Sophos Mobile: migreren van Android-apparaatbeheerder naar Android Enterprise
Dit artikel helpt de migratieroute en de nodige controles vast te stellen. Het geeft geen toestemming voor een reset in productie. Sophos noemt apparaatbeheerder een verouderde beheermodus: in Sophos Mobile is deze alleen beschikbaar voor Android 9 of ouder; apparaten met Android 10 of nieuwer kunnen niet in deze modus worden ingeschreven. Dit betekent niet dat alle functies van Android Device Policy Manager in het algemeen zijn afgeschaft en is geen aanbeveling om Android 9 te blijven gebruiken. Schrijf nieuwe apparaten niet in de oude modus in. De migratiebeschrijving van Sophos gaat uit van een al ingerichte en geconfigureerde Android Enterprise-omgeving.
Eerst eigendom en doelmodus vaststellen
Vergelijk vóór elke wijziging de daadwerkelijke beheermodus, apparaatidentiteit, eigenaar, Android-versie, gebruikerstoewijzing, beleidsregels, apps, bereikbaarheid en laatste apparaatstatus op het apparaat én in de juiste Sophos-tenant.
Herinschrijving vóór de ingreep voorbereiden
Voer deze controle uit zolang het oude apparaat nog wordt beheerd. De controle start geen reset of uitschrijving. Leg in het migratieverslag de volgende gegevens vast voor de gekozen doelmodus:
- Controleer onder Sophos Fusion > My Products > Mobile > Setup > Google setup > Android Enterprise de bestaande Android Enterprise mode, de weergegeven accountgegevens en de status van Use managed Google domain device enrollment. Blijf de bestaande organisatieregistratie gebruiken; voer Register account niet opnieuw uit en vervang de Google-koppeling niet. Los een ontbrekende of onduidelijke koppeling eerst op aan de hand van de sectie De organisatie aan Google koppelen.
- Zorg voor een Android Enterprise device policy voor het bedrijfsapparaat en een Android Enterprise work profile policy voor het privéapparaat. Noteer de namen van de doelbeleidsregel en het bijbehorende takenpakket. Het pakket voor het betreffende apparaattype moet ten minste Enroll en Assign policy met precies deze beleidsregel bevatten. Een oude apparaatbeheerdersbeleidsregel is geen vervanging.
- Open bij gebruik van het Self Service Portal onder Setup > Self Service Portal de configuratie die voor de gebruiker van toepassing is. In de Android-platforminstellingen moet Enrollment package verwijzen naar het voorbereide takenpakket. Controleer Owner, de beoogde Device group, de groepsprioriteit en het resterende apparaatquotum. Controleer een bestaande passende configuratie; maak niet zonder meer een nieuwe aan en wijzig Default niet. De voorbereiding staat beschreven in Beleidsregel, pakket en gebruikersidentiteit voorbereiden.
- Controleer of Sophos Mobile Control is goedgekeurd in Managed Google Play. Zonder deze goedkeuring wordt de beheerde app niet automatisch bijgewerkt. Als apparaatinschrijving via het domein is ingeschakeld, moeten de beoogde gebruikers in het beheerde Google-domein aanwezig zijn. Voor deze apparaatinschrijving via het domein is Mobile Control 9.8 of nieuwer vereist; bij werkprofielen moeten bovendien alle beschikbare besturingssysteem- en app-updates zijn geïnstalleerd. Bij een opdracht die vanuit Sophos Mobile wordt gestart, moet het toegewezen e-mailadres exact overeenkomen met de Google-login.
- Kies een inschrijfroute die is toegestaan binnen de bestaande organisatiemodus en bereid de hieronder beschreven overdracht aan de gebruiker vooraf met de verantwoordelijke IT-afdeling voor. Voor een organisatie die vóór 9 april 2024 in de managed-Google-domain-modus is geregistreerd en waarvoor apparaatinschrijving via het domein niet is ingeschakeld, is inschrijving door een beheerder niet beschikbaar; bereid dan de toegestane SSP-route voor. Schakel deze optie niet zomaar in als migratiestap. Wijzigingen aan de organisatiekoppeling of inschrijfmodus vereisen afzonderlijke toestemming.
Voor een bedrijfsapparaat met een toegewezen gebruiker beschrijft de Android Enterprise-handleiding onder “Beheerderspilot” de ondersteunde wizardroute via Devices > Add > Add device wizard, de gebruikersselectie, Platform: Android en het voorbereide inschrijfpakket. Voer deze route pas uit nadat de fabrieksreset afzonderlijk is goedgekeurd en op het apparaat is bevestigd. Gebruik de daar beschreven SSP-procedure als SSP vereist is. Procedures met QR-code, zero-touch of zonder gebruiker zijn alternatieven met een eigen voorbereiding, geen aanvullende verplichte stappen.
Stel voor een aantoonbaar persoonlijk apparaat vooraf de sectie Een werkprofiel instellen in de Android-BYOD-handleiding beschikbaar voor de overdracht aan de gebruiker. Deze leidt de gebruiker door Owner: Personal, het werkprofielpakket en het instellen van Mobile Control op het apparaat. Deze nieuwe inschrijving begint pas nadat de oude uitschrijving is bevestigd en vervolgens de juiste oude vermelding is verwijderd. Ook de controle van privacy en toestemming onder “Vóór het inschrijven” hoort hierbij; de BYOD-procedure geldt niet voor bedrijfsapparaten met een werkprofiel.
Ontbreekt een van deze voorwaarden, stop dan voordat je een van beide migratieroutes uitvoert. Test vóór een ingreep in productie de gekozen route op een geautoriseerd, representatief testapparaat. Voorbereide accounts, een opgeslagen pakket of zichtbare portalopties bewijzen nog niet dat apparaatinschrijving lukt. Controleer na de inschrijving de beheermodus, gebruikerstoewijzing, taakstatus en toegepaste beleidsregel in Sophos Mobile en op het apparaat.
Gedocumenteerde migratieroutes
Haal de twee gedocumenteerde routes niet door elkaar:
| Huidig apparaat | Gedocumenteerde doelmodus | Handeling volgens Sophos – uitsluitend na afzonderlijke toestemming |
|---|---|---|
| Eigendom van het bedrijf, momenteel apparaatbeheerder | Android Enterprise: volledig apparaatbeheer | Via Gerät anzeigen > Aktionen > Zurücksetzen wordt het apparaat teruggezet naar de fabrieksinstellingen; daarna opnieuw inschrijven. Sophos noemt de wizard ‘Gerät hinzufügen’, het Sophos Fusion Self Service Portal en inschrijving met QR-code of zero-touch als mogelijke routes. |
| Privéapparaat, momenteel apparaatbeheerder | Android Enterprise: werkprofielbeheer | Via Gerät anzeigen > Aktionen > Deregistrieren, daarna Aktionen > Löschen; pas vervolgens het werkprofiel opnieuw inschrijven. Sophos noemt de wizard ‘Gerät hinzufügen’ of het Sophos Fusion Self Service Portal. Een fabrieksreset is geen standaardstap voor BYOD. |
Deze menunamen komen uit de Duitstalige Sophos-help van 22 september 2026; in een Engelstalige console staan Show device > Actions > Wipe, Unenroll en Delete. Controleer vooraf de concrete menu’s, bevoegdheden en beschikbare inschrijfroutes in de doeltenant. Een Sophos Fusion-Wipe, een Mobile Admin-Zurücksetzen en het verwijderen van een al ingesteld werkprofiel zijn geen onderling uitwisselbare benamingen of migratiestappen. Bestaande bedrijfsapparaten met een werkprofiel en andere modi vereisen een afzonderlijk besluit; deze tweedeling is geen automatische indeling voor hen. Bronnen: migratie, uitschrijving en gevolgen.
Stop vóór elke destructieve handeling
- Bedrijfsapparaat: Vraag schriftelijke toestemming voor precies dit apparaat en de fabrieksreset; controleer lokale gegevens, zakelijke accounts, apps, authenticatie, een bruikbare back-up én de herstelmogelijkheid. Een geplande reset vernietigt lokale gegevens waarvan geen back-up bestaat. Een aantoonbaar werkende route voor herinschrijving in Android Enterprise, wifi of mobiele verbinding, noodzakelijke inloggegevens en bevoegdheden moeten beschikbaar zijn. Controleer Google-accounts en resetvergrendelingen vooraf voor het specifieke apparaat en de gekozen resetmethode. Sophos documenteert Factory Reset Protection voor volledig beheerde Android Enterprise-apparaten; daaruit volgt niet dat dezelfde FRP-configuratie al van toepassing was op resets in de oude apparaatbeheerdersmodus. Beloof geen omzeiling van FRP.
- Privéapparaat: Bespreek met de gebruiker de toestemming, de stand van persoonlijke en zakelijke gegevens en de gevolgen van de oude uitschrijving. Volgens de beschrijving van uitschrijving door Sophos wordt daarbij het apparaatbeheerdersrecht van Sophos Mobile Control gedeactiveerd, worden serverinloggegevens en ontvangen gegevens verwijderd en wordt Sophos Intercept X for Mobile gereset. Pas na bevestigde uitschrijving de bijbehorende vermelding verwijderen; een openstaande opdracht en een verdwenen consolevermelding bewijzen niet dat de oude inrichting op het apparaat is verwijderd. Het later verwijderen van een ingericht werkprofiel leidt tot verlies van de apps en lokale gegevens in dat profiel, niet tot herstel van het oude profiel. Garandeer niet dat persoonlijke gegevens behouden blijven zonder controle op het apparaat.
- Offline, onbekende toestand of vergrendeld apparaat: Beschouw de migratie niet als voltooid en start niet op goed geluk een tweede verwijder- of resetactie. Bespreek met de gebruiker en Sophos- of apparaatondersteuning de daadwerkelijke apparaatstatus, de aflevering van de opdracht en de geautoriseerde herstelroute. Een cloudopdracht is geen bewijs dat die is uitgevoerd.
Oude beleidsregel alleen als inventaris, niet als sjabloon voor Android Enterprise
De Android-apparaatbeleidsregel geldt voor de oude apparaatbeheerdersmodus. Voor Android Enterprise full device en Android Enterprise work profile gelden elk eigen beleidsregelfamilies. Stel vóór toestemming een gedocumenteerde bron-doelmatrix op voor alle 14 oude subconfiguraties; leg per rij de doelmodus, ondersteunde nieuwe instelling of het uitdrukkelijk ontbreken van een alternatief, OS/OEM/licentie, test, gevolgen en herstelroute vast:
| Oude configuraties | Te controleren afhankelijkheid – geen toezegging van een 1-op-1-overname |
|---|---|
| APN; Wi-Fi; VPN | Leg providerinstellingen en een alternatieve verbinding vast: een onjuiste Use as default APN kan mobiele data afsluiten. Neem oude wifi-/EAP-certificaten, SSID’s en VPN-typen niet ongecontroleerd over; WEP is geen veilige doelstandaard. Test een management-check-in via een onafhankelijke verbinding. |
| Client certificate; Root certificate; SCEP | Oude clientcertificaten en vertrouwensankers zijn aan beleidsregels gebonden; SCEP vereist de CA van de SCEP-server als rootconfiguratie. Toon doelidentiteit, uitgifte/vernieuwing, CA-vertrouwen en aanmelding voor wifi/VPN opnieuw aan; schakel certificaatvalidatie nooit uit om problemen te verhelpen. |
| App Control; App permissions; App Protection | Inventariseer blokkeerlijsten, runtime-machtigingen en beschermde apps. Het oude gedeelde appwachtwoord kan via andere apps/systeemfuncties of meerdere vensters worden omzeild; gelijkwaardige bedrijfsbeveiliging of automatische overdracht vanuit de Play Store is niet gegarandeerd. |
| Email account; Kiosk mode; Knox Premium restrictions | Controleer mailapp, Exchange-cloud, ondersteunde OAuth-aanmelding en daadwerkelijk mailverkeer afzonderlijk; een oud wachtwoordveld of Allow all certificates is geen fallback voor Exchange Online. Test de kioskapp, het starten ervan en de fysieke uitstapmogelijkheid vóór een reset. Inventariseer de Knox Premium-licentie en het apparaattype; leid uit de oude documentatie geen huidige Enterprise-pariteit af. |
| Password policies; Restrictions | De drempel voor mislukte aanmeldpogingen kan het apparaat wissen; test dit niet op productieapparaten. Controleer herstel, back-ups en de gevolgen per OS en modus van elke relevante vergrendeling en beperking; ga niet uit van dezelfde werking op privé- en bedrijfsapparaten. |
De historische subpagina’s beschrijven de oude instellingen, deels uit 2022–2023, niet de actuele ondersteuning van oude protocollen of OEM-functies op doelapparaten. De tabel laat zien welke afhankelijkheden vóór de migratie moeten worden gecontroleerd. Controleer vóór concrete aanbevelingen over beleidsregels beide volledige doelbeleidsregels en de eigen tenant. De afzonderlijke KB-onderwerpen over beleidsregels voor volledig beheerde apparaten, werkprofielbeleidsregels, Android-verbindingen, BYOD en FRP vervangen de toestemming voor migratie niet. Mailauthenticatie wordt daarnaast behandeld in het artikel over Exchange-migratie.
Pilot, stopcriteria en herstelroute
Voer pas een pilot uit op misbare, representatieve apparaten per modus wanneer eigendom, tenant en licentie duidelijk zijn en er een geautoriseerde herstelroute is. Stel vooraf de apparaatgegevens en bestaande beleidsregels veilig; bereid de nieuwe beleidsregel en inschrijfmethode afzonderlijk voor. Bevestig tijdens de pilot de uitvoering van de opdracht op het apparaat, controleer de nieuwe beheermodus en de daadwerkelijke toewijzing, en observeer apps, accountaanmelding en mailverkeer, kiosk (indien aanwezig), wifi/VPN, certificaatuitgifte en -vernieuwing en persoonlijke gegevens na de BYOD-omzetting. Beslis pas over meer apparaten nadat de werking is aangetoond.
Bij onbereikbaarheid, een onduidelijke gegevensstatus, een verkeerd apparaat of verkeerde modus, mislukte aanmelding of resetvergrendeling: stop en escaleer. Bepaal vóór de ingreep welke ondersteuning verantwoordelijk is, welke onafhankelijke verbinding werkt en hoe het apparaat opnieuw beschikbaar wordt gemaakt. Rollback betekent niet dat een fabrieksreset of verwijderd werkprofiel ongedaan kan worden gemaakt: herstel is alleen mogelijk uit aantoonbaar bruikbare back-ups en via geautoriseerde herinschrijving; onmiddellijke aflevering van opdrachten op afstand en identieke werking van beleidsregels zijn niet aangetoond. Zonder tenant- en apparaattest geen productiehandleiding voor de migratie of succesgarantie.