Ligar Microsoft AD FS ao Sophos Fusion
O Microsoft AD FS pode autenticar identidades Active Directory existentes para o Sophos Fusion (anteriormente Sophos Central). O fluxo é iniciado pelo SP: o Sophos Fusion fornece Entity ID e Callback URL, e o AD FS processa o login como Claims-Aware Relying Party Trust.
O AD FS aumenta a responsabilidade de operação própria em comparação com o Entra ID ou um serviço OIDC gerido. Os certificados, Metadata, acessibilidade externa, alta disponibilidade e nível de atualização do Federation Service continuam a ser da responsabilidade da organização.
Pré-requisitos
São necessários direitos de Super Admin no Sophos Fusion, um serviço AD FS operacional, a aprovação do responsável pelo AD e um domínio verificado. Os administradores e utilizadores do Sophos Fusion têm de existir no AD Forest utilizado; os respetivos endereços de e-mail têm de corresponder aos endereços guardados no Sophos Fusion.
Antes de ativar Federated credentials only como opção de login, todos os administradores e utilizadores afetados têm de estar associados a um domínio verificado e a um Identity Provider funcional. Caso contrário, a alteração bloqueia estas contas. Por isso, uma conta Sophos Break Glass independente e um piloto bem-sucedido fazem parte dos pré-requisitos, e não apenas do Troubleshooting posterior.
A AD FS Metadata URL, os certificados do Federation Service e a resolução externa de nomes são verificados antes da alteração no Sophos Fusion. A Sophos apresenta como formato de Metadata https://login.microsoftonline.com/<TenantDomainName>/FederationMetadata/2007-06/FederationMetadata.xml; no entanto, num serviço AD FS próprio clássico, utiliza-se a FederationMetadata URL efetivamente publicada pelo próprio serviço. Um exemplo do Microsoft Online não é aplicado sem verificação a um AD FS On-Premises.
Preparar o domínio e o Provider no Sophos Fusion
Em Global Settings > Access Control > Sign-in and Identity > Sophos sign-in > Verify domains, utilizar primeiro Add domain para guardar o domínio e a respetiva descrição. O Sophos Fusion apresenta então o TXT Record em Verify domain ownership. Adicioná-lo exatamente à zona DNS pública. Após a propagação, voltar a Verify domains e selecionar Verify domain ownership > Verify. A propagação pode demorar até 24 horas; uma verificação bem-sucedida é válida durante um ano e pode ser renovada antes.
Em seguida:
- Abrir Federated identity providers e criar um novo Provider.
- Introduzir um nome sem caracteres especiais problemáticos e uma descrição.
- Selecionar Type: Microsoft AD FS e o Vendor adequado.
- Introduzir a AD FS metadata URL verificada.
- Selecionar o domínio verificado.
- Definir se o AD FS aplica a MFA ou se o Sophos Fusion solicita a sua própria MFA após um login bem-sucedido no AD FS.
- Guardar e copiar do Provider a Entity ID e a Callback URL geradas pelo Sophos Fusion.
O Provider ainda não é ativado em todo o Tenant como o único método de login.
Criar o Relying Party Trust no AD FS
No servidor AD FS, inicia-se o assistente Add Relying Party Trust através de Server Manager > Tools > AD FS Management:
- Selecionar Claims Aware.
- Utilizar Enter data about the relying party manually.
- Introduzir um Display Name inequívoco.
- Selecionar AD FS profile; no passo dos certificados, continuar sem requisitos adicionais de encriptação.
- Em Configure URL, ativar Enable support for the WS-Federation Passive protocol.
- Introduzir a Callback URL copiada do Sophos Fusion como WS-Federation Passive Protocol URL.
- Em Configure Identifiers, adicionar a Entity ID copiada do Sophos Fusion como Relying Party Trust Identifier.
- Configurar a MFA de acordo com o design próprio de AD FS e Conditional Access.
- Para o piloto, autorizar apenas os utilizadores necessários. A Sophos apresenta Permit all users to access this relying party como método padrão; um grupo piloto controlado é mais seguro.
- Concluir o Trust e abrir diretamente o diálogo Edit Claim Rules.
Emitir os Claims corretamente
Em Issuance Transform Rules > Add rule, seleciona-se Send LDAP Attributes as Claims. Utiliza-se Active Directory como Attribute Store. A associação é a seguinte:
| LDAP Attribute | Outgoing Claim Type |
|---|---|
E-mail-Addresses | Name ID |
Given-Name | Given Name |
Surname | Surname |
E-mail-Addresses | E-mail Address |
O valor de e-mail é a associação decisiva ao Sophos Fusion. Os endereços vazios, duplicados ou divergentes são corrigidos antes do Rollout. Um login bem-sucedido no AD FS sem um e-mail Claim correspondente continua a não conduzir de forma fiável à conta Sophos Fusion correta.
Ativar e testar o Provider
Depois de criar o AD FS Trust, ativa-se o Provider no Sophos Fusion com Turn on. Em Sophos sign-in, mantém-se inicialmente a escolha entre as credenciais Sophos e o login federado. Em Add custom rule, adicionar o administrador Break Glass independente a Selected Users, selecionar Sophos Central Admin email and password e guardar a regra. Em seguida, testá-la numa sessão privada separada do browser. A Sophos também adiciona automaticamente a uma regra personalizada deste tipo o administrador que altera as definições de login. Esta proteção automática não substitui uma conta de emergência escolhida e documentada de forma deliberada.
O teste é iniciado na página de login da Sophos em fusion.sophos.com e inclui:
- um administrador normal,
- um Super Admin,
- AD FS MFA ou Sophos Fusion MFA,
- um utilizador sem autorização no Trust,
- logout e novo login,
- data de expiração documentada, responsável e teste de substituição planeado do AD FS Signing Certificate,
- uma conta Break Glass independente com Sophos Login.
O teste é bem-sucedido quando cada utilizador autorizado chega, após AD FS e MFA, à conta Sophos Fusion esperada com a função prevista, o utilizador não autorizado é recusado e o login Break Glass continua a funcionar.
Só depois se ativa Federated credentials only. Nesse momento, todas as contas afetadas têm de estar associadas a um domínio verificado e ao Provider ativo. Depois de guardar, testar novamente o login federado e a regra personalizada em sessões privadas; uma sessão de administrador já existente não constitui, por si só, um teste contra bloqueio.
Troubleshooting
- Metadata URL inacessível: verificar DNS, certificado, TLS, Web Application Proxy e Federation Service.
- Relying Party Identifier inválido: copiar exatamente a Entity ID do Sophos Fusion e verificar se existem espaços invisíveis.
- Erro de Callback: comparar a WS-Federation Passive URL com a Callback URL atual do Sophos Fusion.
- O AD FS aceita o utilizador, mas o Sophos Fusion não: verificar os Claims de e-mail e Name ID, bem como o e-mail no Sophos Fusion.
- MFA em falta ou duplicada: controlar em conjunto as regras do AD FS e a seleção IdP enforced MFA.
- Provider afetado após a substituição do certificado: atualizar Metadata, Signing Certificate e a relação de confiança no Sophos Fusion e repetir o piloto.
O processo geral para Sign-in Rules, MFA Recovery e a mudança controlada para Federated credentials only é descrito em Proteger o acesso ao Sophos Fusion com MFA, Passkeys e IdP.