Sophos Protected Browser-Erweiterung installieren und entfernen

Die Sophos Protected Browser-Erweiterung lässt sich auf einzelnen Windows- und Mac-Geräten manuell oder zentral mit Active Directory GPO, Google Enterprise Core, Microsoft Intune und Jamf Pro installieren. Der passende Installer wird jeweils in Sophos Fusion (ehemals Sophos Central) bezogen. Man kontrolliert für Chrome danach sowohl die erzwungene Richtlinie als auch die sichtbare Erweiterung.

Diese Anleitung behandelt die Erweiterung für vorhandene Browser. Die Bereitstellung und Aktualisierung des vollständigen Sophos Protected Browser ist eine getrennte Aufgabe.

Den passenden Bereitstellungsweg wählen

Manuell: für einen kleinen Pilot oder einzelne Windows- und Mac-Geräte. Dieser Weg enthält auch die von Sophos dokumentierten Rückbauschritte.
Active Directory GPO: für domänengebundene Windows-Geräte mit Google Chrome.
Google Enterprise Core: für registrierte Chrome-Browser auf Windows und macOS.
Microsoft Intune: für verwaltete Windows- und Mac-Geräte mit Google Chrome oder Microsoft Edge.
Jamf Pro: für verwaltete Macs mit Google Chrome oder Microsoft Edge.

Man beginnt mit wenigen Geräten und genau dem später verwendeten Browser. Die ZIP-Dateien enthalten je nach Weg Richtlinien-, Profil-, Skript- und Utility-Dateien. Man mischt keine Dateien aus unterschiedlichen Bereitstellungswegen.

Voraussetzungen, Lizenz und Rollen

Vor dem Download müssen Meine Produkte > Protected Browser sowie der Bereich Browser-Erweiterung unter Meine Umgebung > Installer beziehungsweise Meine Umgebung > Installers > Protected Browser im richtigen Sophos-Central-Tenant verfügbar sein. Eine eigenständige Lizenzbezeichnung ist für diese Verfahren nicht angegeben. Man leitet deshalb aus der Sichtbarkeit eines Menüs keine weitergehende Lizenz- oder Rollenannahme ab. Die benötigten Rollen unterscheiden sich je nach Verfahren:

Manuell unter Windows: Das Windows-Gerät ist in einer MDM-Lösung registriert; benötigt wird Administratorzugriff auf Windows-Gerät und Sophos Fusion. Unterstützt werden in diesem Weg Google Chrome, Comet und Microsoft Edge; die heruntergeladene ZIP-Datei nennt zusätzlich Atlas.
Manuell unter macOS: Der Mac ist in einer MDM-Lösung registriert; benötigt wird Administratorzugriff auf Mac und Sophos Fusion. Sophos nennt Google Chrome, Atlas, Comet und Microsoft Edge als unterstützte Browser, das aktuelle Download-Paket kann jedoch nur Profile für Chrome, Atlas und Edge enthalten. Fehlen im aktuellen Paket die zu Comet gehörenden Profile, darf man keine Profile eines anderen Browsers verwenden. Man lädt das Paket erneut herunter und klärt die fehlenden Comet-Dateien mit Sophos Support, bevor man fortfährt. Bestehende MDM-Konfigurationen für ExtensionForceinstallList müssen vor der manuellen Installation entfernt werden: macOS führt ein verwaltetes und ein lokal installiertes Profil nicht zusammen, sondern wendet nur eines davon an.
Active Directory GPO: Erforderlich sind ein AD-Administratorkonto für den Gruppenrichtlinien-Editor, ein Sophos-Central-Admin-Konto, lokale Administratorrechte auf den Zielgeräten, die Chrome-ADMX-Vorlage und die Berechtigung zur Installation von Erweiterungen aus externen Quellen. Das GPO ist bereits mit der Ziel-OU verknüpft. Für das Erweiterungsprogramm steht eine SMB-Freigabe bereit, auf die die Domänencomputer lesend zugreifen können.
Google Enterprise Core: Die Chrome-Browser sind registriert und der vorgesehenen Organisationseinheit zugewiesen. Erforderlich ist Administratorzugriff auf Zielgeräte, Google-Admin-Konsole und Sophos Fusion.
Microsoft Intune: Erforderlich sind je ein Konto für Intune und Sophos Fusion sowie Administratorzugriff auf die Zielgeräte. Chrome und Edge dürfen Erweiterungen aus externen Ressourcen installieren.
Jamf Pro: Erforderlich sind ein Jamf-Pro-Admin-Konto, ein Sophos-Central-Admin-Konto und Administratorzugriff auf die Zielgeräte. Chrome und Edge dürfen Erweiterungen aus externen Ressourcen installieren.

Das zusätzliche Erweiterungsprogramm ist nur nötig, wenn Gerätestatus-Richtlinienobjekte in Webrichtlinien verwendet werden sollen. Es heisst unter Windows ExtensionUtility.exe und unter macOS ExtensionUtility.pkg. Man installiert diese zusätzliche Komponente nicht vorsorglich, wenn man die Funktion nicht nutzt.

Installationsdateien in Sophos Fusion herunterladen

Je nach Verteilweg bezeichnet Sophos diesen Schritt als Installationsdateien von Sophos Central herunterladen oder Laden Sie den Installer von Sophos Central herunter. Gemeint ist in beiden Fällen das zum gewählten Verfahren gehörende ZIP-Paket.

Man öffnet in Sophos Central Meine Umgebung > Installer. Beim manuellen Weg und bei Google Enterprise Core nennt Sophos den genaueren Pfad Meine Umgebung > Installers > Protected Browser.
Man wählt unter Browser-Erweiterung den vorgesehenen Weg und das Betriebssystem:
- Manuell > Windows oder Manuell > Mac,
- Active Directory (GPO) > Windows,
- Google Enterprise mit dem passenden Betriebssystem,
- Microsoft Intune mit dem passenden Betriebssystem,
- JAMF > Mac.
Man entpackt die heruntergeladene ZIP-Datei in einen kontrollierten Arbeitsordner. Man verwendet für den Pilot ausschliesslich die darin enthaltenen Dateien und Werte.

Bei GPO und Intune wird die Erweiterungs-URL aus diesem Paket benötigt. Google Enterprise Core benötigt Erweiterungs-ID, Erweiterungs-URL und ExtensionSettings.json. Jamf und der manuelle Mac-Weg verwenden browserabhängige .mobileconfig-Dateien. Beim manuellen Mac-Weg muss das Paket die zum vorgesehenen Browser gehörenden Profile enthalten. Fehlen Comet-Profile, ist das eine Stop-Bedingung und kein Anlass, Chrome-, Atlas- oder Edge-Profile umzubenennen oder wiederzuverwenden.

Erweiterung manuell installieren

Erweiterung auf Windows-Geräten installieren

Man öffnet den entpackten Ordner auf dem Zielgerät.
Man doppelklickt auf die Installationsdatei des Browsers. Für Chrome ist dies ChromeForceInstallExtension.reg; danach bestätigt man Ausführen und Ja. Dadurch werden die Erweiterungsdetails in die Windows-Registry geschrieben.
Man doppelklickt auf die Datei mit den Erweiterungseinstellungen. Für Chrome ist dies ChromeExtensionSettings.reg; danach bestätigt man erneut Ausführen und Ja.
Nur wenn Gerätestatus-Richtlinienobjekte benötigt werden: Man startet ExtensionUtility.exe und bestätigt Ja.

Nach der Einrichtung fordert die Erweiterung den Benutzer zur Anmeldung mit seinen Zugangsdaten auf.

Erweiterung auf Mac-Geräten installieren

Wichtig: Man prüft vor diesem Schritt, ob ExtensionForceinstallList bereits per MDM verwaltet wird. Man entfernt diese MDM-Konfiguration zuerst. Ohne diese Bereinigung kann macOS statt der lokalen Profile weiterhin nur das verwaltete Profil anwenden.

Man doppelklickt im entpackten Ordner auf die Force-Install-Datei des Browsers, für Chrome beispielsweise ChromeForceInstallExtension.mobileconfig.
Man öffnet Systemeinstellungen, sucht nach Profiles und installiert das heruntergeladene Profil. Für Chrome heisst das Beispielprofil Install Island Extension Chrome. Man bestätigt Installieren mit dem Administratorpasswort.
Man doppelklickt auf die Datei mit den Erweiterungseinstellungen, für Chrome beispielsweise ChromeExtensionSettings.mobileconfig.
Man installiert unter Profile > Heruntergeladen das Einstellungsprofil. Das Chrome-Beispiel heisst Setup Island Extension on Chrome.
Nur wenn Gerätestatus-Richtlinienobjekte benötigt werden: Man startet ExtensionUtility.pkg, klickt auf Weiter und Installieren und gibt das Administratorpasswort ein.

Nach Abschluss fordert die Erweiterung den Benutzer zur Anmeldung auf.

Erweiterung zentral verteilen

Gruppenrichtlinienobjekt für die Installation der Erweiterung konfigurieren

Man öffnet das vorbereitete GPO und geht zu Computerkonfiguration > Richtlinien > Administrative Vorlagen > Google > Google Chrome > Erweiterungen.
Man öffnet Liste der automatisch installierten Apps und Erweiterungen konfigurieren, wählt Aktiviert und klickt unter Optionen auf Anzeigen.
Man fügt unter Inhalte anzeigen die aus Sophos Fusion kopierte Erweiterungs-URL ein. Die Einstellung bestätigen und speichern.
Man kopiert den Inhalt der heruntergeladenen ChromeExtensionSettings.xml.
Man geht im selben GPO zu Computerkonfiguration > Einstellungen > Windows-Einstellungen > Registry. Man klickt mit der rechten Maustaste auf Registry, fügt den XML-Inhalt ein, benennt den Registry-Eintrag und speichert ihn.

Erweiterungsprogramm installieren: Die Browser-Erweiterung kann mit den vorstehenden GPO-Einstellungen verteilt werden. Für das optionale ExtensionUtility.exe beschreibt Sophos zusätzlich ein Startskript über Computerkonfiguration > Richtlinien > Windows-Einstellungen > Skripte (Start/Herunterfahren) > Start und eine SMB-Freigabe. Der dabei verwendete Prüfpfad ist jedoch nicht eindeutig als lokaler Installationsindikator beschrieben. Man verwendet das Skript deshalb nicht als ausführbare Vorlage. Wenn Gerätestatus-Richtlinienobjekte das Utility erfordern, stoppt man an dieser Stelle und lässt Prüfpfad, Ausführungskontext sowie Vorher-/Nachher-Kontrolle für die eigene Umgebung durch Sophos Support oder eine freigegebene, getestete interne Paketierung bestätigen. Die Erweiterungsrichtlinie kann unabhängig davon zunächst auf einer Pilot-OU validiert werden.

Google Enterprise Core

Für den Schritt Installation der Protected Browser-Erweiterung auf den Geräten werden Erweiterungs-ID, benutzerdefinierte URL und Einstellungsdatei gemeinsam in der Google-Admin-Konsole hinterlegt:

Man öffnet in der Google-Admin-Konsole Chrome-Browser > Anwendungen und Erweiterungen > Benutzer und Browser und wählt die vorgesehene Organisationseinheit.
Man klickt unten rechts auf das Plus-Symbol und danach auf Chrome-App oder -Erweiterung anhand der ID hinzufügen.
Man trägt die in Sophos Fusion kopierte Erweiterungs-ID ein.
Man wählt Von einer benutzerdefinierten URL aus und trägt die kopierte Erweiterungs-URL ein. Man speichert.
Man wählt unter Installationsrichtlinie zuerst Installation zulassen und danach Installation erzwingen.
Man öffnet Richtlinien für Erweiterungen, lädt ExtensionSettings.json aus der Sophos-ZIP-Datei hoch und speichert erneut.
Man installiert ExtensionUtility.exe beziehungsweise ExtensionUtility.pkg auf den Zielgeräten nur dann zusätzlich, wenn Webrichtlinien Gerätestatus-Richtlinienobjekte verwenden.

Die Organisationseinheit bestimmt den Umfang. Man wählt für den Pilot deshalb eine begrenzte OU mit wenigen registrierten Browsern, statt die Einstellung sofort tenantweit zu erzwingen.

Microsoft Intune zur Installation der Erweiterung konfigurieren

Windows

Man geht im Microsoft Intune Admin Center zu Geräte > Windows > Konfigurationsprofile > Erstellen > Neue Richtlinie.
Man wählt Windows 10 und höher als Plattform und Einstellungskatalog als Profiltyp. Das Profil erstellen und benennen.
Man klickt unter Konfigurationseinstellungen auf Einstellungen hinzufügen.
Für Chrome öffnet man Google > Google Chrome > Erweiterungen, aktiviert Liste der automatisch installierten Apps und Erweiterungen konfigurieren und trägt die Erweiterungs-URL aus Sophos Central ein. Für Edge verwendet man entsprechend Microsoft Edge > Erweiterungen.
Man bestätigt mit OK und Anwenden.
Man geht zu Geräte > Windows > PowerShell-Skripte und lädt das aus Sophos Central bezogene Skript für den Browser hoch, für Chrome beispielsweise ChromeExtensions.ps1.
Man wählt unter Zuordnungen zuerst nur die Pilotgeräte. Man prüft Überprüfen + Erstellen und klickt auf Erstellen.

macOS

Man geht zu Geräte > macOS > Konfigurationsprofile und klickt auf Profil erstellen.
Man wählt Vorlagen, danach Benutzerdefiniert und Erstellen. Man benennt das Profil und wählt Gerätekanal als Bereitstellungskanal.
Man lädt unter Konfigurationsprofildatei die Force-Install-Datei aus der Sophos-ZIP-Datei hoch, für Chrome beispielsweise ChromeForceInstallExtension.mobileconfig.
Man ordnet das Profil zuerst den Pilotgeräten zu und erstellt es.
Man wiederholt den Vorgang mit einem zweiten Profil für die Erweiterungseinstellungen, bei Chrome mit ChromeExtensionSettings.mobileconfig.

Falls Gerätestatus-Richtlinienobjekte benötigt werden, führt man zusätzlich den im Paket enthaltenen ExtensionUtility.exe- beziehungsweise ExtensionUtility.pkg-Installer auf den Geräten aus, auf denen die Erweiterung installiert ist.

Jamf Pro

Der Jamf-Ablauf umfasst hier die beiden Konfigurationsprofile:

Konfigurationsprofil für die Einstellungen zur Erzwingung der Installation erstellen. Man öffnet Computer > Konfigurationsprofile, klickt auf Hochladen und lädt die Force-Install-Datei hoch: ChromeForceInstallExtension.mobileconfig oder EdgeForceInstallExtension.mobileconfig.
Man vergibt Name und Beschreibung, wählt Browser als Kategorie, Computerebene als Ebene und Automatisch installieren als Verteilungsmethode. Man begrenzt unter Umfang zunächst auf die Pilotgeräte und speichert.
Konfigurationsprofil für die benutzerdefinierten Erweiterungseinstellungen erstellen: Man wiederholt den Vorgang für ChromeExtensionSettings.mobileconfig beziehungsweise EdgeExtensionSettings.mobileconfig.

Benötigen die Webrichtlinien zusätzlich das optionale ExtensionUtility.pkg, stoppt man nach diesen beiden Konfigurationsprofilen. Man lässt Paketierung, Richtlinie, Auslöser und Rückbau in einem separaten, freigegebenen und getesteten Jamf-Verfahren festlegen; die Intune- oder manuellen Installationsschritte sind dafür kein Ersatz. Die beiden Browserprofile können zunächst ohne diese Zusatzkomponente auf den Pilotgeräten geprüft werden.

Installation validieren

Für eine Chrome-Bereitstellung mit GPO oder Google Enterprise Core ist die Prüfung eindeutig:

Man öffnet Chrome auf einem Pilotgerät.
Man ruft chrome://policy auf und klickt auf Richtlinien neu laden.
Man prüft in Chrome Policies, ob ExtensionInstallForcelist vorhanden ist und den Status OK besitzt.
Man ruft chrome://extensions auf und prüft, ob die Protected Browser-Erweiterung sichtbar ist. Die Meldung Sophos extension is installed and managed by the organization. kann angezeigt werden.

Bei einer manuellen Installation ist zusätzlich die Anmeldeaufforderung ein erwartetes Ergebnis. Für Intune und Jamf steht keine gleichwertige, genaue Statusanzeige zur Verfügung. Der Rollout bleibt deshalb auf den Pilot begrenzt, bis die vorgesehenen Profile beziehungsweise Skripte auf dem Gerät angekommen sind und das erwartete Browser-Ergebnis sichtbar ist. Eine erfolgreiche Zuweisung in der Verwaltungskonsole allein beweist die lokale Installation nicht.

Wenn das Erweiterungsprogramm benötigt wird, prüft man separat, ob dessen Installer auf dem Pilotgerät beendet wurde. Man leitet aus einer sichtbaren Browser-Erweiterung nicht ab, dass das Utility ebenfalls installiert ist.

Troubleshooting nach Symptom

`ExtensionInstallForcelist` fehlt oder hat nicht den Status `OK`

Man prüft zuerst, ob das Gerät wirklich in der zugewiesenen OU oder Pilotgruppe liegt. Man kontrolliert danach, ob genau die Erweiterungs-URL aus dem aktuellen Sophos-Paket eingetragen wurde. Bei GPO kommen die installierte Chrome-ADMX-Vorlage, die GPO-Verknüpfung und die aus ChromeExtensionSettings.xml importierten Registry-Einträge hinzu. Man lädt die Richtlinien in chrome://policy danach erneut und wiederholt die Kontrolle.

Die Richtlinie ist vorhanden, die Erweiterung aber nicht sichtbar

Man öffnet chrome://extensions und prüft dort erneut. Bei Google Enterprise Core müssen neben ID und benutzerdefinierter URL auch Installation erzwingen sowie die hochgeladene ExtensionSettings.json vorhanden sein. Bei GPO muss Liste der automatisch installierten Apps und Erweiterungen konfigurieren aktiviert sein. Man ändert nicht mehrere Ebenen gleichzeitig; zuerst den fehlenden Teil auf einem Pilotgerät korrigieren und erneut validieren.

Die manuelle Installation auf dem Mac wirkt nicht

Man prüft, ob ExtensionForceinstallList bereits durch MDM verwaltet wird. Man entfernt die verwaltete Konfiguration vor dem lokalen Profil. Man kontrolliert anschliessend unter Systemeinstellungen > Profiles > Heruntergeladen, ob sowohl das Force-Install-Profil als auch das Profil mit den Erweiterungseinstellungen installiert wurden. macOS kombiniert diese lokalen Profile nicht mit einer konkurrierenden MDM-Konfiguration.

Die Erweiterung ist sichtbar, Gerätestatusobjekte funktionieren aber nicht

Die Browser-Erweiterung und das Erweiterungsprogramm sind zwei getrennte Bestandteile. Man prüft, ob ExtensionUtility.exe beziehungsweise ExtensionUtility.pkg auf genau diesem Gerät installiert wurde. Bei GPO reicht der Lesezugriff des Computerkontos auf die vorgesehene SMB-Freigabe allein nicht aus: Man verwendet das Startskript erst, wenn Prüfpfad, Ausführungskontext und Vorher-/Nachher-Kontrolle freigegeben und getestet sind. Für Jamf müssen Paketierung, Richtlinie, Auslöser und Rückbau ebenfalls in einem separaten, freigegebenen und getesteten Verfahren festgelegt sein. Man prüft danach erneut auf demselben Pilotgerät, bevor man den Umfang erweitert.

Ein zentraler Rollout lässt sich nicht belastbar zurückbauen

Man weitet die Zuweisung nicht aus und lässt die Pilotgruppe unverändert. Man versucht keinen lokalen Teilrückbau, solange eine zentrale Force-Install-Richtlinie aktiv ist. Die verbindlichen Grenzen und das weitere Vorgehen für zentral verwaltete Deinstallationen stehen im folgenden Offboarding-Abschnitt.

Erweiterung deinstallieren und Offboarding abschliessen

Man dokumentiert vor dem Rückbau Browser, Installationsweg und vorhandene Profile beziehungsweise Registry-Dateien. Nutzer verlieren danach die über die Erweiterung bereitgestellte Funktion. Man beginnt den Rückbau daher auf einem Testgerät und prüft ihn vor einer breiten Entfernung.

Manuell unter Windows

Man verwendet den uninstall-Ordner aus derselben Sophos-ZIP-Datei wie für die Installation.
Man doppelklickt auf ExtensionUninstaller.reg, um die Erweiterung zu entfernen.
Falls das Erweiterungsprogramm installiert wurde, öffnet man PowerShell mit den erforderlichen Administratorrechten und führt den von Sophos dokumentierten Befehl aus:

powershell.exe -Command "& { msiexec /q /x $((New-Object -ComObject 'WindowsInstaller.Installer').RelatedProducts('{B0D532EB-39A8-497B-8DD8-6A3ACCE97532}')); }"

Man öffnet danach den Browser auf dem Testgerät und prüft, dass die Erweiterung nicht mehr angezeigt wird. Bleibt sie vorhanden, stoppt man den breiten Rückbau und prüft, ob eine GPO-, Intune- oder andere MDM-Richtlinie sie erneut erzwingt.

Manuell unter macOS

Man öffnet Systemeinstellungen und sucht nach Profiles.
Man entfernt sowohl das Force-Install-Profil als auch das Profil mit den benutzerdefinierten Erweiterungseinstellungen. Man bestätigt jeweils mit dem Administratorpasswort.
Falls ExtensionUtility.pkg installiert wurde, öffnet man ein Terminal mit einem Administratorkonto und führt den von Sophos dokumentierten Uninstaller aus:

sudo /usr/local/island/island-nmh/uninstall

Man prüft danach auf dem Testgerät, dass beide Profile entfernt sind und die Erweiterung im Browser nicht mehr erscheint. Wird ein Profil weiterhin per MDM zugewiesen, beendet man den lokalen Rückbau und entfernt zuerst die verwaltete Zuweisung über den zuständigen MDM-Prozess.

Für Google Enterprise Core, Intune und Jamf Pro steht kein vollständiger Deinstallationsablauf zur Verfügung. Beim GPO-Verfahren gibt es zwar Schritte für den Rückbau, aber kein vollständiges Verfahren für die gemeinsame Bereinigung von Zuweisung, Registry-Einträgen, Force-Install-Richtlinie und gegebenenfalls Utility. Man lässt den Rückbau anhand der tatsächlich erstellten Profile, Richtlinien und Pakete durch Sophos Support oder einen intern freigegebenen und getesteten Prozess festlegen. Man weitet die Zuweisung bis dahin nicht aus und lässt die Pilotgruppe unverändert. Man entfernt weder lokale Dateien noch einzelne Profile, Registry-Einträge, Richtlinien oder das Utility auf Verdacht, solange eine zentrale Force-Install-Richtlinie aktiv ist.

Betrieb und Lifecycle

Man bewahrt nicht dauerhaft eine alte entpackte ZIP-Datei als vermeintliche Referenzinstallation auf. Man lädt die Dateien vor einer geplanten Änderung erneut über den für den gewählten Weg vorgesehenen Sophos-Central-Pfad und hält fest, welche Datei auf welche Pilotgruppe verteilt wurde. Man prüft nach Änderungen in GPO, OU-Zuordnung, Intune-Profilen oder Jamf-Umfang erneut Richtlinie und Erweiterung auf einem Pilotgerät.

Zur regelmässigen Betriebskontrolle gehören:

stimmt der zugewiesene Umfang noch mit den vorgesehenen Geräten und Browsern überein;
existieren konkurrierende lokale und MDM-Profile auf Macs;
wird das Erweiterungsprogramm nur dort betrieben, wo Gerätestatus-Richtlinienobjekte benötigt werden;
funktioniert der dokumentierte manuelle Rückweg weiterhin auf einem Testgerät;
sind Verantwortliche und Eskalationsweg für zentral verwaltete Deinstallationen festgelegt.

Man plant Migrations- oder Ausserbetriebnahmetermine nur anhand aktueller Produktinformationen von Sophos. Bei einer Änderung des Bereitstellungswegs validiert man zuerst die neue Pilotkonfiguration und nimmt den alten Weg erst danach kontrolliert ausser Betrieb.