Sophos Mobile: macOS-connectiviteit beheren met apparaat- of gebruikersbeleid

Dit artikel behandelt Sophos Mobile-beleid op beheerde Macs, niet de algemene configuratie van Apple-wifi of -VPN, Sophos Endpoint, ZTNA of een Sophos Firewall. Zie voor clientinstallatie en externe toegang via de firewall in plaats van Mobile-beleid Sophos Connect op macOS. Apparaat- en gebruikerscontext staan los van elkaar: identieke configuratienamen betekenen niet dat identiteit, certificaattoegang en het moment van toepassing uitwisselbaar zijn. Alleen een profieltoewijzing bewijst niet dat een verbinding werkt.

Voorwaarden: beveilig eerst de beheer- en terugvalroute

• Controleer of de Mac bij Sophos Mobile is geregistreerd, welke macOS-versie erop draait, welk beleid al is toegewezen en of voor de benodigde functie een apparaat of een specifieke gebruiker moet worden beheerd. Macs hebben in Sophos Mobile maar één beheermodus, maar er is apparaat-, declaratief en gebruikersbeleid. Apple User Enrollment voor privé-iPhones en -iPads is geen macOS-registratiemodus. Bij handmatige registratie van een Mac moet de te beheren gebruiker de registratie uitvoeren en voor het registratieprofiel een beheerderswachtwoord invoeren; controleer bij automatische registratie via Apple Business onder Assign user to device of No (geen gebruikerstoewijzing tijdens de registratie) of Yes - LDAPS authentication is gekozen. Leid de gebruikerstoewijzing niet af uit het apparaatbeleid.
• Apparaatbeleid geldt voor alle gebruikers van de Mac. Gebruikersbeleid geldt voor de gebruiker die zich lokaal registreert en voor netwerkgebruikers die Sophos Mobile kent uit de externe LDAP-directory van het Self Service Portal. Als het apparaatbeleid een Mac koppelt aan hetzelfde AD-domein als het Self Service Portal, wordt het gebruikersbeleid toegepast op alle AD-gebruikers die zich op die Mac aanmelden. Controleer dit met de beoogde accounts voordat je beleid breed toewijst.
• Naast het apparaatbeleid voor de registratie kan aan een Mac één aanvullend apparaatbeleid, één declaratief beleid en één gebruikersbeleid worden toegewezen. Leg vóór elke wijziging aan een payload de doel-Macs, betrokken gebruikers en groepen en alle toewijzingen van het bestaande beleid vast: wijzig voor een pilot nooit beleid dat al buiten de pilot is toegewezen. Documenteer bestaande wifi-, VPN-, proxy- en certificaatpayloads en hun eigenaar; conflicterende instellingen worden in beginsel volgens de strengere waarde behandeld, met een bijzondere voorrang voor declaratieve configuraties voor software-updates en apps. Overschrijf bestaande profielen niet met ongecontroleerde aanvullende toewijzingen.
• Voorafgaande controle uitsluitend voor macOS 26 met gebruikersbeleid: onderzoek bij de status Failed to apply the policy de geschiedenis van eerder toegewezen Restrictions-configuraties: de verouderde sleutel Allow Time Machine kan in ouder toegewezen beleid blijven staan, ook als deze niet meer zichtbaar is in de configuratieopties. Vereis niet dat de sleutel in de huidige interface gevonden wordt. Als deze historische oorzaak wordt vermoed, stop de pilot en de beoordeling van de wifi-, VPN- en certificaatpayloads van dit gebruikersbeleid: volgens Sophos kan dan het volledige gebruikersbeleid niet worden toegepast, niet alleen de beperking. Stem het gecontroleerd opschonen en opnieuw controleren af met de verantwoordelijken voor het macOS-beleid voor beveiliging en privacy; wijzig gedeeld productiebeleid niet stilzwijgend. Dit is geen algemene fout van alle Macs met macOS 26 of van apparaatbeleid.
• Zorg voor onafhankelijke toegang tot de pilot-Mac (bijvoorbeeld een werkend alternatief netwerk en lokale beheerderstoegang). Stem SSID, RADIUS-/VPN-eindpunt, DNS, PKI-vertrouwensketen, certificaatverloop, bereikbaarheid van PAC/proxy en zo nodig de VPN-app van een derde partij vooraf af met de betrokken beheerders. Neem toegangswachtwoorden en .pfx-bestanden niet op in tickets of openbare opslaglocaties. Controleer in de tenant welke product-, licentie- en OS-versies voor de concrete omgeving zijn vrijgegeven; de configuratiepagina’s bieden geen universele vrijgave voor iedere macOS-versie.

Keuze: welk beleid en welke afhankelijkheden?

Belangrijk bij Enterprise-wifi: Voor Identity certificate vereist Sophos Mobile eerst een Client certificate-configuratie in hetzelfde beleid; voor Trusted certificates eerst een Root certificate-configuratie. De Wi-Fi-payload heeft bovendien een eigen veld Proxy voor handmatige instellingen of PAC; dit is niet hetzelfde als Global HTTP proxy. Het clientcertificaat is ook toegankelijk voor andere configuraties binnen hetzelfde beleid, niet voor andere beleidsregels; upload het daar opnieuw. Apple beschrijft op platformniveau dat een SCEP-identiteit aan een dienst in hetzelfde configuratieprofiel kan worden gekoppeld; Apple’s concrete voorbeeld voor Wi-Fi EAP-TLS gebruikt echter een AD-certificaat. Dat bewijst niet dat Sophos Mobile een SCEP-identiteit aanbiedt in zijn Wi-Fi-veld Identity certificate of een dergelijke koppeling uitrolt: de Sophos-help voor Wi-Fi noemt in plaats daarvan de Client certificate-configuratie als voorwaarde. Plan geen SCEP-afhankelijkheid voor de eerste toewijzing of voor productiewifi. Overweeg deze variant alleen als operationele route wanneer de daadwerkelijke koppeling in de eigen tenant, op de beheerde pilot-Mac én door een geslaagde EAP-/RADIUS-aanmelding is aangetoond; stop met deze route als noch de selectiemogelijkheid noch de uitgerolde koppeling kan worden aangetoond. Stel bij EAP-TTLS/PEAP/EAP-FAST de Outer identity in zonder gevoelige gebruikersgegevens; volgens Sophos is die bij TLS 1.3 vereist. Stel het TLS-minimum en -maximum alleen samen in of laat beide leeg.

SCEP en sleutels: %_SCEPPROXYURL_% en %_CACHALLENGE_% verwijzen naar de SCEP-instellingen in Sophos Mobile. Na vervanging van de placeholders moet de Subject-waarde een geldige X.500-naam zijn: CN=%_USERNAME_% staat voor een gebruiker, CN=%_DEVPROP(SerialNumber)_% voor een Mac. Leid uit de keuze voor gebruikersbeleid niet af dat daarmee de juiste apparaatidentiteit wordt gebruikt. Controleer CA-vertrouwen, geldigheidsduur van het certificaat, sleutelexport, vervaldatum en de procedure voor heruitgifte voordat er voor het eerst een afhankelijkheid ontstaat; rootcertificaten vervangen geen clientcertificaat. Voeg voor meerdere roots telkens een afzonderlijke Root certificate-configuratie toe.

Andere apparaatpayloads: AirPrint voegt het printer-IP en Resource path (bijvoorbeeld ipp/print) toe aan de AirPrint-lijst. Directory service koppelt de Mac bij beleidstoewijzing aan een AD-domein; het join-account moet rechten hebben om computers toe te voegen en de OU moet kloppen. Waarschuwing: wijzigingen in de toewijzing van UID, User-GID of Group-GID kunnen ertoe leiden dat gebruikers geen toegang meer hebben tot eerder aangemaakte bestanden. Wijzig deze toewijzingen niet als netwerktest; plan de AD-koppeling en het terugdraaien ervan afzonderlijk met de verantwoordelijken voor AD en Macs.

Directory service: accounts, thuismap en rechten bepalen

Bepaal vóór de AD-koppeling met de verantwoordelijken voor AD en Macs of een lokale thuismap met een mobiel account of uitsluitend een netwerkthuismap nodig is. Als Create mobile account is geselecteerd, maakt macOS het account aan bij de eerste aanmelding met verbinding met de AD-server; daarna is aanmelden met AD-inloggegevens ook zonder verbinding met die server mogelijk. Met Require confirmation before creating a mobile account beslist de gebruiker of het mobiele account wordt aangemaakt; het aanmaken is dan niet gegarandeerd. Voor mobiele accounts is Force local home folder vereist: het gebruikersprofiel staat op het opstartvolume. Als deze optie wordt uitgeschakeld, worden uitsluitend netwerkthuismappen gebruikt. Schakel mobiele accounts daarom niet zonder meer voor iedere Mac in. Met Use UNC path from Active Directory koppelt macOS de thuismap die in het AD-gebruikersaccount is vastgelegd; stem onder Network protocol het passende protocol voor deze koppeling af met de verantwoordelijken en test de toegang tijdens de pilot.

Laat onder Administrative vóór toewijzing de volgende keuzes goedkeuren:

• Wachtwoordrotatie van het computeraccount: Password trust interval in days betreft het AD-computeraccount, niet het gebruikerswachtwoord. Een leeg veld betekent een automatische wijziging om de 14 dagen; 0 voorkomt automatische wijzigingen. Stem het interval af met het AD-beheer; stel 0 niet in als snelle oplossing voor een verbindingsprobleem.
• LDAP-beveiliging: Voor Packet signing / Packet encryption geldt één gezamenlijke beschrijving: Allow laat macOS bepalen of LDAP-verbindingen worden ondertekend en/of versleuteld; Disable schakelt beide uit; Require vereist altijd ondertekening en versleuteling; SSL/TLS gebruikt altijd LDAP via SSL/TLS. Leid daaruit niet af dat elke waarde in beide velden beschikbaar is: controleer de daadwerkelijke keuzemogelijkheden in de tenant en bepaal met het AD-team welke beveiliging vereist is. Verlaag de beveiliging niet om een aanmelding te laten slagen.
• Aanmeldbereik: Multi-domain authentication maakt aanmelding mogelijk voor gebruikers uit alle domeinen van het AD-forest. Dit verruimt het aanmeldbereik en is niet hetzelfde als de hierboven beschreven toepassing van het gebruikersbeleid van het Self Service Portal. Bij Namespace = Forest kunnen gebruikers uit verschillende domeinen dezelfde naam hebben; aanmelden gebeurt als DOMAIN\name. Bij Domain is de ondersteuning voor naamruimten uitgeschakeld en moeten aanmeldnamen uniek zijn. Leg toegestane domeinen en accounts vooraf vast; de naamkeuze vervangt geen goedkeuring van het aanmeldbereik.
• Lokale beheerdersrechten: Leden van de AD-groepen die onder Domain administrator groups zijn ingevuld, krijgen beheerdersrechten op de Mac. Dit staat los van de rechten van het join-account om een computer toe te voegen. Vul alleen goedgekeurde groepen in als DOMAIN\group en let op hoofdletters en kleine letters. Leg voor de pilot vast welke accounts standaardgebruiker blijven en welke lokale beheerdersrechten moeten krijgen.

De pilot toewijzen en het effect controleren

1. Baken eerst de pilot af: controleer de inventaris van de specifiek aangewezen Macs en betrokken gebruikers, groepslidmaatschap, bestaande beleidstypen en toewijzingen en werkende alternatieve toegang. Stel bij bestaand beleid alle toegewezen apparaten en groepen vast; als dit ook buiten de pilot is toegewezen of de reikwijdte onduidelijk is, bewerk het dan niet. Vergelijk vóór het vervangen van het bestaande macOS-apparaat- of gebruikersbeleid alle payloads en afhankelijkheden en bereid voor precies deze doelapparaten een gelijksoortige terugvalroute voor. Gebruik ook een groepstoewijzing alleen als het lidmaatschap en toekomstige uitbreidingen beheerst worden; kies anders afzonderlijke apparaten.
2. Maak in Policies > macOS via Create een nieuw, geïsoleerd testbeleid van het juiste type; gebruik een kopie alleen als zelfstandig nieuw beleid zonder overgenomen toewijzingen. Controleer vóór de eerste aanpassing van een payload dat dit testbeleid niet is toegewezen aan apparaten of groepen buiten de goedgekeurde pilot. Laat breed toegewezen productiebeleid ongewijzigd. Stel naam, beschrijving en organisatienaam in; maak met Add configuration voor Enterprise-wifi eerst Root certificate en bij certificaatauthenticatie Client certificate aan binnen hetzelfde beleid, en configureer daarna Wi-Fi. Voeg VPN-/proxyconfiguraties alleen toe nadat aan de bijbehorende afhankelijkheden is voldaan. Configureer SCEP eventueel afzonderlijk: de algemene Sophos-handleiding voor het maken van beleid noemt een SCEP renewal interval op beleidsniveau wanneer SCEP is toegevoegd, maar de macOS-SCEP-veldlijsten bevatten geen dergelijk configuratieveld. Controleer in de tenant of dit beleidsinterval daadwerkelijk beschikbaar is voor het gekozen macOS-type; stem de vervaldatum en procedure voor heruitgifte af met de PKI. Behandel SCEP niet zonder afzonderlijk bewijs als bron voor het Wi-Fi-veld Identity certificate. Sla op; leg de reikwijdte van de pilot, payloads en oorspronkelijke toestand vast voor de terugvalroute.
3. Selecteer de blauwe driehoek van het geïsoleerde testbeleid en kies Assign; kies onder Select devices uitsluitend de geïnventariseerde pilot-Macs of de eerder gecontroleerde en beperkte apparaatgroep en vervolgens Finish. Controleer vóór afronding de geselecteerde doelen nogmaals aan de hand van de inventaris; controleer daarna de daadwerkelijke toewijzingen en stop bij een onverwachte doelgroep. De selectie in deze stap beschermt niet tegen wijzigingen aan beleid dat eerder al breed is toegewezen. Het macOS-pad heeft hier geen Now-/Date-planner voor de toewijzing.
4. Controleer op de pilot-Mac onder System Settings / System Preferences > Profiles de toegewezen profielen in de juiste context. Een wijziging in apparaatbeleid wordt van kracht bij de volgende apparaatsynchronisatie; een wijziging in gebruikersbeleid bij de volgende aanmelding van de betrokken gebruiker. Voor een wijziging in macOS-beleid is geen handmatige Update devices-stap zoals bij iOS nodig. Leg de toewijzings-/taakstatus en de lokale profielweergave vast, maar beschouw die niet als functietest.
5. Test het effect, niet alleen de profielstatus: controleer met de beoogde gebruiker de wifi-SSID en verbinding en vergelijk voor Enterprise EAP de verwachte serververtrouwensketen en gebruikte clientidentiteit met het RADIUS-/PKI-team. Breng het VPN actief tot stand en controleer DNS/routes en bereikbare én niet bereikbare doelen aan de hand van het plan voor de gesplitste of volledige tunnel; test bij proxy/PAC echte HTTP(S)-toegang en het authenticatiepad. Controleer certificaten op fingerprint, geldigheid en gebruiksdoel in de juiste sleutelhanger. Test ook een tweede gebruiker als de werking voor het hele apparaat of AD-domein relevant is. Voer alleen een AirPrint-testafdruk en AD-aanmelding uit als die payloads daadwerkelijk worden ingevoerd. Controleer bij Directory service de eerste online aanmelding met een goedgekeurd AD-account en de toegang tot de gekozen lokale thuismap of netwerkthuismap; controleer bij UNC ook de verwachte koppeling. Als een mobiel account is voorzien, controleer dan of het daadwerkelijk is aangemaakt, inclusief eventuele bevestiging door de gebruiker, en meld daarna opnieuw aan zonder verbinding met de AD-server. Behoud daarbij de onafhankelijke lokale toegang. Controleer daarnaast de verwachte standaardgebruikers- en beheerdersrechten en test, waar de afbakening van het aanmeldbereik dit vereist, met een daarvoor goedgekeurd testaccount buiten de toegestane domeinen of accounts of de aanmelding wordt geweigerd. Controleer met het AD-team de afgesproken LDAP-beveiliging van de daadwerkelijke verbinding en het effectieve rotatie-interval van het computeraccount; controleer een later verschuldigde wachtwoordwijziging afzonderlijk en beschouw de eerste aanmelding niet als bewijs dat die geslaagd is. Stop de uitrol bij onverwachte toegang tot thuismappen, een afwijkend aanmeldbereik, afwijkende beveiliging of onverwachte rechten en betrek de verantwoordelijken voor AD en Macs.
6. Sta pas na een geslaagde verbinding, een nieuwe aanmelding en een beheersynchronisatie een volgende pilotgolf toe. Plan certificaatrotatie met een periode van overlap: controleer eerst of het nieuwe vertrouwen en de nieuwe identiteit werken en verwijder daarna pas de oude CA of authenticatiemethode. De keuze van een CA voor TLS-inspectie op de firewall en algemene Apple-netwerkprofielen vallen buiten deze beslissing over macOS-Mobile-beleid.

Terugvalroute bij verbindingsverlies of een verkeerde doelgroep

1. Stop de uitrol en leg alle daadwerkelijk betrokken accounts, apparaten, groepen en profielversies vast; vergelijk via de onafhankelijke toegang het huidige profiel met de laatst werkende combinatie. Controleer vóór elke correctie opnieuw alle toewijzingen van het testbeleid en het herstelbeleid. Verwijder niet meteen de enige verbinding of CA waarmee Sophos Mobile de Mac nog kan bereiken.
2. Ga er bij macOS niet van uit dat de algemene actie Uninstall policy beschikbaar is: volgens de beheerdershandleiding van Sophos is die alleen toegestaan voor Android-apparaatbeleid, Knox-containerbeleid en iOS-apparaatbeleid. Corrigeer de payloads van het testbeleid alleen als aantoonbaar is dat het uitsluitend aan de pilot is toegewezen en wacht vervolgens op apparaatsynchronisatie of gebruikersaanmelding. Wijzig anders geen beleid met toewijzingen buiten de pilot: beperk eerst met de verantwoordelijken de reikwijdte en gebruik de onafhankelijke toegang. Wijs als alternatief uitsluitend aan de betrokken pilot-Macs een voorbereid, werkend beleid van hetzelfde type toe; controleer vooraf ook de toewijzingen en payloads daarvan, bewerk geen gedeeld productiebeleid voor de terugvalroute en voer geen globale groeps- of Unassign-actie uit. Controleer bij vervanging van eerder toegewezen beleid de afhankelijkheden en de effectieve gebruikers-/apparaatcontext. Gebruikersbeleid lokaal verwijderen is geen duurzame terugvalroute: bij de volgende aanmelding wordt het opnieuw toegewezen. Verwijder het registratieprofiel niet als rollback; daarmee wordt de Mac afgemeld en zijn beheerdersrechten nodig.
3. Controleer vóór intrekking van een oude root-CA alle afhankelijke wifi-/VPN- en SCEP-/clientcertificaten, evenals de werkende alternatieve route; riskeer bij een gewijzigde AD-toewijzing of UID-mapping geen bestandsrechten door blind tussen profielen te wisselen. Toon op dezelfde pilot-Mac aan dat de netwerkverbinding, aanmelding, certificaatketen en synchronisatie met Sophos Mobile zijn hersteld. Blijft de Mac onbereikbaar voor beheer, schakel dan lokale Mac-/netwerk-/PKI-ondersteuning in met de gedocumenteerde waarden van vóór en na de wijziging.

Validatiebereik: Er is hier geen combinatie van macOS-versie en tenant in een lab geverifieerd. Voor deze voorwaardelijke documentatie is geen algemene tenant-/labtest vóór publicatie vereist. Controleer vóór een productie-uitrol in de specifieke omgeving of een claim dat de verbinding werkt op een geautoriseerde pilot-Mac de editie/licentie, macOS-versie, beleidsreikwijdte en Apple Business-gebruikerstoewijzing, apparaatsynchronisatie en gebruikersaanmelding, PKI-vertrouwen, Enterprise-wifi-EAP en de daadwerkelijk gebruikte clientidentiteit. Voor SCEP als wifi-identiteit moet in de eigen tenant worden aangetoond of de uitgegeven identiteit kan worden geselecteerd in het Sophos-veld Identity certificate of anderszins daadwerkelijk aan het uitgerolde Wi-Fi-profiel wordt gekoppeld; daarnaast moeten de identiteit/fingerprint in de juiste apparaat- of gebruikerssleutelhanger en een geslaagde EAP-/RADIUS-aanmelding met precies dit certificaat op de beheerde pilot-Mac worden gecontroleerd. Alleen een uitgegeven certificaat of geïnstalleerd profiel volstaat niet. Ook voor SCEP als VPN-identiteit moeten de selectie of uitgerolde koppeling, de juiste sleutelhanger-/gebruikerscontext en een geslaagde VPN-aanmelding met het verwachte certificaat op de pilot-Mac worden aangetoond; de Sophos-help voor VPN noemt certificaatvelden, maar geen koppelingstraject voor SCEP. De koppeling van SCEP aan wifi/VPN is nog onopgelost en is geen operationele route zonder een geslaagde geautoriseerde pilot. Test vóór productiegebruik op het apparaat de VPN-app/provider/authenticatie, certificaatrotatie, onafhankelijke toegang en het vervangen en herstellen van beleid.