil: Administrator
Lokales Read-only-Profil: Entra-WebAdmin-ReadOnly

example.com ist eine reservierte Beispieldomain. Der produktive FQDN muss aus dem Managementnetz zur richtigen Firewall auflösen und zum verwendeten WebAdmin-Zertifikat passen. Für getrennte Berechtigungs- und Änderungszyklen ist eine eigene Entra-App mit eigenem Firewall-Serverobjekt pro WebAdmin-Integration am klarsten. Eine gemeinsam verwendete App ist möglich, koppelt aber Administratoren, VPN- und Portalbenutzer an dieselben App-Zuweisungen.

Vor dem Umbau sollten ausserdem feststehen:

Ein zweiter lokaler Administrator oder der lokale admin funktioniert unabhängig von Entra ID.
Passwort, Recoveryweg und Konsolenzugang des Notfallkontos sind dokumentiert. Falls dieser Weg noch nicht geprüft ist, hilft Sophos Firewall Admin-Passwort wiederherstellen bei der sicheren Vorbereitung.
Die bestehende Admin-Sitzung bleibt während der Umstellung geöffnet.
Die Firewall hat korrekte Uhrzeit und erreicht die benötigten Microsoft-Endpunkte über DNS und HTTPS.
Der WebAdmin-FQDN verwendet ein vertrauenswürdiges Zertifikat mit vollständiger Kette.
WebAdmin ist nur aus Managementnetzen, über VPN oder aus gezielt erlaubten Quellen erreichbar.
Owner und Ablaufdatum des Client Secrets sind dokumentiert.
Benutzer derselben Domain werden nicht gleichzeitig über Active Directory und Microsoft Entra ID synchronisiert. Beide Server dürfen vorhanden sein, aber vor der Umstellung muss feststehen, welches Verzeichnis diese Benutzer auf der Firewall verwaltet.

Für Uhrzeit und Zertifikate helfen Systemzeit und NTP konfigurieren sowie Zertifikate importieren und zuweisen.

Device-Access-Profile vorbereiten

Die Profile werden vor der SSO-Umschaltung erstellt, damit jeder Entra-Wert sofort auf definierte Rechte zeigt. Den allgemeinen Aufbau und die sichere Abnahme lokaler Administratorprofile erklärt Sophos Firewall Administratoren und Profile sicher einrichten; hier folgt nur das Entra-spezifische Mapping.

Für vollen Zugriff kann das integrierte Profil Administrator verwendet werden. Es gehört nur zum kleinsten notwendigen Personenkreis. Für Betrieb, Audit oder Helpdesk ist ein eigenes Profil meist besser:

Profiles > Device access öffnen.
Add wählen.
Als Namen beispielsweise Entra-WebAdmin-ReadOnly eintragen.
Für jedes benötigte Menü Read-only setzen.
Nicht benötigte Bereiche auf None lassen.
Schreibrechte nur dort als Read-write vergeben, wo die Aufgabe sie wirklich benötigt.
Speichern und das Profil nochmals gegen die tatsächliche Rolle des Teams prüfen.

Ein Read-only-Name allein macht das Profil nicht schreibgeschützt. Entscheidend sind die Einstellungen None, Read-only und Read-write in der Berechtigungsmatrix. Untermenüs lassen sich über die Aufklappfunktion enger konfigurieren.

Entra-App und Administratorrollen vorbereiten

Existiert bereits eine sauber dokumentierte Entra-App für VPN oder Captive Portal, kann derselbe Entra-ID-Server auch für WebAdmin verwendet werden. Redirect URI, Administratorrollen und Tests bleiben trotzdem dienstspezifisch. Die vollständige gemeinsame App- und Serverbasis erklärt Entra ID SSO für Sophos Connect und VPN Portal; für lokale Browserbenutzer gilt der eigene Ablauf Entra ID SSO für Captive Portal.

Bei einer gemeinsam verwendeten App müssen vor Assignment required alle berechtigten Administrator-, VPN- und Portalgruppen zugewiesen und anschliessend alle verwendeten Dienste getestet werden. Für unabhängige Adminberechtigungen, Secret-Wechsel und Rollouts ist eine dedizierte WebAdmin-App mit einem eigenen Entra-Serverobjekt übersichtlicher.

Für eine neue Integration umfasst die aktuelle Sophos-Konfiguration:

Unter Microsoft Entra ID > App registrations eine eigene Single-Tenant-Anwendung für die Firewall anlegen.
Die delegierten Microsoft-Graph-Berechtigungen User.Read.All und Group.Read.All hinzufügen.
Für Gruppenimport zusätzlich Group.Read.All als Application Permission setzen.
Für die Berechtigungen Admin Consent erteilen.
Unter Certificates & secrets ein Client Secret erzeugen, den Value sofort sicher speichern und das Ablaufdatum überwachen.
Unter App roles beispielsweise sfosAdminReadOnly und nur bei Bedarf sfosAdminFull anlegen.
In der zugehörigen Enterprise Application unter Users and groups den Pilotadministrator oder eine kontrollierte Pilotgruppe der passenden Rolle zuweisen.
Bei einer dedizierten WebAdmin-App Assignment required als zusätzliche Zugriffskontrolle aktivieren und nur die vorgesehenen Pilotadministratoren oder Admin-Gruppen zuweisen. Das ist eine Avanet-Sicherheitsempfehlung, keine technische SFOS-Pflicht.

Statt App-Rollen können dedizierte Security-Gruppen wie SFOS-FW01-WebAdmin-Full und SFOS-FW01-WebAdmin-ReadOnly verwendet werden. Allgemeine IT- oder Microsoft-365-Gruppen sind für Firewall-Administratorrechte zu breit und erschweren spätere Reviews.

MFA wird bei diesem Login im Identity Provider durchgesetzt. Die Sophos-Firewall-MFA lässt sich nicht zusätzlich auf denselben Entra-SSO-Flow legen. Conditional Access sollte deshalb gezielt für die Firewall-Anwendung getestet werden, nicht nur allgemein für Microsoft 365. Die Unterschiede zu Sophos OTP erklärt MFA für Sophos Firewall.

Entra-ID-Server auf der Firewall konfigurieren

Unter Authentication > Servers wird ein bestehender Microsoft-Entra-ID-Server geöffnet oder mit Add > Microsoft Entra ID SSO neu angelegt.

Server und Redirect URI einrichten

Einen eindeutigen Server name eintragen.
Application (client) ID aus der App Registration einfügen.
Directory (tenant) ID einfügen.
Den zuvor gesicherten Client secret Value eintragen.
Fallback user group bewusst wählen. Sie steuert Benutzerdienste und ersetzt kein Administratorprofil.
Unter Redirect URI den WebAdmin-FQDN prüfen oder manuell setzen.
Die angezeigte Web admin console URL vollständig kopieren.

Die Redirect URI wird nicht aus Hostname, Port und einem vermuteten Callback-Pfad selbst zusammengesetzt. In der Entra-App öffnet man App registrations > Anwendung > Authentication > Add a platform > Web und fügt exakt die von SFOS angezeigte URL ein.

Wird eine einzelne Firewall über Sophos Central bearbeitet, muss der Firewall-Hostname manuell gesetzt werden. Die automatisch angezeigte Central-Reverse-SSO-URL ist nicht die WebAdmin-Redirect-URI der Appliance.

Danach Test connection ausführen. Der Test prüft Netzwerkverbindung, App-Berechtigungen und TLS-Zertifikatsvalidierung. Solange er fehlschlägt, wird die Administrator-Authentifizierung nicht umgestellt.

Rollen oder Gruppen auf Profile abbilden

User type auf Administrator setzen. Die Einstellung User aktiviert nur Benutzerdienste und reicht für WebAdmin nicht.
Unter Role mapping den Identifier type wählen:
- Roles für den exakten App-Role-Value, beispielsweise sfosAdminReadOnly;
- Groups für den exakten Entra-Gruppennamen.
Unter Value den unveränderten Rollenwert oder Gruppennamen eintragen.
Unter Profile das lokale Profil auswählen, beispielsweise Entra-WebAdmin-ReadOnly.
Weitere Mappings hinzufügen und die Reihenfolge bewusst prüfen.
Speichern.

Die Zuordnungen werden von oben nach unten ausgewertet; der erste Treffer gilt. sfosAdminFull und sfosAdminReadOnly müssen deshalb gegenseitig ausschliessende Mitgliedschaften besitzen. Bei einer Doppelmitgliedschaft wird zuerst die Entra-Zuweisung korrigiert und der Pilot erneut getestet, statt die Reihenfolge als Berechtigungsregel zu verwenden. Die Listenreihenfolge bleibt trotzdem zu dokumentieren, weil sie bei jedem unerwarteten Mehrfachtreffer das wirksame Profil bestimmt.

Entra SSO für Administratoren aktivieren

Der Entra-ID-Server ist erst dann eine WebAdmin-Anmeldemethode, wenn er dem Administrator-Dienst zugeordnet wurde:

Authentication > Services öffnen.
Zu Administrator authentication methods wechseln.
Den Microsoft-Entra-ID-Server auswählen.
Den Server in der Liste nach oben verschieben.
Die bestehende lokale Authentifizierung als bewussten Fallback für lokale Administratoren beibehalten.
Apply wählen.

Pro Authentifizierungsmethode kann nur ein Microsoft-Entra-ID-Server ausgewählt werden. Die Einstellungen unter Administrator authentication methods gelten nicht für den Default-Super-Administrator admin. Dieses Konto bleibt daher ein lokaler Notzugang und wird nicht durch ein Entra-Rollenmapping ersetzt.

Anmelden und Rechte sicher testen

Ein erfolgreicher Entra-Dialog allein ist noch kein bestandener Test. Die Firewall muss das richtige Profil anwenden, einen nicht berechtigten Benutzer ablehnen und weiterhin einen lokalen Rückweg bieten.

Positivtest mit Pilotadministratoren

Die bisherige lokale Admin-Sitzung geöffnet lassen.
In einem privaten Browserfenster den dokumentierten WebAdmin-FQDN aufrufen.
Mit dem Read-only-Pilotadministrator über Entra ID anmelden.
Entra-MFA und Conditional Access wie geplant durchlaufen.
Prüfen, ob nur die freigegebenen Menüs sichtbar sind und Schreibaktionen tatsächlich fehlen.
Unter Authentication > Users kontrollieren, ob das Konto als Administrator mit dem erwarteten Profil angelegt wurde.
Falls Full Access benötigt wird, einen getrennten Pilotadmin mit der Full-Access-Rolle testen.

Der Full-Access-Test wird nicht mit demselben Konto durchgeführt, das gleichzeitig Read-only erhalten soll. Zwei eindeutige Testkonten machen sichtbar, ob Rollen, Mapping-Reihenfolge und lokale Profile wirklich getrennt funktionieren.

Negativ- und Fallback-Test

Ein der Enterprise Application nicht zugewiesener Benutzer darf den SSO-Flow nicht erfolgreich abschliessen.
Ein zugewiesener, aber nicht gemappter Benutzer darf keinen WebAdmin-Zugang erhalten.
Ein Read-only-Administrator darf keine Konfigurationsänderung speichern.
Der lokale admin muss aus dem vorgesehenen Managementnetz weiterhin funktionieren.
Ein Zugriff aus einem nicht erlaubten Netz muss bereits an Device Access oder Local Service ACL scheitern.

Erhält der Negativtest Zugriff, stimmt die Zuweisung, Gruppenmitgliedschaft oder Mapping-Reihenfolge nicht. Dann bleibt die Pilotphase gestoppt; die Berechtigung wird nicht durch eine noch breitere Rolle oder WAN-Freigabe umgangen.

Betrieb, Rechteentzug und HA

Entra SSO verlagert Identität und MFA in den Identity Provider. Die lokal wirksamen Administratorrechte müssen trotzdem auf der Firewall kontrolliert werden.

Rollenänderungen bewusst abschliessen

Wird ein Entra-Benutzer neu zum Firewall-Administrator, übernimmt SFOS die Änderung beim nächsten Login. Die Gegenrichtung funktioniert nicht automatisch: Wird ein Administrator in Entra zum normalen Benutzer herabgestuft, bleibt das lokale Administratorobjekt auf der Firewall zunächst bestehen.

Sicherer Ablauf für eine Herabstufung:

Einen zweiten lokalen Administrator und den Rückweg bestätigen.
Admin-Rolle oder Admin-Gruppe in Entra entfernen beziehungsweise die App-Zuweisung anpassen.
Unter Authentication > Users das betroffene lokale Administratorobjekt kontrolliert löschen.
Nur wenn der Benutzer weiterhin Benutzerdienste verwenden soll, einen neuen Login zulassen. SFOS legt das Konto anhand des aktuellen Tokens als Benutzer neu an.
Neue WebAdmin-Anmeldung negativ testen und bestehende Sitzungen nicht als automatisch beendet voraussetzen.

Soll das Konto gar keinen Firewall-Dienst mehr verwenden, wird es nicht erneut zugewiesen. Gruppenentzug allein sollte nicht als sofortiger Entzug bereits wirksamer lokaler Adminrechte dokumentiert werden.

Secret, Logs und Änderungen überwachen

Client-Secret-Ablaufdatum mit Owner und Vorlauf überwachen.
Entra Sign-in Logs nach Anwendung, Benutzer, MFA und Conditional Access prüfen.
Auf der Firewall oauth_sso_webadmin.log für den WebAdmin-SSO-Flow verwenden.
Administrator-, Profil- und Authentifizierungsänderungen über den Audit Trail nachvollziehen.
Admin-Gruppen, App-Rollen und Device-Access-Profile regelmässig gemeinsam reviewen.

In der Advanced Shell zeigt der folgende lesende Befehl die letzten Einträge des WebAdmin-SSO-Dienstes:

tail -n 200 /log/oauth_sso_webadmin.log

Die allgemeine Zuordnung von Logdateien und sicheren Lesewegen steht unter Sophos Firewall Services und Logs.

HA-Grenze einplanen

In einem HA-Cluster funktioniert Entra ID SSO aktuell nicht für den WebAdmin des Auxiliary-Geräts. Direkter Peerzugriff, Recovery und Wartung brauchen deshalb ein lokales Verfahren. Ein Entra-Mapping auf HAProfile hebt diese Produktgrenze nicht auf.

Vor einem HA-Test werden beide Managementpfade, lokale Zugangsdaten und Rollen dokumentiert. Nach einem Rollenwechsel werden Primary-Zugriff, lokale Peer-Verwaltung und SSO erneut getrennt geprüft.

Troubleshooting

Dann fehlt meist ein passendes Administrator-Mapping. User type: Administrator, Identifier-Typ, exakten Rollenwert beziehungsweise Gruppennamen und das zugeordnete Profil prüfen. Unter Authentication > Users zeigt ein als normaler Benutzer angelegtes Konto, dass kein Administrator-Mapping getroffen hat.

Administrator erhält das falsche Profil

Role mapping wird von oben nach unten ausgewertet. Gruppenmitgliedschaften und App-Rollen des Kontos kontrollieren, Doppelzuweisungen entfernen und die Reihenfolge mit einem neuen Login erneut testen. Nicht einfach das restriktive Profil breiter berechtigen.

Redirect endet auf einer Fehlerseite

Die Web admin console URL aus der Firewall mit der Redirect URI unter App registrations > Authentication > Web Zeichen für Zeichen vergleichen. FQDN, Port, Pfad, DNS und WebAdmin-Zertifikat gehören zum selben Test. Bei Konfiguration über Central darf die Reverse-SSO-URL nicht verwendet werden.

Test connection scheitert

Erreichbarkeit von login.microsoftonline.com und graph.microsoft.com, DNS, Systemzeit, Tenant ID, Client ID, Client Secret, Microsoft-Graph-Berechtigungen und Admin Consent prüfen. Ein abgelaufenes Secret wird durch eine neue Redirect URI nicht repariert.

Zeigt oauth_sso_webadmin.log x509: certificate signed by unknown authority, fehlt möglicherweise eine Root- oder Intermediate-CA für die tatsächlich präsentierte Microsoft-Zertifikatskette. Für die reale Sicht der Firewall wird die Kette in deren Advanced Shell gelesen:

openssl s_client -connect login.microsoftonline.com:443 -showcerts

Ein Prüfcomputer kann zum Vergleich dienen, beweist aber nicht, welche Kette die Firewall selbst sieht. Nur eine nachweislich fehlende CA aus vertrauenswürdiger Quelle importieren. Kein Serverzertifikat als CA verwenden und keinen SSO-Dienst als ersten Troubleshooting-Schritt neu starten.

SSO funktioniert am Primary, aber nicht am Auxiliary

Das ist eine dokumentierte HA-Grenze. Für den Auxiliary-WebAdmin wird ein lokaler, getesteter Zugriff benötigt. Eine neue Entra-Rolle, breitere Device-Access-Freigabe oder andere Redirect URI behebt diese Einschränkung nicht.

Checkliste

Lokaler admin, zweiter Administrator und Konsolenzugang funktionieren.
WebAdmin ist nur aus vorgesehenen Managementnetzen oder Quellen erreichbar.
FQDN, DNS, Zertifikat und Systemzeit passen.
App Registration, Berechtigungen, Admin Consent und Secret-Ablauf sind dokumentiert.
Bei einer dedizierten WebAdmin-App ist Assignment required aktiviert und nur die Pilot-Admin-Gruppe zugewiesen; bei einer gemeinsam verwendeten App sind alle berechtigten Admin-, VPN- und Portalgruppen erfasst und getestet.
Device-Access-Profile enthalten die beabsichtigten Rechte.
User type: Administrator und Role mapping sind korrekt geordnet.
Exakte Web admin console URL ist als Entra-Redirect-URI eingetragen.
Test connection ist erfolgreich.
Entra ist unter Administrator authentication methods aktiviert.
Read-only-, Full-Access-, Negativ- und lokaler Fallback-Test sind bestanden.
Entra Sign-in Logs und oauth_sso_webadmin.log sind geprüft.
Rollenentzug, Secret-Wechsel und HA-Grenze sind betrieblich dokumentiert.