Microsoft Entra ID SSO voor Sophos Firewall WebAdmin instellen

Voor Microsoft Entra ID SSO op WebAdmin moeten vier instellingen op elkaar aansluiten: een Entra-groep of app-rol, een lokaal device-accessprofiel, de exacte Web admin console URL als Redirect URI en de Entra-server onder Administrator authentication methods. Pas deze keten maakt van een succesvol aangemelde Entra-gebruiker een firewalladministrator met de beoogde rechten.

Als de omgeving voor centraal apparaatbeheer TACACS+ gebruikt in plaats van OAuth, geldt de afzonderlijke procedure TACACS+ voor Sophos Firewall-beheerders. Anders dan Entra Role Mapping wijst TACACS+ in deze workflow niet automatisch het lokale profiel toe.

⚠️ Voor activering: Laat een bestaande lokale adminsessie open, test de lokale admin vanuit het managementnetwerk en zorg dat de console- of Device Console-toegang bekend is. SSO en Entra-MFA zijn geen reden om WebAdmin breed vanuit de WAN-zone beschikbaar te maken. Als de pilotaanmelding, rechten of lokale terugvalroute niet werken, mag Entra nog geen prioriteit krijgen in productie.

WebAdmin SSO in acht stappen

Controleer de WebAdmin-FQDN, DNS, het certificaat, de systeemtijd en de beperkte bereikbaarheid vanuit het managementnetwerk.
Bereid onder Profiles > Device access de benodigde administratorprofielen voor.
Maak in Microsoft Entra ID een eigen Single-Tenant-app met een pilotadministrator, app-rol of Security Group en een bewaakt Client Secret.
Maak onder Authentication > Servers een server van het type Microsoft Entra ID SSO of breid een bestaande server uit.
Stel User type in op Administrator en koppel de Entra-rollen of -groepen in de juiste volgorde aan de lokale profielen.
Voeg de door de firewall weergegeven Web admin console URL exact als Redirect URI van de Entra-app toe en voer Test connection met succes uit.
Activeer de Entra-server onder Authentication > Services > Administrator authentication methods, verplaats hem naar boven en kies Apply.
Test in een privébrowservenster afzonderlijk een pilotadministrator, een niet-gekoppelde gebruiker, de werkelijke rechten en de lokale fallback.

De functie bestaat sinds SFOS 19.5 GA Build 197. De hier beschreven procedure en beperkingen gelden voor SFOS 22.

Wat de afzonderlijke lagen regelen

WebAdmin SSO verbindt meerdere controles die gemakkelijk door elkaar worden gehaald:

Device Access en Local Service ACL bepalen vanuit welke netwerken de WebAdmin-console bereikbaar is.
Microsoft Entra ID authenticeert de gebruiker en levert rol- of groepsinformatie in het token.
Role mapping op de firewall koppelt de eerste overeenkomende tokenwaarde aan een lokaal administratorprofiel.
Het device-accessprofiel bepaalt welke menu’s de administrator niet, alleen-lezen of met schrijfrechten mag gebruiken.
Administrator authentication methods activeert de Entra-server voor de WebAdmin-aanmelding.

Een normale firewallregel maakt WebAdmin niet toegankelijk. Omgekeerd geeft een bereikbare aanmeldpagina nog geen administratorrechten. Device Access en Local Service ACL op Sophos Firewall legt de veilige netwerktoegang uit.

Als een passende Role mapping ontbreekt, kan de aanmelding bij Entra ID toch slagen. SFOS maakt het account dan alleen als normale gebruiker aan en weigert WebAdmin-toegang. Dat is geen browserfout, maar een ontbrekende koppeling van administratorrechten.

Entra-groepen of app-rollen

SFOS ondersteunt beide varianten:

Security Groups zijn eenvoudig wanneer de organisatie rechten al via duidelijk benoemde groepen beheert. De groepsnaam in de mapping moet exact overeenkomen.
App-rollen gelden specifiek voor de firewalltoepassing. In de mapping wordt de exacte Value van de rol gebruikt, niet alleen de weergavenaam.

Voor nieuwe adminintegraties zijn app-specifieke rollen goed te begrijpen. Security Groups blijven een geschikte keuze wanneer groepslidmaatschappen al correct worden goedgekeurd, gecontroleerd en gedocumenteerd. Beide modellen mogen niet ongecontroleerd worden gemengd.

SFOS verwerkt de mappings van boven naar beneden en gebruikt de eerste overeenkomst. Full-Access- en Read-only-toewijzingen moeten elkaar daarom uitsluiten. Als een overlap wordt gevonden, worden eerst de Entra-toewijzingen gecorrigeerd en daarna beide rollen opnieuw getest; de volgorde van de mappings is geen autorisatiemodel.

Voorbeeld en voorwaarden plannen

Het volgende voorbeeld gebruikt documentatiewaarden. Deze worden vervangen door waarden uit de eigen omgeving:

WebAdmin-FQDN: fw01.example.com
Entra-app: Sophos Firewall - FW01 - WebAdmin
Full-Access-app-rol: sfosAdminFull
Read-only-app-rol: sfosAdminReadOnly
Lokaal Full-Access-profiel: Administrator
Lokaal Read-only-profiel: Entra-WebAdmin-ReadOnly

example.com is een gereserveerd voorbeelddomein. De productie-FQDN moet vanuit het managementnetwerk naar de juiste firewall verwijzen en passen bij het gebruikte WebAdmin-certificaat. Voor gescheiden autorisatie- en wijzigingscycli is een eigen Entra-app met een eigen firewallserverobject per WebAdmin-integratie het duidelijkst. Een gedeelde app is mogelijk, maar koppelt administrators, VPN- en portalgebruikers aan dezelfde app-toewijzingen.

Vóór de wijziging moeten bovendien de volgende punten vaststaan:

Een tweede lokale administrator of de lokale admin werkt onafhankelijk van Entra ID.
Wachtwoord, herstelroute en consoletoegang van het noodaccount zijn gedocumenteerd. Als deze route nog niet is getest, helpt het adminwachtwoord van Sophos Firewall herstellen bij een veilige voorbereiding.
De bestaande adminsessie blijft tijdens de wijziging open.
De firewall heeft de juiste tijd en bereikt de benodigde Microsoft-endpoints via DNS en HTTPS.
De WebAdmin-FQDN gebruikt een vertrouwd certificaat met een volledige keten.
WebAdmin is alleen bereikbaar vanuit managementnetwerken, via VPN of vanuit gericht toegestane bronnen.
De eigenaar en vervaldatum van het Client Secret zijn gedocumenteerd.
Gebruikers uit hetzelfde domein worden niet gelijktijdig via Active Directory en Microsoft Entra ID gesynchroniseerd. Beide servers mogen bestaan, maar vóór de wijziging moet duidelijk zijn welke directory deze gebruikers op de firewall beheert.

Voor tijd en certificaten helpen Systeemtijd en NTP configureren en Certificaten importeren en toewijzen.

Device-accessprofielen voorbereiden

De profielen worden vóór de SSO-omschakeling gemaakt, zodat elke Entra-waarde direct naar vastgelegde rechten verwijst. De algemene opbouw en veilige acceptatie van lokale beheerdersprofielen staan in Sophos Firewall-beheerders en profielen veilig instellen; hier volgt alleen de Entra-specifieke mapping.

Voor volledige toegang kan het ingebouwde profiel Administrator worden gebruikt. Het hoort alleen bij de kleinst mogelijke groep personen. Voor beheer, audit of helpdesk is een eigen profiel meestal beter:

Open Profiles > Device access.
Kies Add.
Voer bijvoorbeeld Entra-WebAdmin-ReadOnly als naam in.
Stel elk benodigd menu in op Read-only.
Laat niet-benodigde onderdelen op None staan.
Geef alleen Read-write waar de taak werkelijk schrijfrechten vereist.
Sla het profiel op en controleer het opnieuw aan de hand van de werkelijke teamrol.

Alleen een Read-only-naam maakt het profiel niet alleen-lezen. De instellingen None, Read-only en Read-write in de rechtenmatrix zijn bepalend. Submenu’s kunnen via de uitklapfunctie verder worden beperkt.

Entra-app en administratorrollen voorbereiden

Als er al een goed gedocumenteerde Entra-app voor VPN of Captive Portal bestaat, kan dezelfde Entra-ID-server ook voor WebAdmin worden gebruikt. Redirect URI, administratorrollen en tests blijven desondanks servicespecifiek. Entra ID SSO voor Sophos Connect en VPN Portal legt de volledige gezamenlijke app- en serverbasis uit; voor lokale browsergebruikers geldt de aparte procedure Entra ID SSO voor Captive Portal.

Bij een gedeelde app moeten vóór Assignment required alle bevoegde administrator-, VPN- en portalgroepen worden toegewezen en daarna alle gebruikte services worden getest. Voor onafhankelijke adminrechten, secretwissels en roll-outs is een speciale WebAdmin-app met een eigen Entra-serverobject overzichtelijker.

Voor een nieuwe integratie omvat de huidige Sophos-configuratie:

Maak onder Microsoft Entra ID > App registrations een eigen Single-Tenant-toepassing voor de firewall.
Voeg de gedelegeerde Microsoft Graph-rechten User.Read.All en Group.Read.All toe.
Voeg voor groepsimport bovendien Group.Read.All als Application Permission toe.
Verleen Admin Consent voor de rechten.
Maak onder Certificates & secrets een Client Secret, sla de Value direct veilig op en bewaak de vervaldatum.
Maak onder App roles bijvoorbeeld sfosAdminReadOnly en alleen indien nodig sfosAdminFull.
Wijs in de bijbehorende Enterprise Application onder Users and groups de pilotadministrator of een gecontroleerde pilotgroep toe aan de passende rol.
Activeer bij een speciale WebAdmin-app Assignment required als aanvullende toegangscontrole en wijs alleen de beoogde pilotadministrators of admingroepen toe. Dit is een beveiligingsadvies van Avanet, geen technische SFOS-verplichting.

In plaats van app-rollen kunnen speciale Security Groups zoals SFOS-FW01-WebAdmin-Full en SFOS-FW01-WebAdmin-ReadOnly worden gebruikt. Algemene IT- of Microsoft 365-groepen zijn te breed voor firewalladministratorrechten en maken latere controles moeilijker.

MFA wordt bij deze aanmelding in de Identity Provider afgedwongen. Sophos Firewall MFA kan niet aanvullend op dezelfde Entra-SSO-flow worden toegepast. Conditional Access moet daarom specifiek voor de firewalltoepassing worden getest, niet alleen algemeen voor Microsoft 365. MFA voor Sophos Firewall legt de verschillen met Sophos OTP uit.

Entra-ID-server op de firewall configureren

Onder Authentication > Servers wordt een bestaande Microsoft-Entra-ID-server geopend of met Add > Microsoft Entra ID SSO een nieuwe gemaakt.

Server en Redirect URI instellen

Voer een duidelijke Server name in.
Voeg de Application (client) ID uit de App Registration toe.
Voeg de Directory (tenant) ID toe.
Voer de eerder opgeslagen Client secret Value in.
Kies de Fallback user group bewust. Deze regelt gebruikersservices en vervangt geen administratorprofiel.
Controleer onder Redirect URI de WebAdmin-FQDN of voer deze handmatig in.
Kopieer de weergegeven Web admin console URL volledig.

De Redirect URI wordt niet zelf samengesteld uit hostnaam, poort en een verondersteld callbackpad. Open in de Entra-app App registrations > [appnaam] > Authentication > Add a platform > Web en voeg exact de door SFOS weergegeven URL toe.

Wanneer een afzonderlijke firewall via Sophos Central wordt bewerkt, moet de firewallhostnaam handmatig worden ingesteld. De automatisch weergegeven Central Reverse SSO URL is niet de WebAdmin Redirect URI van de appliance.

Voer daarna Test connection uit. De test controleert de netwerkverbinding, app-rechten en TLS-certificaatvalidatie. Zolang deze mislukt, wordt de administratorauthenticatie niet omgeschakeld.

Rollen of groepen aan profielen koppelen

Stel User type in op Administrator. De instelling User activeert alleen gebruikersservices en is niet voldoende voor WebAdmin.
Kies onder Role mapping het Identifier type:
- Roles voor de exacte App Role Value, bijvoorbeeld sfosAdminReadOnly;
- Groups voor de exacte Entra-groepsnaam.
Voer onder Value de ongewijzigde rolwaarde of groepsnaam in.
Kies onder Profile het lokale profiel, bijvoorbeeld Entra-WebAdmin-ReadOnly.
Voeg andere mappings toe en controleer bewust de volgorde.
Sla de configuratie op.

De toewijzingen worden van boven naar beneden verwerkt; de eerste overeenkomst geldt. sfosAdminFull en sfosAdminReadOnly moeten daarom elkaar uitsluitende lidmaatschappen hebben. Bij een dubbel lidmaatschap wordt eerst de Entra-toewijzing gecorrigeerd en de pilot opnieuw getest, in plaats van de volgorde als autorisatieregel te gebruiken. De lijstvolgorde moet toch worden gedocumenteerd, omdat deze bij elke onverwachte meervoudige overeenkomst het actieve profiel bepaalt.

Entra SSO voor administrators activeren

De Entra-ID-server wordt pas een WebAdmin-aanmeldmethode wanneer deze aan de administratorservice is toegewezen:

Open Authentication > Services.
Ga naar Administrator authentication methods.
Selecteer de Microsoft-Entra-ID-server.
Verplaats de server naar boven in de lijst.
Behoud de bestaande lokale authenticatie als bewuste fallback voor lokale administrators.
Kies Apply.

Per authenticatiemethode kan slechts één Microsoft-Entra-ID-server worden geselecteerd. De instellingen onder Administrator authentication methods gelden niet voor de standaard superadministrator admin. Dit account blijft daarom een lokale noodtoegang en wordt niet vervangen door Entra Role mapping.

Aanmelden en rechten veilig testen

Een geslaagde Entra-dialoog alleen is nog geen geslaagde test. De firewall moet het juiste profiel toepassen, een onbevoegde gebruiker weigeren en een lokale terugvalroute behouden.

Positieve test met pilotadministrators

Laat de bestaande lokale adminsessie open.
Open de gedocumenteerde WebAdmin-FQDN in een privébrowservenster.
Meld aan via Entra ID met de Read-only-pilotadministrator.
Doorloop Entra-MFA en Conditional Access zoals gepland.
Controleer of alleen de vrijgegeven menu’s zichtbaar zijn en schrijfacties daadwerkelijk ontbreken.
Controleer onder Authentication > Users of het account als administrator met het verwachte profiel is aangemaakt.
Test indien Full Access nodig is een afzonderlijke pilotadministrator met de Full-Access-rol.

De Full-Access-test wordt niet uitgevoerd met hetzelfde account dat ook Read-only moet krijgen. Twee afzonderlijke testaccounts maken zichtbaar of rollen, mappingvolgorde en lokale profielen werkelijk gescheiden werken.

Negatieve test en fallbacktest

Een gebruiker die niet aan de Enterprise Application is toegewezen, mag de SSO-flow niet succesvol afronden.
Een toegewezen maar niet-gekoppelde gebruiker mag geen WebAdmin-toegang krijgen.
Een Read-only-administrator mag geen configuratiewijziging opslaan.
De lokale admin moet vanuit het beoogde managementnetwerk blijven werken.
Toegang vanuit een niet-toegestaan netwerk moet al door Device Access of Local Service ACL mislukken.

Als de negatieve test toegang krijgt, klopt de toewijzing, het groepslidmaatschap of de mappingvolgorde niet. De pilotfase blijft dan gestopt; de rechten worden niet omzeild met een nog bredere rol of WAN-vrijgave.

Beheer, intrekken van rechten en HA

Entra SSO verplaatst identiteit en MFA naar de Identity Provider. De lokaal actieve administratorrechten moeten desondanks op de firewall worden gecontroleerd.

Rolwijzigingen bewust afronden

Als een Entra-gebruiker een firewalladministrator wordt, neemt SFOS de wijziging bij de volgende aanmelding over. De omgekeerde richting werkt niet automatisch: wordt een administrator in Entra teruggezet naar een normale gebruiker, dan blijft het lokale administratorobject op de firewall in eerste instantie bestaan.

Veilige procedure voor een verlaging van rechten:

Bevestig een tweede lokale administrator en de terugvalroute.
Verwijder de adminrol of admingroep in Entra of pas de app-toewijzing aan.
Verwijder onder Authentication > Users gecontroleerd het betrokken lokale administratorobject.
Sta alleen een nieuwe aanmelding toe wanneer de gebruiker gebruikersservices moet blijven gebruiken. SFOS maakt het account op basis van het actuele token opnieuw als gebruiker aan.
Test een nieuwe WebAdmin-aanmelding negatief en ga er niet van uit dat bestaande sessies automatisch worden beëindigd.

Als het account helemaal geen firewallservice meer mag gebruiken, wordt het niet opnieuw toegewezen. Alleen het verwijderen uit een groep mag niet worden gedocumenteerd als onmiddellijke intrekking van al actieve lokale adminrechten.

Secret, logs en wijzigingen bewaken

Bewaak de vervaldatum van het Client Secret met een eigenaar en voldoende voorbereidingstijd.
Controleer Entra Sign-in Logs op toepassing, gebruiker, MFA en Conditional Access.
Gebruik op de firewall oauth_sso_webadmin.log voor de WebAdmin-SSO-flow.
Volg wijzigingen aan administrators, profielen en authenticatie via de Audit Trail.
Controleer admingroepen, app-rollen en device-accessprofielen regelmatig samen.

In de Advanced Shell toont de volgende alleen-lezenopdracht de laatste regels van de WebAdmin-SSO-service:

tail -n 200 /log/oauth_sso_webadmin.log

De algemene toewijzing van logbestanden en veilige leesmethoden staat onder Sophos Firewall services en logs.

HA-beperking plannen

In een HA-cluster werkt Entra ID SSO momenteel niet voor WebAdmin van het Auxiliary-apparaat. Directe peertoegang, herstel en onderhoud hebben daarom een lokale methode nodig. Een Entra-mapping naar HAProfile heft deze productbeperking niet op.

Vóór een HA-test worden beide managementroutes, lokale inloggegevens en rollen gedocumenteerd. Na een rolwissel worden Primary-toegang, lokaal peerbeheer en SSO opnieuw afzonderlijk getest.

Problemen oplossen

Entra-aanmelding werkt, maar WebAdmin weigert toegang

Dan ontbreekt meestal een passende administratormapping. Controleer User type: Administrator, het Identifier type, de exacte rolwaarde of groepsnaam en het toegewezen profiel. Een account dat onder Authentication > Users als normale gebruiker staat, laat zien dat geen administratormapping overeenkwam.

Administrator krijgt het verkeerde profiel

Role mapping wordt van boven naar beneden verwerkt. Controleer groepslidmaatschappen en app-rollen van het account, verwijder dubbele toewijzingen en test de volgorde opnieuw met een nieuwe aanmelding. Maak niet simpelweg het beperkte profiel ruimer.

Redirect eindigt op een foutpagina

Vergelijk de Web admin console URL uit de firewall teken voor teken met de Redirect URI onder App registrations > Authentication > Web. FQDN, poort, pad, DNS en WebAdmin-certificaat horen bij dezelfde test. Bij configuratie via Central mag de Reverse SSO URL niet worden gebruikt.

Test connection mislukt

Controleer de bereikbaarheid van login.microsoftonline.com en graph.microsoft.com, DNS, systeemtijd, Tenant ID, Client ID, Client Secret, Microsoft Graph-rechten en Admin Consent. Een verlopen secret wordt niet hersteld door een nieuwe Redirect URI.

Als oauth_sso_webadmin.log de melding x509: certificate signed by unknown authority toont, ontbreekt mogelijk een Root CA of Intermediate CA voor de Microsoft-certificaatketen die werkelijk wordt aangeboden. Lees voor het werkelijke beeld van de firewall de keten in de Advanced Shell van de firewall:

openssl s_client -connect login.microsoftonline.com:443 -showcerts

Een testcomputer kan ter vergelijking dienen, maar bewijst niet welke keten de firewall zelf ziet. Importeer alleen een aantoonbaar ontbrekende CA uit een vertrouwde bron. Gebruik geen servercertificaat als CA en herstart geen SSO-service als eerste stap bij het oplossen van problemen.

SSO werkt op de Primary, maar niet op de Auxiliary

Dit is een gedocumenteerde HA-beperking. Voor WebAdmin van de Auxiliary is een lokale, geteste toegang nodig. Een nieuwe Entra-rol, ruimere Device Access-vrijgave of andere Redirect URI lost deze beperking niet op.

Checklist

Lokale admin, tweede administrator en consoletoegang werken.
WebAdmin is alleen vanuit de beoogde managementnetwerken of bronnen bereikbaar.
FQDN, DNS, certificaat en systeemtijd kloppen.
App Registration, rechten, Admin Consent en secretverval zijn gedocumenteerd.
Bij een speciale WebAdmin-app is Assignment required actief en is alleen de pilotadmingroep toegewezen; bij een gedeelde app zijn alle bevoegde admin-, VPN- en portalgroepen opgenomen en getest.
Device-accessprofielen bevatten de beoogde rechten.
User type: Administrator en Role mapping staan in de juiste volgorde.
De exacte Web admin console URL is als Entra Redirect URI ingevoerd.
Test connection is geslaagd.
Entra is onder Administrator authentication methods geactiveerd.
Read-only-, Full-Access-, negatieve en lokale fallbacktest zijn geslaagd.
Entra Sign-in Logs en oauth_sso_webadmin.log zijn gecontroleerd.
Het intrekken van rollen, secretwissels en de HA-beperking zijn operationeel gedocumenteerd.