Sophos Endpoint geautomatiseerd uitrollen op Windows

Dit artikel behandelt uitsluitend de onbeheerde implementatie van SophosSetup.exe via softwaredistributie, RMM of scripts. Gebruik de afzonderlijk gelinkte artikelen voor één interactieve installatie en uitgebreide probleemoplossing.

RMM is hier een generieke uitvoeringsroute, geen door Sophos gecertificeerde productintegratie. Het gekozen hulpmiddel moet de installer als SYSTEM of lokale beheerder uitvoeren, pakket en wrapper samen klaarzetten, de echte exitstatus behouden en time-out en nieuwe pogingen beheerst afhandelen.

Scope en rolloutafspraken bepalen

Leg vóór de eerste run doelapparaten, onderhoudsvenster, verwacht product, doelgroep, netwerkroute en eigenaar vast. Begin met enkele representatieve pilotapparaten en ga alleen verder in begrensde waves. Controleer vóór elke wave de Core Agent-releasewijzigingen in Sophos Endpoint Updates, Cache en Message Relay; een gepubliceerde versie is door gefaseerde levering mogelijk nog niet overal beschikbaar.

Een procescode alleen maakt de deploymentjob niet geslaagd. De job moet de echte exitstatus teruggeven en het apparaat moet lokaal en in Sophos Fusion (voorheen Sophos Central) de afgesproken toestand bereiken.

Installer en vereisten voorbereiden

Download een nieuwe Windows-installer uit de juiste tenant onder My Environment > Installers met Download Complete Windows Installer. Ondanks dat label is SophosSetup.exe een lichte installer die de gelicentieerde functies downloadt. Sophos ondersteunt overdracht en geautomatiseerde uitvoering, ook met SCCM. Gebruik niet de gebruikersgebonden installer uit Email Deployment: alle apparaten zouden aan het Sophos Fusion-account van de afzender worden gekoppeld.

De installer is tenantgebonden en vertrouwelijk: een buitenstaander krijgt er geen portaltoegang mee, maar kan wel apparaten registreren. Verwijder kopieën na de rollout en distribueer alleen via opslag met toegangsbeheer. Na uitlekken blokkeert Expire Previously Downloaded Installers onder My Environment > Installers alle eerdere downloads; deze actie kan niet ongedaan worden gemaakt.

Vóór de pilot:

Bevestig dat Sophos Fusion de Windows-versie momenteel ondersteunt.
Zorg dat de implementatiecontext de vereiste verhoogde rechten biedt om endpointsoftware te installeren.
Controleer licenties. Een aangevraagd product waarvoor de tenant geen licentie heeft, wordt niet geïnstalleerd.
Pas de netwerk- en proxyvereisten voor Sophos Endpoint toe via firewall of proxy, waaronder uitgaand TCP 443 en DNS 53. Controleer de gedocumenteerde vereisten opnieuw vóór elke rollout in plaats van een oude statische lijst in het script te bewaren.
Test de keuze voor verwijderen of naast elkaar gebruiken van bestaande concurrerende beveiliging.
Zet SophosSetup.exe en argumenten lokaal of via beheerste softwaredistributie klaar. Het pakket moet horen bij de tenant waarin het apparaat wordt verwacht.

Pilotopdracht bouwen

Dit PowerShell-voorbeeld installeert XDR stil, plaatst de computer in subgroep Pilot onder Workstations, past twee tags toe en retourneert de echte procescode aan het deploymentsysteem:

$ErrorActionPreference = 'Stop'
$agentPaths = @(
    if (${env:ProgramFiles(x86)}) {
        Join-Path ${env:ProgramFiles(x86)} 'Sophos\Management Communications System\Endpoint\McsClient.exe'
    }
    if ($env:ProgramFiles) {
        Join-Path $env:ProgramFiles 'Sophos\Management Communications System\Endpoint\McsClient.exe'
    }
)
$installedAgent = $agentPaths | Where-Object {
    Test-Path -LiteralPath $_ -PathType Leaf
} | Select-Object -First 1
if ($installedAgent) {
    Write-Output "Sophos agent already installed: $installedAgent"
    exit 0
}

$installer = Join-Path $PSScriptRoot 'SophosSetup.exe'
if (-not (Test-Path -LiteralPath $installer -PathType Leaf)) {
    throw "SophosSetup.exe must be staged beside this wrapper: $installer"
}
$arguments = @(
    '--quiet'
    '--products=xdr'
    '--devicegroup=Workstations\Pilot'
    '--tag=Rollout:wave-0'
    '--tag=ManagedBy:RMM'
)
$process = Start-Process -FilePath $installer -ArgumentList $arguments -Wait -PassThru
$exitCode = $process.ExitCode
Write-Output "SophosSetup.exe exit status: $exitCode"
exit $exitCode

Deze wrapper is bedoeld voor nieuwe installaties. Als McsClient.exe al wordt gevonden, eindigt hij met code 0 en wijzigt hij noch de tenantregistratie, noch de productomvang, groep of tags. Controleer bestaande installaties afzonderlijk in Sophos Fusion en gebruik de daarvoor bestemde migratie- of beheerworkflow wanneer wijzigingen nodig zijn.

Backslashes geven bij --devicegroup de groepshiërarchie aan. Zet het hele pad tussen aanhalingstekens bij spaties, bijvoorbeeld --devicegroup="Application Servers\Terminal Servers". Een niet-bestaande groep of subgroep wordt aangemaakt. Gebruik dus bewust een pilotpad en controleer dit achteraf in Sophos Fusion.

Tags gebruiken --tag=<name>:<value>; alleen een naam, zoals --tag=Pilot, is ook geldig. Herhaal het argument voor meerdere tags.

Een implementatiemethode kiezen

De acceptatiecriteria blijven bij elk hulpmiddel gelijk: voer de tenantgebonden installer uit in de computercontext, beoordeel de procescode en controleer de verwachte toestand lokaal en in Sophos Fusion. De hier beschreven AD- en Intune-routes gebruiken de wrapper om een bestaande installatie te detecteren en de installercode ongewijzigd terug te geven. Bij directe MECM-uitvoering beheert een Application herhalingen via de Detection Method; bij een Package moeten toewijzing en planning onbedoelde herinstallaties voorkomen. Sophos documenteert Active Directory-opstartscripts, Microsoft Intune en MECM.

Active Directory-opstartscript

Sla de bovenstaande PowerShell-wrapper op als Deploy-SophosEndpoint.ps1. Deze kan als computeropstartscript worden toegewezen. Anders dan een aanmeldscript draait deze vóór de aanmelding met computerrechten; een aanmeldscript vereist een gebruiker die lokaal beheerder is. Bewaar de wrapper en SophosSetup.exe op een locatie die alleen beheerders kunnen wijzigen en doelcomputeraccounts kunnen lezen.

Koppel de GPO in Group Policy Management Console (gpmc.msc) eerst aan een pilot-OU. Het exacte pad is Computer Configuration > Policies > Windows Settings > Scripts (Startup/Shutdown) > Startup; gebruik voor PowerShell het tabblad PowerShell Scripts. Open Show Files… en kopieer zowel Deploy-SophosEndpoint.ps1 als de tenantgebonden SophosSetup.exe naar die map. Ze moeten naast elkaar staan zodat $PSScriptRoot de installer vindt. Selecteer daarna Deploy-SophosEndpoint.ps1 via Add… > Browse. Controleer Links en Security Filtering onder Scope; geef Read en Apply Group Policy alleen aan de pilotcomputers of een daarvoor bestemde computergroep. Voer gpupdate /force uit op een pilot en herstart. Sophos’ Batch-voorbeeld detecteert Sophos\Management Communications System\Endpoint\McsClient.exe onder %ProgramFiles(x86)% op 64-bit en %ProgramFiles% op x86. Een eigen wrapper mag een intern gevalideerde, minstens even specifieke detectie gebruiken. Controleer sharetoegang, computercontext, geen herinstallatie en logging van de exitstatus.

Microsoft Intune

Gebruik een account dat Intune mag beheren. Maak afzonderlijke bron-, uitvoer- en toolmappen; de gedocumenteerde voorbeelden gebruiken C:\Temp\IntunePackageSource, C:\Temp\IntunePackageOutput en C:\Temp\Intune-Win32-App-Packaging-Tool-master. Plaats SophosSetup.exe en de goedgekeurde wrapper in de bronmap en start Microsofts IntuneWinAppUtil.exe. Geef de bronmap, SophosSetup.exe als installatiebestand en de uitvoermap op en antwoord Catalog folder: N. Succes verschijnt als INFO File 'C:\Temp\IntunePackageOutput\SophosSetup.intunewin' has been generated successfully.

Open in Microsoft Intune admin center Apps > All Apps > Add, kies Windows app (Win32) en upload SophosSetup.intunewin via Select app package file. De gepubliceerde basis onder Program is SophosSetup.exe --quiet; stel voor deze uitrol Install command exact in op powershell.exe -NoProfile -NonInteractive -ExecutionPolicy Bypass -File ".\Deploy-SophosEndpoint.ps1". Het pakket moet Deploy-SophosEndpoint.ps1 en SophosSetup.exe naast elkaar bevatten, zodat de wrapper de pilotargumenten levert en $PSScriptRoot correct wordt opgelost. Stel voor de huidige ondersteunde Windows- en Core Agent-scope uit de gekoppelde verwijderingshandleiding Uninstall command exact in op "C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet (aanroep SophosUninstall.exe --quiet). Gebruik alleen op legacyplatforms in plaats daarvan "C:\Program Files\Sophos\Sophos Endpoint Agent\uninstallcli.exe" --quiet (aanroep uninstallcli.exe --quiet); volg die handleiding voor vereisten, beschermde producten en herstarts. Laat de standaardtoewijzingen voor Return code en Code type ongewijzigd, tenzij het geteste implementatiecontract een andere verwerking vereist. Kies architectuur en Minimum OS onder Requirements. Configureer onder Detection rules: Rule type: File, Path: %ProgramFiles%\Sophos\Sophos UI, File or folder: Sophos UI.exe, Detection method: File or folder exists. Test dit: de regel voorkomt herhaling, maar bewijst geen Sophos Fusion-registratie, producten of groep. Laat Dependencies en Supersedence ongewijzigd als ze niet bewust zijn ontworpen. Wijs eerst alleen de pilotgroep toe onder Assignments > Required. Observeer na Review + create de automatische installatie op ingeschreven apparaten. Windows Autopilot is Sophos’ aanbevolen inschrijvingsroute, geen pakketvereiste.

Microsoft Endpoint Configuration Manager (MECM)

Packages zijn de eenvoudige legacyroute; Applications voegen detectie, afhankelijkheden, vereisten en versies toe. Gebruik voor een Package Software Library > Application Management > Packages > Create Package, wijs This package contains source files naar de beschermde SophosSetup.exe-bron en maak een Standard program met SophosSetup.exe --quiet, Program can run: Whether or not a user is logged on, Run mode: Run with administrative rights en Drive mode: Runs with UNC name. Kies onder Deploy de pilot-Device Collection, Distribution Point, Purpose: Required, planning en gebruikerservaring.

Gebruik voor een Application Applications > Create Application > Manually specify the application information. Het Deployment Type gebruikt de UNC-bron en stelt Installation program exact in op SophosSetup.exe --quiet; deze directe MECM-opdracht verschilt van de bovenstaande Intune-opdracht met wrapper en neemt de product-, groeps- of tagopties uit het pilotvoorbeeld niet automatisch over. Voeg zulke opties bewust toe aan de directe opdracht of aan een voor MECM geteste wrapper. Verbind met And drie bestandsclausules: C:\Program Files\Sophos\Endpoint Defense\SEDService.exe zonder 32-bitkoppeling en C:\Program Files\Sophos\AutoUpdate\SophosUpdate.exe plus C:\Program Files\Sophos\Management Communications System\Endpoint\McsClient.exe als 32-bittoepassingen op 64-bit; elk bestand moet bestaan. Kies onder User Experience Installation behavior: Install for system, Logon requirement: Whether or not a user is logged on, Installation program visibility: Normal, geen gebruikersinteractie en de gedocumenteerde schatting van tien minuten. Distribueer daarna naar een pilotcollectie en Distribution Point met Purpose: Required.

Vervang voor elke methode het pakket onder wijzigingsbeheer. Verwijder oude kopieën, verwijzingen en toewijzingen pas na acceptatie van de nieuwe pilotwave. De opties hieronder kunnen afhankelijk van de route aan een directe installatieopdracht of wrapper worden toegevoegd; directe MECM-opdrachten nemen de pilotparameters niet automatisch over.

Opties bewust kiezen

De huidige Windows CLI-documentatie bevat onder meer deze ondersteunde opties:

--quiet, --noproxydetection, --nocompetitorremoval en --language=<ID> regelen interface, proxydetectie, verwijdering van concurrenten en taal.
--products=<lijst> accepteert endpoint, xdr, xdrsensor, deviceEncryption, ztna, all en none; scheid meerdere waarden met komma’s.
--devicegroup, --tag, --computernameoverride en --domainnameoverride bepalen plaatsing en getoonde identiteit. Gebruik overrides alleen met een eenduidig naamontwerp.
--crtcatalogpath=<pad> verwijst naar een eigen catalogus van te verwijderen concurrenten.
Gebruik --customertoken=<UUID> en --epinstallerserver=<URL> alleen als de specifieke automatiserings- of partnerworkflow deze door Sophos geleverde waarden vereist.
--registeronly registreert bestaande Sophos-bescherming bij een ander account. Tamper Protection moet eerst op het apparaat uitgeschakeld zijn en de installer moet uit het doelaccount komen.
--goldimage, --notificationmode, --goldimagetimeout=<seconden> en --nonpersistent horen bij een afzonderlijk gevalideerde VDI-gold-imageworkflow met Sophos’ minimumversies, niet bij een normale werkplekrollout.

Sophos beperkt --bypassacscheck tot verouderde Windows 10 x86-platforms. --bypasstaegisidcheck omzeilt een Taegis-tenant-ID-controle. Voeg zulke bypasses niet uit voorzorg aan een standaardpakket toe.

Product en omgang met concurrenten bepalen

endpoint installeert antimalware zonder XDR. xdr bevat XDR en alle bescherming van endpoint. xdrsensor levert XDR maar geen antimalware; bescherming van derden is dan vereist. none installeert alleen core agents en kan dienen voor stapsgewijze compatibiliteitscontrole. all installeert alle gelicentieerde producten en negeert de overige.

Bij installatie van Sophos Anti-Virus probeert de installer standaard gedetecteerde concurrenten te verwijderen. --nocompetitorremoval voorkomt die poging. Dit is geen algemene garantie voor co-existentie. Test vóór endpoint of xdr de detectie, verwijdering, herstartvereisten en het herstel met het exacte product van derden. Kies xdrsensor alleen wanneer het behouden product expliciet de beveiliging verzorgt.

Proxy, Message Relay en lokale bron configureren

Stel een proxy die alleen tijdens installatie geldt in met --proxyaddress=<host>:<poort> of --pacurl=<URL>. Voor geauthenticeerde proxy’s ondersteunen Windows-endpoints volgens Sophos alleen Digest Authentication; geef referenties door via --proxyusername en --proxypassword. --noproxydetection schakelt automatische detectie uit.

Geef Message Relays op als kommagescheiden lijst host:poort. De gedocumenteerde standaardpoort is 8190:

SophosSetup.exe --quiet --products=endpoint `
  --messagerelays=relay01.example.net:8190,10.20.30.40:8190

Er is geen CLI-optie om een Update Cache toe te wijzen. De installer beoordeelt automatisch de bereikbaarheid van caches die in het Sophos Fusion-account zijn ingesteld.

--localinstallsource=<pad> beperkt downloads maar neemt de internetvereiste niet weg: sommige bestanden worden nog gedownload. Op de opgegeven locatie moet een map SophosLocalInstallSource bestaan. Een lege map wordt bij de eerste installatie gevuld; voor vooraf vullen noemt Sophos inhoud uit %ProgramData%\Sophos\AutoUpdate\data\repo of %ProgramData%\Sophos\UpdateCache\www\v3.

Secrets, exitstatus en logs beschermen

Plaats installer, Customer Token en proxywachtwoord niet op openbare shares, in bronbeheer, opdrachtuitvoer of tickets. Injecteer waarden zo mogelijk tijdens runtime vanuit de secret store van het platform. Opdrachtregels kunnen zichtbaar zijn voor lokale beheerders en inventarisatietools; een geauthenticeerde proxy zonder beperkte, specifieke referenties vormt dus een risico.

Leg starttijd, doel, niet-geheime argumenten en ongewijzigde proces-exitstatus vast zoals in het voorbeeld. De officiële CLI-pagina publiceert geen stabiele tabel met numerieke exitcodes; dit artikel verzint er daarom geen. Een code is een technisch signaal, maar lokale en Sophos Fusion-controles zijn leidend voor acceptatie.

Installerlogs staan onder C:\ProgramData\Sophos\CloudInstaller\Logs\ met het tijdgestempelde patroon SophosCloudInstaller_<date>_<time>.log. Gebruik het bestand dat bij de betreffende poging hoort. --traillogging registreert berichtinhoud tussen apparaat en Sophos Fusion. Gebruik dit alleen op aanwijzing van Sophos Support; Support moet ook de expliciete uitschakelprocedure uit de actuele MCS-diagnoseworkflow geven en controleren dat de logging uitstaat. Controleer logs vóór delen op secrets.

Pilot accepteren en waves vrijgeven

Bevestig op elke pilot dat de verwachte Sophos-bescherming actief is, geen onbedoeld gat in bescherming van derden bestaat en elke vereiste herstart is voltooid. Open na de installatie van de agent in Sophos Fusion My Environment > Computers & Servers en bevestig dat het apparaat verschijnt met de verwachte status, geïnstalleerde producten, laatst-actiefwaarde en groep. Open de detailpagina van de computer voor meer informatie.

Geef na het afgesproken observatievenster een kleine representatieve wave vrij en daarna grotere waves. Vergelijk per wave installatievoltooiing, Sophos Fusion-registratie, health, herstarts en conflicten. Neem verschillende locaties, proxyroutes, Windows-versies en producten van derden op in de pilot vóór brede uitrol.

Stoppen, terugdraaien en escaleren

Stop de volgende wave als apparaten niet in Sophos Fusion verschijnen, bescherming niet actief wordt, fouten de afgesproken drempel overschrijden of netwerk-, herstart- of concurrentproblemen clusteren. Pauzeer eerst targeting en automatische retries; plaats mislukte apparaten niet in een blinde herinstallatielus.

Het terugdraaien van de job herstelt een door de installer verwijderde concurrent niet automatisch. Behandel getroffen apparaten bij mislukte acceptatie afzonderlijk: verwijder Sophos correct, herstel het vorige product of behoud de werkende Sophos-toestand volgens het goedgekeurde plan. Wijzig Sophos Fusion-objecten, Tamper Protection of installer-geldigheid niet blind. Het afzonderlijke verwijderingsartikel behandelt volledige verwijdering.

Verzamel voor escalatie tenant/regio, tijdstip, apparaat, Windows-versie, niet-geheime argumenten, ongewijzigde exitstatus, wave en het bijbehorende bestand SophosCloudInstaller_<date>_<time>.log. Verwijder secrets. Stuur dit bewijs bij onverklaarde of reproduceerbare fouten naar Sophos Support; noteer bij releaseverschillen ook de werkelijk aangeboden Core Agent-versie.

Gerelateerde artikelen

Zie voor één interactieve installatie Sophos Endpoint installeren op Windows. Sophos Endpoint Agent Mode en software beheren licht Agent Modes toe. Voor VDI gelden andere identiteits- en kloonvereisten; gebruik Sophos Endpoint in een VDI-gold-image voorbereiden. Zie voor volledige verwijdering Sophos Endpoint verwijderen van Windows. Uitgebreide diagnose valt buiten deze rollout.