Sophos Mobile Self Service Portal: autorizar ações e inscrição de dispositivos com segurança

Percurso rápido para administradores: Em Setup > Self Service Portal, crie uma configuração para um grupo-piloto estritamente limitado, escolha a plataforma e o tipo de propriedade adequados aos dispositivos e, em Actions > Show, assinale apenas as ações necessárias para esse grupo. Antes de Save, limite cuidadosamente o grupo-piloto e as ações: guardar pode disponibilizar as ações selecionadas aos grupos já associados. Depois de Save, em Self Service Portal configurations, verifique e, se necessário, corrija a prioridade com as setas relativamente a todas as configurações aplicáveis e a Default. Só associe outros utilizadores depois de verificar uma conta-piloto e uma conta sujeita a Default e de inscrever efetivamente dispositivos de teste autorizados em cada plataforma e modo de propriedade/gestão previstos. Não autorize ações destrutivas só porque aparecem na lista.

Trata-se das permissões do Sophos Mobile dentro do SSP, não do início de sessão geral da conta. A concessão e o envio do acesso ao SSP do Sophos Fusion, bem como as funções de administração no Sophos Fusion, são tarefas distintas. Um grupo de utilizadores do SSP não é uma função de administrador: determina qual a configuração do Mobile aplicável a um membro com sessão iniciada. Conforme os produtos autorizados, o acesso comum ao Sophos Fusion Self Service Portal também pode abranger Sophos Email e Sophos Device Encryption. Reduzir as permissões de grupos ou ações do Mobile não revoga um acesso ao portal concedido separadamente nem o acesso a essas outras funções dos produtos. Desativar a opção automática User Access também não revoga um acesso ao portal já concedido. Este artigo aborda a configuração pelo administrador, não os passos que a pessoa afetada deve seguir no seu próprio dispositivo em caso de perda, recuperação ou configuração.

Definir o âmbito antes de autorizar

Comece por identificar os produtos Mobile efetivamente disponíveis no tenant, as plataformas e os modelos de propriedade geridos (corporate ou personal), os grupos de utilizadores e os pacotes de inscrição previstos. A documentação do Sophos Mobile Device Management ou da licença combinada descreve mais ações sobre dispositivos do que a documentação separada do Sophos Mobile Threat Defense. Por isso, a menção de uma ação na lista de uma edição não garante que esteja disponível no seu tenant, para o sistema operativo específico e o respetivo modo de gestão.

Como exemplo de piloto, crie um grupo próprio, Mobile-SSP-Pilot, apenas com pessoas de teste identificadas. O nome é livre; o que importa é a composição do grupo: não adicione grupos existentes em produção só para um teste rápido. Uma pessoa pode pertencer a vários grupos; nesse caso, aplica-se a configuração do SSP com a prioridade mais elevada. A configuração Default, que está sempre presente, tem a prioridade mais baixa e aplica-se quando nenhuma configuração de prioridade superior corresponde ao utilizador. Antes da implementação, verifique todas as sobreposições com grupos mais abrangentes.

Preparar a configuração e os textos

Salvaguarda da sequência recomendada pela Avanet antes de atualizar o SSP ou de Save: Para cada plataforma e modo de propriedade/gestão realmente previstos, verifique antes de atualizar ou guardar se a configuração de dispositivos necessária está preparada: políticas de conformidade e de dispositivos adequadas, grupos de dispositivos e pacotes de inscrição ou Task Bundles disponíveis e compatíveis com o percurso e a edição. Se estiver previsto um percurso Android Enterprise, inclua a respetiva configuração; para gerir iPhone, iPad ou Mac, inclua um certificado APNs válido. Verifique a ativação da licença e o proxy EAS apenas se forem necessários para os produtos utilizados ou para o percurso de e-mail; nenhum dos dois é um requisito geral do SSP. Se faltar algo para um percurso previsto, trate primeiro dessa preparação em vez de autorizar as respetivas definições do SSP. Esta é uma recomendação da Avanet quanto à sequência, não uma aprovação formal adicional exigida pela Sophos nem um substituto do teste real de inscrição que se segue.

Abra Setup > Self Service Portal > Enrollment texts. Se necessário, crie em Terms of use um texto compreensível para apresentar antes da inscrição e, em Post-enrollment text, instruções breves para depois da inscrição, guardando em cada caso o nome e o conteúdo. A Sophos permite formatação HTML; use apenas conteúdos verificados, que minimizem os dados e não incluam identificadores pessoais dos dispositivos nem credenciais. A aceitação do texto de Terms of use é obrigatória se esse texto estiver atribuído ao tipo de inscrição; um campo vazio não apresenta texto.
Em Self Service Portal configurations, crie uma configuração com Create. Em Name, defina o nome pelo qual os utilizadores selecionam a configuração no SSP; não é o Display name com que selecionarão posteriormente um tipo de inscrição. Em User groups > Add, escolha o grupo-piloto. Uma configuração pode incluir vários grupos de utilizadores; neste piloto, mantenha inicialmente apenas o grupo de teste estritamente limitado. O mesmo grupo não pode ser associado a várias configurações. Em Maximum number of devices, defina um limite adequado à sua política; este limita o número de dispositivos que um utilizador pode inscrever através do SSP, não é um limite geral de eliminação ou de dispositivos existentes.
Em Actions > Show, selecione inicialmente apenas as ações necessárias. Depois, adicione uma plataforma com Add. Na caixa Configure platform settings, redija Display name e Description do ponto de vista do utilizador. Os utilizadores veem Description no SSP junto ao Display name do tipo de inscrição, não junto ao nome da configuração Name. Confronte Owner, Device group e Enrollment package com o modo de gestão previsto e com um grupo de dispositivos escolhido conscientemente. Na edição completa do Mobile, o Enrollment package é um Task Bundle para Android, iOS e macOS, e uma Policy para Windows; as instruções do Threat Defense referem um Task Bundle. Não reutilize o pacote de outra edição.
Opcionalmente, selecione Terms of use e Post-enrollment text para cada tipo de inscrição, escolha Apply e configure definições de plataforma próprias para outras plataformas ou modelos de propriedade. Só depois de limitar cuidadosamente o grupo-piloto e as ações escolha Save na página de edição. Em seguida, em Self Service Portal configurations, verifique e, se necessário, corrija com as setas a prioridade relativamente a todas as configurações com grupos aplicáveis e a Default. Guardar não é um passo de rascunho sem consequências: os utilizadores já associados podem ver ações antes de se corrigir a prioridade.

Distinguir as ações pelo efeito e pelo modo

Correspondência entre ações e plataformas no Mobile Threat Defense: A lista de ações indica Reconfigure device e Show compliance violations para dispositivos Android, iPhone e iPad. Refresh data e Delete unmanaged device constam da lista para dispositivos Android, iPhone e iPad, bem como Chromebooks. Esta correspondência descreve a lista documentada da edição, não garante a disponibilidade no seu tenant ou no modo de gestão concreto; verifique ambos antes de autorizar.

Consultar / atualizar: Show compliance violations mostra detalhes de violações de regras em dispositivos não conformes, não um relatório geral de conformidade. Refresh data inicia a sincronização do dispositivo com o Sophos Mobile e pode afetar o seu estado de conformidade. Consoante a política de conformidade, uma ausência prolongada de sincronização pode tornar um dispositivo não conforme, por exemplo, se tiver estado desligado durante muito tempo. Se esta for a causa, Refresh data pode restabelecer a conformidade através de uma nova sincronização; outras violações de regras não são automaticamente corrigidas desta forma. No primeiro teste de permissões, verifique apenas a visibilidade destas opções com a conta-piloto, sem executar nenhuma ação. Se necessário, execute Refresh data separadamente num dispositivo de teste autorizado e verifique depois a sincronização e o estado de conformidade; confirme previamente a plataforma e a edição.
Reconfigurar não é uma atualização inofensiva: Na edição completa do Mobile, Reconfigure device reconfigura a aplicação Sophos Mobile Control; em Mobile Threat Defense, reconfigura antes a aplicação Sophos Intercept X for Mobile. As instruções destinadas ao utilizador para reconfigurar a gestão do dispositivo alertam que um dispositivo já gerido é desinscrito e tem de ser novamente inscrito. Esse alerta refere-se ao percurso de gestão do dispositivo descrito, não se aplica automaticamente à reconfiguração da aplicação Threat Defense. Antes de autorizar ou executar a ação, confirme o percurso exato para a edição, o tenant e o dispositivo de teste e planeie a nova inscrição e os efeitos nas políticas; não a teste como se fosse uma simples atualização de reparação.
Reconfiguração distinta da aplicação (edição completa do Mobile): Reconfigure the SMC app aplica-se à aplicação Sophos Mobile Control já instalada num iPhone ou iPad. Não confunda esta ação específica do SSP com Reconfigure device. Antes de uma eventual autorização, o administrador verifica se está disponível no tenant para o dispositivo e o seu modo de gestão e quais são as consequências do percurso concreto; selecioná-la em Actions > Show apenas delega uma possível ação ao utilizador, não executa a reconfiguração.
Intervenção com consequências para a segurança ou a privacidade: Locate device pode revelar dados de localização; a edição completa do Mobile menciona Android, iPhone/iPad, Windows e ChromeOS, enquanto a lista do Threat Defense menciona apenas Chromebooks. Lock device consta da lista completa do Mobile para Android, iPhone/iPad e Mac; isso não significa que esteja disponível em todas as edições e modos de gestão. Não disponibilize nenhuma destas opções como ajuda universal para «encontrar o dispositivo».
Palavra-passe de bloqueio do dispositivo ou do perfil (edição completa do Mobile): Reset password diz respeito ao bloqueio do dispositivo, não ao início de sessão no Fusion SSP. Para dispositivos Android e iPhone/iPad, a Sophos descreve uma palavra-passe de utilização única que tem de ser alterada após o desbloqueio; em Android Enterprise com perfil de trabalho, a palavra-passe reposta é antes a do perfil de trabalho, não necessariamente a que bloqueia todo o dispositivo pessoal. Para iPhone/iPad, a mesma descrição da ação refere ainda a eliminação da palavra-passe anterior do dispositivo: é necessário definir uma nova no prazo de 60 minutos. Antes de delegar a ação, esclareça estas consequências, que variam consoante a plataforma e o perfil, com os responsáveis pelo dispositivo e pelo incidente; estas informações não são instruções para executar ou testar uma reposição.
Apple User Enrollment (edição completa do Mobile): A Sophos exclui expressamente este modo de gestão de Locate device, Reset password, Wipe, Managed Lost Mode e Play Lost Mode sound. Segundo a lista de ações, as duas ações de Lost Mode aplicam-se a iPhone/iPad fora deste modo, não a Android nem a todos os tipos de inscrição Apple. Para outras ações, não infira uma autorização desta lista de exclusões nem uma disponibilidade concreta de indicações gerais sobre a plataforma.
Palavra-passe de proteção de aplicações (edição completa do Mobile): Reset App Protection password consta como ação própria do SSP para dispositivos Android e repõe a palavra-passe das aplicações definidas como protegidas; não é Reset password do bloqueio do dispositivo. Só a disponibilize como ação do utilizador se a proteção de aplicações estiver efetivamente em uso e depois de verificar a disponibilidade para o dispositivo e o tenant, não de forma generalizada para todos os utilizadores Android.
Wipe (edição completa do Mobile): Repõe os dispositivos suportados nas definições de fábrica e elimina todos os dados do dispositivo. Está expressamente excluído para iPhone/iPad com Apple User Enrollment.
Wipe Android work profile (edição completa do Mobile): Em dispositivos Android nos quais o Sophos Mobile apenas gere o perfil de trabalho, remove todas as aplicações e os dados de trabalho, incluindo o Sophos Mobile Control, e cancela a inscrição no Sophos Mobile. As aplicações e os dados pessoais não são removidos. Esta remoção não pode ser desfeita e não equivale a uma limpeza integral do dispositivo.
Unenroll device (desinscrição no percurso de autosserviço Mobile MDM documentado): Não se limita a terminar a gestão: em Android Enterprise fully managed, a desinscrição repõe todo o dispositivo nas definições de fábrica. Em iPhone/iPad, remove os perfis de gestão, as aplicações geridas, as contas com os respetivos dados (incluindo e-mail profissional) e os certificados instalados pelo Sophos Mobile; em Mac, remove as políticas, as contas com os respetivos dados (incluindo e-mail profissional) e os certificados instalados pelo Sophos Mobile. Segundo a Sophos, este procedimento geral de desinscrição não se aplica a Android com perfil de trabalho: neste caso, Wipe Android work profile é o percurso de remoção distinto. Outros tipos de dispositivos têm outras consequências; o nome da ação não permite concluir que haverá sempre uma reposição de fábrica nem uma desinscrição sem consequências. A desinscrição não pode ser desfeita.
Delete unmanaged device: Após a desinscrição ou reposição, elimina do Sophos Mobile o registo do dispositivo que já não é gerido; não limpa o dispositivo nem substitui a desinscrição. A lista de ações do Threat Defense não contém Wipe nem remoção do perfil de trabalho, mas inclui, entre outras, Unenroll device para Android, iOS/iPadOS e ChromeOS. A presença de uma ação na documentação não comprova o seu efeito no dispositivo concreto.

Antes de autorizar e, sobretudo, antes de executar Wipe, Unenroll device ou Wipe Android work profile: Confirme para os dispositivos concretos a plataforma, o tipo de propriedade e o modo de gestão/perfil; esclareça e obtenha autorização expressa antes da delegação quanto a cópias de segurança e retenção de dados, privacidade, procedimentos de incidente e aprovação da alteração ou incidente pelo responsável competente. O mesmo se aplica, conforme o caso, a outras ações de eliminação, bloqueio ou modo perdido. Sem autorização expressa, não execute nenhuma destas ações para «validar» a configuração; uma nova inscrição não recupera automaticamente os dados eliminados.

Para dispositivos de uso pessoal, não se deve inferir a disponibilidade da localização e da limpeza integral a partir de uma visão geral das plataformas; as cinco exclusões expressas para Apple User Enrollment encontram-se acima e não se estendem a todos os tipos de inscrição pessoal. Confirme o modo de dispositivo e de perfil no dispositivo concreto antes de qualquer decisão de emergência. Autorizar a ação no SSP constitui uma delegação aos utilizadores, não uma instrução para o administrador apagar remotamente um dispositivo perdido.

Verificar o piloto e parar perante divergências

Antes do teste final de inscrição pelo SSP, verifique os requisitos das plataformas e dos modos efetivamente previstos: se o Android Enterprise for utilizado para o modo de gestão Android previsto, o modo adequado e a configuração do Android Enterprise da organização devem estar preparados; para outro modo de gestão Android suportado, verifique separadamente os respetivos requisitos. Para gerir iPhone, iPad ou Mac, deve estar disponível um certificado APNs válido. As políticas de conformidade e de dispositivos relevantes, os grupos de dispositivos, os pacotes de inscrição, as definições efetivas do portal e um contacto de apoio acessível devem corresponder ao percurso de teste previsto. Verifique a ativação da licença apenas se for necessária para os produtos utilizados e o proxy EAS apenas se o acesso ao e-mail previsto o utilizar. Nenhum dos dois é requisito geral para todos os testes do SSP. Sem esta verificação específica da plataforma, não interprete uma tentativa de inscrição falhada apenas como erro de permissões do SSP.

Depois de Save e da correção da prioridade, verifique em sessões novas pelo menos duas atribuições de grupos: uma pessoa de teste em Mobile-SSP-Pilot (também num grupo mais abrangente, se existirem sobreposições realistas) deve receber a configuração pretendida; uma pessoa de teste sem atribuição a um grupo aplicável deve ficar abrangida por Default. Verifique em ambos os casos o nome da configuração, apenas os tipos de inscrição e as ações previstos, os textos e o limite de dispositivos. Se o nome não for claramente visível, confronte a atribuição dos grupos e a lista de prioridades na área de administração; aquilo que aparece no portal, por si só, não confirma uma permissão real para o dispositivo. Não execute ainda nenhuma ação.

Antes de enviar convites ou associar grupos mais abrangentes, inscreva efetivamente dispositivos de teste expressamente autorizados: para cada plataforma e cada modo de propriedade/gestão previsto, verifique o Enrollment package adequado e o Device group de destino, realize a inscrição com o respetivo grupo de teste e confirme depois o estado real de gestão no dispositivo e no Sophos Mobile. Se houver vários grupos de destino, teste também a respetiva atribuição. A mera visibilidade de uma opção no portal não basta. Para isso, são necessários utilizadores de teste autorizados, um tenant e dispositivos; este artigo não documenta qualquer teste de dispositivo já realizado. Não execute Wipe, desinscrição, bloqueio nem Lost Mode como ação-piloto.

Ações incorretas visíveis depois de Save: Pare imediatamente a implementação, os convites e novas atribuições de grupos; não execute nenhuma ação no dispositivo para confirmar o problema. Segundo o procedimento de alteração aprovado, edite a configuração afetada em Self Service Portal configurations: em Actions > Show, reponha a seleção de ações e, em User groups, a atribuição da configuração ao estado documentado e previamente autorizado; em Edit Self Service Portal configuration, guarde com Save. Corrija também as alterações indevidas aos membros dos grupos de utilizadores afetados de acordo com o mesmo estado aprovado. Em seguida, em Self Service Portal configurations, reponha com as setas a ordem aprovada para todos os grupos sobrepostos; confira Default como configuração de recurso com a prioridade mais baixa, mas não a altere amplamente sem avaliar o impacto nos outros utilizadores. Em sessões novas, volte a verificar as ações e os tipos de inscrição visíveis com uma conta-piloto pertencente a grupos sobrepostos e uma conta sem atribuição a grupo aplicável; se a visibilidade continuar incorreta, mantenha a autorização bloqueada e escale ao administrador responsável pelo tenant. Determine se alguma ação foi entretanto executada; nesse caso, envolva os responsáveis por incidentes e privacidade na recuperação específica do dispositivo e nas medidas adicionais. Esta correção limita apenas as futuras permissões do Mobile; o acesso ao portal concedido separadamente e as permissões para Sophos Email ou Device Encryption devem ser verificados à parte pelos respetivos responsáveis. Um Wipe, um Unenroll device ou a divulgação de dados de localização já ocorridos não podem ser desfeitos desta forma; após a desinscrição, poderá ser necessária uma nova inscrição.
Inscrição ausente ou falhada: Verifique a plataforma, Owner, o Device group de destino, Enrollment package e a permissão específica da edição. Sem confirmar o percurso de teste, não experimente com os utilizadores em produção.
Portal inacessível: Comece por verificar a concessão de acesso geral ao SSP separadamente da configuração do Mobile. Reset password e Reset App Protection password são ações sobre o dispositivo ou a aplicação, não uma reposição da palavra-passe de início de sessão no Fusion/SSP. O modo de autenticação e a palavra-passe de acesso são da responsabilidade de quem gere a identidade no Fusion: se a autenticação for exclusivamente federada, a reposição da palavra-passe Sophos não está disponível; mudar o método de autenticação não corrige o SSP do Mobile e pode afetar o acesso a vários produtos. Remover uma função de administrador também não elimina a pessoa nem revoga comprovadamente o seu acesso ao portal; verifique-o separadamente com o responsável pelo acesso ao Fusion. Um início de sessão bem-sucedido ainda não comprova que a regra de grupos do Mobile está correta.

Na comunicação aos utilizadores, inclua apenas ações de autosserviço autorizadas e verificadas para a plataforma e o tipo de gestão. Uma instrução própria do SSP do Mobile para utilizadores deve tratar separadamente a inscrição, a recuperação, os passos visíveis no dispositivo e o contacto de apoio em caso de perda ou de falha na reconfiguração, incluindo as consequências para a gestão e os dados; as definições de administração aqui apresentadas, em especial as ações destrutivas, não devem ser divulgadas como recomendações gerais aos utilizadores. A concessão de acesso geral ao SSP acima referida explica apenas o início de sessão e os convites; só acrescente uma ligação às instruções do Mobile para utilizadores depois de o respetivo artigo ter sido aprovado.