Sophos Central Enterprise und Sub-Estates verstehen
Sophos Central Enterprise fasst mehrere eigenständige Sophos-Fusion-Tenants (früher Sophos Central) unter einer Enterprise-Verwaltung zusammen. Diese Tenants heissen Sub-Estates. Das Modell eignet sich für Unternehmensgruppen, Länderorganisationen, rechtlich getrennte Einheiten oder Standorte, die eine eigene Daten- und Administrationsgrenze brauchen.
Sophos Central Enterprise ist nicht dasselbe wie ein einzelner grosser Tenant mit vielen Gruppen. Jede Sub-Estate besitzt eigene Benutzer, Geräte, Policies, Lizenzen, Datenregion und lokale Administratoren.
Wann Sub-Estates sinnvoll sind
Eine getrennte Sub-Estate ist sinnvoll, wenn mindestens eine echte Grenze besteht:
- rechtliche oder organisatorische Verantwortung,
- eigene Datenregion,
- getrennte Administratoren und Freigaben,
- eigene Lizenz- oder Kostenstelle,
- getrennte Policies, Reports oder Audit-Anforderungen,
- Unternehmenszukauf mit schrittweiser Integration.
Nur unterschiedliche Abteilungen rechtfertigen nicht automatisch mehrere Tenants. Wenn dieselbe Administration und Datenregion genügt, sind Gruppen, Policies und Custom Roles oft einfacher.
Was Enterprise zentralisiert
Je nach Lizenz und Funktion kann die Enterprise-Ebene:
- Sub-Estates erstellen, suchen und öffnen,
- Lizenzstatus und Nutzung übergreifend anzeigen,
- Enterprise-Administratoren verwalten,
- Alerts aus freigegebenen Sub-Estates zusammenführen,
- globale Templates und ausgewählte Einstellungen verteilen,
- API Credentials auf Enterprise-Ebene betreiben,
- Master-Lizenzen auf Sub-Estates verteilen.
Produktfunktionen und lokale Besonderheiten bleiben trotzdem in der Sub-Estate relevant. Ein Enterprise-Template kann Settings sperren und verteilen, ersetzt aber keinen Pilot und keine lokale Validierung.
Globale Templates haben klare Grenzen
Nur ein Enterprise Super Admin kann globale Templates verwalten. Ein Template darf höchstens 500 Sub-Estates umfassen; zusammen dürfen diese Sub-Estates höchstens 5'000 Geräte enthalten. Sobald eine Sub-Estate einem Template zugeordnet ist, sind die davon erfassten globalen Einstellungen und Policies im lokalen Fusion Admin gesperrt. Wirksam werden sie mit dem Push.
Ein Push überschreibt vorhandene Base Policies und kann einige Minuten dauern. Wird das Template später gelöscht oder die Sub-Estate daraus entfernt, behält sie die zuletzt gepushten Einstellungen. Deshalb wird ein Template zuerst mit einer kleinen Sub-Estate-Gruppe pilotiert. Vor dem Push werden die betroffenen lokalen Policies dokumentiert; danach werden der Push-Status und die erwarteten Policies und Einstellungen in jeder Pilot-Sub-Estate geprüft.
Zugriff bleibt zustimmungspflichtig
Beim Aktivieren von Enterprise Management werden zugehörige Konten als Sub-Estates verknüpft. Ein Enterprise Admin kann eine bestehende Sub-Estate erst öffnen, wenn ein Super Admin dieser Sub-Estate den Enterprise-Zugriff freigibt.
Diese Freigabe ist weitreichend: Der Enterprise Admin wird zum Super Admin der Sub-Estates. Nachdem eine Sub-Estate den Zugriff erlaubt hat, kann nur ein Enterprise Super Admin die Verknüpfung beziehungsweise den Opt-in wieder aufheben.
Datenregion und neue Sub-Estates
Beim Erstellen einer neuen Sub-Estate wird eine Datenregion gewählt. Sophos bietet je nach Verfügbarkeit unter anderem USA, Kanada, Irland, Deutschland, Australien, Indien, Brasilien oder Japan an. Der Standard entspricht der Region der primären Sub-Estate.
Die Region wird vor der Erstellung mit Datenschutz, Latenz, Integration und rechtlicher Vorgabe abgestimmt. Eine spätere Tenant-Migration ist wesentlich aufwendiger als die korrekte Wahl zu Beginn.
Rollen und persönliche Konten
Enterprise-Rollen sind von den Rollen im einzelnen Sophos-Fusion-Admin-Tenant getrennt. Ein dedizierter Enterprise-Admin-Zugang verhindert, dass tägliche Tenant-Arbeit ständig mit gruppenweiten Super-Admin-Rechten erfolgt.
API Credentials auf Enterprise-Ebene kann nur ein Enterprise Super Admin erstellen. Auch dort gelten eigene Service-Principal-Rollen, Ablaufüberwachung und Secret-Rotation.
Alerts und Reports
Enterprise kann Alerts der freigegebenen Sub-Estates anzeigen und Aktionen ermöglichen. Die aktuelle Enterprise-Ansicht umfasst Alerts bis 90 Tage und höchstens 2'500 Einträge. Für ältere oder umfangreichere Untersuchungen wird die jeweilige Sub-Estate geöffnet oder ein SIEM verwendet.
Custom Dashboards können Daten aus einer einzelnen oder mehreren Sub-Estates zeigen. In Dashboards > Manage Dashboards ist am Namen in der Spalte Creator erkennbar, welcher Administrator ein Custom Dashboard erstellt hat.
Sophos- und Custom-Dashboards lassen sich als PDF exportieren, das Central Overview jedoch nicht. Kartenbasierte Widgets erscheinen im PDF als leere Fläche. Wenn der PDF-Export zum Reporting gehört, werden solche Widgets deshalb nicht als alleiniger Nachweis verwendet.
Lizenzmodelle
Sub-Estates können individuelle Lizenzen behalten oder auf Enterprise Master Licensing umgestellt werden. Master-Lizenzen bilden einen gemeinsamen Pool und werden zentral zugeteilt. Die Umstellung ist nicht rückgängig zu machen und braucht deshalb eine eigene Lizenz- und Kostenplanung.
Transfer, Konsolidierung und Zuteilungsgrenzen beschreibt Sophos Central Enterprise Master Licensing planen und aktivieren.
Struktur vor der Aktivierung planen
Vor Enterprise Management wird eine Matrix erstellt:
| Frage | Entscheidung |
|---|---|
| Welche Gesellschaften oder Regionen werden Sub-Estates? | fachliche und rechtliche Grenze |
| Wer ist Enterprise Super Admin? | mindestens zwei unabhängige Personen |
| Wer darf welche Sub-Estate öffnen? | Rollen- und Freigabemodell |
| Welche Datenregion gilt? | pro neuer Sub-Estate dokumentieren |
| Werden Lizenzen einzeln oder als Master Pool geführt? | vor irreversibler Umstellung klären |
| Welche Settings kommen aus Enterprise Templates? | Pilot, Override und Sperrwirkung definieren |
| Wie werden Alerts und Audit-Daten aufbewahrt? | Enterprise- und Sub-Estate-Sicht kombinieren |
Die technische Aktivierung beschreibt Sophos Central Enterprise Management aktivieren.