Sophos Fusion-aanmelding beveiligen met MFA, passkeys en IdP

Sophos Fusion (voorheen Sophos Central) beheert policies, uitzonderingen, Live Response en apparaatisolatie. Een gecompromitteerd beheerdersaccount kan daarom meer schade veroorzaken dan één besmet endpoint. MFA is de minimumeis, maar vervangt geen passende rollen of herstelproces.

Partner-, Customer- en Enterprise-toegang onderscheiden

Voor Sophos Fusion Partner geldt uitdrukkelijk: elke Partner-beheerder moet minstens twee MFA-methoden registreren en bij elke aanmelding MFA gebruiken. Passkeys en TOTP-authenticatorapps worden ondersteund; voor de aanmelding kan een van de geregistreerde methoden worden gebruikt. Bij de eerste registratie worden een wachtwoord en minstens één TOTP-app ingesteld; passkeys kunnen daarna worden toegevoegd. Zodra Sophos vraagt om twee methoden te registreren, wordt die registratie voltooid. De volgende paragrafen leggen uit hoe TOTP en passkeys worden ingesteld en hoe onafhankelijke apparaten worden gekozen.

Een Partner-account en een beheerde Customer-tenant vormen echter niet hetzelfde beheerbereik. De Partner-eis betekent niet dat MFA-, SSO- of herstelinstellingen automatisch worden overgenomen door Customer- of Enterprise-accounts. Controleer vóór een wijziging in welk portaal je bent aangemeld en bij welk account de betrokken identiteit hoort. Bij een MFA-reset bepaalt dit bereik welke beheerder bevoegd is en welke procedure juist is: de Super Admin van de Customer-tenant of de Partner Super Admin in het Partner-portaal. De hieronder beschreven Customer- en Partner-procedures vervangen geen afzonderlijk gecontroleerde Enterprise-herstelprocedure.

MFA direct en redundant instellen

Elke beheerder registreert minstens twee MFA-methoden en gebruikt MFA bij elke aanmelding. Sophos ondersteunt passkeys en authenticatorapps met tijdgebaseerde eenmalige codes, afgekort TOTP.

Gebruik voor accounts met uitgebreide rechten onafhankelijke methoden, bijvoorbeeld een passkey op een hardware security key en een authenticatorapp op een ander apparaat. Twee passkeys op dezelfde laptop zijn geen echte redundantie. Sophos noemt ook twee passkeys op afzonderlijke apparaten of twee gescheiden authenticatorregistraties als mogelijke combinaties.

Bewaar vervangende hardware security keys en gedocumenteerde herstelinformatie in een beschermde bedrijfskluis, niet in de persoonlijke wachtwoordmanager van één medewerker of in een open ticket.

Per beheerdersaccount zijn maximaal tien TOTP-authenticatorapps mogelijk. Een authenticator-browserextensie is technisch mogelijk, maar komt van een derde partij en wordt niet door Sophos ontwikkeld of ondersteund. Controleer vóór installatie de uitgever, rechten, het updatepad en het bedrijfsbeleid. Voor accounts met uitgebreide rechten biedt een extensie in hetzelfde browserprofiel als de Sophos Fusion-sessie geen goede scheiding van factoren.

Beheer methoden onder Manage login settings of Manage MFA. Alleen lokaal uit de app verwijderen verwijdert de Sophos Fusion-registratie niet. Test eerst een tweede methode, verwijder daarna de oude registratie en reset pas dan het oude apparaat.

Een authenticatorapp configureren

Open na aanmelding met de bestaande methode profielpictogram > My info > Manage MFA of Sophos ID > My Profile > Manage MFA voor dezelfde beheerpagina. Authenticeer opnieuw, kies het pluspictogram bij Multi-Factor Authentication, vervolgens Authentication App onder Set up MFA method en daarna Set up now.

Scan de eenmalige QR-code met de goedgekeurde authenticatorapp, voer de gegenereerde beveiligingscode in Sophos Fusion in, geef optioneel een unieke apparaatnaam en kies Continue. Successful enrollment bevestigt de registratie; een volgende Continue voltooit de workflow. Voer bij een testaanmelding na e-mailadres en wachtwoord de actuele verificatiecode van de app in.

Een account kan maximaal tien authenticatorapps hebben. Bewaar de QR-code of het onderliggende TOTP-secret nooit als screenshot. Configureer na de test een tweede onafhankelijke methode voordat een oud apparaat of oude registratie wordt verwijderd.

Een browsergebaseerde authenticatorapp configureren

Een browserextensie kan TOTP-codes genereren, maar mag voor accounts met uitgebreide rechten alleen na een bewuste risicoafweging worden gebruikt. De volledige procedure is als volgt:

1. Open in Sophos Fusion profielpictogram > My info > Manage MFA en bevestig de toegang met een bestaande methode.
2. Kies onder Multi-factor Authentication het pluspictogram, selecteer Authentication App en open Set up now.
3. Laat de eenmalig weergegeven QR-code geopend. Installeer in een afzonderlijk tabblad alleen de goedgekeurde extensie uit de officiële extension store van de browser.
4. Keer terug naar de QR-codepagina, open de extensie naast de adresbalk en kies daarin Add Account > Scan QR from screen.
5. Voer de gegenereerde eenmalige code onder Verify Your Device > Security Code in, geef desgewenst een unieke apparaatnaam op en kies Continue.
6. Controleer onder profielpictogram > My info > Manage MFA of de nieuwe methode geregistreerd is. Test vervolgens of gebruikersnaam, wachtwoord en de code uit de extensie bij een nieuwe aanmelding werken.

De QR-code is een eenmalig registratiegeheim en mag niet als screenshot worden bewaard of in een ticket worden verstuurd. Controleer vóór goedkeuring de uitgever, gevraagde browserrechten, updatebron en datasynchronisatie van de extensie. Omdat browserprofiel, Sophos Fusion-sessie en TOTP-secret anders op dezelfde plaats staan, blijft een afzonderlijke methode op een ander apparaat of een hardware security key noodzakelijk.

Geregistreerde MFA-methoden beheren

Open profielpictogram > My info > Manage MFA of Sophos ID > My Profile > Manage MFA. Na herauthenticatie toont Sophos Fusion alle geregistreerde methoden, hun standaard- of weergavenaam en het laatste gebruik.

Voeg met het pluspictogram een authenticatorapp of passkey toe; maximaal tien registraties per methodetype. Kies in het driepuntenmenu Rename, voer een nieuwe naam in en bevestig met het vinkje. Delete verwijdert de registratie uit Sophos Fusion.

Minstens twee MFA-methoden moeten geregistreerd blijven. Zodra alleen het vereiste minimum resteert, blokkeert Sophos Fusion verdere verwijdering. Continue sluit het beheer en keert terug naar het dashboard. Test een nieuwe methode in een aparte aanmelding voordat de oude wordt verwijderd.

Een passkey configureren en opslag kiezen

Voeg pas een passkey toe nadat een authenticatorapp is ingesteld. Open profielpictogram > My info > Manage MFA, herauthenticeer, kies het pluspictogram en Passkey. Het besturingssysteem of de credential manager begeleidt PIN- of biometrische verificatie; op Windows kan dit bijvoorbeeld een vingerafdruk via Windows Hello zijn. Kies na Passkey Saved OK, controleer de nieuwe registratie en voltooi met Continue.

De opslaglocatie maakt deel uit van de beveiligingsbeslissing. Mogelijkheden zijn een credential manager op de lokale computer, zoals de browser, het besturingssysteem of de zakelijke wachtwoordmanager, een apparaatgebonden authenticator zoals een YubiKey of een mobiel apparaat via een QR-codeprocedure. Registreer passkeys op meer dan één gecontroleerd apparaat om uitval op te vangen. Sophos Fusion ondersteunt maximaal tien passkeys.

Aanmelden met passkey of authenticatorapp

Open voor een passkeyaanmelding eerst fusion.sophos.com, voer het e-mailadres in en kies Continue. Op de passkeypagina start Login with passkey de eerder geregistreerde methode, bijvoorbeeld een vingerafdruk, apparaat-PIN of hardware security key. Na een geslaagde controle wordt het Sophos Fusion-dashboard geopend.

Als zowel een passkey als een authenticatorapp is geregistreerd, geeft Sophos Fusion de voorkeur aan de passkey. Via Try another way kan na invoer van het wachtwoord een andere methode worden gekozen. Voor de klassieke authenticatoraanmelding volgen op e-mailadres en Continue het wachtwoord en Sign in. Voer op MFA Validation Required de actuele code van de authenticatorapp in.

Test beide aanmeldroutes na de configuratie, een apparaatwissel en een browserupdate. Eén opgeslagen passkey biedt op zichzelf onvoldoende herstelmogelijkheden wanneer credential manager, apparaattoegang en Sophos Fusion-sessie van dezelfde storing of accountlockout afhankelijk zijn.

My info, rol en lokaal wachtwoord

Onder profielpictogram > My info ziet een beheerder de huidige rol, het Sophos Fusion-aanmeldadres en de instellingen voor wachtwoord en MFA. Een klik op de rolnaam opent alle bijbehorende rechten. Het e-mailadres is daarmee ook een belangrijk toewijzingskenmerk voor aanmelding, rolcontrole en supportcases.

Wijzig een lokaal Sophos-wachtwoord via My info > Password > Change password. Na verificatie toont Sophos Fusion het huidige wachtwoord vooraf ingevuld. Het nieuwe wachtwoord heeft minstens acht tekens, een kleine en hoofdletter en een cijfer of speciaal teken. Na Reset Password meldt Sophos Fusion de beheerder automatisch met het nieuwe wachtwoord aan en keert terug naar het portal; het oude wachtwoord is onmiddellijk ongeldig. Wijzig bij federatieve aanmelding het wachtwoord bij de verantwoordelijke IdP.

De accountgegevens bevatten ook persoonlijke e-mailabonnementen. Deze persoonlijke abonnementen zijn niet hetzelfde als de tenantbrede Alert-ontvangers onder Configure Email Alerts. Beheer de beheerders, distributielijsten en ticketsystemen die beveiligingsmeldingen ontvangen volgens Sophos Fusion Alert-e-mails en meldingen configureren.

Gevoelige acties beveiligen met transactie-MFA

Transaction Authentication using MFA vereist aanvullende authenticatie vóór bepaalde gevoelige acties in de Customer-tenant (CDB). Dit is geen algemene actiebeveiliging in het Partner- of Enterprise-dashboard. De bevestiging gebeurt met de passkey of authenticatorapp die al voor Sophos-MFA is geregistreerd. Volgens de aankondiging van 15 september 2026 staat de functie standaard uit.

Controleer vóór activering de juiste Customer-tenant, een Super Admin die de wijziging mag uitvoeren en een werkende geregistreerde MFA-methode. De benodigde rechten en licenties voor Live Response of de betreffende Response Action staan hier los van. Als een beheerder uitsluitend federatieve aanmelding mag gebruiken en MFA uitsluitend door de federatieve IdP wordt geleverd, is deze instelling voor die beheerder niet beschikbaar. Wijzig de IdP-configuratie niet alleen voor deze test.

1. Open als Super Admin in de Customer-tenant Global Settings > Access Control > Sign-in and Identity > Multi-factor Authentication en documenteer de huidige toestand. Ontbreekt de optie, controleer dan eerst tenant, rol en aanmeldroute; de aankondiging alleen bewijst niet dat de functie in de eigen tenant is vrijgegeven.
2. Informeer vóór het inschakelen de betrokken beheerders en sta pop-ups voor de Sophos-aanmelding toe. Blokkeert de browser deze, beoordeel dan een gerichte uitzondering voor sophos.com in plaats van de pop-upbeveiliging algemeen uit te schakelen.
3. Schakel onder Transaction Authentication using MFA de optie Require re-authentication before executing high risk operations in. Schakel niet per ongeluk de afzonderlijke optie Expand MFA Coverage in: die breidt MFA uit naar andere portaalaanmeldingen en kan na activering niet meer worden uitgeschakeld.
4. Open de pagina opnieuw en controleer of de instelling is ingeschakeld. De betrokken beheerders moeten zich daarna afmelden en opnieuw aanmelden, zodat de wijziging in hun nieuwe Fusion-sessie van kracht wordt. Een al geopende sessie is geen geldige werkingstest.

In de nieuwe sessie wordt herauthenticatie verwacht bij elke start van een Live Response-sessie. Bij een Response Action is die vereist als de laatste herauthenticatie niet binnen de voorafgaande 15 minuten plaatsvond. Dit is geen algemeen venster van 15 minuten voor Live Response en geen toezegging dat elk mogelijk actietype wordt afgedekt.

Controleer de MFA-prompt bij de volgende uitdrukkelijk goedgekeurde actie; start niet alleen voor een test een apparaatisolatie, andere Response Action of productie-Live Response-sessie. Ontbreekt de verwachte prompt, controleer dan eerst de nieuwe aanmelding, opgeslagen instelling, Customer-context, IdP-uitzondering en pop-upblokkering. Blijft het gedrag afwijken, keur de gevoelige actie dan niet goed als voldoende beveiligd, maar escaleer naar Sophos Support met tenant, tijdstip en waarneming, zonder aanmeldgegevens. De geraadpleegde help beschrijft het inschakelen, maar geen betrouwbare uitschakel- of rollbackprocedure; beloof daarom geen ongeverifieerde terugdraaimogelijkheid.

Apparaatgebonden sessies met DBSC begrijpen

Device Bound Session Credentials (DBSC) binden een sessie aan een cryptografische sleutel op het apparaat. De browser bewijst regelmatig dat hij deze sleutel bezit; daardoor is een gestolen sessiecookie op een ander apparaat minder bruikbaar. Dit is een extra beschermingslaag tegen sessiediefstal, geen vervanging voor MFA, veilige endpoints of bewust afmelden.

Sophos kondigde DBSC aan voor Customer-, Enterprise- en Partner-dashboards (CDB, EDB en PDB). Bij een ondersteunde browser en een ondersteund platform werkt de functie transparant; een klantinstelling of eigen DBSC-implementatie is niet nodig. De Sophos-aankondiging van 15 september 2026 noemt Google Chrome en Microsoft Edge vanaf versie 146 op Windows met TPM en vanaf versie 147 op macOS. Deze gegevens beschrijven de Sophos-ondersteuning in de aankondiging, geen garantie dat elke sessie de functie heeft.

Google beschrijft de onderliggende DBSC-mogelijkheid daarentegen al voor Chrome 145 op Windows. Dat is niet gelijk aan de hogere Sophos-drempel en bevestigt geen Edge- of macOS-ondersteuning voor Sophos Fusion. Zonder passende browser- en platformondersteuning mag DBSC niet als aanwezige bescherming worden ingepland. Inventariseer voor de invoering de daadwerkelijk gebruikte browser- en besturingssysteemversies; alleen een geslaagde aanmelding bewijst geen DBSC-binding.

Inactieve beheerderssessies beperken

MFA beschermt de aanmelding, maar niet een al geopende sessie op een computer die zonder toezicht is achtergelaten. Onder Connected Sessions bepaalt Session Idle Timeout na hoeveel uur inactiviteit een beheerder zich opnieuw moet aanmelden. Sophos documenteert deze instelling afzonderlijk voor het Customer-, Enterprise- en Partner-portal. Controleer daarom vóór een wijziging het gebruikte portal, het bijbehorende account of de tenant en de aanmeldroute. Bij toegang tot Customer-accounts via een Partner- of Enterprise-sessie is volgens de sessieaankondiging de timeout van die sessie bepalend. De Customer-waarde alleen beschrijft die sessie dus niet. Deze prioriteit is geen automatische kopie van Customer-instellingen en geen algemene overname van MFA-, SSO- of andere accountregels.

1. Open in het betreffende portal het pictogram Global Settings en kies Access Control > Sign-in and Identity > Connected Sessions.
2. Documenteer de huidige waarde onder Session Idle Timeout, zodat deze zo nodig kan worden teruggezet. Toegestaan zijn 1 tot 23 uur; de gedocumenteerde standaardwaarde is 3 uur.
3. Voer de maximale inactiviteitsduur in en kies Save. Voor beheerdersaccounts met uitgebreide rechten is 1 uur een bewust strikt Avanet-pilotvoorbeeld, geen Sophos-standaard. Een kortere waarde beperkt de tijd waarin een onbeheerd achtergelaten, inactieve sessie bruikbaar kan blijven, maar vereist in de praktijk vaker een nieuwe aanmelding. Stem de keuze af met de verantwoordelijke beheerders; de timeout vervangt noch schermvergrendeling noch bewust afmelden.

Open na het opslaan de pagina opnieuw en controleer de opgeslagen waarde. Voor de werkingstest meldt een testbeheerder zich in hetzelfde portal aan in een afzonderlijke browsersessie. Laat deze zonder bediening langer dan de ingestelde duur openstaan en open vervolgens een beveiligde pagina. Er wordt een nieuwe aanmeldprompt verwacht. Doorloop daarna met succes de daadwerkelijk gebruikte lokale of federatieve aanmeldroute, inclusief de daar vereiste MFA. Voer de test voor elk betrokken portal afzonderlijk uit.

Als de sessie na de ingestelde inactiviteitsduur bruikbaar blijft, controleer dan eerst het portal, de tenant, de opgeslagen waarde en mogelijke activiteit tijdens de test. Test daarna opnieuw met een nieuw aangemelde sessie. Blijft het resultaat afwijken, documenteer dan het portal, het tijdstip en de waarneming zonder aanmeldgegevens voor Sophos Support. Als de wijziging moet worden teruggedraaid, sla dan de gedocumenteerde vorige waarde opnieuw op en herhaal de controle.

Session Idle Timeout biedt geen garantie dat alle al geopende sessies onmiddellijk worden ingetrokken en vervangt geen maatregelen bij een gecompromitteerd account. Ook mag hieruit geen automatische overname tussen het Customer-, Enterprise- en Partner-portal worden afgeleid. Controleer bij een beveiligingsincident daarnaast de accounttoegang, rollen, IdP en Audit Logs.

Passkeys correct begrijpen

Passkeys zijn phishingresistent wanneer de sleutel aan het echte Sophos Fusion-domein is gebonden en met een apparaat-PIN of biometrie is beschermd. Een gesynchroniseerde passkey is handig, maar neemt de beveiligings- en hersteleigenschappen over van het gebruikte Apple-, Google- of Microsoft-account.

Voor Super Admins is een beheerde hardware security key een bijzonder robuuste methode. Controleer vóór een tenantbrede verplichting of noodtoegang, reservesleutels en offboarding werken.

Microsoft Authenticator ondersteunt een Sophos-passkey alleen in federatieve Entra ID-aanmelding; als TOTP-app werkt het wel. Cross-devicepasskeys kunnen Bluetooth, nabijheid en QR vereisen.

Per account kunnen maximaal tien passkeys worden geregistreerd. Het vervangen van oude factoren en de vergrendelingslogica worden hieronder afzonderlijk behandeld, omdat ze zowel TOTP- als passkeyaccounts betreffen.

Gedocumenteerde ondersteuning omvat Windows 10 en 11, macOS 10.15.7 of nieuwer, Android 9 of nieuwer en iOS/iPadOS 16 of nieuwer, met minimaal Chrome 118, Firefox 119, Safari 16 of nieuwer en Edge 119. Gebruikelijke stores zijn Windows Hello, Google Password Manager, iCloud Keychain en 1Password; Sophos noemt YubiKey 5 en YubiKey NFC als apparaatgebonden keys. Andere combinaties kunnen werken als browser- en OS-leveranciers de vereiste passkeyprotocollen ondersteunen.

Sophos schat dat dit ongeveer 98 procent van de gebruikte browser- en OS-combinaties en gangbare credential managers dekt. Dit is een bereikschatting, geen platformgarantie. Test de daadwerkelijk uitgerolde versies, synchronisatiepolicy en herstel.

Gesynchroniseerde passkeys werken voor de Sophos-aanmelding, maar de synchronisatie zelf blijft een functie van de credential manager. iCloud Keychain kan passkeys via dezelfde iCloud-identiteit over Macs, iPhones en iPads synchroniseren; de credential manager is verantwoordelijk voor synchronisatiefouten. Cross-devicepasskeys vereisen Bluetooth op computer en mobiel, fysieke nabijheid en een QR-codescanner.

Microsoft Authenticator kan een Sophos-passkey alleen gebruiken binnen federatieve Entra ID-aanmelding. Zonder deze aanmeldmethode verschijnt doorgaans Failed to add passkey of Microsoft Authenticator doesn’t support this passkey. De app blijft onafhankelijk als TOTP-app bruikbaar.

Bij 1Password Business kunnen Team- of Shared Vault-policies passkeyregistratie blokkeren. 1Password verschijnt dan in de enrollmentdialoog maar is uitgeschakeld. Laat de 1Password-beheerder enrollment in Team Policies toestaan; herhaald verwijderen van de Sophos MFA-methode corrigeert deze externe policy niet.

Verouderde MFA-methoden en accountlockout

SMS en e-mail plus PIN zijn verouderde MFA-methoden. Nieuwe Sophos Fusion-gebruikers moeten een TOTP-authenticatorapp of passkey gebruiken. Wanneer MFA wordt gereset voor een bestaande gebruiker met SMS of e-mail plus PIN, behandelt Sophos Fusion die gebruiker bij de nieuwe registratie eveneens als een nieuwe gebruiker en vereist TOTP of een passkey.

Na vijf opeenvolgende onjuiste aanmeldpogingen vergrendelt Sophos Fusion het account eerst één minuut; verdere pogingen verlengen tot maximaal vijf uur. Stop geautomatiseerde pogingen. Zonder tweede methode of Super Admin kan Sophos Support het account na identiteitscontrole ontgrendelen.

Federatieve aanmelding via een Identity Provider

Sophos Fusion kan de aanmelding delegeren aan een ondersteunde zakelijke Identity Provider. Dit vereenvoudigt Conditional Access, lifecyclebeheer en centrale blokkering. Sophos Fusion gebruikt daarbij SP-initiated SSO: de aanmelding begint bij Sophos Fusion en wordt vandaar naar de IdP doorgestuurd.

Verifieer eerst het organisatiedomein met een DNS TXT-record. Propagatie kan tot 24 uur duren. Een geslaagde verificatie is één jaar geldig en moet daarna worden vernieuwd. Koppel vervolgens de IdP aan het geverifieerde domein en activeer de gewenste aanmeldoptie pas als laatste. Dit vereist Super Admin-rechten.

Sophos Fusion kan uitsluitend federatieve aanmelding toestaan of daarnaast ook aanmelding met het e-mailadres en wachtwoord van Sophos Fusion. Bij Microsoft Entra ID toont Sophos Fusion beide opties, zelfs bij Federated credentials only. Bij andere identiteitsproviders verwijst deze instelling zonder keuzestap rechtstreeks door naar de IdP. Neem dit verschil in gedrag mee in lockouttests.

Selecteer de modus onder Global Settings > Access Control > Sign-in and Identity > Sophos sign-in. De keuze geldt doorgaans voor alle Sophos Fusion-producten. Custom Sign-in Rules kunnen voor afzonderlijke beheerders gecontroleerde Sophos-aanmelding als fallback behouden tijdens de pilot. Een gebruiker kan slechts aan één geverifieerd domein en Identity Provider worden toegewezen.

Bij Federated credentials only kunnen gebruikers hun Sophos-wachtwoord niet zelf resetten. Wanneer later weer uitsluitend naar Sophos sign-in wordt overgeschakeld, hebben deze accounts mogelijk nog geen bruikbaar wachtwoord en moeten ze Reset Password uitvoeren. Gebruikers van het Self Service Portal met uitsluitend federatieve aanmelding ontvangen geen afzonderlijke uitnodiging om een wachtwoord aan te maken, maar melden zich rechtstreeks via de IdP aan.

Expand MFA Coverage breidt de MFA-controle uit naar beheerde gebruikers in andere Sophos-portalen, zoals Self Service Portal, Partner Portal en Support Portal. Na activering kan deze optie niet meer worden uitgeschakeld. Sla de instelling daarom pas tenantbreed op nadat ze met de daadwerkelijk betrokken portalgebruikers is getest.

Maak vóór activering duidelijk:

• hoe e-mailadres en Sophos Fusion-login eenduidig worden gematcht,
• welke MFA- en toegangsregels bij de IdP gelden,
• hoe gast- en partneraccounts zich gedragen,
• welke geteste noodtoegang beschikbaar blijft,
• hoe lockout door een verkeerde domein- of IdP-configuratie wordt voorkomen.

Federatieve aanmelding synchroniseert geen Endpoint-gebruikers of apparaatgroepen. Dit zijn afzonderlijke functies.

Wanneer UPN en e-mailadres verschillen

Sophos Fusion identificeert het account eerst via het opgeslagen e-mailadres. Wanneer Microsoft Entra ID intern een andere User Principal Name gebruikt, vereist de Entra-app een aangepaste OpenID Connect-configuratie met de optionele email-claim en de juiste Microsoft Graph-rechten. De gebruiker voert in Sophos Fusion nog steeds het toegewezen e-mailadres in en meldt zich vervolgens op de Microsoft-pagina met de UPN aan.

De standaardinstructie volstaat wanneer e-mailadres en UPN identiek zijn. Test een afwijkende configuratie eerst met een testaccount, omdat een ontbrekende of verkeerde claim de toewijzing verhindert, ook wanneer de authenticatie bij Entra zelf geslaagd is.

Identity providers beheren en inschakelen

Alleen een Super Admin kan een federatieve Identity Provider beheren. Verifieer eerst minstens één geschikt domein. Onder Global Settings > Access Control > Sign-in and Identity > Federated identity providers maakt Add identity provider Microsoft Entra ID, OpenID Connect of Microsoft AD FS aan. Onvolledige providers kunnen worden opgeslagen, maar pas na volledige en geldige configuratie worden ingeschakeld.

Selecteer de volledig geconfigureerde provider en kies Turn on. Daarna kan deze voor federatieve aanmelding worden gebruikt. Providers kunnen op dezelfde plaats worden gewijzigd of verwijderd. Voordat Federated credentials only wordt ingeschakeld, moet iedere betrokken beheerder en gebruiker aan een geverifieerd domein en een ingeschakelde provider zijn toegewezen. Test de provider daarom eerst met afzonderlijke accounts en behoud een gecontroleerde fallback.

De uitvoerbare providerinstructies staan in Microsoft Entra ID als Identity Provider configureren, OpenID Connect en Okta voor Sophos Fusion configureren en Microsoft AD FS met Sophos Fusion verbinden.

Rollen blijven essentieel

MFA beschermt de identiteit, maar beperkt de bijbehorende rechten niet. Gebruik Super Admin alleen voor tenant-, rol-, API- en andere ingrijpende wijzigingen. Help Desk, Read-only en Custom Roles beperken de mogelijke schade van een fout of een gecompromitteerd account.

De productspecifieke toewijzing wordt uitgelegd in Sophos Central Endpoint-rollen en rechten plannen.

Verloren MFA-apparaat en lockout

Test het herstelproces voordat het nodig is. Gebruik eerst een tweede geregistreerde methode. Als geen enkele methode meer beschikbaar is, controleer dan vóór de reset de identiteit via een bekend, onafhankelijk bevestigd contactkanaal; alleen een e-mail met een resetverzoek is niet voldoende. Informeer de betrokken gebruiker via het afgesproken contactkanaal. Vraag de beller niet om wachtwoorden, passkeys, QR-codes of beveiligingscodes en sla die niet op in het ticket.

Voor een gebruikersaccount in de Customer-tenant geldt de volgende herstelprocedure:

1. Gebruik een tweede geregistreerde methode.
2. Vraag een Super Admin van de tenant om Reset MFA op het gebruikersobject te kiezen.
3. Voer bij de volgende aanmelding de beveiligingscode in die Sophos per e-mail heeft verstuurd.
4. Registreer twee nieuwe MFA-methoden en test of ze onafhankelijk beschikbaar zijn.
5. Als er geen andere Super Admin beschikbaar is, neem dan contact op met Sophos Support met verifieerbare accountgegevens.

Voor een Partner-identiteit gebruik je daarentegen de Partner Super Admin en de hieronder beschreven Partner-procedure. De Customer-verificatiemail is geen toezegging over het Partner-hersteldialoogvenster. Na de Partner-reset volgt de gebruiker de daadwerkelijk getoonde aanmeldings- en registratieaanwijzingen en herstelt minstens twee onafhankelijke methoden. Als er voor het Partner-account geen andere Super Admin beschikbaar is, neem dan contact op met Sophos Support; verdere mislukte aanmeldpogingen vervangen dit herstel niet.

Verwijder na herstel oude methoden, registreer nieuwe en controleer Audit Logs op ongebruikelijke aanmeldingen of wijzigingen.

Alleen de Sophos-entry in de authenticatorapp verwijderen, verwijdert de methode niet uit Sophos Fusion. Zij blijft daar geregistreerd maar levert geen geldige codes meer. Verwijder de methode daarom ook in Sophos Fusion of laat een Super Admin haar resetten. Als alle lokale methoden zijn verwijderd, blijven alleen een tweede geregistreerde methode, een reset door een andere Super Admin of het geverifieerde Sophos Support-proces over.

MFA resetten als Super Admin

Deze procedure geldt voor een gebruikersaccount in de Customer-tenant, niet voor de Partner-pagina Administer MFA.

Alleen een Super Admin kan de MFA-registraties van een andere gebruiker resetten. Open My Environment > Users & Groups > Users, open de gebruikersnaam en kies Reset MFA en daarna opnieuw Reset. Een statusmelding onderaan bevestigt de geslaagde reset.

Sophos Fusion verstuurt vervolgens automatisch een verificatiemail met een securitycode. Bij de volgende aanmelding moet de gebruiker deze code invoeren en MFA volledig opnieuw configureren. Controleer bezorging, identiteit van de aanvrager en geslaagde herregistratie; alleen een reset levert nog geen veilige toegang op. Wanneer het eigen account is vergrendeld en geen tweede Super Admin beschikbaar is, blijft alleen geverifieerd herstel via Sophos Support over.

MFA resetten in het Partner-account

De pagina Administer MFA is alleen zichtbaar voor een Partner Super Admin. Dit is de Partner-procedure voor beheerde identiteiten; het Customer-pad My Environment > Users & Groups > Users wordt hiervoor niet gebruikt. De beheerders van het Partner-account kun je controleren via Global Settings > Access Control > Admin & Roles > Admins.

1. Open in het Partner-portaal het pictogram Global Settings en kies onder Access Control de pagina Administer MFA.
2. Voer het volledige e-mailadres van de betrokken identiteit in. Alleen e-mailadressen die bij een Partner-account horen, kunnen worden opgezocht. Een gedeeltelijk adres is niet voldoende. Als er niets wordt gevonden, verschijnt er geen melding en ook geen foutbericht; dit is geen resetbevestiging. Controleer in dat geval de spelling en de accountkoppeling in plaats van een andere gebruiker te resetten.
3. Klik bij het resultaat dat ondubbelzinnig bij de identiteit hoort in de kolom Action op Reset MFA. Een aanduiding onderaan de pagina bevestigt de geslaagde reset.
4. Laat de gebruiker MFA opnieuw instellen. Controleer daarna een geslaagde aanmelding en minstens twee geregistreerde methoden die onafhankelijk beschikbaar zijn. Alleen een geslaagde reset bevestigt nog niet dat veilige toegang is hersteld.

Een verloren passkey wordt niet uit een ticket gereconstrueerd of vervangen door de sleutel van iemand anders te delen. Herstel vindt plaats via een nog beschikbare eigen methode of een bevoegde reset; controleer daarna oude of verloren registraties. Als de Sophos-entry alleen lokaal uit de authenticatorapp is verwijderd, blijft de registratie in het Partner-portaal bestaan, ook al levert die geen bruikbare codes meer. Het hierboven uitgelegde onderscheid tussen lokale verwijdering en verwijdering van de portaalregistratie blijft dus gelden.

MFA van een Customer-gebruiker resetten vanuit het Partner-portaal

Voor een gebruiker in een beheerde Customer-tenant beschrijft Sophos een afzonderlijke ingang:

1. Open My Business > My Customers en kies Customers.
2. Selecteer op Sophos Central Customers de juiste klant en kies Launch customer. Het Customer-account opent met zijn dashboard; controleer vóór de reset of het de juiste klant is.
3. Open My Environment > Users & Groups, selecteer de betrokken gebruiker en kies in diens profiel Reset MFA.
4. Controleer de succesmelding rechtsonder en rond het herstel met de gebruiker af, inclusief melding aan de gebruiker en herregistratie.

Deze Customer-ingang is niet de e-mailzoekfunctie op Administer MFA. Wie via Partner-SSO van het Partner-dashboard naar een Customer-tenant gaat, kan de MFA-instellingen van de Super Admins in die tenant niet wijzigen. Betreft het een Customer-Super-Admin, schakel dan een andere bevoegde Super Admin van die tenant in; als zo’n toegang ontbreekt, neem dan contact op met Sophos Support. De overstap naar de Customer-tenant heft deze beperking niet op.

Regelmatige controle

Controleer minstens elk kwartaal beheerders, rollen, API-aanmeldgegevens, MFA-methoden en externe identiteiten. Schakel bij vertrek of een rolwijziging niet alleen de Sophos Fusion-toegang uit, maar verwijder het account ook uit beheerdersrollen en relevante IdP-groepen.

Veelgestelde vragen