Jak licencjonowany jest Sophos Fusion?
Sophos Fusion (dawniej Sophos Central) jest wspólną platformą zarządzania, ale nie jednym produktem licencyjnym. Endpoint, XDR, MDR, Server, Device Encryption, Email, Firewall, Wireless i inne usługi mają własne zasady użytkowania oraz wygaśnięcia.
Najważniejszy wniosek: liczby na stronie Licensing w Central nigdy nie ocenia się bez nazwy produktu i umowy licencyjnej. Użycie obliczone w portalu pomaga w kontroli, ale nie zastępuje ani License Schedule, ani EULA.
Najważniejsze modele rozliczania
| Typ produktu | Typowa podstawa rozliczenia | Ważna cecha |
|---|---|---|
| Endpoint, XDR i MDR dla endpointów | najczęściej użytkownik | użycie jest obliczane oddzielnie dla każdego typu licencji na podstawie aktywnych użytkowników i urządzeń |
| Device Encryption | użytkownik albo aktywnie chronione urządzenie zgodnie z umową | w modelu Flex sama instalacja nie musi jeszcze generować użycia; decydująca jest Encryption Policy |
| Server Protection | chroniony serwer | sesje RDS są objęte Server Protection, a nie liczone jako zwykli użytkownicy Endpoint |
| Sophos Email | chronieni użytkownicy i Shared Mailboxes | aliasy, listy dystrybucyjne i Public Folders zazwyczaj nie wymagają osobnej licencji |
| Firewall | appliance, instancja wirtualna i subskrypcje | Base License, Support i Security Subscriptions mają odrębne skutki |
| Wireless, Switch i Access Points | urządzenie albo usługa supportowa | model i okres zależą od generacji sprzętu oraz usługi |
Produkty, pakiety i nazwy zmieniają się. Przy zamówieniu zawsze liczy się więc aktualny License Schedule konkretnego klienta, a nie stara lista produktów z wpisu blogowego lub oferty.
Modele produktów często interpretowane nieprawidłowo
Niektóre produkty Central nie są rozliczane ani jak Endpoint, ani jak klasyczny sprzęt. Poniższe zestawienie pomaga w comiesięcznej kontroli i przy Renewal:
| Produkt | Co jest liczone | Cecha operacyjna |
|---|---|---|
| Sophos Email | poszczególni użytkownicy i Shared Mailboxes, dla których w ciągu ostatnich 30 dni przetworzono co najmniej jedną wiadomość | aliasy, listy dystrybucyjne i Public Folders nie są liczone; wskazanie jest aktualizowane mniej więcej co cztery godziny |
| Sophos Mobile | przypisani użytkownicy albo urządzenia bez użytkownika | kilka urządzeń tego samego użytkownika liczy się raz; uwzględniane są tylko urządzenia synchronizowane w ciągu ostatnich 30 dni |
| Sophos Phish Threat | unikalni odbiorcy symulacji lub kampanii szkoleniowej | codzienne obliczenie uwzględnia odbiorców z ostatnich 30 dni; usunięcie lub zakończenie kampanii nie wycofuje użycia wstecznie |
| Sophos AP6 | Support and Services dla każdego AP6 zarządzanego przez Central | bez ważnej subskrypcji w odpowiedniej liczbie nadal możliwe jest zarządzanie lokalne, ale Central nie może już zmieniać AP |
| Sophos Switch | Support and Services dla każdego używanego switcha | zarządzanie przez Sophos Fusion, aktualizacje firmware, całodobowy support wielokanałowy i Advanced RMA wymagają odpowiedniej subskrypcji dla każdego urządzenia |
| Workspace Protection | najwyższe użycie jednego z zawartych produktów | największa liczba spośród użytkowników Protected Browser, użytkowników ZTNA, urządzeń DNS Protection i skrzynek Email Monitoring określa liczbę pakietów |
Workspace Protection: pakiet i wymagana liczba
Workspace Protection jest dostępny jako samodzielna licencja terminowa lub w modelu MSP Flex. Pakiet obejmuje:
- Sophos Protected Browser,
- Sophos ZTNA,
- Sophos DNS Protection for endpoints,
- Sophos Email Monitoring System.
Samodzielna licencja Workspace Protection nie obejmuje pełnego Sophos Endpoint. Aby uzyskać Endpoint w tym samym pakiecie, trzeba wyraźnie wybrać Sophos Endpoint Plus Workspace Protection. Techniczną konfigurację Sophos DNS Protection for endpoints opisuje osobny przewodnik Konfiguracja Sophos DNS Protection dla endpointów.
Wymagana liczba pakietów nie jest sumą wszystkich czterech produktów, lecz najwyższym zmierzonym użyciem:
- Protected Browser: unikalni uwierzytelnieni użytkownicy w okresie 30 dni,
- ZTNA: unikalni uwierzytelnieni użytkownicy w okresie 30 dni,
- DNS Protection for endpoints: urządzenia korzystające z DNS Protection,
- Email Monitoring System: skrzynki pocztowe.
Przykład: 75 użytkowników ZTNA, 80 użytkowników Protected Browser i 100 urządzeń z DNS Protection oznacza wymaganą liczbę 100, a nie 255. W pakiecie łączonym do tego samego porównania włącza się liczbę urządzeń Sophos Endpoint. Jeśli jest ich dodatkowo 120, miarodajna liczba wynosi 120.
W komponentach rozliczanych według użytkowników ta sama uwierzytelniona osoba jest liczona raz, nawet jeśli loguje się na kilku urządzeniach. Ta sama licencja ZTNA obowiązuje zarówno dla bram lokalnych, jak i Sophos Cloud Gateways oraz dla dostępu z agentem i bez agenta. Dla Sophos Cloud Gateways dochodzi średnie uprawnienie do transferu wynoszące 15 GB na użytkownika miesięcznie; uwzględnia się je osobno podczas planowania pojemności.
Aktywacja i zarządzanie odbywają się w Sophos Fusion w sekcji Profile icon > Licensing. Należy sprawdzić, czy Standalone Workspace Protection lub Sophos Endpoint Plus Workspace Protection jest aktywny z oczekiwanym okresem ważności. Następnie porównuje się Protected Browser users, ZTNA authenticated users, DNS Protection devices i Email Monitoring mailboxes, a dla pakietu łączonego dodatkowo Sophos Endpoint devices. Kontrola kończy się pomyślnie, jeśli najwyższa wyświetlana wartość nie przekracza zamówionej liczby. Jeśli brakuje oczekiwanej licencji, aktywny jest niewłaściwy wariant albo liczba jest niewystarczająca, należy porównać wyświetlaną nazwę licencji i datę Expires z License Schedule oraz zamówioną w nim liczbą; wskaźnik użycia z najwyższą wartością pokazuje, który komponent wymaga dodatkowej pojemności. Różnicę w aktywacji lub zamówionej liczbie należy następnie wyjaśnić z Sophos Partner. Dla Workspace Protection dostępny jest 30-dniowy Trial.
Po wygaśnięciu produkty Workspace Protection nie są już dostępne w Sophos Fusion. Konfiguracja pozostaje zachowana i pojawia się ponownie po Renewal. Wygaśnięcia nie należy więc traktować jako polecenia usunięcia lub ponownego wdrożenia: najpierw sprawdza się nazwę licencji, datę Expires i Renewal.
Xstream Protection dla Sophos Firewall obejmuje wyłącznie samodzielny DNS Protection i nie uprawnia do DNS Protection for endpoints. Szczegóły pakietów Firewall przedstawia artykuł Pakiety i licencje Sophos Firewall, a samodzielną usługę DNS Protection opisuje Sophos DNS Protection.
Samodzielny DNS Protection z Xstream Protection wymaga co najmniej jednej nadal ważnie licencjonowanej zapory w tenancie. Gdy wygaśnie ostatnia odpowiednia licencja albo wszystkie licencjonowane zapory zostaną przeniesione do innego tenanta Central, DNS Protection w pierwotnym tenancie przestaje działać. Jeśli MSP usunie ostatnią zaporę Flex, dostęp może zniknąć w ciągu jednego dnia. Licencja Air Gap nie obsługuje DNS Protection, ponieważ usługa wymaga zapory aktywowanej lub zarządzanej w Central. Przy połączeniu wersji Trial i zakupionej licencji usługa pozostaje dostępna, dopóki ważna jest przynajmniej jedna z nich.
Sophos Switch: zarządzanie lokalne czy Sophos Fusion?
W przypadku Sophos Switch należy oddzielnie rozpatrywać sprzęt, zarządzanie lokalne i dodatkową usługę. Zakup sprzętu obejmuje zarządzanie lokalne przez interfejs WWW i CLI. Jeśli żaden switch nie jest zarządzany za pomocą Sophos Fusion, nie wymaga to subskrypcji Sophos Switch Support and Services. Artykuł Wybór modeli Sophos Switch i sposobu zarządzania objaśnia wybór między pracą lokalną i centralną oraz dostępne metody zarządzania.
Gdy switche są zarządzane za pomocą Sophos Fusion, każdy używany switch wymaga odpowiedniej subskrypcji Support and Services na koncie Sophos Fusion. Obejmuje ona:
- wszystkie funkcje zarządzania switchami w Sophos Fusion, w tym zarządzanie portami i VLAN, konfigurowanie urządzenia oraz wyświetlanie jego stanu,
- aktualizacje firmware,
- całodobowy support wielokanałowy,
- Advanced RMA.
Bez ważnej subskrypcji switch nadal przekazuje ruch sieciowy i można nim zarządzać lokalnie. Nie można jednak wprowadzać zmian przez Sophos Fusion. Bezpłatne zasoby samoobsługowe pozostają dostępne, natomiast osobisty support Sophos przez telefon, czat lub Support Case wymaga ważnej licencji supportowej. Tę granicę licencji należy odróżnić od rejestracji i dostępności technicznej: switch może być zarejestrowany lub działać lokalnie, mimo że jego zarządzanie przez Fusion nie jest prawidłowo licencjonowane.
Licencję aktywuje się i zarządza nią w Sophos Fusion w sekcji Profile icon > Licensing. Jeśli subskrypcja obejmuje mniej urządzeń, niż jest faktycznie używanych, pojawia się ostrzeżenie Oversubscription. Dodatkowe switche nadal działają, ale trzeba dla nich kupić kolejną subskrypcję. Ta sama zasada obowiązuje po wygaśnięciu: działanie nie kończy się automatycznie, ale support i świadczenia objęte licencją są ponownie dostępne dopiero z nową ważną subskrypcją.
Przy odbiorze należy więc osobno sprawdzić trzy punkty: switch jest dostępny lokalnie, liczba subskrypcji w sekcji Profile icon > Licensing wystarcza dla wszystkich używanych switchy, a mała odwracalna zmiana z Sophos Fusion zostaje pomyślnie zastosowana. Artykuł Rejestracja Sophos Switch w Sophos Fusion opisuje pełną procedurę rejestracji i kontroli stanu.
W przypadku AP6 istnieje podobny podział między pracą lokalną a usługą Central. Access Points APX nie wymagają jednak licencji AP6 Support and Services; APX i AP6 są pod względem licencji odrębnymi generacjami.
Sophos Email po wygaśnięciu
Sophos Email i Sophos Email Plus stanowią różne poziomy funkcjonalne. Portal Encryption jest dodatkowym Add-on, którego liczba nie może przekraczać zakupionej liczby Sophos Email. Add-on przypisuje się za pomocą Secure Message Policy i jest on wymagany do własnego brandingu portalu szyfrowania. Obecny klient Email może testować Portal Encryption, ale nie może jednocześnie uruchomić wersji Trial usługi podstawowej i tego Add-on.
DMARC Manager jest dostępny jako Add-on dla Sophos Email oraz Sophos Email Monitoring System, a w Sophos Email Plus jest już zawarty. Klienci MSP mogą ponadto kupować Sophos Email jako Monthly Flex SKU; merytoryczne zasady rozliczania pozostają takie same.
Raport License Usage Summary łączy użycie Sophos Email i Phish Threat w jedną unikalną łączną liczbę i nie przedstawia obu produktów osobno. W analizie przyczyn sprawdza się więc dodatkowo stan skrzynek, przetworzone wiadomości i odbiorców Phish Threat.
Przekroczenie zakupionej liczby Email nie wyłącza ochrony natychmiast. Central oznacza konto, generuje Alert i wskazuje nieobjęte skrzynki w License Usage Summary; początkowo wszystkie skrzynki pozostają chronione. Następnie trzeba zmniejszyć ich liczbę albo zwiększyć liczbę licencji.
Rzeczywiste wygaśnięcie licencji jest bardziej krytyczne. Sophos może tymczasowo zapewnić do 30 dodatkowych dni ochrony, ale nie jest to gwarantowany Grace Period. W Gateway Mode po ostatecznym wygaśnięciu rekordy MX muszą zostać przekierowane z Sophos, w przeciwnym razie wiadomości będą odrzucane. W Mailflow Mode Sophos rozpoczyna automatyczne porządkowanie Microsoft 365, mimo to konektory i reguły przepływu poczty trzeba później sprawdzić ręcznie. Renewal wykonany podczas przyznanego okresu przejściowego zaczyna się wstecznie w dniu zakończenia poprzedniej licencji.
Sophos Mobile i Phish Threat
W Mobile każdy użytkownik przypisany do zarządzanego urządzenia zużywa jedną licencję niezależnie od liczby swoich urządzeń. Urządzenie bez użytkownika samo liczy się jako jedna licencja. Wskazanie użycia może być niedokładne, dlatego przekroczenie nie jest natychmiast egzekwowane technicznie; wymagania umowne nadal pozostają wiążące. Niezależnie od tego Android Enterprise technicznie ogranicza liczbę równoczesnych rejestracji na użytkownika do dziesięciu urządzeń.
Phish Threat liczy odbiorcę po wysłaniu wiadomości kampanii albo samego szkolenia. Ten sam użytkownik potrzebuje w okresie licencji tylko jednej licencji nawet przy wielu wiadomościach. Po wygaśnięciu licencji nie są wysyłane nowe kampanie ani Reminder, ale dane z już wysłanych kampanii nadal są rejestrowane. W MSP Flex miesięczne rozliczenie zależy od odbiorców kampanii wysłanych w danym okresie rozliczeniowym.
Licencjonowanie na użytkownika nie oznacza ręcznego przypisania
W Endpoint licencji nie przypisuje się użytkownikowi za pomocą pola wyboru jak planu Microsoft 365. Sophos Fusion rozpoznaje aktywnych użytkowników na chronionych urządzeniach i przypisuje urządzenia do tych tożsamości.
Jeden użytkownik może korzystać z kilku urządzeń. Każde urządzenie może być jednak przypisane do obliczeń tylko do jednego użytkownika. Jeśli ta sama osoba loguje się na dwóch urządzeniach przy użyciu różnych kont lokalnych, Central może rozpoznać dwóch użytkowników i policzyć użycie podwójnie. Logowania trzeba wtedy merytorycznie przypisać do istniejącego użytkownika.
Typy licencji także są liczone niezależnie. Użytkownik z Endpoint na urządzeniu A i XDR na urządzeniu B może wygenerować po jednym użyciu Endpoint i XDR. Device Encryption kieruje się natomiast własnym stanem funkcji i Policy.
Nieaktywne urządzenia i opóźnienie obliczeń
W Endpoint urządzenia, które nie łączyły się przez ponad 30 dni, tymczasowo przestają być uwzględniane w użyciu licencji. Gdy urządzenie później wróci, ponownie jest liczone i aktualizuje swoje komponenty.
Jest to reguła obliczeniowa, a nie strategia Lifecycle. Nieaktualne, zgubione lub wycofane urządzenia nadal usuwa się zgodnie z udokumentowanym Offboarding. W przeciwnym razie inwentarz, Alerts i odpowiedzialność pozostają niejasne.
Liczba w portalu może zmieniać się z opóźnieniem. Natychmiastowa rozbieżność po instalacji, usunięciu lub przypisaniu użytkownika nie stanowi więc jeszcze dowodu błędu.
Pierwszeństwo ma użycie określone w umowie
Sophos wyraźnie wskazuje, że obliczenie w produkcie może różnić się od faktycznego obowiązku licencyjnego wynikającego z EULA. Jeśli Central zaniża zużycie, decydujące pozostaje rzeczywiste użycie. Technicznie wyświetlana liczba nie jest więc przyzwoleniem na niedolicencjonowanie.
Z drugiej strony funkcje nie zawsze są blokowane natychmiast tylko dlatego, że Central zgłasza przekroczenie. Rozbieżność należy zbadać i wyjaśnić z Sophos Partner, zanim przerodzi się w problem z Renewal lub Compliance.
Zakup początkowy, Upgrade i Renewal
Przy zakupie początkowym produkt jest aktywowany po raz pierwszy w tenancie. Upgrade rozszerza lub zastępuje zakres funkcji w trwającym okresie. Renewal przedłuża istniejące prawa użytkowania.
To rozróżnienie ma znaczenie techniczne. Zakupioną licencję aktywuje się w Profile icon > Licensing za pomocą klucza z License Schedule, chyba że robi to Sophos Partner. W zależności od widoku czynność nazywa się Apply Activation Code albo Apply License Key. Upgrade może zainstalować nowe komponenty agenta albo udostępnić Policies. Po zmianie licencji lub oprogramowania Sophos może natychmiast zaktualizować objęte nią urządzenia, nawet jeśli skonfigurowano zaplanowane aktualizacje. Aktywację należy więc przygotować jako zmianę techniczną, a nie wyłącznie czynność handlową.
Renewal powinien przede wszystkim przedłużyć okres ważności, lecz przy zmianie edycji również może zmienić funkcje. Od 30 dni przed wygaśnięciem Central wyświetla każdemu uprawnionemu administratorowi cykliczne przypomnienie podczas logowania. Jeśli ostatecznie wygasną wszystkie licencje, dostęp może zostać ograniczony do Licensing, a tenant może być później zagrożony usunięciem. Dlatego przed datą końcową należy sprawdzić zachowanie właściwe dla danego produktu, ponieważ wygaśnięcie uprawnienia nie ma dla każdego produktu takiego samego skutku technicznego.
Za odnowienie przed wygaśnięciem licencji odpowiada Sophos Partner lub przypisana Państwu osoba kontaktowa z Sophos Renewals. Jeśli licencje już wygasły, należy skontaktować się ze swoim przedstawicielem Sophos Sales lub partnerem, aby rozpocząć proces przywracania licencji i ochrony. Jeśli nie wiedzą Państwo, kto jest Państwa partnerem lub Account Owner, Customer and Partner Care pomoże ustalić właściwą osobę kontaktową w sprawie odnowienia.
Także typy klientów, takie jak Commercial, Education i Government, mogą podlegać różnym warunkom zakupu. Uprawnienie uzgadnia się przed zamówieniem z Sophos Partner, a nie zakłada wyłącznie na podstawie rodzaju organizacji.
Trial i region danych należy ustalić przed zakupem
Trial Central trwa zwykle 30 dni i początkowo nie wymaga klucza aktywacyjnego. W Profile icon > Licensing jego numer zaczyna się od C, a nie od L, natomiast kolumna Expires pokazuje datę końcową. Kilka triali produktów może działać równolegle od różnych dat rozpoczęcia, o ile ich funkcje się nie pokrywają. Tenant trialowy jest ograniczony do 1000 wpisów na każdy typ obiektu, na przykład użytkowników, grup, shared mailboxes, public folders lub urządzeń. Po przejściu na płatną licencję limit katalogu przestaje obowiązywać.
Produkt objęty już płatną licencją nie jest ponownie oferowany jako trial. Po wygaśnięciu trzeba odczekać 30 dni, zanim będzie można samodzielnie uruchomić kolejny trial tego samego produktu; przedłużenie należy uzgodnić z Sophos Partner lub Account Managerem. Dlatego decyzja o zakupie, zakończenie testu i wycofanie zmian powinny znaleźć się w planie pilotażu przed jego rozpoczęciem.
Region danych również jest decyzją licencyjną. Sophos wskazuje ograniczenia produktów w Australii, Brazylii, Kanadzie, Indiach i Japonii, w tym dla niektórych produktów, takich jak ITDR, Sophos Mobile i punkty dostępowe APX; zgodnie z aktualnym zestawieniem regiony US i EU obsługują wszystkie produkty Sophos. Jeśli w takim regionie istnieje już niezgodna licencja, Sophos Partner musi ją anulować i wygenerować nowy klucz dla odpowiedniego nowego tenanta. Region należy więc wybrać na podstawie planowanego portfolio przed utworzeniem tenanta i zakupem licencji.
Comiesięczna kontrola licencji
Rzetelna kontrola porównuje:
- produkt licencyjny, edycję i okres na stronie Licensing,
- faktycznych użytkowników, urządzenia, serwery lub skrzynki,
- zainstalowane i aktywowane komponenty produktów,
- nieaktywne, zduplikowane lub błędnie przypisane obiekty,
- zamówioną liczbę i umowną podstawę rozliczania,
- nadchodzące zmiany wynikające ze wzrostu, projektów lub M&A.
Techniczną procedurę aktywacji, kontroli użycia i Renewal opisano w artykule Aktywacja, kontrola i odnawianie licencji Sophos Fusion.