Synchronizacja Active Directory z Sophos Fusion

Sophos Fusion (dawniej Sophos Central) może importować użytkowników i grupy z lokalnego Active Directory. Tożsamości te służą między innymi do przypisywania polityk i urządzeń. Niekontrolowana synchronizacja może jednak tworzyć zbędne konta, duplikaty obiektów lub nieoczekiwane usunięcia.

Microsoft Entra ID synchronizuje się przez osobny Connector. Instrukcja znajduje się w artykule Synchronizacja Microsoft Entra ID z Sophos Fusion.

Ustalenie modelu źródeł przed instalacją

Sophos Fusion może zarządzać maksymalnie 25 źródłami katalogowymi na dzierżawę (tenant). Większa liczba wymaga struktury Sophos Fusion Enterprise. Użytkownicy i adresy e-mail muszą pozostać unikatowe w obrębie dzierżawy Sophos Fusion. Ta sama domena nie może dostarczać użytkowników jednocześnie z kilku źródeł AD, Entra ID lub Google Directory.

W wersji próbnej Sophos ogranicza dodatkowo liczbę obiektów katalogowych, które można utworzyć lub wykorzystać, w tym użytkowników, urządzeń i grup. Niepełny import testowy nie musi więc oznaczać błędu filtra. Przed pilotażem należy wspólnie sprawdzić zakres wersji próbnej, oczekiwaną liczbę obiektów i status licencji.

W obrębie jednego lasu AD można wybrać kilka domen podrzędnych, a jedna dzierżawa może synchronizować także kilka lasów AD. Sophos mimo to zaleca łączenie każdego lasu AD tylko z jedną dzierżawą Sophos Fusion. Jeśli ten sam las AD trafia do kilku dzierżaw albo kilka lasów AD zawiera tych samych użytkowników lub adresy e-mail, kolejne przebiegi naprzemiennie aktualizują pozornie te same tożsamości. Sophos Fusion nie scala tych rekordów, przez co nazwy, atrybuty i przypisania grup mogą stać się niespójne.

Obsługiwany model mieszany jest natomiast przydatny: AD synchronizuje komputery i grupy komputerów, a Entra ID dostarcza użytkowników i grupy użytkowników tej samej domeny. W tym podziale opcja Enable devices pozostaje wyłączona w źródle Entra. Shared Mailboxes w grupie Microsoft 365 wymagają Entra ID lub Google Directory. Zwykłą Shared Mailbox poza grupą Microsoft 365 można zaimportować przez AD Sync.

Shared Mailboxes i Public Folders z tej samej domeny co użytkownicy wymagają AD Sync Utility oraz włączonej opcji Sync users and user groups. Skrzynki grup Microsoft 365 nie są importowane przez AD Sync. Shared Mailbox bez Delegate również nie jest synchronizowana. Jeśli nieaktywna skrzynka użytkownika nadal ma delegację poczty do aktywnej skrzynki, AD Sync jej nie usuwa i może nadal prowadzić ją w Sophos Fusion jako Shared Mailbox.

Dla tej samej domeny lub subdomeny może działać tylko jeden produkcyjny AD Sync Client. Ponadto kilka urządzeń AD nie może mieć tego samego DNS Hostname, ponieważ Sophos Fusion nie zdoła ich jednoznacznie dopasować. Przy zmianie serwera stary harmonogram zatrzymuje się przed uruchomieniem produkcyjnej synchronizacji nowej instancji.

Jeśli Self Service Portal ma służyć do Sophos Email, Device Encryption lub Mobile, dostęp użytkowników włącza się przed pierwszym Directory Sync. Dzięki temu nowi i istniejący użytkownicy otrzymają przewidziane zaproszenie. Procedurę opisuje artykuł Konfiguracja dostępu do Sophos Fusion Self Service Portal.

Ograniczenia AD Sync i grupy międzydomenowe

Nakładanie się źródeł opisane w modelu źródeł może również powodować zmianę widocznego w Sophos Fusion Directory Owner obiektu między przebiegami. Dlatego przed pilotażem trzeba jednoznacznie ustalić źródło nadrzędne.

W grupie z członkami z kilku domen Sophos Fusion importuje tylko użytkowników z domeny, do której należy grupa. Preview and Sync może pokazać wszystkich członków, ale podczas produkcyjnej synchronizacji użytkownicy z innej domeny nie zostaną dodani do grupy. Dla grup uniwersalnych i domen podrzędnych zachowanie to testuje się z jednym członkiem testowym z każdej domeny.

Pary obiektów, limity filtrów i praktyczny test między domenami sprawdza się w sekcji Filtrowanie OU i obiektów. Ograniczenia nazw domen podano przy instalacji narzędzia.

Ograniczenia skrzynek pocztowych, klientów i nazw hostów z modelu źródeł to decyzje projektowe podejmowane przed pierwszym przebiegiem. Szersze filtry nie omijają tych ograniczeń.

Porządkowanie nieaktywnych obiektów AD przed Sync

Nieaktywne konta użytkowników i urządzenia należy w miarę możliwości sprawdzić, usunąć lub wyłączyć bezpośrednio w Active Directory. Nie tylko zwiększają liczbę obiektów Sophos Fusion, ale pozostają ryzykiem bezpieczeństwa w źródle. Porządkowanie zmniejsza też plik Sync przesyłany do Sophos Fusion i może przyspieszyć przebieg.

Filtry LDAP mogą zapobiec przesyłaniu nieaktywnych użytkowników do Sophos Fusion i również zmniejszyć plik Sync. Nie usuwają jednak ryzyka nadal istniejącego nieaktywnego konta AD. Proces operacyjny łączy więc możliwy do uzasadnienia okres nieaktywności, zgodę właściciela, porządkowanie źródła i późniejszy przebieg Preview. Przed usunięciem konta komputera urządzenia sprawdza się osobno pod kątem wieku, ostatniego kontaktu z domeną i stanu ochrony.

Zarządzanie źródłami katalogowymi w Sophos Fusion

Centralny widok znajduje się w Global Settings > Platform > Directory service. Konfiguracja źródła i zarządzanie nim wymagają odpowiedniej roli Sophos Fusion Admin. Zależnie od źródła strona udostępnia Add Active Directory, Add Microsoft Entra ID i Add directory service for Google. Dla lokalnego AD pobiera się stąd aktualne oprogramowanie instalacyjne, natomiast Entra ID i Google autoryzuje się przez odpowiednie łączniki chmurowe.

Lista źródeł pokazuje dla każdego wpisu nazwę, typ, domenę, harmonogram i status. Ostrzeżenia i błędy sprawdza się nie tylko tutaj, lecz również w Alerts and Reports > Logs > General Logs > Events. Zielony status źródła nie wystarcza, jeśli ostatni przebieg jest nieaktualny lub liczba obiektów odbiega od oczekiwanej.

Kliknięcie nazwy otwiera szczegóły. Dla AD sprawdza się przede wszystkim liczby użytkowników, grup, urządzeń, grup urządzeń, Public Folders i Shared Mailboxes, a także Hostname, wersję klienta, domenę, status i czas ostatniego Sync. Dla Entra ID i Google najważniejsze są liczby użytkowników i grup, status, ostatni przebieg oraz harmonogram. Po pierwszej konfiguracji i każdej zmianie filtra lub źródła wartości porównuje się ze znanym zestawem referencyjnym.

Zależnie od typu źródła można tam również zmieniać konfigurację i filtry, wykonywać purge zsynchronizowanych danych oraz usuwać źródło. Są to różne operacje: Purge usuwa dane katalogowe zaimportowane z tego źródła, natomiast Delete usuwa dodatkowo źródło katalogowe. W AD wcześniej zatrzymuje się opcje Sync i działające klienty; w Entra ID i Google korzysta się z odpowiednich okien filtrowania, Purge i Delete. Przed każdą operacją eksportuje się użytkowników, grupy, urządzenia, zasady i skrzynki pocztowe, których dotyczy zmiana, oraz czyta skutki zapowiadane przez Sophos Fusion. Purge ani Delete nie są niezobowiązującym testem połączenia i nie wolno ich potwierdzać bez planu wycofania.

Nazwę i opis źródła można zmienić dopiero po dezaktywacji przez Turn off. Po zapisaniu włącza się je ponownie przez Turn on i kontroluje. Wyłączenie przerywa aktualizację, dlatego nie wykonuje się go podczas niesprawdzonej zmiany katalogu. Po produkcyjnym aktywowaniu synchronizacji źródła nie można po prostu cofnąć tego kroku. Ręczny przebieg uruchamia się, otwierając źródło i wybierając Synchronize; następnie sprawdza się status, czas i zmiany obiektów.

Planowanie Self Service i Shared Mailboxes przed Sync

Jeśli użytkownik ma korzystać z Self Service Portal, opcję User Access włącza się przed pierwszym Directory Sync. Sophos Fusion może wtedy wysłać zaproszenia we właściwym procesie. Późniejsze włączenie dostępu nie naprawia automatycznie każdej wcześniej pominiętej wiadomości, dlatego użytkowników pilotażowych, dostarczanie poczty i dostęp do portalu testuje się przed szerokim importem.

Shared Mailboxes w Sophos Fusion nie zawsze mają pełne atrybuty użytkownika. Delegowani użytkownicy otrzymują dostęp Self Service do przypisanej Shared Mailbox i zależnie od licencjonowanego produktu widzą na przykład Emergency Inbox oraz Quarantine Summary. Delegate może przez to otrzymywać podsumowania własnej skrzynki i dodatkowo Shared Mailbox. Delegacje i adresy dostarczania testuje się praktycznie po Sync, a nie zatwierdza wyłącznie na podstawie liczby obiektów.

Shared Mailbox w grupie Microsoft 365 nie może być synchronizowana przez lokalne AD; potrzebne jest Microsoft Entra ID lub Google Directory. Zwykłą Shared Mailbox poza grupą Microsoft 365 może obsłużyć AD Sync. Przed późniejszą migracją do Entra ID należy zinwentaryzować, z którego typu obiektu pochodzi każda skrzynka. W przeciwnym razie dalszy AD Sync po zmianie źródła może usunąć skrzynki lub pozostawić je z nieaktualnymi danymi.

Przed pierwszym Sync

Najpierw należy ustalić, który katalog jest źródłem nadrzędnym dla poszczególnych użytkowników i grup. Tych samych osób nie powinno się tworzyć równocześnie ręcznie, z AD i z Entra ID.

Pierwszy przebieg warto ograniczyć do małej testowej OU z reprezentatywnymi użytkownikami i grupami. Należy sprawdzić:

• adresy e-mail i User Principal Names,
• zagnieżdżone grupy i członkostwa,
• wyłączone lub nieaktualne konta,
• konta serwisowe i techniczne,
• konflikty nazw z istniejącymi obiektami Sophos Fusion.

Każdy synchronizowany użytkownik potrzebuje unikatowego adresu e-mail. Wiele procesów Sophos Fusion używa go jako tożsamości i celu dostarczenia; w Sophos Email wiadomość na adres bez przypisanego użytkownika może być nawet niedostarczalna. Zapora sieciowa lub serwer proxy muszą ponadto zapewniać dostęp do domen i portów udokumentowanych dla Sophos Fusion. Sam pomyślny test LDAP nie potwierdza tej ścieżki do chmury.

Instalacja AD Sync Utility

Aktualne oprogramowanie synchronizacji pobiera się bezpośrednio z Sophos Fusion i instaluje na stale dostępnym systemie Windows. System potrzebuje dostępu sieciowego do kontrolera domeny i wymaganych usług Sophos.

Aktualny Active Directory Synchronization Setup Software działa wyłącznie w 64-bitowym systemie Windows i wymaga .NET Framework 4.6.2. Sophos wymienia Windows 7, 8.1, 10 i 11 oraz Windows Server 2008 R2, 2012, 2012 R2, 2016, 2019, 2022 i 2025. Jako kontrolery domeny podaje Windows Server 2008 R2 do 2025. Zgodność producenta nie zastępuje cyklu życia produktów Microsoft: nową instalację produkcyjną wdraża się na aktualnie wspieranym i załatanym systemie serwerowym, a nie na Windows 7 lub wycofanym Windows Server.

Do dostępu do Sophos Fusion używa się API Credentials z rolą Service Principal Directory Sync, a nie ogólnych danych uwierzytelniających Super Admin. Taką nazwę podają angielskie instrukcje konfiguracji i API; niemiecka instrukcja konfiguracji nazywa tę rolę Service Principal Active Directory Sync. W dzierżawie należy sprawdzić rolę ograniczoną konkretnie do synchronizacji AD, zamiast przyznawać szersze uprawnienia z powodu różnicy nazw.

Konto usługi AD otrzymuje tylko prawa konieczne do odczytu wybranych lasów AD i obiektów katalogowych. Dokumentuje się wygasanie hasła, uruchamianie usługi i odpowiedzialność. Osobiste konto administratora nie jest odpowiednie.

Narzędzie nie może przetwarzać domeny, jeśli pojedyncza część jej nazwy ma ponad 63 znaki albo zaczyna się lub kończy znakiem - lub _. Ograniczenie sprawdza się przed instalacją, ponieważ skrócona nazwa wyświetlana ani inny UPN nie naprawiają nieprawidłowej nazwy domeny AD.

Sophos przetestował do 30'000 obiektów AD. Powyżej 40'000 wpisów użytkowników interfejs może działać wolniej. Większe środowiska filtruje się więc szczególnie rygorystycznie i testuje z realistycznym czasem wykonania.

Przy każdym przebiegu Utility sprawdza, czy jest dostępna nowsza wersja, i zwykle automatycznie wykonuje kolejne aktualizacje. Wczesne wersje AD Sync nie obsługują bieżącego uwierzytelniania Sophos Fusion i mogą całkowicie przestać działać, jeśli automatyczna aktualizacja zawiedzie. Wtedy pobiera się aktualny instalator z Global Settings > Platform > Directory service i uruchamia go na istniejącej instalacji. Następnie tworzy się nowe API Credentials z rolą Service Principal Directory Sync i zapisuje w Utility jako Client ID i Client Secret. Każda produkcyjna instancja Sync otrzymuje identyfikowalną tożsamość techniczną, udokumentowaną odpowiedzialność i własną rotację Secret.

Podczas uruchamiania Client ID i Client Secret sprawdza się przez Validate credentials. Jeśli Utility komunikuje się przez Proxy, należy włączyć Configure proxy manually i podać adres Proxy. Gdy Proxy wymaga logowania, dochodzą Enable proxy authentication, użytkownik i hasło Proxy. Dopiero drugi pomyślny test danych uwierzytelniających potwierdza działanie nie tylko danych API, ale też ścieżki Proxy.

Ten ekran Proxy należy do Active Directory Synchronization Setup 4.0. Dzierżawa w wersji próbnej może nadal otrzymać starszy Sophos Central AD Sync Utility 3.5.4, w którym nie można podać danych Proxy w interfejsie. Usługa domyślnie działa jako Local Service i przy uwierzytelniającym Proxy często kończy się komunikatem Failed active directory synchronization, System.Net.Http.HttpRequestException oraz CommandLib.HttpRequestCommand+HttpStatusException. Alternatywne konto usługi wymaga Log on as a service, logowania interaktywnego i Batch, praw odczytu odpowiednich OU oraz pełnego dostępu do C:\ProgramData\Sophos\Sophos Cloud AD Sync. Po każdej zmianie konta usługi starą Utility konfiguruje się ponownie. W środowiskach produkcyjnych w miarę możliwości używa się aktualnego oprogramowania 4.0.

Do LDAP używa się konta z prawami odczytu całego wybranego lasu AD. Use LDAP over an SSL connection pozostaje w miarę możliwości włączone. LDAPS zwykle korzysta z TCP 636, a nieszyfrowane LDAP z TCP 389. Port 389 ze względu na LDAP Signing i Channel Binding nie jest niezawodnym obejściem w aktualnych środowiskach Active Directory. Kontroler domeny potrzebuje dla LDAPS ważnego certyfikatu zaufanego przez system Sync.

Jeśli konkretne środowisko LDAP w sposób potwierdzony nie obsługuje SSL, można wyłączyć Use Secure LDAP i zmienić port na odpowiedni nieszyfrowany LDAP. Jest to udokumentowane rozwiązanie awaryjne, a nie zalecana praktyka. Dane uwierzytelniające i dane katalogowe nie są wtedy chronione przez TLS podczas przesyłania, dlatego segmentację, ścieżkę sieciową i szybkie przejście na LDAPS traktuje się jako ryzyko.

Czego narzędzie oczekuje w lesie AD

Dla całego lasu AD narzędzie AD Sync odczytuje w korzeniu drzewa katalogowego rootDomainNamingContext z nazwą wyróżnioną domeny głównej lasu AD oraz defaultNamingContext z nazwą wyróżnioną używanego serwera. W CN=Partitions,CN=Configuration,<rootDomainNamingContext> Utility oczekuje dla odpowiednich kontekstów nazw wpisów netBiosName, dnsRoot i nCName. Wartość nCName wyznacza dodatkowe obszary wyszukiwania, o ile nie jest nadrzędną nazwą wyróżnioną serwera podanego na ekranie konfiguracji.

Jeśli brakuje któregoś atrybutu albo konto usługi nie może odczytać partycji konfiguracji, test logowania może się udać, lecz wykrywanie lasu AD lub późniejszy Sync nadal zawiedzie. Wartości sprawdza się wtedy w LDP.exe na tym samym koncie usługi, zanim zmieni się filtry lub obiekty Sophos Fusion.

Filtrowanie OU i obiektów

Filtry ograniczają zakres synchronizacji. Obejmuje się tylko OU, użytkowników i grupy rzeczywiście potrzebne w Sophos Fusion. Szeroki import z korzenia katalogu rzadko ma sens.

Preview pokazuje obiekty, które zostaną dodane, zmienione lub usunięte. Szczególnie usunięć nie zatwierdza się bez kontroli. Widok Preview lub Pending Changes może błędnie wyświetlać znaki UTF-16 albo Double Byte jako ???, choć dane są przesyłane i poprawnie prezentowane w Sophos Fusion. Nazwy chińskie, japońskie lub koreańskie sprawdza się więc także w AD oraz po kontrolowanym przebiegu pilotażowym w Sophos Fusion.

Sophos określa to jako ograniczenie do naprawienia w przyszłej wersji AD Sync Utility. Dopóki używana wersja nie naprawia go w sposób potwierdzony, kontrola źródła i wyniku pozostaje konieczna.

Base DN i LDAP filter pełnią dwa różne zadania. Base DN ogranicza wyszukiwanie do wybranych OU; członkostwa OU nie da się niezawodnie wyrazić wyłącznie zwykłym filtrem LDAP. LDAP filter ogranicza atrybuty lub członkostwo w grupach w tym obszarze. Oba ustawia się osobno dla każdej domeny, ponieważ domeny podrzędne nie dziedziczą ustawień domeny nadrzędnej. Filtry użytkowników i grup również działają niezależnie.

Na karcie AD Filters Search Bases i LDAP Query Filters zapisuje się osobno dla każdej domeny, a w razie potrzeby osobno dla użytkowników i grup. Search Base dla Finance OU może wyglądać tak:

OU=Finance,DC=myCompany,DC=com

Przykładowy filtr użytkowników należących do grupy:

memberOf=CN=testGroup,DC=myCompany,DC=com

Bez dodatkowego filtra grup Sophos Fusion nadal wykryje wszystkie grupy tych użytkowników. Aby ograniczyć także grupy do tej jednej, można dodać filtr CN=testGroup. Zmiana filtra może usunąć z zakresu wcześniej zsynchronizowanych użytkowników i grupy oraz skasować je w Sophos Fusion, dlatego zawsze wykonuje się pełny Preview.

Sophos przyjmuje następujące filtry bazowe:

Użytkownicy: (&(objectCategory=person)(objectClass=user)(!sAMAccountType=805306370)(!userAccountControl:1.2.840.113556.1.4.803:=2))
Grupy:       (&(objectCategory=group)(objectClass=group))

Filtr użytkowników wybiera osoby klasy user, wyklucza konta zaufania przez sAMAccountType=805306370 i wyłączone konta przez odpowiedni bit userAccountControl. Dodatkowe filtry łączy się dla każdej domeny z warunkami bazowymi i najpierw testuje w LDP.exe.

Sophos ogranicza konfigurację do 1'000 filtrów na obiekt katalogowy i 5'000 znaków na dodatkowy filtr LDAP. Użytkowników synchronizuje się tylko razem z grupami użytkowników, a urządzenia z grupami urządzeń. W grupach międzydomenowych Preview pokazuje wszystkich członków, ale Sophos Fusion importuje tylko użytkowników z domeny grupy, dlatego takie grupy testuje się przed produkcyjnym Sync.

Wynik porównuje się w Microsoft LDP.exe: Search Base z AD Sync odpowiada Base DN, a wyrażenie LDAP odpowiada Filter. Pozwala to ustalić, czy obiektu nie dostarcza Sophos, czy już zapytanie katalogowe. Niektóre porównania atrybutów rozróżniają wielkość liter.

Filtrów lastLogon i lastLogonTimestamp używa się ostrożnie. lastLogon jest zwykle aktualniejszy, lecz nie replikuje się między kontrolerami domeny i wiarygodny wynik wymaga odpytania wszystkich. lastLogonTimestamp jest replikowany, ale może być nieaktualny. Sophos zaleca usuwać nieaktywne konta i urządzenia u źródła zamiast polegać tylko na filtrze czasu.

Jeśli lastLogonTimestamp ma tymczasowo służyć jako filtr, najpierw ustala się datę graniczną UTC i przelicza ją zaufanym konwerterem LDAP lub Active Directory FILETIME na Windows FILETIME. Przykład, 1 grudnia 2020 o 00:01 UTC, daje 132512544600000000. W Active Directory Synchronization Setup > AD Filters w Custom Filters wpisuje się:

(lastLogonTimestamp>=132512544600000000)

Wartości przykładowej nie kopiuje się bez zmian. Własną datę wybiera się świadomie, poprawnie przelicza i dokumentuje ze strefą czasową oraz zgodą na zmianę. Potem wykonuje się Preview and Sync, sprawdza użytkowników objętych i wykluczonych, a dopiero następnie zatwierdza przebieg produkcyjny.

AD Sync tworzy tylko grupy mające więcej niż jednego członka. Grupa pusta lub jednoosobowa nie pojawi się więc jako oczekiwany obiekt Sophos Fusion.

Opcja Exclude disabled user accounts jest domyślnie włączona i musi pozostać włączona dla skrzynek współdzielonych. Jej wyłączenie może utworzyć w Sophos Fusion duplikaty obiektów skrzynek pocztowych. Wyłączone zwykłe konta należy niezależnie uporządkować u źródła, a nie przywracać szerszym Sync.

Przełączniki typów danych mają konkretne zależności:

• Sync users and user groups synchronizuje oba typy wspólnie i obejmuje zwykłe Shared Mailboxes. Po wyłączeniu nie można przez to źródło AD synchronizować Shared Mailboxes ani Public Folders.
• Sync public folders wymaga również Sync users and user groups, ponieważ Public Folders są traktowane jako obiekty skrzynek pocztowych.
• Dla urządzeń w zwykłej eksploatacji włącza się razem Sync devices i Sync organizational units. Przy pierwszej konfiguracji można najpierw zaimportować tylko OU, aby przygotować zasady.
• Jeśli później wyłączy się tylko Sync organizational units, urządzenia pozostaną aktywne, a dotychczasowe OU staną się Custom Groups. Jeśli aktywna pozostanie tylko synchronizacja OU, urządzenia nie będą już przypisywane do grup Sophos Fusion.

Bez przygotowanych grup OU nowe urządzenia otrzymują początkowo zasady domyślne. Po pilotażu OU włącza się oba przełączniki urządzeń i kontroluje przypisanie oraz faktycznie zastosowaną zasadę.

Dla bardzo dużych grup istotny jest atrybut AD member. Od 1'500 wpisów AD stosuje Range Retrieval, np. member;range=0-1499, i opróżnia zwykły member. Grupa mająca ponad 1'500 obiektów już przed pierwszym Sync może nie pojawić się w Sophos Fusion lub pokazać błędną liczbę członków. W miarę możliwości ogranicza się ją do mniej niż 1'500 użytkowników i sprawdza w LDP.exe.

Dopasowywanie użytkowników i aliasy e-mail

Sophos Fusion dopasowuje użytkowników AD do istniejących po loginie domenowym DOMAIN\user lub atrybucie mail. Nazwa pochodzi z Display name, a dodatkowe aliasy z proxyAddresses. Trafienie zmienia istniejący obiekt Sophos Fusion w obiekt zarządzany przez katalog; brak trafienia tworzy nowego użytkownika. Preview and Sync pokazuje trafienia w Users to Modify, a nowe obiekty w Users to Add.

Obiekt zsynchronizowany z innej usługi katalogowej nie jest przy trafieniu tworzony drugi raz, ale może otrzymać adres e-mail z AD. Ręczny użytkownik i użytkownik AD o tej samej nazwie mogą pozostać osobnymi obiektami, jeśli login i e-mail nie pasują. Display Name nie jest kluczem dopasowania.

W Preview and Sync każdy wpis Users to Modify i Users to Add sprawdza się osobno. Błędne dopasowanie odrzuca się zamiast akceptować wszystko przez Approve Changes and Continue. Przejście użytkownika ręcznego na zarządzanie AD widać też po ikonie katalogu.

Po usunięciu użytkownika z AD zachowanie zależy od powiązań. Administratorzy oraz użytkownicy z przypisanym urządzeniem lub loginem pozostają zwykłymi użytkownikami Sophos Fusion. Użytkownik bez urządzenia, loginu ani roli uprzywilejowanej może zostać automatycznie usunięty. Z tego samego powodu zmiany e-mail administratora Sophos Fusion nie są ślepo przejmowane z AD. Przed offboardingiem sprawdza się osobno role i urządzenia.

Aby zmienić główny e-mail administratora zarządzanego katalogowo lub usunąć jego pozostały po AD obiekt Sophos Fusion, przed kolejnym Sync kontrolowanie odbiera się rolę Admin. Po synchronizacji można przypisać potrzebną rolę ponownie. Zawsze pozostaje drugi sprawny Super Admin jako możliwość odzyskania dostępu.

Błędna nazwa przez nakładające się loginy

Jeśli użytkownik A omyłkowo ma także login urządzenia użytkownika B, AD Sync może przypisać oba loginy do A, a przy późniejszym przetwarzaniu B zmienić nazwę rekordu na B. W Sophos Fusion usuwa się więc wszystkie obce przypisania w Logins i synchronizuje ponownie. Nie poprawia się tylko nazwy, dopóki błędny login istnieje.

Nie można przypisać roli użytkownikowi AD

Najpierw w My Environment > Users & Groups > Users wyszukuje się e-mail. Przy duplikatach dokumentuje się loginy nieużywanych obiektów, usuwa je przez Edit logins i dodaje do właściwego użytkownika. Dopiero potem zapisuje się rolę i sprawdza wysyłkę wiadomości konfiguracyjnej. Jeśli e-mail pozostaje zablokowany w całej dzierżawie, nie usuwa się dalej obiektów, lecz rozwiązuje konflikt z pomocą techniczną.

Prawidłowe odczytywanie grup zagnieżdżonych

Strona użytkownika może obok bezpośredniej grupy AD pokazywać nadrzędne grupy zagnieżdżone jako linked groups. Nie oznacza to bezpośredniego członkostwa w każdej z nich. Przy analizie uprawnień i zasad osobno sprawdza się bezpośrednie członkostwo AD, zagnieżdżenie i faktycznie zastosowaną zasadę Sophos Fusion.

Przypisywanie loginu Mac do zsynchronizowanego użytkownika

AD Sync importuje login jako NETBIOSDOMAIN\user, a Mac często zgłasza MACNAME\user, przez co Sophos Fusion może utworzyć drugi obiekt. Po sprawdzeniu urządzeń obiekt porządkuje się i przypisuje MACNAME\user do użytkownika AD. Przy większym wdrożeniu testuje się przewidziany przez Sophos Domain Override zamiast ręcznych poprawek.

Synchronizacja komputerów i grup OU

Wykrywanie urządzeń obsługuje komputery i serwery Windows. Sophos dopasowuje chronione urządzenie do obiektu AD według FQDN i Hostname oraz przenosi je do zsynchronizowanej grupy OU. Ręcznie pogrupowany komputer może więc wrócić do struktury AD przy następnym Sync.

Nowy obiekt urządzenia lub grupy powstaje, jeśli Sophos Fusion nie zna tej samej AD ObjectGUID. Przy kolizji nazwy nowej grupy AD z istniejącą grupą Sophos Fusion używa nazwy wyróżnionej. Kilka rekordów AD o tym samym DN nie jest obsługiwanych.

FQDN i Hostname muszą pasować. Jeśli urządzenie Sophos Fusion ma domenę i Hostname, ale inne zapisane szczegóły, Sync aktualizuje je i przenosi urządzenie do właściwej grupy AD. Przy dwóch urządzeniach z tym samym FQDN dotychczasowe powiązanie jest rozłączane i łączony jest nowy rekord. Duplikaty nazw hostów porządkuje się przed Sync, zamiast traktować wynikające z tego ponowne powiązanie jako przypadkową utratę urządzenia.

OU synchronizuje się przed urządzeniami, aby najpierw przygotować zasady dla przewidzianych grup. Zsynchronizowanych urządzeń i grup nie można trwale reorganizować wbrew AD. Hierarchia głębsza niż 40 poziomów jest scalana od poziomu 40.

Obiekty można w Sophos Fusion przenosić lub usuwać, ale nie edytować jak lokalnych; kolejny Sync odtwarza strukturę lub obiekt. Po usunięciu chronionego urządzenia z AD Sophos Fusion przenosi je do grupy nieustrukturyzowanej i odbiera oznaczenie AD Managed. Zmiany nazw, systemu lub OU są przejmowane wraz z przenoszeniem i usuwaniem grup.

Zasady ręcznych grup pozostają, lecz urządzenia AD są przenoszone do grup synchronizowanych i początkowo dostają zasady domyślne, jeśli wcześniej nie przypisano właściwej zasady. Zasadę grupy najwyższego poziomu dziedziczy grupa zagnieżdżona bez własnego przypisania. Dlatego najpierw synchronizuje się OU, przypisuje zasady, potem urządzenia.

Sophos nie udostępnia obecnie API dla urządzeń synchronizowanych z AD i grup urządzeń katalogowych. Automatyzacja nie może zakładać pełnego zarządzania nimi jak zwykłymi grupami Sophos Fusion.

W My Environment > Unmanaged devices komputery i serwery AD bez Sophos Agent są widoczne osobno. Pakiety są w My Environment > Installers. Widok nie instaluje ochrony; urządzenie pozostaje w procesie wdrożenia lub wyjątku do instalacji agenta albo zatwierdzenia wyjątku.

Harmonogram i monitorowanie

Harmonogram musi odpowiadać częstotliwości zmian. Po każdym przebiegu kontroluje się status, błędy i zmiany obiektów. Uruchomiona usługa nie dowodzi poprawnej synchronizacji.

Ostrzeżenia o danych uwierzytelniających, połączeniu, brakujących atrybutach lub konfliktach usuwa się szybko. Proces wymaga właściciela i zastępstwa.

Przy pierwszym przebiegu i każdej zmianie filtra ręcznie uruchamia się Preview and Sync, sprawdza dodawanie, zmiany i usunięcia, a następnie zatwierdza przez Approve Changes and Continue. Ręczny przebieg może trwać do 15 minut. Dla samych przebiegów ręcznych wybiera się Never. Only sync when manually initiated.

Dzienniki działania znajdują się w:

C:\ProgramData\Sophos\Sophos Cloud AD Sync\Logs\

Rotują w siedmiu plikach dziennych, dlatego potrzebny dziennik kopiuje się lub zmienia jego nazwę przed rotacją. Alert e-mail o średniej wadze często zawiera tylko podsumowanie; przyczyny szuka się w dzienniku z tego samego czasu.

Przy wymianie serwera nie uruchamia się niekontrolowanej drugiej instancji. Najpierw zatrzymuje się stary harmonogram, konfiguruje aktualną Utility na nowym serwerze, porównuje filtry i wykonuje Preview and Sync. Dopiero po udanym ręcznym przebiegu włącza się harmonogram i usuwa starą instalację.

Usuwanie i ponowne tworzenie

Usunięcie obiektu ze źródła lub filtra może wpłynąć na obiekt Sophos Fusion i zasadę. Przed zmianą masową czyta się i dokumentuje działania zapowiadane w interfejsie.

Usuwanie konfiguracji Sync lub danych nie jest zwykłą metodą rozwiązywania problemów. Najpierw sprawdza się urządzenia, grupy i duplikaty. Odbudowa bez analizy może odtworzyć problem.

Przed Purge data zatrzymuje się wszystkie instancje AD Sync i sprawdza filtry, inaczej dane wrócą. Purge jest nieodwracalny. Zarządzane urządzenia, przypisani do nich użytkownicy i administratorzy nie są usuwani, nawet jeśli pochodzą z AD.

Purge zsynchronizowanych danych AD

W Global Settings > Platform > Directory service otwiera się źródło AD, zatrzymuje przez Turn off i wybiera Purge data. Zakres wybiera się świadomie:

• Users and user groups usuwa też zsynchronizowane Shared Mailboxes i Public Folders.
• Devices and device groups usuwa urządzenia i grupy poza chronionymi obiektami wskazanymi przez Sophos.

Po potwierdzeniu nieodwracalności ponownie wybiera się Purge data. Sophos Fusion usuwa zakres i nie synchronizuje go ponownie ze zatrzymanego źródła. Po usunięciu wszystkich danych trzeba zarządzać nimi ręcznie lub przez nowe, rozdzielone źródło, np. Entra ID dla użytkowników i grup.

Przed Purge wyszukuje się i zatrzymuje wszystkie kopie narzędzia i harmonogramy. Same filtry nie zapobiegną powrotowi danych, jeśli druga instancja nadal je synchronizuje. Po operacji kontroluje się pozostałych administratorów, zarządzane urządzenia i przypisanych do nich użytkowników, ponieważ Sophos Fusion nie usuwa tych wyjątków.

Trwałe usunięcie nieaktywnego źródła AD

Turn off zatrzymuje aktualizacje, Purge data usuwa zsynchronizowane dane, a Delete directory source następnie usuwa źródło z listy. Usuwać należy wyłącznie źródło rzeczywiście już niepotrzebne, a nie połączenie z przejściową usterką.

1. W Global Settings > Platform > Directory service otworzyć nieaktywne źródło AD. W Active Directory Config porównać nazwę i domenę z zatwierdzonym zleceniem wycofania.
2. Użyć Turn off obok Domain i sprawdzić, czy źródło jest zatrzymane.
3. Wybrać Delete obok Purge data. Jeśli pozostają zsynchronizowane dane, Fusion najpierw wymaga ich usunięcia przez purge.
4. Tylko w takim przypadku wybrać Purge now, wyraźnie potwierdzić nieodwracalność i wykonać Purge data. Zaczekać na zakończenie i porównać pozostałe obiekty z zatwierdzoną listą. Przy nieoczekiwanych wynikach przerwać usuwanie i wyjaśnić rozbieżność.
5. W Active Directory Config ponownie wybrać Delete i potwierdzić przez Delete directory source.

Następnie źródło musi zniknąć z listy usługi katalogowej. Osobno sprawdzić pozostałych administratorów, zarządzane urządzenia i ich użytkowników oraz wymagane powiązania skrzynek i zasad. Po zatwierdzeniu wycofać niepotrzebne lokalne instalacje synchronizacji i używane wyłącznie przez nie API Credentials. Ponowne utworzenie źródła byłoby nową konfiguracją, a nie cofnięciem operacji ani gwarantowanym odzyskaniem usuniętych danych.

Przejście z AD na Microsoft Entra ID

Sophos obsługuje zmianę źródła użytkowników i grup domeny z AD na Entra ID. Oba źródła muszą odpowiadać tej samej domenie, a użytkownicy muszą być wiarygodnie zgodni. Niedopasowani użytkownicy AD mogą zostać usunięci z Sophos Fusion.

Opisane tutaj warianty migracji pozostawiają Enable devices wyłączone w Entra ID. Jeśli komputery AD i grupy komputerów nadal są potrzebne, AD pozostaje aktywne dla tych obiektów, a Entra ID dostarcza użytkowników i grupy użytkowników tej samej domeny. Instrukcja Entra wyjaśnia osobno udokumentowaną opcję urządzeń oraz utrzymującą się sprzeczność z ogólnym wykluczeniem urządzeń w instrukcji konfiguracji. Nie wynika z tego ani migracja urządzeń AD, ani import grup komputerów z Entra. Public Folders i istniejące powiązania Shared Mailboxes mają dodatkowe ograniczenia, które sprawdza się oddzielnie przed migracją.

Migracja zaczyna się od eksportu i listy porównawczej. Dopasowani użytkownicy aktualizują istniejący obiekt i zachowują skrzynki pocztowe; niedopasowani mogą zostać usunięci wraz z przypisaniem skrzynki, a nowi użytkownicy Entra są tworzeni. Niedopasowane grupy pozostają, lecz nie są aktualizowane.

Dotychczasowe AD Shared Mailboxes i Public Folders pozostają z ostatnim stanem, ale AD już ich nie aktualizuje; nowe Entra Shared Mailboxes mogą pojawić się dodatkowo. Dalszy stary On Premises AD Sync może je nieoczekiwanie usuwać wskutek różnych typów obiektów.

Po migracji kontroluje się użytkowników, grupy, zasady, urządzenia, Shared Mailboxes, Public Folders i duplikaty. Jeśli AD pozostaje dla urządzeń, Sync devices i Sync organizational units działają wspólnie.

Wymagania i decyzja migracyjna

AD i Entra ID muszą odwzorowywać tę samą domenę. Użytkowników porównuje się po unikatowych e-mailach i innych zgodnych cechach, aby Sophos Fusion aktualizował konta zamiast usuwać i tworzyć. Łącznik Entra i uprawnienia aplikacji przygotowuje się przed wyłączeniem AD.

Public Folders nadal pochodzą wyłącznie z AD. W tej migracji bez opcji urządzeń Entra również komputery i grupy komputerów są dostarczane wyłącznie przez AD. Dla każdej domeny wybiera się model tylko Entra albo równoległe AD dla urządzeń i OU. Shared Mailboxes inwentaryzuje się osobno według obiektów AD, Entra i grup Microsoft 365.

Używanie tylko Microsoft Entra ID

Wariant pasuje, gdy Sophos Fusion nie musi dalej aktualizować urządzeń, grup urządzeń ani Public Folders z AD.

1. Wykonać ostatni AD Sync i sprawdzić użytkowników, grupy, skrzynki pocztowe oraz błędy.
2. Otworzyć źródło w Global Settings > Platform > Directory service i wyłączyć przez Turn off.
3. Przez Add Microsoft Entra ID skonfigurować źródło tej samej domeny i uprawnienia aplikacji.
4. Uruchomić Entra Sync i porównać użytkowników, grupy oraz Shared Mailboxes z eksportem.
5. Dopiero po zatwierdzeniu odinstalować AD Sync Setup Software i po kontroli odwołać API Credentials.

Wyłączenie starego źródła jest kontrolowaną migracją, nie resetem w celu rozwiązania problemów. Przy usunięciach najpierw analizuje się Matching Report, zamiast wielokrotnie włączać i wyłączać Sync.

Równoległe używanie Microsoft Entra ID i AD

Entra ID obsługuje użytkowników, grupy i nowoczesne Shared Mailboxes, AD urządzenia i grupy urządzeń.

1. Wykonać pełny AD Sync i zatwierdzić stan początkowy.
2. W Utility ograniczyć wybór do Sync devices i Sync organizational units; użytkownicy i grupy użytkowników nie będą już dostarczani z AD.
3. Tymczasowo wyłączyć źródło AD przez Turn off.
4. Dodać Entra ID tej samej domeny, zsynchronizować i sprawdzić użytkowników, grupy i Shared Mailboxes.
5. Włączyć AD przez Turn on, zsynchronizować ręcznie i potwierdzić aktualizację urządzeń bez ponownego importu użytkowników z AD.

Oba źródła mają własnych właścicieli, harmonogramy i wartości kontrolne. Dwa zielone statusy nie dowodzą poprawnego rozdzielenia obiektów.

Wpływ na użytkowników, grupy, skrzynki i urządzenia

Entra aktualizuje zgodnych użytkowników i zachowuje informacje o skrzynkach pocztowych. Niedopasowany użytkownik AD może zostać usunięty z Sophos Fusion wraz z przypisaniem skrzynki; nowy użytkownik Entra powstaje z dostępnymi danymi skrzynki.

Zgodne grupy są aktualizowane. Grupy AD bez odpowiednika Entra pozostają widoczne, lecz bez aktualizacji; nowe grupy Entra powstają. Pozostała grupa nie dowodzi działającego Sync, dlatego osobno kontroluje się zasady i członkostwa.

Stare AD Shared Mailboxes i Public Folders pozostają z ostatnim stanem. Shared Mailboxes nadal są w Mailboxes, ale mogą stracić użytkowników. Nowe Entra Shared Mailboxes mogą występować jako obiekt użytkownika i w Mailboxes, bez znanej z AD delegacji. Ponownie sprawdza się dostęp delegowany i podsumowania kwarantanny. Niepilnowany stary AD Sync może usunąć skrzynki.

W opisanym tutaj modelu tylko Entra, z wyłączoną opcją Enable devices, dotychczasowe urządzenia AD i grupy urządzeń początkowo pozostają w Sophos Fusion, ale nie są już aktualizowane z katalogu. W modelu równoległym AD nadal synchronizuje te obiekty. Entra ID nie dostarcza urządzeń w tym podziale; opcjonalny wybór urządzeń Entra nie zastępuje Public Folders ani grup komputerów AD. Należy wyraźnie udokumentować ten skutek w decyzji o migracji, aby pozostawionego stanu obiektów nie uznać za aktualną synchronizację.

Przenoszenie istniejących urządzeń końcowych do nowej domeny AD

Jeśli zmienia się tylko domena AD, a nazwa komputera i SID pozostają, Sophos Agent nie wymaga reinstalacji, a machine_id pozostaje. Najpierw w Global Settings > Platform > Directory service zmienia się domenę, sprawdza dane uwierzytelniające i synchronizuje użytkowników, grupy, OU i urządzenia. Dopiero potem urządzenia końcowe mogą połączyć się z Sophos Fusion.

Nowy FQDN rozłącza stare przypisanie AD i wyszukuje obiekt urządzenia w nowej domenie. Trafienie ponownie łączy ten sam obiekt urządzenia końcowego i przy synchronizacji OU przenosi go do właściwej grupy. Nazwy logowania zmieniają się np. z OLDDOMAIN\jsmith na NEWDOMAIN\jsmith i mogą tworzyć duplikaty.

Kontrola obejmuje nową domenę, grupę OU, zastosowane zasady i przypisanie użytkownika. Dopiero potem usuwa się stare obiekty urządzeń, użytkowników, grup lub katalogu starej domeny.

Częste problemy

Użytkownik występuje dwukrotnie

Porównać źródła, e-mail, UPN i obiekty ręczne. Nie usuwać obiektu z powiązanymi urządzeniami lub zasadami.

Brakuje nowej grupy

Sprawdzić filtry OU i grup, zagnieżdżenie, ostatni udany Sync i atrybuty.

0000208D, NO_OBJECT lub «The object does not exist»

Custom Filter zwykle wskazuje usuniętą OU, której nazwy błąd nie podaje. W Define Filters porównuje się wszystkie filtry z AD i usuwa tylko martwe odwołania, potem wykonuje Preview i sprawdza usunięcia.

0xFFFE lub 0xFFFF w Preview and Sync

Jeśli Active Directory zawiera znaki o nieprawidłowych wartościach szesnastkowych 0xFFFE lub 0xFFFF, ręczny przebieg w Preview and Sync może zostać przerwany. Najpierw należy odnaleźć odpowiedni atrybut i poprawić go w źródle. Jeśli nie da się tego zrobić w krótkim terminie, Sophos wskazuje Sync on Schedule - automatic (within next 2-3 minutes) jako doraźne obejście, ponieważ ten przebieg pomija podgląd. Nie jest to trwała naprawa; zakres, wynik oraz nowe i usunięte obiekty natychmiast kontroluje się w Sophos Fusion i dzienniku.

endpoint_user_sessions.user_match_id podczas usuwania loginu

Error syncing record: Error deleting login ze wskazaniem klucza obcego endpoint_user_sessions.user_match_id może wystąpić, gdy sesja blokuje usunięcie loginu po usunięciu lub wyłączeniu użytkownika w AD. Pozostała synchronizacja trwa dalej i może zakończyć się powodzeniem. Przy powtórzeniu dokumentuje się użytkownika, login i czas oraz angażuje Sophos Support do uporządkowania danych w Sophos Fusion; ani wyczyszczenie danych przez Purge, ani ponowne skonfigurowanie całej synchronizacji nie są w tym przypadku proporcjonalnym rozwiązaniem.

Synchronizacja pozostaje nieaktualna

Sprawdzić usługę Windows, konto usługi, hasło, DNS, serwer proxy, reguły zapory i status synchronizacji Sophos Fusion. Do zgłoszenia do pomocy technicznej dołączyć dzienniki synchronizacji i znaczniki czasu.

Od AD Sync Client 5.x Audit Log pokazuje przy Directory Sync jako Modified by GUID zarejestrowanego AD Sync Client zamiast Client ID API Credential, dla operacji Create, Update i Delete. GUID koreluje się z instancją, harmonogramem i znacznikiem czasu dziennika, nie uznaje automatycznie za napastnika.

Dane uwierzytelniające LDAP są stale wymagane

NeedADCredsException z The LDAP server is unavailable nie musi oznaczać złego hasła. Sprawdza się kontroler domeny, DOMAIN\username, prawa i port. LDAPS zwykle używa TCP 636 i wymaga zaufanego certyfikatu. Sam nasłuch portu nie dowodzi TLS.

Eskalacja do Sophos Support

Zgłoszenie zawiera opis błędu, dzierżawę, licencję, dokładny czas, wersję AD Sync, wszystkie dzienniki, istotne zrzuty ekranu i publiczny adres IP systemu z chwili zbierania danych. Partner podaje właściwego klienta MSP. Remote Assistance włącza się tylko dla konkretnej sprawy i po wewnętrznej zgodzie.

Często zadawane pytania