Zabezpieczanie logowania do Sophos Fusion za pomocą MFA, kluczy dostępu i IdP

Sophos Fusion (dawniej Sophos Central) zarządza politykami, wyjątkami, funkcją Live Response i izolacją urządzeń. Przejęte konto administratora może więc spowodować więcej szkód niż pojedynczy zainfekowany endpoint. MFA jest wymaganym minimum, ale nie zastępuje odpowiednich ról ani procesu odzyskiwania dostępu.

Rozróżnianie dostępu Partner, Customer i Enterprise

W przypadku Sophos Fusion Partner wymaganie jest jednoznaczne: każdy administrator Partner musi zarejestrować co najmniej dwie metody MFA i uwierzytelniać się za pomocą MFA przy każdym logowaniu. Obsługiwane są klucze dostępu i aplikacje uwierzytelniające TOTP; do logowania można użyć jednej z zarejestrowanych metod. Podczas pierwszej rejestracji konfiguruje się hasło i co najmniej jedną aplikację TOTP; klucze dostępu można dodać później. Gdy Sophos poprosi o zarejestrowanie dwóch metod, należy dokończyć tę rejestrację. Kolejne sekcje wyjaśniają konfigurację TOTP i kluczy dostępu oraz wybór niezależnych urządzeń.

Konto Partner i zarządzany tenant Customer nie stanowią jednak tego samego obszaru administracyjnego. Wymaganie dotyczące Partner nie oznacza, że konta Customer lub Enterprise automatycznie dziedziczą ustawienia MFA, SSO lub odzyskiwania dostępu. Przed zmianą sprawdza się, w którym portalu otwarto sesję i do którego konta należy dana tożsamość. Przy resetowaniu MFA ten obszar określa uprawnionego administratora i właściwą procedurę: Super Admin danego tenantu Customer lub Partner Super Admin w portalu Partner. Opisane poniżej procedury Customer i Partner nie zastępują osobno zweryfikowanej procedury odzyskiwania dostępu Enterprise.

Natychmiastowa i redundantna konfiguracja MFA

Każdy administrator musi zarejestrować co najmniej dwie metody MFA i przy każdym logowaniu jest proszony o dodatkowe uwierzytelnienie. Sophos obsługuje klucze dostępu oraz aplikacje uwierzytelniające z czasowymi kodami jednorazowymi, czyli TOTP.

Dla kont uprzywilejowanych należy zarejestrować dwie niezależne metody, na przykład klucz dostępu na sprzętowym kluczu bezpieczeństwa i aplikację uwierzytelniającą na innym urządzeniu. Dwa klucze dostępu na tym samym notebooku nie zapewniają rzeczywistej redundancji. Sophos wskazuje również jako możliwe kombinacje dwa klucze dostępu na oddzielnych urządzeniach lub dwie niezależne rejestracje aplikacji uwierzytelniających.

Zapasowe sprzętowe klucze bezpieczeństwa i udokumentowane informacje odzyskiwania należy przechowywać w chronionym sejfie firmowym. Nie powinny znajdować się w prywatnym menedżerze haseł pojedynczego pracownika ani w otwartym zgłoszeniu.

Na jednym koncie administratora można zarejestrować maksymalnie dziesięć aplikacji uwierzytelniających TOTP. Rozszerzenie uwierzytelniające do przeglądarki jest technicznie możliwe, ale pochodzi od firmy trzeciej i nie jest rozwijane ani obsługiwane przez Sophos. Przed instalacją sprawdza się wydawcę, uprawnienia, sposób aktualizacji i politykę firmy. W przypadku kont uprzywilejowanych rozszerzenie w tym samym profilu przeglądarki co sesja Sophos Fusion nie zapewnia dobrego rozdzielenia czynników.

Zarejestrowanymi metodami zarządza się w profilu w sekcji Manage login settings lub Manage MFA. Samo usunięcie wpisu w lokalnej aplikacji uwierzytelniającej nie usuwa metody z Sophos Fusion. Dlatego przy zmianie urządzenia najpierw testuje się drugą metodę, następnie usuwa starą rejestrację w Sophos Fusion, a dopiero na końcu resetuje stare urządzenie.

Konfigurowanie aplikacji uwierzytelniającej

Po zalogowaniu dotychczasową metodą otwiera się Ikona profilu > My info > Manage MFA. Alternatywnie do tego samego miejsca prowadzi Sophos ID > My Profile > Manage MFA. Po ponownym uwierzytelnieniu na stronie Multi-Factor Authentication wybiera się znak plus, w sekcji Set up MFA method opcję Authentication App, a następnie Set up now.

Jednorazowy kod QR skanuje się zatwierdzoną aplikacją uwierzytelniającą. Następnie wpisuje się w Sophos Fusion wygenerowany przez nią kod bezpieczeństwa, opcjonalnie nadaje jednoznaczną nazwę urządzenia i wybiera Continue. Komunikat Successful enrollment potwierdza rejestrację; kolejne Continue kończy proces. Podczas następnego logowania testowego po adresie e-mail i haśle wpisuje się aktualny kod weryfikacyjny z aplikacji.

Na jednym koncie można mieć maksymalnie dziesięć aplikacji uwierzytelniających. Kodu QR ani bazowego sekretu TOTP nie zapisuje się jako zrzutu ekranu. Po teście konfiguruje się drugą niezależną metodę, zanim usunie się stare urządzenie lub rejestrację.

Konfigurowanie aplikacji uwierzytelniającej w przeglądarce

Rozszerzenie przeglądarki może generować kody TOTP, ale na kontach uprzywilejowanych powinno być używane dopiero po świadomej ocenie ryzyka. Procedura wygląda następująco:

1. W Sophos Fusion otworzyć Ikona profilu > My info > Manage MFA i potwierdzić dostęp istniejącą metodą.
2. W sekcji Multi-factor Authentication wybrać znak plus, zaznaczyć Authentication App i otworzyć Set up now.
3. Pozostawić otwarty jednorazowo wyświetlony kod QR. W osobnej karcie zainstalować zatwierdzone rozszerzenie z oficjalnego Extension Store przeglądarki.
4. Wrócić do strony z kodem QR, otworzyć rozszerzenie obok paska adresu i wybrać w nim Add Account > Scan QR from screen.
5. Wpisać wygenerowany kod jednorazowy w sekcji Verify Your Device > Security Code, opcjonalnie nadać jednoznaczną nazwę urządzenia i wybrać Continue.
6. W sekcji Ikona profilu > My info > Manage MFA sprawdzić, czy nowa metoda jest zarejestrowana. Podczas logowania testowego muszą działać nazwa użytkownika i hasło oraz kod z rozszerzenia.

Kod QR jest jednorazowym sekretem rejestracyjnym i nie wolno zapisywać go jako zrzutu ekranu ani przesyłać w zgłoszeniu. Przed zatwierdzeniem rozszerzenia sprawdza się wydawcę, wymagane uprawnienia przeglądarki, źródło aktualizacji i synchronizację danych. Ponieważ profil przeglądarki, sesja Sophos Fusion i sekret TOTP znajdowałyby się w przeciwnym razie w jednym miejscu, nadal wymagana jest oddzielna metoda na innym urządzeniu lub kluczu sprzętowym.

Zarządzanie zarejestrowanymi metodami MFA

Stronę zarządzania otwiera się przez Ikona profilu > My info > Manage MFA lub alternatywnie Sophos ID > My Profile > Manage MFA. Po ponownym uwierzytelnieniu Sophos Fusion pokazuje wszystkie zarejestrowane metody, ich nazwę domyślną lub wyświetlaną oraz ostatnie użycie.

Za pomocą znaku plus dodaje się kolejną aplikację uwierzytelniającą lub klucz dostępu. Dla każdego typu metody można mieć maksymalnie dziesięć rejestracji. W menu z trzema kropkami danej metody można wybrać Rename, wprowadzić nową nazwę i zatwierdzić znacznikiem wyboru. Delete usuwa rejestrację z Sophos Fusion.

Zarejestrowane muszą pozostać co najmniej dwie metody MFA. Gdy pozostaje tylko wymagane minimum, Sophos Fusion nie pozwala usunąć kolejnej metody. Continue zamyka zarządzanie i wraca do dashboardu Sophos Fusion. Przed usunięciem starej metody nową testuje się w oddzielnym logowaniu.

Konfigurowanie klucza dostępu i wybór miejsca przechowywania

Klucz dostępu dodaje się jako kolejną metodę dopiero po skonfigurowaniu aplikacji uwierzytelniającej. W sekcji Ikona profilu > My info > Manage MFA po ponownym uwierzytelnieniu wybiera się znak plus, a następnie Passkey. System operacyjny lub Credential Manager prowadzi przez weryfikację PIN-em lub biometrią. W Windows może to być na przykład odcisk palca w Windows Hello. Po komunikacie Passkey Saved należy potwierdzić za pomocą OK, sprawdzić nową rejestrację na liście metod i zakończyć przyciskiem Continue.

Miejsce przechowywania jest częścią decyzji dotyczącej bezpieczeństwa. Można użyć Credential Managera na komputerze lokalnym, na przykład przeglądarki, systemu operacyjnego lub firmowego menedżera haseł, uwierzytelniacza powiązanego z urządzeniem, takiego jak YubiKey, albo urządzenia mobilnego w procesie z kodem QR. Dla odporności na awarie klucze dostępu rejestruje się na więcej niż jednym kontrolowanym urządzeniu. Sophos Fusion pozwala na maksymalnie dziesięć kluczy dostępu.

Logowanie kluczem dostępu lub aplikacją uwierzytelniającą

Przy logowaniu kluczem dostępu najpierw otwiera się fusion.sophos.com, wpisuje adres e-mail i wybiera Continue. Na stronie klucza dostępu Login with passkey uruchamia wcześniej zarejestrowaną metodę, na przykład odcisk palca, PIN urządzenia lub klucz sprzętowy. Po udanej weryfikacji otwiera się dashboard Sophos Fusion.

Jeśli zarejestrowano klucz dostępu i aplikację uwierzytelniającą, Sophos Fusion preferuje klucz dostępu. Za pomocą Try another way po wpisaniu hasła można zamiast niego wybrać inną metodę. W przypadku klasycznego logowania aplikacją uwierzytelniającą po adresie e-mail i Continue wpisuje się hasło i wybiera Sign in. Na stronie MFA Validation Required podaje się aktualny kod z aplikacji.

Obie ścieżki testuje się po konfiguracji, zmianie urządzenia i aktualizacji przeglądarki. Sam zapisany klucz dostępu nie wystarcza jako sposób odzyskania dostępu, jeśli Credential Manager, dostęp do urządzenia i sesja Sophos Fusion zależą od tego samego błędu lub Account Lockout.

My info, rola i hasło lokalne

W sekcji Ikona profilu > My info administrator widzi swoją aktualną rolę, adres logowania Sophos Fusion oraz ustawienia hasła i MFA. Kliknięcie nazwy roli otwiera pełny zestaw uprawnień. Adres e-mail jest zatem również ważnym identyfikatorem przy logowaniu, kontroli ról i zgłoszeniu do pomocy technicznej.

Lokalne hasło Sophos zmienia się w My info > Password > Change password. Po weryfikacji Sophos Fusion pokazuje już wypełnione aktualne hasło. Nowe hasło musi mieć co najmniej osiem znaków oraz zawierać małą literę, wielką literę i cyfrę lub znak specjalny. Po wybraniu Reset Password Sophos Fusion automatycznie loguje administratora nowym hasłem i wraca do portalu; stare hasło natychmiast traci ważność. Przy logowaniu federacyjnym hasło zmienia się natomiast u właściwego Identity Providera.

Account Details zawierają ponadto osobiste ustawienia E-mail Subscription. Te osobiste subskrypcje nie są tym samym co odbiorcy Alerts dla całego Tenanta w sekcji Configure Email Alerts. To, którzy administratorzy, listy dystrybucyjne i systemy zgłoszeń otrzymują komunikaty bezpieczeństwa, konfiguruje się osobno zgodnie z artykułem Wiadomości e-mail i powiadomienia o alertach Sophos Fusion.

Zabezpieczanie wrażliwych działań za pomocą transakcyjnego MFA

Transaction Authentication using MFA wymaga dodatkowego uwierzytelnienia przed wybranymi wrażliwymi działaniami w tenancie Customer (CDB). Nie jest to ogólna ochrona działań w dashboardzie Partner lub Enterprise. Potwierdzenie odbywa się przy użyciu klucza dostępu lub aplikacji uwierzytelniającej już zarejestrowanych do MFA Sophos. Według ogłoszenia z 15 września 2026 r. funkcja jest domyślnie wyłączona.

Przed włączeniem należy sprawdzić właściwy tenant Customer, dostępność administratora Super Admin do wprowadzenia zmiany i działającą zarejestrowaną metodę MFA. Uprawnienia i licencje wymagane do Live Response lub konkretnej Response Action pozostają niezależne. Jeśli administrator może korzystać wyłącznie z logowania federacyjnego i MFA jest zapewniane wyłącznie przez federacyjnego IdP, to ustawienie nie jest dla niego dostępne. Nie należy zmieniać konfiguracji IdP wyłącznie na potrzeby tego testu.

1. Jako Super Admin w tenancie Customer otworzyć Global Settings > Access Control > Sign-in and Identity > Multi-factor Authentication i zapisać dotychczasowy stan. Jeśli brakuje opcji, najpierw sprawdzić tenant, rolę i sposób logowania; samo ogłoszenie nie dowodzi udostępnienia funkcji we własnym tenancie.
2. Przed włączeniem poinformować administratorów objętych zmianą i zezwolić na wyskakujące okna logowania Sophos. Jeśli przeglądarka je blokuje, rozważyć celowany wyjątek dla sophos.com, zamiast ogólnie wyłączać blokowanie wyskakujących okien.
3. W sekcji Transaction Authentication using MFA włączyć Require re-authentication before executing high risk operations. Nie włączać omyłkowo osobnej opcji Expand MFA Coverage: rozszerza ona MFA na kolejne logowania do portali i po włączeniu nie można jej ponownie wyłączyć.
4. Ponownie otworzyć stronę i sprawdzić, czy ustawienie jest włączone. Następnie administratorzy objęci zmianą muszą wylogować się i zalogować ponownie, aby zmiana zaczęła obowiązywać w ich nowej sesji Fusion. Już otwarta sesja nie jest prawidłowym testem działania.

W nowej sesji oczekuje się ponownego uwierzytelnienia przy każdym uruchomieniu sesji Live Response. W przypadku Response Action jest ono wymagane, jeśli ostatnie ponowne uwierzytelnienie nie nastąpiło w ciągu poprzednich 15 minut. Nie jest to ogólne 15-minutowe okno dla Live Response ani gwarancja objęcia każdego możliwego typu działania.

Żądanie MFA sprawdza się podczas następnego działania, na które udzielono wyraźnej zgody; nie należy uruchamiać izolacji urządzenia, innej Response Action ani produkcyjnej sesji Live Response wyłącznie w celu testowania. Jeśli oczekiwane żądanie nie występuje, najpierw sprawdza się ponowne logowanie, zapisane ustawienie, kontekst Customer, wyjątek IdP i blokowanie wyskakujących okien. Jeśli zachowanie nadal odbiega od oczekiwanego, nie zatwierdza się wrażliwego działania jako wystarczająco zabezpieczonego, lecz eskaluje do Sophos Support z tenantem, czasem i obserwacjami, bez danych logowania. Przeczytana pomoc opisuje włączanie, ale nie wiarygodną procedurę wyłączania lub wycofania; nie należy więc obiecywać niezweryfikowanej możliwości cofnięcia zmiany.

Ocena sesji powiązanych z urządzeniem za pomocą DBSC

Device Bound Session Credentials (DBSC) wiążą sesję z kluczem kryptograficznym na urządzeniu. Przeglądarka regularnie potwierdza posiadanie tego klucza, przez co skradziony plik cookie sesji jest mniej przydatny na innym urządzeniu. To dodatkowa warstwa ochrony przed kradzieżą sesji, a nie zamiennik MFA, bezpiecznych endpointów lub świadomego wylogowania.

Sophos zapowiedział DBSC dla dashboardów Customer, Enterprise i Partner (CDB, EDB i PDB). W obsługiwanej przeglądarce i na obsługiwanej platformie funkcja działa transparentnie; nie wymaga przełącznika po stronie klienta ani własnej implementacji DBSC. Ogłoszenie Sophos z 15 września 2026 r. wymienia Google Chrome i Microsoft Edge od wersji 146 w Windows z TPM oraz od wersji 147 w macOS. Informacje te opisują zakres wsparcia Sophos w chwili ogłoszenia; nie gwarantują dostępności funkcji w każdej sesji ani zgodności każdej platformy.

Google opisuje natomiast podstawową funkcjonalność DBSC już dla Chrome 145 w Windows. Nie jest to równoznaczne z wyższym progiem Sophos i nie potwierdza obsługi Edge ani macOS dla Sophos Fusion. Bez odpowiedniej obsługi przeglądarki i platformy nie wolno planować DBSC jako dostępnej ochrony. Na potrzeby wdrożenia należy spisać faktycznie używane wersje przeglądarek i systemów operacyjnych; samo udane logowanie nie potwierdza powiązania DBSC.

Ograniczanie nieaktywnych sesji administratorów

MFA chroni logowanie, ale nie otwartą już sesję na komputerze pozostawionym bez nadzoru. W sekcji Connected Sessions ustawienie Session Idle Timeout określa, po ilu godzinach nieaktywności administrator musi zalogować się ponownie. Sophos dokumentuje to ustawienie osobno dla portali Customer, Enterprise i Partner. Przed zmianą należy więc sprawdzić używany portal, powiązane konto lub tenant oraz sposób logowania. Przy dostępie do kont Customer przez sesję Partner lub Enterprise, zgodnie z ogłoszeniem dotyczącym sesji, decyduje limit czasu tej sesji. Sama wartość Customer nie opisuje więc tej sesji. Ten priorytet nie jest automatyczną kopią ustawień Customer ani ogólnym dziedziczeniem wymagań MFA, SSO lub innych ustawień konta.

1. W odpowiednim portalu otworzyć ikonę Global Settings i wybrać Access Control > Sign-in and Identity > Connected Sessions.
2. Udokumentować dotychczasową wartość Session Idle Timeout, aby w razie potrzeby móc ją przywrócić. Dozwolony zakres wynosi od 1 do 23 godzin, a udokumentowana wartość domyślna to 3 godziny.
3. Wprowadzić maksymalny czas nieaktywności i wybrać Save. Dla uprzywilejowanych kont administratorów 1 godzina jest celowo restrykcyjnym przykładem pilotażu Avanet, a nie domyślnym ustawieniem Sophos. Krótszy czas ogranicza okres, w którym nieaktywna sesja pozostawiona bez nadzoru może nadal być używana, ale w codziennej pracy wymaga częstszego ponownego logowania. Wybór uzgadnia się z odpowiedzialnymi administratorami; limit czasu nie zastępuje blokady ekranu ani świadomego wylogowania.

Po zapisaniu ponownie otwiera się stronę i sprawdza zapisaną wartość. Aby sprawdzić działanie ustawienia, administrator testowy loguje się do tego samego portalu w oddzielnej sesji przeglądarki. Pozostawia się ją otwartą bez wykonywania żadnych czynności przez czas dłuższy niż skonfigurowany limit, a następnie otwiera chronioną stronę. Oczekiwanym wynikiem jest żądanie ponownego logowania. Następnie należy pomyślnie przejść faktycznie używaną lokalną lub federacyjną ścieżkę logowania, włącznie z wymaganym w niej MFA. Test wykonuje się osobno dla każdego portalu objętego zmianą.

Jeśli po przewidzianym okresie nieaktywności sesja nadal pozwala na korzystanie z portalu, najpierw sprawdza się portal, tenant, zapisaną wartość oraz ewentualną aktywność podczas testu. Następnie powtarza się test w nowej sesji po ponownym zalogowaniu; jeśli wynik nadal odbiega od oczekiwanego, dokumentuje się portal, czas i zaobserwowane zachowanie dla pomocy technicznej Sophos, bez podawania danych logowania. Jeśli zmianę trzeba wycofać, ponownie zapisuje się udokumentowaną poprzednią wartość i powtarza kontrolę.

Session Idle Timeout nie gwarantuje natychmiastowego unieważnienia wszystkich już otwartych sesji i nie zastępuje działań wymaganych w przypadku przejęcia konta. Nie oznacza również automatycznego przenoszenia ustawienia między portalami Customer, Enterprise i Partner. W przypadku incydentu bezpieczeństwa dodatkowo sprawdza się dostęp do konta, role, IdP i Audit Logs.

Właściwa ocena kluczy dostępu

Klucze dostępu są odporne na phishing, jeżeli klucz jest powiązany z prawdziwą domeną Sophos Fusion i chroniony kodem PIN urządzenia lub biometrią. Synchronizowany klucz dostępu jest wygodny, ale przejmuje właściwości bezpieczeństwa i odzyskiwania używanego konta Apple, Google lub Microsoft.

Dla użytkowników Super Admin szczególnie solidną metodą jest zarządzany sprzętowy klucz bezpieczeństwa. Przed wprowadzeniem wymogu dla całego tenantu należy sprawdzić dostęp awaryjny, klucze zapasowe i proces offboardingu.

Microsoft Authenticator nie jest obsługiwany jako klucz dostępu Sophos poza federacyjnym logowaniem Entra ID. Aplikacja może być nadal używana jako uwierzytelniacz TOTP. Klucze dostępu używane między urządzeniami mogą, zależnie od platformy, wymagać Bluetooth, bliskości urządzeń i procesu z kodem QR.

Na jednym koncie można zarejestrować maksymalnie dziesięć kluczy dostępu. Zastępowanie starych czynników i logikę blokady omówiono osobno w następnym rozdziale, ponieważ dotyczą zarówno kont TOTP, jak i kont z kluczami dostępu.

Aktualnie udokumentowana obsługa kluczy dostępu obejmuje Windows 10 i 11, macOS 10.15.7 lub nowszy, Android 9 lub nowszy oraz iOS i iPadOS 16 lub nowszy. Jako wersje minimalne Sophos podaje Chrome 118, Firefox 119, Safari 16 lub nowszy i Edge 119. Typowe magazyny to Windows Hello, Google Password Manager, iCloud Keychain i 1Password; jako klucze powiązane z urządzeniem Sophos wymienia YubiKey 5 i YubiKey NFC. Inne kombinacje mogą działać, jeśli producenci przeglądarki i systemu operacyjnego wdrożyli wymagane protokoły Passkey.

Sophos szacuje, że obsługa ta obejmuje około 98 procent używanych kombinacji przeglądarek i systemów operacyjnych oraz popularne Credential Managers. Jest to informacja o zasięgu, a nie gwarancja platformy. System operacyjny, przeglądarkę, Credential Manager, politykę synchronizacji i proces odzyskiwania dostępu testuje się z rzeczywiście używanymi wersjami.

Synchronizowane klucze dostępu działają przy logowaniu Sophos, ale sama synchronizacja pozostaje funkcją Credential Managera. iCloud Keychain może na przykład udostępniać klucze dostępu między komputerami Mac, iPhone’ami i iPadami tej samej tożsamości iCloud. Za błąd synchronizacji odpowiada więc producent Credential Managera. W przypadku Cross-Device Passkeys Bluetooth musi być aktywny na komputerze i urządzeniu mobilnym, oba urządzenia muszą znajdować się blisko siebie, a skaner kodów QR musi być dostępny.

Microsoft Authenticator może używać klucza dostępu Sophos tylko w kontekście federacyjnego logowania Entra ID. Bez tej ścieżki logowania podczas rejestracji pojawiają się zwykle komunikaty Failed to add passkey lub Microsoft Authenticator doesn’t support this passkey. Niezależnie od tego Microsoft Authenticator nadal może służyć jako aplikacja TOTP.

W 1Password Business zasady Team lub Shared Vault mogą blokować rejestrację klucza dostępu. 1Password pojawia się wtedy w oknie rejestracji, ale jest wyszarzony. Właściwy administrator 1Password musi zezwolić na rejestrację w Team Policies; wielokrotne usuwanie metody Sophos MFA nie naprawi tej zewnętrznej zasady.

Przestarzałe metody MFA i Account Lockout

SMS oraz wiadomość e-mail z kodem PIN są przestarzałymi metodami MFA. Nowi użytkownicy Sophos Fusion muszą używać aplikacji uwierzytelniającej TOTP lub klucza dostępu. Jeśli MFA zostanie zresetowane istniejącemu użytkownikowi korzystającemu z SMS albo wiadomości e-mail z PIN-em, podczas ponownej rejestracji Sophos Fusion również traktuje go jak nowego użytkownika i wymaga TOTP lub klucza dostępu.

Po pięciu kolejnych błędnych próbach logowania Sophos Fusion najpierw blokuje konto na minutę. Kolejne błędne próby na tym samym koncie stopniowo wydłużają blokadę do maksymalnie pięciu godzin. Dlatego po Lockout nie należy wykonywać dalszych automatycznych prób. Jeśli nie jest dostępna druga metoda ani inny Super Admin, Sophos Support może odblokować konto po weryfikacji tożsamości.

Logowanie federacyjne przez dostawcę tożsamości

Za pomocą obsługiwanego dostawcy tożsamości Sophos Fusion może przekazać logowanie do centralnej tożsamości firmowej. Upraszcza to Conditional Access, cykl życia kont i centralne blokowanie dostępu. Sophos Fusion korzysta przy tym z przepływu inicjowanego przez Service Provider, czyli SP-initiated SSO: logowanie rozpoczyna się w Sophos Fusion, skąd użytkownik jest przekierowywany do IdP.

Konfigurację wykonuje się w ustalonej kolejności. Najpierw należy zweryfikować własną domenę za pomocą rekordu DNS TXT. Propagacja DNS może potrwać do 24 godzin. Pomyślna weryfikacja obowiązuje przez rok i następnie musi zostać odnowiona. Potem dostawcę tożsamości przypisuje się do zweryfikowanej domeny, a dopiero na końcu aktywuje wybraną opcję logowania. Działania te wymagają uprawnień Super Admin.

Sophos Fusion może zezwalać wyłącznie na federacyjne dane logowania albo dodatkowo na adres e-mail i hasło Sophos Fusion. W przypadku Microsoft Entra ID Sophos Fusion nadal wyświetla obie opcje mimo ustawienia Federated credentials only. W przypadku innych dostawców tożsamości ustawienie to prowadzi bez etapu wyboru bezpośrednio do IdP. To odmienne zachowanie należy uwzględnić w teście blokady dostępu.

Wyboru dokonuje się w sekcji Global Settings > Access Control > Sign-in and Identity > Sophos sign-in. Obowiązuje on zasadniczo dla wszystkich produktów Sophos Fusion. Dla poszczególnych administratorów można zdefiniować Custom Sign-in Rules, na przykład aby podczas pilota zachować kontrolowane logowanie Sophos jako drogę awaryjną. Użytkownik może być przypisany tylko do jednej zweryfikowanej domeny i jednego Identity Providera.

Przy ustawieniu Federated credentials only użytkownicy nie mogą samodzielnie resetować hasła Sophos. Jeśli później system zostanie przełączony z powrotem na wyłączne logowanie Sophos, konta te mogą nie mieć jeszcze użytecznego hasła i muszą przejść przez Reset Password. Użytkownicy Self Service Portal korzystający wyłącznie z logowania federacyjnego nie otrzymują osobnego zaproszenia do utworzenia hasła, lecz logują się bezpośrednio przez IdP.

Opcja Expand MFA Coverage rozszerza żądanie MFA na zarządzanych użytkowników innych portali Sophos, takich jak Self Service Portal, Partner Portal lub Support Portal. Po włączeniu nie można jej wyłączyć. Dlatego zapisuje się ją dla całego Tenanta dopiero po pilotażu z faktycznie objętymi użytkownikami portali.

Przed aktywacją należy wyjaśnić następujące kwestie:

• jednoznaczne przypisanie adresu e-mail do loginu Sophos Fusion,
• MFA i reguły dostępu po stronie IdP,
• zachowanie kont gości i partnerów,
• co najmniej jeden przetestowany dostęp awaryjny,
• wykluczenie blokady dostępu wskutek błędnej konfiguracji domeny lub IdP.

Logowanie federacyjne nie synchronizuje automatycznie użytkowników endpointów ani grup urządzeń. Są to oddzielne funkcje.

Gdy UPN różni się od adresu e-mail

Sophos Fusion identyfikuje konto najpierw na podstawie zapisanego adresu e-mail. Jeżeli Microsoft Entra ID używa wewnętrznie innego User Principal Name, aplikacja Entra wymaga dostosowanej konfiguracji OpenID Connect z opcjonalnym claimem email oraz odpowiednimi uprawnieniami Microsoft Graph. Użytkownik nadal wpisuje w Sophos Fusion przypisany adres e-mail, a następnie uwierzytelnia się na stronie Microsoft przy użyciu UPN.

Standardowa instrukcja wystarcza, gdy adres e-mail i UPN są identyczne. Odmienną konfigurację należy najpierw sprawdzić na koncie testowym, ponieważ brakujący lub nieprawidłowy claim uniemożliwia przypisanie konta mimo pomyślnego uwierzytelnienia w Entra.

Zarządzanie i aktywowanie Identity Providera

Tylko Super Admin może zarządzać federacyjnym Identity Providerem. Wcześniej musi być zweryfikowana co najmniej jedna odpowiednia domena. W sekcji Global Settings > Access Control > Sign-in and Identity > Federated identity providers za pomocą Add identity provider tworzy się Microsoft Entra ID, OpenID Connect lub Microsoft AD FS. Częściowo uzupełnionych Providerów można zapisać, ale włączyć je można dopiero po kompletnej i prawidłowej konfiguracji.

Aby aktywować Provider, wybiera się gotową konfigurację i Turn on. Następnie można go używać do federacyjnego Sign-in. W tym samym miejscu Providerów można edytować lub usuwać. Przed włączeniem Federated credentials only każdy objęty administrator i użytkownik musi być przypisany do zweryfikowanej domeny i włączonego Providera; w przeciwnym razie nastąpi Lockout. Dlatego Provider testuje się najpierw na pojedynczych kontach z zachowaniem drogi awaryjnej.

Wykonywalne instrukcje dla Providerów znajdują się w artykułach Konfigurowanie Microsoft Entra ID jako Identity Providera, Konfigurowanie OpenID Connect i Okta dla Sophos Fusion oraz Łączenie Microsoft AD FS z Sophos Fusion.

Role nadal mają kluczowe znaczenie

MFA chroni tożsamość, ale nie ogranicza jej uprawnień. Roli Super Admin należy używać wyłącznie do zarządzania tenantem, rolami, interfejsem API i zmianami o szczególnie szerokim zakresie. Role Help Desk, Read-only i Custom Roles ograniczają możliwe skutki błędu lub przejęcia konta.

Przypisanie ról produktowych opisuje artykuł Planowanie ról i uprawnień Sophos Central Endpoint.

Utracone urządzenie MFA i blokada dostępu

Proces odzyskiwania należy przetestować, zanim będzie potrzebny. Najpierw używa się drugiej zarejestrowanej metody. Jeśli żadna metoda nie jest już dostępna, przed resetem weryfikuje się tożsamość przez znany, niezależnie potwierdzony kanał kontaktu; sama wiadomość e-mail z prośbą o reset nie wystarcza. Użytkownika informuje się przez uzgodniony kanał kontaktu. Nie prosi się osoby dzwoniącej o hasła, klucze dostępu, kody QR ani kody bezpieczeństwa i nie zapisuje się ich w zgłoszeniu.

Dla konta użytkownika w tenancie Customer procedura odzyskiwania wygląda następująco:

1. Użyć drugiej zarejestrowanej metody.
2. Poprosić użytkownika Super Admin tenantu o wykonanie Reset MFA w obiekcie użytkownika.
3. Podczas następnego logowania wpisać kod bezpieczeństwa wysłany przez Sophos w wiadomości e-mail.
4. Zarejestrować dwie nowe metody MFA i sprawdzić ich niezależną dostępność.
5. Jeżeli żaden inny Super Admin nie jest dostępny, skontaktować się z pomocą techniczną Sophos, podając możliwe do zweryfikowania dane konta.

W przypadku tożsamości Partner należy natomiast skorzystać z pomocy administratora Partner Super Admin i opisanej poniżej procedury Partner. Wiadomość weryfikacyjna Customer nie gwarantuje takiego samego działania okna odzyskiwania Partner. Po resecie Partner użytkownik wykonuje faktycznie wyświetlane instrukcje logowania i rejestracji oraz przywraca co najmniej dwie niezależne metody. Jeśli dla konta Partner nie jest dostępny inny Super Admin, należy skontaktować się z Sophos Support; kolejne nieudane próby logowania nie zastępują tej procedury odzyskiwania.

Po odzyskaniu dostępu stare metody są usuwane, nowe rejestrowane, a Audit Logs sprawdzane pod kątem nietypowych logowań lub zmian.

Usunięcie wpisu Sophos bezpośrednio w aplikacji uwierzytelniającej nie usuwa metody z Sophos Fusion. Nadal pozostaje tam zarejestrowana, ale nie generuje prawidłowych kodów. Metodę trzeba więc dodatkowo usunąć w Sophos Fusion albo zresetować przez Super Admin. Po usunięciu wszystkich lokalnych metod pozostaje jedynie druga zarejestrowana metoda, reset przez innego Super Admin lub zweryfikowana ścieżka przez Sophos Support.

Resetowanie MFA jako Super Admin

Ta procedura dotyczy konta użytkownika w tenancie Customer, a nie strony Partner Administer MFA.

Tylko Super Admin może zresetować rejestracje MFA innego użytkownika. Ścieżka to My Environment > Users & Groups > Users. Należy otworzyć nazwę użytkownika, wybrać Reset MFA, a następnie ponownie Reset. Komunikat stanu u dołu strony potwierdza pomyślny reset.

Sophos Fusion automatycznie wysyła następnie użytkownikowi wiadomość weryfikacyjną z kodem bezpieczeństwa. Przy kolejnym logowaniu użytkownik musi wpisać ten kod i całkowicie skonfigurować MFA od nowa. Należy sprawdzić dostarczenie wiadomości, tożsamość osoby zgłaszającej i udaną ponowną rejestrację; sam reset nie przywraca jeszcze bezpiecznego dostępu. Jeśli własne konto jest zablokowane i nie ma innego Super Admina, pozostaje zweryfikowane odzyskiwanie przez Sophos Support.

Resetowanie MFA na koncie Partner

Strona Administer MFA jest widoczna tylko dla administratora Partner Super Admin. Jest to procedura Partner dla zarządzanych tożsamości; nie używa się w tym celu ścieżki Customer My Environment > Users & Groups > Users. Administratorów konta Partner można sprawdzić w Global Settings > Access Control > Admin & Roles > Admins.

1. W portalu Partner otworzyć ikonę Global Settings i w obszarze Access Control wybrać stronę Administer MFA.
2. Wpisać pełny adres e-mail danej tożsamości. Wyszukiwać można tylko adresy powiązane z kontem Partner. Częściowy adres nie wystarcza. Jeśli nie ma wyniku, nie pojawia się ani powiadomienie, ani komunikat błędu; nie jest to potwierdzenie resetu. W takiej sytuacji należy sprawdzić pisownię i powiązanie z kontem, zamiast resetować MFA innego użytkownika.
3. Przy wyniku jednoznacznie odpowiadającym tożsamości przejść do kolumny Action i kliknąć Reset MFA. Informacja u dołu strony potwierdza pomyślny reset.
4. Poprosić użytkownika o ponowne skonfigurowanie MFA. Następnie sprawdzić udane logowanie i co najmniej dwie zarejestrowane, niezależnie dostępne metody. Sam pomyślny reset nie potwierdza jeszcze przywrócenia bezpiecznego dostępu.

Utraconego klucza dostępu nie odtwarza się ze zgłoszenia ani nie zastępuje przez udostępnienie cudzego klucza. Odzyskiwanie odbywa się przy użyciu własnej, nadal dostępnej metody lub autoryzowanego resetu; później sprawdza się stare lub utracone rejestracje. Jeśli wpis Sophos został usunięty tylko lokalnie z aplikacji uwierzytelniającej, rejestracja pozostaje w portalu Partner, choć nie dostarcza już użytecznych kodów. Nadal obowiązuje więc opisane powyżej rozróżnienie między usunięciem lokalnym a usunięciem rejestracji w portalu.

Resetowanie MFA użytkownika Customer z portalu Partner

Dla użytkownika w zarządzanym tenancie Customer Sophos dokumentuje osobną ścieżkę wejścia:

1. Otworzyć My Business > My Customers i wybrać Customers.
2. Na stronie Sophos Central Customers wybrać właściwego klienta i opcję Launch customer. Konto Customer otwiera się z własnym dashboardem; przed resetem należy sprawdzić przypisanie do klienta.
3. Otworzyć My Environment > Users & Groups, wybrać użytkownika i w jego profilu wybrać Reset MFA.
4. Sprawdzić komunikat powodzenia w prawym dolnym rogu i dokończyć odzyskiwanie z użytkownikiem, łącznie z powiadomieniem i ponowną rejestracją.

Ta ścieżka Customer nie jest wyszukiwaniem po adresie e-mail na stronie Administer MFA. Osoba przechodząca z dashboardu Partner do tenantu Customer przez SSO Partner nie może zmieniać ustawień MFA tamtejszych administratorów Super Admins. Jeśli problem dotyczy administratora Customer Super Admin, należy zaangażować innego uprawnionego administratora Super Admin tego tenantu; jeśli taki dostęp nie jest dostępny, należy skontaktować się z Sophos Support. Przejście do tenantu Customer nie znosi tego ograniczenia.

Regularna kontrola

Co najmniej raz na kwartał należy sprawdzać administratorów, role, dane dostępowe API, metody MFA i zewnętrzne tożsamości. W przypadku odejścia pracownika lub zmiany roli dostęp do Sophos Fusion należy nie tylko wyłączyć, ale też usunąć konto z ról administratora i odpowiednich grup IdP.

Często zadawane pytania