Sophos Endpoint macOS CLI en machtigingen
Een geautomatiseerde macOS-uitrol bestaat uit twee onderdelen: het Sophos-installatieprogramma registreert het apparaat en installeert de gekozen componenten. MDM-profielen verlenen de systeem- en privacyrechten die Apple vereist. Bij een beheerde uitrol met Jamf Pro wijst u de profielen vóór het installatiescript toe. Een geslaagde installatie alleen betekent nog geen volledige bescherming.
Voor Jamf Pro dient Sophos Endpoint op macOS via MDM uitrollen. Dit artikel richt zich op CLI-parameters en technische controle van machtigingen.
Gebruik bij een mislukte installatie, registratie of update eerst het macOS-runbook voor probleemoplossing voor symptoomgerichte afbakening. Dit artikel behandelt daarna de CLI-parameters en de diepere TCC/MDM-controle.
Installer voorbereiden
Op macOS Monterey 12.4 en nieuwer mag het archief niet in Documents, Downloads of Desktop worden uitgepakt. Sophos adviseert een directory in de persoonlijke map van de gebruiker.
Start Terminal vanuit de map met Sophos Installer.app; sudo vereist een lokale beheerder. Sophos documenteert exact deze opdracht voor een onbeheerde installatie van Sophos Anti-Virus en Intercept X:
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer --products antivirus intercept --quiet
De installer is tenantgebonden en moet als vertrouwelijk deploymentartefact worden behandeld. De opdracht installeert en registreert gelicentieerde onderdelen. Voer deze eerst op een pilotapparaat uit en controleer daarna in Central het apparaat, de producten, Health en het effectieve beleid. Gebruik voor rollback het door Sophos gedocumenteerde verwijderprogramma in plaats van afzonderlijke bestanden te verwijderen. Bewaar de installerlogs en een SDU-archief voor Sophos Support als de installatie blijft mislukken.
Groep en tags instellen
Met --devicegroup wordt een computer aan een Central-groep of -subgroep toegewezen:
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
--install --quiet \
--devicegroup "Workstations\Switzerland\Mac"
Spaties in het groepspad moeten voor de shell correct worden ge-escapet. Als de groep niet bestaat, kan de installer die maken. Na uitrol wordt gecontroleerd of bedoelde beleidsregel werkelijk geldt.
Tags kunnen meerdere keren worden opgegeven:
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
--install --quiet \
--tag=Country:CH \
--tag=Department:Design \
--tag=VIP
Tags helpen bij zoeken en beheer. Ze vervangen geen beleidsgroep zolang beleidsregels niet tag-based worden toegewezen.
Producten en Agent Mode
--products accepteert een door spaties gescheiden productselectie. Gedocumenteerde waarden zijn onder meer antivirus, intercept, mdr, xdr, deviceEncryption en all.
Volledige bescherming met Anti-Virus en Intercept X:
sudo ./Sophos\ Installer.app/Contents/MacOS/Sophos\ Installer \
--install --quiet --products antivirus intercept
Bij alleen xdr ontstaat geen volledige malwarebescherming. Een compatibele bescherming van derden moet aanwezig zijn. XDR only vereist op Macs minstens macOS 13 Ventura.
Producten zonder licentie worden niet geïnstalleerd. Na uitrol wordt Agent Mode in Central gecontroleerd.
Proxy en Message Relay
Voor een expliciete proxy zijn beschikbaar:
--proxyaddress <URL>
--proxyport <port>
--proxyusername <user>
--proxypassword <password>
Message Relay wordt met IP en Port 8190 opgegeven:
--messagerelays 192.0.2.10:8190 192.0.2.11:8190
De bij het downloaden gemaakte installer kent de Update Caches en Message Relays die op dat moment bestaan. Gebruik na wijzigingen aan deze infrastructuur een actuele installer of stel het relay expliciet via de CLI in.
Proxywachtwoorden mogen niet permanent in leesbare scripts, MDM-profielen of output staan. Een Secret-functie van het uitrolplatform heeft voorkeur.
Computer- en domeinnaam overschrijven
--computernameoverride en --domainnameoverride beïnvloeden weergave in Sophos Fusion (voorheen Sophos Central). Beide zijn voor een nieuwe installatie bedoeld.
--computernameoverride CH-ZRH-MAC-042
--domainnameoverride corp.example
De computernaam wordt zonder extra aanhalingstekens aan de installer doorgegeven. Latere wijziging kan een tweede apparaatobject maken. Overrides worden alleen met gedocumenteerde naambron gebruikt.
--mcsPreferHostname meldt gebruikersnamen als domain\username in plaats van machine\username. Dit kan lokale gebruikersduplicaten verminderen, maar moet bij de identiteitsstrategie passen. Deze optie geldt alleen voor nieuwe installaties.
Tenant en registratieserver
--customertoken <UUID> wijst de installatie aan een Central-klant toe. --mgmtserver <URL> stelt MCS-registratieserver in. Beide worden normaal uit tenantgebonden installer overgenomen en niet vrij bedacht.
Met --bypasstaegisidcheck kan een afwijkende controle van de Taegis-tenant-ID worden omzeild. Dit is een gericht speciaal geval, geen standaardparameter. Vóór gebruik wordt vastgesteld waarom tenant-ID’s niet overeenkomen.
Namen via plist beheren
De computernaam, het domein en de beschrijving kunnen ook via dit bestand worden ingesteld:
/Library/Preferences/com.sophos.mcs-overrides.plist
CLI-overschrijvingen hebben voorrang. Waarden zijn 1 tot 256 tekens en mogen onder meer geen nieuwe regels of tekens <, >, &, ', " en / bevatten.
Als het bestand na installatie wijzigt, kan in Central een nieuw apparaatobject verschijnen terwijl het oude blijft. Wijziging wordt via herstart of deze MCS-herstart geladen:
sudo launchctl stop com.sophos.mcs
macOS-beveiligingsmachtigingen
Afhankelijk van versie en componenten vereist Sophos vooral:
- goedgekeurde systeemextensies,
- goedgekeurde netwerkextensies en Content Filter,
- Full Disk Access,
- machtigingen voor meldingen,
- machtigingen voor web- of scanextensies.
Actuele profielen worden vóór de installer in Sophos Fusion gedownload. Zelfgemaakte profielen worden tegen actuele Sophos-documentatie gecontroleerd omdat Team IDs, Bundle IDs en payloads met de componenten kunnen veranderen.
Machtigingen controleren
De lokale Endpoint-interface toont ontbrekende voorwaarden onder About of Health Status. Sophos documenteert ook een controle via Terminal en een controle voor externe uitrol.
Voor acceptatie worden drie niveaus vergeleken:
- MDM meldt alle profielen geïnstalleerd.
- Lokale Agent meldt geen ontbrekende beveiligingsmachtiging.
- Central toont Health, componenten en Last Active correct.
Blijft status slecht, dan worden niet blind nieuwe profielen verspreid. Eerst wordt de concrete ontbrekende Extension of privacymachtiging bepaald.
Voor de gedetailleerde alleen-lezencontrole geeft een beheerder Terminal eerst toestemming onder System Settings > Privacy & Security > Full Disk Access en voert daarna uit:
sudo sqlite3 /Library/Application\ Support/com.apple.TCC/TCC.db 'select * from access' | grep -i sophos
De opdracht leest de TCC-database van Apple, filtert Sophos-vermeldingen en wijzigt geen machtiging. Resultaten hangen af van licentie en geïnstalleerde producten. Trek daarna Full Disk Access van Terminal weer in.
Terminal heeft ook Full Disk Access nodig voor de volgende controle van de externe uitrol. Verleen dit recht zo nodig opnieuw en trek het na de controle weer in.
Kopieer bij remote deployment het overridebestand alleen ter inspectie; de actieve policy blijft ongewijzigd:
sudo cp /Library/Application\ Support/com.apple.TCC/MDMOverrides.plist ~/Desktop/
Vergelijk MDM-payloads met de werkelijk geïnstalleerde componenten. Voor com.sophos.endpoint.uiserver moet de volledige code-signingvereiste luiden:
identifier "com.sophos.endpoint.uiserver" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = "2H5GFH3774"
Vergelijk de volledige vereiste, niet alleen Team ID 2H5GFH3774. Wijzig bij een afwijkende identifier, anchor, certificaatvoorwaarde of Team ID de TCC-database en plist niet en verzwak de vereiste niet. Distribueer in plaats daarvan opnieuw het actuele passende Sophos MDM-profiel en escaleer een blijvend rode Self Help-status met een SDU-archief.
Verwijder daarna expliciet de diagnostische kopie omdat deze beveiligingspolicygegevens bevat:
rm -f ~/Desktop/MDMOverrides.plist
Update-fouten op macOS
Ontbrekende machtigingen kunnen als update- of Health-probleem verschijnen. Op macOS 14 en 15 kan ontbrekende Full Disk Access voor SophosUpdater updates blokkeren bij Endpoint-versies vóór 2024.3 (10.9.1). Sinds Endpoint 2024.4 (10.9.5) wordt Sophos Updater service health rood als de machtiging ontbreekt, ook zonder mislukte update. Rood alleen bewijst dus geen actuele fout. Een beheerder kan deze officiële alleen-lezen controle uitvoeren:
sudo log show --predicate "subsystem == 'com.sophos.macendpoint'" --last 1d | grep -i 'Error renaming Installer directory'
Uitvoer ondersteunt het specifieke machtigingsprobleem. Activeer voor de situatie vóór 2024.3 (10.9.1) zonder MDM SophosUpdater.app handmatig onder System Settings > Privacy & Security > Full Disk Access; voeg bij ontbreken /Library/Sophos Anti-Virus/SophosUpdater.app toe met de plusknop. Gebruik voor preventief rode Health vanaf 2024.4 (10.9.5) in plaats daarvan Endpoint Self Help > Prerequisites > Allow Full Disk Access, omdat de normale kiezer een Updater die macOS niet heeft geblokkeerd mogelijk niet toont. Distribueer met MDM in beide gevallen het actuele Sophos-profiel dat bij de geïnstalleerde componenten past. Controleer Self Help, Updater Health, Agent Version, Last Agent Update en Events opnieuw. Escaleer na een volledige controlecyclus zo nodig met een SDU-archief naar Sophos Support. Trek Full Disk Access dat alleen voor Terminal-diagnose is verleend weer in; SophosUpdater blijft zijn eigen machtiging nodig hebben.
Gebruik bij fouten lokale Events, Self Help en SDU. Controleer ook MDM-profielstatus, systeemtijd, proxy, rootcertificaten en Sophos-domeinen.