Como é licenciado o Sophos Fusion?
O Sophos Fusion (anteriormente Sophos Central) é uma plataforma de gestão comum, mas não é um único produto de licenciamento. O Endpoint, XDR, MDR, Server, Device Encryption, Email, Firewall, Wireless e outros serviços têm regras próprias de utilização e expiração.
A consequência mais importante é a seguinte: um número apresentado na página Licensing do Central nunca é avaliado sem o nome do produto e o contrato de licença. A utilização calculada no portal ajuda no controlo, mas não substitui o License Schedule nem a EULA.
Os principais modelos de contagem
| Tipo de produto | Base de contagem típica | Particularidade importante |
|---|---|---|
| Endpoint, XDR e MDR para Endpoints | geralmente utilizadores | a utilização é calculada separadamente por tipo de licença e com base nos utilizadores e dispositivos ativos |
| Device Encryption | utilizador ou dispositivo ativamente protegido, conforme o contrato | no Flex, a instalação por si só pode ainda não gerar utilização; a Encryption Policy é determinante |
| Server Protection | servidor protegido | as sessões RDS são abrangidas pelo Server Protection e não como utilizadores Endpoint normais |
| Sophos Email | utilizadores e Shared Mailboxes protegidos | os aliases, as listas de distribuição e as Public Folders não necessitam, regra geral, de licença própria |
| Firewall | Appliance, instância virtual e subscrições | a Base License, o Support e as Security Subscriptions têm efeitos distintos |
| Wireless, Switch e Access Points | dispositivo ou serviço de Support | o modelo e a duração dependem da geração do Hardware e do serviço |
Os produtos, os Bundles e os nomes mudam. Por conseguinte, para uma encomenda, conta sempre o License Schedule atual do cliente concreto e não uma lista de produtos antiga de um artigo de Blog ou de uma proposta.
Modelos de produtos que são frequentemente mal interpretados
Alguns produtos Central não são contabilizados como o Endpoint nem como o Hardware clássico. A classificação seguinte ajuda no controlo mensal e no Renewal:
| Produto | O que conta | Particularidade operacional |
|---|---|---|
| Sophos Email | utilizadores individuais e Shared Mailboxes para os quais foi processada pelo menos uma mensagem nos últimos 30 dias | os aliases, as listas de distribuição e as Public Folders não contam; a indicação é atualizada aproximadamente a cada quatro horas |
| Sophos Mobile | utilizadores atribuídos ou dispositivos sem utilizador | vários dispositivos do mesmo utilizador contam uma vez; só são considerados os dispositivos com sincronização nos últimos 30 dias |
| Sophos Phish Threat | destinatários únicos de uma Simulation ou Training Campaign | o cálculo diário considera os destinatários dos últimos 30 dias; eliminar ou terminar uma campanha não remove retroativamente a utilização |
| Sophos AP6 | Support and Services por AP6 gerido através do Central | sem uma Subscription válida e em quantidade suficiente, a gestão local continua a ser possível, mas o Central deixa de poder alterar o AP |
| Sophos Switch | Support and Services por Switch utilizado | a gestão no Sophos Fusion, as atualizações de Firmware, o Support multicanal 24/7 e o Advanced RMA exigem uma Subscription adequada para cada dispositivo |
| Workspace Protection | maior utilização de um produto incluído | o maior número entre utilizadores do Protected Browser, utilizadores ZTNA, dispositivos DNS Protection e Mailboxes do Email Monitoring determina a quantidade do Bundle |
Workspace Protection: Bundle e quantidade necessária
O Workspace Protection está disponível como licença autónoma a prazo ou através do MSP Flex. O Bundle inclui:
- Sophos Protected Browser,
- Sophos ZTNA,
- Sophos DNS Protection for endpoints,
- Sophos Email Monitoring System.
A licença autónoma Workspace Protection não inclui um Sophos Endpoint completo. Para obter o Endpoint no mesmo Bundle, é necessário adquirir expressamente o Sophos Endpoint Plus Workspace Protection. Para a configuração técnica do Sophos DNS Protection for endpoints, consulte o guia separado Configurar o Sophos DNS Protection para endpoints.
A quantidade necessária do Bundle não é a soma dos quatro produtos, mas sim o consumo medido mais elevado:
- Protected Browser: utilizadores autenticados únicos num período de 30 dias,
- ZTNA: utilizadores autenticados únicos num período de 30 dias,
- DNS Protection for endpoints: dispositivos que utilizam o DNS Protection,
- Email Monitoring System: Mailboxes.
Por exemplo, 75 utilizadores ZTNA, 80 utilizadores Protected Browser e 100 dispositivos com DNS Protection exigem uma quantidade de 100, e não 255. No Bundle combinado, o número de dispositivos Sophos Endpoint entra na mesma comparação. Se existirem ainda 120 dispositivos Endpoint, 120 é a quantidade determinante.
Nos componentes baseados em utilizadores, a mesma pessoa autenticada conta uma única vez, mesmo que inicie sessão em vários dispositivos. A mesma licença ZTNA aplica-se a gateways locais e a Sophos Cloud Gateways, bem como ao acesso com e sem agente. Nos Sophos Cloud Gateways acresce um direito médio de largura de banda de 15 GB por utilizador e por mês, que deve ser considerado separadamente no planeamento da capacidade.
A ativação e a gestão são efetuadas no Sophos Fusion através de Profile icon > Licensing. Verifique se Standalone Workspace Protection ou Sophos Endpoint Plus Workspace Protection está ativo com a duração esperada. Em seguida, compare Protected Browser users, ZTNA authenticated users, DNS Protection devices e Email Monitoring mailboxes e, no Bundle combinado, também Sophos Endpoint devices. A verificação é bem-sucedida quando o valor apresentado mais elevado não ultrapassa a quantidade encomendada. Se a licença esperada não estiver presente, estiver ativa a variante errada ou a quantidade for insuficiente, compare depois o nome da licença apresentado e a data Expires com o License Schedule e a quantidade nele encomendada; a indicação de consumo com o valor mais elevado mostra qual o componente que necessita de capacidade adicional. Uma ativação ou quantidade encomendada divergente deve então ser esclarecida com o Sophos Partner. Está disponível um Trial de 30 dias para o Workspace Protection.
Após a expiração, os produtos Workspace Protection deixam de estar disponíveis no Sophos Fusion. A configuração é mantida e reaparece após o Renewal. Por isso, a expiração não deve ser tratada como uma ordem de eliminação ou reconstrução: primeiro, verifique o nome da licença, a data Expires e o Renewal.
O Xstream Protection de uma Sophos Firewall abrange apenas o DNS Protection autónomo e não confere direito ao DNS Protection for endpoints. Bundles e licenças Sophos Firewall fornece detalhes sobre os Bundles de Firewall; Sophos DNS Protection explica o serviço DNS Protection autónomo.
No DNS Protection autónomo proveniente do Xstream Protection, conta a existência de pelo menos uma Firewall com uma licença ainda válida no tenant. Se a última licença adequada expirar ou todas as Firewalls licenciadas forem transferidas para outro tenant Central, o DNS Protection termina no tenant original. Se um MSP remover a última Firewall Flex, o acesso pode cessar no prazo de um dia. Uma licença Air-Gap não suporta o DNS Protection, porque o serviço pressupõe uma Firewall ativada ou gerida no Central. Quando coexistem uma licença Trial e uma licença adquirida, o serviço permanece disponível enquanto pelo menos uma das duas licenças for válida.
Sophos Switch: gestão local ou Sophos Fusion?
Num Sophos Switch, o Hardware, a gestão local e o serviço adicional devem ser considerados separadamente. A compra do Hardware inclui a gestão local através da interface Web e da CLI. Se nenhum Switch for gerido com o Sophos Fusion, não é necessária uma Subscription Sophos Switch Support and Services para esse efeito. Selecionar modelos e gestão do Sophos Switch explica a escolha entre funcionamento local e centralizado e as formas de gestão disponíveis.
Assim que os Switches forem geridos com o Sophos Fusion, cada Switch utilizado necessita de uma Subscription Support and Services adequada na conta Sophos Fusion. Esta inclui:
- todas as funções de gestão do Sophos Fusion para Switches, incluindo a gestão de portas e VLANs, a configuração do dispositivo e a consulta do respetivo estado,
- atualizações de Firmware,
- Support multicanal 24/7,
- Advanced RMA.
Sem uma Subscription válida, o Switch continua a encaminhar o tráfego de rede e permanece disponível para gestão local. Contudo, não é possível efetuar alterações através do Sophos Fusion. Os recursos gratuitos de Self-Service permanecem disponíveis, ao passo que o Support pessoal da Sophos por telefone, Chat ou Support Case exige uma licença de Support válida. Este limite de licença deve ser distinguido do registo e da acessibilidade técnica: um Switch pode estar registado ou funcionar localmente sem que a sua gestão no Fusion esteja validamente licenciada.
A licença é ativada e gerida no Sophos Fusion em Profile icon > Licensing. Se a Subscription abranger menos dispositivos do que os efetivamente utilizados, é apresentado um aviso de Oversubscription. Os Switches adicionais continuam a funcionar, mas é necessário adquirir outra Subscription para os mesmos. O mesmo se aplica após a expiração: o funcionamento não termina automaticamente, mas o Support e as prestações sujeitas a licença só voltam a estar abrangidos por uma nova Subscription válida.
Para a aceitação, são por isso verificados separadamente três pontos: o Switch está acessível localmente, a quantidade de Subscriptions em Profile icon > Licensing é suficiente para todos os Switches utilizados e uma pequena alteração reversível efetuada a partir do Sophos Fusion é aplicada com êxito. Registar o Sophos Switch no Sophos Fusion descreve o procedimento completo de registo e controlo do estado.
Para o AP6, existe uma separação semelhante entre o funcionamento local e o serviço Central. No entanto, os APX Access Points não necessitam de uma licença AP6 Support and Services; APX e AP6 são gerações separadas ao nível do licenciamento.
Sophos Email após a expiração
O Sophos Email e o Sophos Email Plus constituem níveis de funcionalidade diferentes. A Portal Encryption é um Add-on adicional cuja quantidade não pode exceder a quantidade adquirida de Sophos Email. O Add-on é atribuído através de uma Secure Message Policy e é um pré-requisito para utilizar Branding próprio no portal de encriptação. Um cliente Email existente pode testar a Portal Encryption, mas não pode iniciar simultaneamente como Trial o serviço base e o Add-on.
O DMARC Manager está disponível como Add-on para o Sophos Email e o Sophos Email Monitoring System e já está incluído no Sophos Email Plus. Além disso, os clientes MSP podem adquirir o Sophos Email como Monthly Flex SKU; as regras técnicas de contagem mantêm-se inalteradas.
O Report License Usage Summary combina a utilização do Sophos Email e do Phish Threat numa quantidade total única e não apresenta os dois produtos separadamente. Para analisar a causa, são também verificados o inventário de Mailboxes, as mensagens processadas e os destinatários do Phish Threat.
Exceder a quantidade adquirida de Email não termina imediatamente a proteção. O Central assinala a conta, gera um Alert e identifica no License Usage Summary as Mailboxes que não estão cobertas; inicialmente, todas as Mailboxes permanecem protegidas. Em seguida, é necessário reduzir o número ou aumentar a quantidade de licenças.
Uma verdadeira expiração da licença é mais crítica. A Sophos pode disponibilizar temporariamente até 30 dias adicionais de proteção, mas tal não constitui uma Grace Period garantida. No Gateway Mode, quando ocorre a expiração definitiva, os MX Records têm de deixar de apontar para a Sophos, caso contrário as mensagens são rejeitadas. No Mailflow Mode, a Sophos inicia uma limpeza automática no Microsoft 365, mas, posteriormente, os Connectors e as regras de Mailflow são ainda verificados manualmente. Um Renewal efetuado durante um período de transição concedido começa retroativamente no fim da licença anterior.
Sophos Mobile e Phish Threat
No Mobile, cada utilizador atribuído a um dispositivo gerido consome uma licença, independentemente do número dos seus dispositivos. Um dispositivo sem utilizador conta, por si só, como uma licença. A indicação da utilização pode ser imprecisa e, por isso, um excesso não é imposto tecnicamente de imediato; no entanto, a necessidade contratual continua a prevalecer. Independentemente disso, o Android Enterprise limita tecnicamente a dez o número de Enrollments simultâneos por utilizador.
O Phish Threat contabiliza um destinatário assim que é enviada uma mensagem de uma campanha ou apenas de formação. Durante o período da licença, o mesmo utilizador necessita de uma única licença, mesmo que receba muitas mensagens. Após a expiração de uma licença, não são enviadas novas campanhas nem Reminders; os dados das campanhas já enviadas continuam a ser recolhidos. No MSP Flex, a faturação mensal baseia-se nos destinatários das campanhas enviadas durante o período de faturação.
Licenciamento por utilizador não significa atribuição manual
No Endpoint, uma licença não é atribuída a um utilizador através de uma caixa de seleção, como num plano Microsoft 365. O Sophos Fusion identifica os utilizadores ativos nos dispositivos protegidos e associa esses dispositivos às respetivas identidades.
Um utilizador pode utilizar vários dispositivos. Para efeitos de cálculo, cada dispositivo só pode estar atribuído a um utilizador. Se a mesma pessoa iniciar sessão em dois dispositivos com contas locais diferentes, o Central pode identificar dois utilizadores e contabilizar em duplicado. Nesse caso, os inícios de sessão têm de ser associados funcionalmente a um utilizador existente.
Os tipos de licença também são contabilizados de forma independente. Um utilizador com Endpoint no dispositivo A e XDR no dispositivo B pode gerar uma utilização de Endpoint e uma utilização de XDR. Por sua vez, o Device Encryption segue o seu próprio estado de função e Policy.
Dispositivos inativos e atraso no cálculo
No Endpoint, os dispositivos que permaneçam mais de 30 dias sem ligação deixam temporariamente de ser contabilizados para a utilização das licenças. Se um dispositivo regressar posteriormente, volta a ser considerado e atualiza os seus componentes.
Esta é uma regra de cálculo, não uma estratégia de Lifecycle. Os dispositivos obsoletos, perdidos ou retirados de serviço continuam a ser removidos após um Offboarding documentado. Caso contrário, o inventário, os Alerts e as responsabilidades permanecem pouco claros.
O número apresentado no portal pode reagir com atraso. Por conseguinte, uma divergência imediatamente após uma instalação, eliminação ou atribuição de utilizador ainda não prova a existência de um erro.
A utilização contratual prevalece
A Sophos refere expressamente que o cálculo no produto pode divergir da obrigação efetiva de licenciamento segundo a EULA. Se o Central subestimar o consumo, a utilização real continua a prevalecer. Por conseguinte, um número apresentado tecnicamente não constitui uma autorização para um licenciamento insuficiente.
Inversamente, nem sempre as funções são imediatamente bloqueadas apenas porque o Central comunica um excesso. A divergência é investigada e regularizada com o Sophos Partner antes de se transformar num problema de Renewal ou Compliance.
Compra inicial, Upgrade e Renewal
Na compra inicial, um novo produto é ativado num tenant. Um Upgrade expande ou substitui as funcionalidades durante um período em curso. Um Renewal prolonga direitos de utilização existentes.
Esta distinção é tecnicamente relevante. Uma licença adquirida é ativada em Profile icon > Licensing com a chave do License Schedule, salvo se o Sophos Partner tratar da ativação. Consoante a vista, a ação chama-se Apply Activation Code ou Apply License Key. Um Upgrade pode instalar novos componentes de Agent ou disponibilizar Policies. A Sophos pode atualizar imediatamente os dispositivos afetados após uma alteração de licença ou de software, mesmo que estejam configuradas atualizações agendadas. Por isso, a ativação deve ser preparada como uma alteração técnica e não apenas como uma operação comercial.
Por seu lado, um Renewal deve sobretudo prolongar a duração, mas também pode alterar funções quando a edição é modificada. A partir de 30 dias antes da expiração, o Central mostra a todos os administradores autorizados um lembrete recorrente ao iniciar sessão. Se todas as licenças acabarem por expirar, o acesso pode ficar limitado a Licensing e o tenant pode posteriormente correr o risco de ser eliminado. Antes da data final, deve verificar-se o comportamento específico de cada produto, porque um direito expirado não produz o mesmo efeito técnico em todos eles.
Para um Renewal antes da expiração, contacte o Sophos Partner ou o contacto Sophos Renewals que lhe foi atribuído. Se as licenças já tiverem expirado, contacte o seu representante Sophos Sales ou o seu parceiro para iniciar o restabelecimento da licença e da proteção. Se não souber quem é o seu parceiro ou Account Owner, o Customer and Partner Care ajuda a identificar o contacto responsável pelo Renewal.
Os tipos de cliente, como Commercial, Education e Government, também podem ter condições de aquisição diferentes. A elegibilidade é esclarecida com o Sophos Partner antes da encomenda e não é presumida apenas com base na designação da organização.
Esclarecer os trials e a região de dados antes da compra
Um trial do Central dura normalmente 30 dias e, inicialmente, não requer uma chave de ativação. Em Profile icon > Licensing, o respetivo número começa por C em vez de L, enquanto Expires mostra a data final. Podem decorrer vários trials de produtos em paralelo e com datas de início diferentes, desde que as funcionalidades não se sobreponham. Um tenant de trial está limitado a 1.000 entradas por tipo de objeto, como utilizadores, grupos, shared mailboxes, public folders ou dispositivos. Este limite de diretório deixa de se aplicar após a conversão para uma licença paga.
Um produto já abrangido por uma licença paga não volta a ser oferecido como trial. Depois da expiração, é necessário aguardar 30 dias antes de iniciar autonomamente outro trial do mesmo produto; uma extensão deve ser pedida ao Sophos Partner ou Account Manager. Assim, a decisão de compra, o fim do teste e a reversão devem constar do plano-piloto antes do início.
A região de dados também é uma decisão de licenciamento. A Sophos indica restrições de produtos na Austrália, no Brasil, no Canadá, na Índia e no Japão, incluindo alguns produtos como ITDR, Sophos Mobile e pontos de acesso APX; a lista atual refere que as regiões US e EU suportam todos os produtos Sophos. Se já existir uma licença incompatível numa dessas regiões, o Sophos Partner terá de a cancelar e gerar uma nova chave para um novo tenant adequado. A região deve, portanto, ser escolhida com base no portefólio previsto antes da criação do tenant e da compra.
Controlo mensal das licenças
Um controlo fiável compara:
- o produto de licença, a edição e a duração na página Licensing,
- os utilizadores, dispositivos, servidores ou Mailboxes efetivos,
- os componentes dos produtos instalados e ativados,
- os objetos inativos, duplicados ou incorretamente atribuídos,
- a quantidade encomendada e a base de contagem contratual,
- as alterações iminentes resultantes do crescimento, de projetos ou de M&A.
A execução técnica da ativação, do controlo da utilização e do Renewal é descrita em Ativar, verificar e renovar licenças do Sophos Fusion.