Saltar para o conteudo
Avanet
A minha conta
A minha conta

A carregar …
Portal do cliente Definições da conta

Instalar e remover a extensão Sophos Protected Browser

Sophos Workspace Protection

A extensão Sophos Protected Browser pode ser instalada em dispositivos individuais Windows e Mac manualmente ou centralmente através do Active Directory GPO, Google Enterprise Core, Microsoft Intune e Jamf Pro. O instalador apropriado é obtido em Sophos Fusion (anteriormente Sophos Central). Para o Chrome, verifique depois tanto a política forçada quanto a extensão visível.

Este guia trata da extensão para navegadores existentes. A implementação e atualização do Sophos Protected Browser completo é uma tarefa separada.

Escolher o caminho de implementação adequado

  • Manual: para um pequeno piloto ou dispositivos individuais Windows e Mac. Este caminho também inclui os passos de reversão documentados pela Sophos.
  • Active Directory GPO: para dispositivos Windows ligados ao domínio com Google Chrome.
  • Google Enterprise Core: para navegadores Chrome registados em Windows e macOS.
  • Microsoft Intune: para dispositivos Windows e Mac geridos com Google Chrome ou Microsoft Edge.
  • Jamf Pro: para Macs geridos com Google Chrome ou Microsoft Edge.

Comece com poucos dispositivos e exatamente com o navegador que será utilizado posteriormente. Os ficheiros ZIP contêm, dependendo do caminho, ficheiros de políticas, perfis, scripts e utilitários. Não misture ficheiros de diferentes caminhos de implementação.

Requisitos, licença e funções

Antes do download, My Products > Protected Browser bem como a área Browser extension devem estar disponíveis sob My Environment > Installers ou My Environment > Installers > Protected Browser no tenant correto do Sophos Central. Não é fornecida uma designação de licença independente para este procedimento. Por isso, não deduza uma licença ou função adicional a partir da visibilidade de um menu. As funções necessárias diferem consoante o procedimento:

  • Manual no Windows: O dispositivo Windows está registado numa solução MDM; é necessário acesso de administrador ao dispositivo Windows e ao Sophos Fusion. São suportados neste percurso Google Chrome, Comet e Microsoft Edge; o ficheiro ZIP descarregado indicará adicionalmente Atlas.
  • Manual no macOS: O Mac está registado numa solução MDM; é necessário ter acesso de administrador ao Mac e ao Sophos Fusion. A Sophos indica o Google Chrome, Atlas, Comet e Microsoft Edge como navegadores suportados, mas o pacote de download atual só pode conter perfis para o Chrome, Atlas e Edge. Se os perfis pertencentes ao Comet estiverem ausentes no pacote atual, não se devem usar perfis de outro navegador. Descarregue o pacote novamente e esclareça os ficheiros Comet em falta com o suporte da Sophos antes de continuar. As configurações MDM existentes para ExtensionForceinstallList devem ser removidas antes da instalação manual: o macOS não combina um perfil gerido com um perfil instalado localmente, mas aplica apenas um deles.
  • Active Directory GPO: São necessários uma conta de administrador AD para o Editor de Diretiva de Grupo, uma conta de administrador do Sophos Fusion, direitos de administrador local nos dispositivos de destino, o modelo ADMX do Chrome e a permissão para instalar extensões de fontes externas. O GPO já está vinculado à OU de destino. Para o programa de extensão, existe um compartilhamento SMB disponível ao qual os computadores do domínio podem aceder com permissão de leitura.
  • Google Enterprise Core: Os browsers Chrome estão registados e atribuídos à unidade organizacional prevista. É necessário acesso de administrador aos dispositivos de destino, à consola de administração do Google e ao Sophos Fusion.
  • Microsoft Intune: São necessárias uma conta para o Intune e uma para o Sophos Fusion, bem como acesso de administrador aos dispositivos de destino. O Chrome e o Edge podem instalar extensões a partir de recursos externos.
  • Jamf Pro: São necessárias uma conta de administrador Jamf Pro, uma conta de administrador Sophos Fusion e acesso de administrador aos dispositivos de destino. O Chrome e o Edge podem instalar extensões a partir de recursos externos.

O programa de extensão adicional só é necessário se forem utilizados objetos de política de estado do dispositivo em políticas web. Chama-se ExtensionUtility.exe no Windows e ExtensionUtility.pkg no macOS. Não instale este componente adicional preventivamente se não for utilizar a função.

Transferir ficheiros de instalação do Sophos Fusion

Dependendo do método de distribuição, a Sophos refere-se a este passo como Descarregar ficheiros de instalação a partir do Sophos Central ou Descarregar o instalador a partir do Sophos Central. Em ambos os casos, trata-se do pacote ZIP correspondente ao procedimento escolhido.

  1. Abra no Sophos Central My Environment > Installers. No método manual e no Google Enterprise Core, a Sophos indica o caminho mais detalhado como My Environment > Installers > Protected Browser.
  2. Seleccione, em Browser extension, o método pretendido e o sistema operativo:
    • Manual > Windows ou Manual > Mac,
    • Active Directory (GPO) > Windows,
    • Google Enterprise com o sistema operativo correspondente,
    • Microsoft Intune com o sistema operativo correspondente,
    • JAMF > Mac.
  3. Extraia o ficheiro ZIP descarregado para uma pasta de trabalho controlada. Use apenas os ficheiros e valores contidos nela para o piloto.

Para GPO e Intune, é necessária a URL da extensão deste pacote. O Google Enterprise Core necessita do ID da extensão, URL da extensão e ExtensionSettings.json. Jamf e o método manual para Mac utilizam ficheiros .mobileconfig dependentes do navegador. No método manual para Mac, o pacote deve conter os perfis correspondentes ao navegador destinado. Se faltarem perfis Comet, isso é uma condição de paragem e não é motivo para renomear ou reutilizar perfis do Chrome, Atlas ou Edge.

Instalar extensão manualmente

Instalar extensão em dispositivos Windows

  1. Abra a pasta descompactada no dispositivo de destino.
  2. Clique duas vezes no ficheiro de instalação do browser. Para o Chrome, é ChromeForceInstallExtension.reg; confirme Run e Yes. Isto irá escrever os detalhes da extensão no Registo do Windows.
  3. Clique duas vezes no ficheiro com as definições da extensão. Para o Chrome, é ChromeExtensionSettings.reg; confirme novamente Run e Yes.
  4. Apenas se objetos de política de estado do dispositivo forem necessários: inicie ExtensionUtility.exe e confirme Yes.

Após a configuração, a extensão solicitará ao utilizador que faça login com as suas credenciais.

Instalar a extensão em dispositivos Mac

Importante: Antes deste passo, verifique se o ExtensionForceinstallList já está gerido via MDM. Remova primeiro esta configuração MDM. Sem esta limpeza, o macOS pode continuar a aplicar apenas o perfil gerido em vez dos perfis locais.

  1. Clique duas vezes no ficheiro de instalação forçada do navegador na pasta descompactada, para o Chrome, por exemplo ChromeForceInstallExtension.mobileconfig.
  2. Abra System Settings, procure por Profiles e instale o perfil descarregado. Para o Chrome, o perfil de exemplo chama-se Install Island Extension Chrome. Confirme Install com a senha de administrador.
  3. Clique duas vezes no ficheiro com as definições de extensão, para o Chrome, por exemplo ChromeExtensionSettings.mobileconfig.
  4. Instale o perfil de configuração em Profiles > Downloaded. O exemplo do Chrome chama-se Setup Island Extension on Chrome.
  5. Apenas se forem necessários objetos de política de estado do dispositivo: Inicie o ExtensionUtility.pkg, clique em Continue e Install e introduza a palavra-passe de administrador.

Após a conclusão, a extensão solicita ao utilizador para iniciar sessão.

Distribuir a extensão centralmente

Configurar o objeto de política de grupo para a instalação da extensão

  1. Abra o GPO preparado e vá para Computer Configuration > Policies > Administrative Templates > Google > Google Chrome > Extensions.
  2. Abra Configure the list of force-installed apps and extensions, selecione Enabled e clique em Show sob Options.
  3. Cole a URL de extensão copiada do Sophos Fusion em Show contents. Confirme e guarde a definição.
  4. Copie o conteúdo do ChromeExtensionSettings.xml descarregado.
  5. No mesmo GPO, vá a Computer Configuration > Preferences > Windows Settings > Registry. Clique com o botão direito em Registry, cole o conteúdo XML, nomeie a entrada do registo e guarde-a.

Instalar o programa de extensão: A extensão do navegador pode ser distribuída com as definições de GPO indicadas acima. Para o opcional ExtensionUtility.exe, a Sophos descreve adicionalmente um script de inicialização através do Computer Configuration > Policies > Windows Settings > Scripts (Startup/Shutdown) > Startup e uma partilha SMB. No entanto, o caminho de verificação utilizado não é descrito de forma clara como um indicador de instalação local. Por isso, não utilize o script como modelo executável. Se objetos de política de estado de dispositivo exigirem a ferramenta, pare neste ponto e deixe que o caminho de verificação, o contexto de execução e o controlo pré/pós-instalação sejam confirmados para o seu ambiente pelo Suporte da Sophos ou por um pacote interno aprovado e testado. A política de extensão pode, independentemente disso, ser inicialmente validada numa OU piloto.

Google Enterprise Core

Para o passo Instalar a extensão Protected Browser nos dispositivos., o ID de extensão, a URL personalizada e o ficheiro de configuração são todos armazenados conjuntamente no Console de Administração do Google:

  1. No Console de Administração do Google, abra Chrome browser > Apps & extensions > Users & browsers e selecione a unidade organizacional pretendida.
  2. Clique no símbolo de mais no canto inferior direito e, em seguida, em Add Chrome app or extension by ID.
  3. Introduza o Extension ID copiado do Sophos Fusion.
  4. Selecione From a custom URL e introduza a URL da extensão copiada. Guarde.
  5. Em Installation policy, primeiro selecione Allow install e depois Force install.
  6. Abra Policy for extensions, carregue o ExtensionSettings.json a partir do ficheiro ZIP do Sophos e guarde novamente.
  7. Instale o ExtensionUtility.exe ou ExtensionUtility.pkg nos dispositivos de destino apenas se as políticas web utilizarem objetos de política de estado do dispositivo.

A unidade organizacional determina o âmbito da distribuição. Portanto, escolha para o piloto uma OU limitada com poucos navegadores registados, em vez de forçar imediatamente a configuração em todo o tenant.

Configurar o Microsoft Intune para instalar a extensão

Windows

  1. No Microsoft Intune Admin Center, vá para Devices > Windows > Configuration profiles > Create > New policy.
  2. Selecione Windows 10 and later como plataforma e Settings catalog como tipo de perfil. Crie e nomeie o perfil.
  3. Em Configuration settings, clique em Add settings.
  4. Para o Chrome, abra Google > Google Chrome > Extensions, ative Configure the list of force-installed apps and extensions e insira a URL da extensão do Sophos Central. Para o Edge, utilize correspondemente Microsoft Edge > Extensions.
  5. Confirme com OK e Apply.
  6. Vá a Devices > Windows > PowerShell scripts e carregue o script do browser obtido do Sophos Central, por exemplo, para o Chrome, ChromeExtensions.ps1.
  7. Sob Assignments, selecione primeiro apenas os dispositivos piloto. Marque Review + create e clique em Create.

macOS

  1. Vá a Devices > macOS > Configuration profiles e clique em Create Profile.
  2. Selecione Templates, depois Custom e Create. Dê um nome ao perfil e selecione Device channel como canal de entrega.
  3. Carregue em Configuration profile file o ficheiro Force-Install a partir do ficheiro ZIP da Sophos, por exemplo, para o Chrome ChromeForceInstallExtension.mobileconfig.
  4. Atribua primeiro o perfil aos dispositivos piloto e crie-o.
  5. Repita o processo com um segundo perfil para as definições da extensão, no Chrome com ChromeExtensionSettings.mobileconfig.

Se forem necessários objetos de políticas de estado do dispositivo, execute adicionalmente o instalador ExtensionUtility.exe ou ExtensionUtility.pkg incluído no pacote nos dispositivos onde a extensão está instalada.

Jamf Pro

O fluxo do Jamf aqui inclui os dois perfis de configuração:

  1. Criar um perfil de configuração para as definições de instalação forçada. Abra Computers > Configuration profiles, clique em Upload e carregue o ficheiro de instalação forçada: ChromeForceInstallExtension.mobileconfig ou EdgeForceInstallExtension.mobileconfig.
  2. Atribua um nome e descrição, selecione Browser como categoria, Computer level como nível e Install automatically como método de distribuição. No campo Scope, limite primeiro aos dispositivos piloto e guarde.
  3. Criar um perfil de configuração para as definições personalizadas da extensão: Repita o procedimento para ChromeExtensionSettings.mobileconfig ou EdgeExtensionSettings.mobileconfig.

Se as diretrizes da web necessitarem adicionalmente do opcional ExtensionUtility.pkg, pare após estes dois perfis de configuração. Solicite que o empacotamento, a política, o acionador e a reversão sejam definidos num procedimento Jamf separado, aprovado e testado; não assuma para isso os passos de instalação do Intune ou manuais. Os dois perfis de navegador podem inicialmente ser testados nos dispositivos piloto sem este componente adicional.

Validar instalação

Para uma implementação do Chrome com GPO ou Google Enterprise Core, a verificação é clara:

  1. Abra o Chrome num dispositivo piloto.
  2. Aceda a chrome://policy e clique em Reload policies.
  3. Verifique em Chrome Policies se ExtensionInstallForcelist está presente e possui o estado OK.
  4. Abra chrome://extensions e verifique se a extensão Protected Browser está visível. A mensagem Sophos extension is installed and managed by the organization. pode ser exibida.

Num caso de instalação manual, o pedido de login adicional é um resultado esperado. Para Intune e Jamf, não existe uma indicação de estado equivalente ou precisa disponível. O rollout permanece, portanto, limitado ao piloto até que os perfis ou scripts previstos tenham chegado ao dispositivo e o resultado esperado do browser seja visível. Uma atribuição bem-sucedida na consola de administração, por si só, não prova a instalação local.

Se o programa de extensão for necessário, verifique separadamente se o seu instalador foi concluído no dispositivo piloto. Não deduza a partir de uma extensão de navegador visível que a ferramenta também está instalada.

Resolução de problemas por sintoma

ExtensionInstallForcelist está faltando ou não tem o estado OK

Verifique primeiro se o dispositivo realmente está na OU atribuída ou no grupo piloto. Em seguida, confirme se a URL exata da extensão do pacote Sophos atual foi inserida. No caso de GPO, inclui-se o modelo ADMX do Chrome instalado, a associação da GPO e as entradas de registo importadas de ChromeExtensionSettings.xml. Carregue novamente as políticas em chrome://policy e repita a verificação.

A diretriz existe, mas a extensão não é visível

Abra chrome://extensions e verifique novamente aí. No Google Enterprise Core, além do ID e da URL personalizada, também devem estar presentes Force install e o ExtensionSettings.json carregado. No GPO, Configure the list of force-installed apps and extensions deve estar ativado. Não altere vários níveis ao mesmo tempo; corrija primeiro a parte em falta num dispositivo piloto e valide novamente.

A instalação manual no Mac não funciona

Verifique se o ExtensionForceinstallList já está gerido pelo MDM. Remova a configuração gerida antes do perfil local. Em seguida, verifique em System Settings > Profiles > Downloaded se tanto o perfil de instalação forçada como o perfil com as configurações de extensão foram instalados. O macOS não combina estes perfis locais com uma configuração MDM concorrente.

A extensão é visível, mas os objetos de estado do dispositivo não funcionam

A extensão do navegador e o programa de extensão são dois componentes separados. Verifique se ExtensionUtility.exe ou ExtensionUtility.pkg foram instalados exatamente neste dispositivo. No GPO, o acesso de leitura da conta do computador à partilha SMB prevista por si só não é suficiente: use o script de inicialização apenas quando o caminho de verificação, o contexto de execução e o controlo antes/depois estiverem aprovados e testados. Para o Jamf, o empacotamento, a política, o acionador e a reversão também devem ser definidos num procedimento separado, aprovado e testado. Depois, verifique novamente no mesmo dispositivo piloto antes de expandir o alcance.

Um rollout central não pode ser revertido de forma confiável

Não alargue a atribuição e mantenha o grupo piloto inalterado. Não tente nenhuma desinstalação parcial local enquanto uma diretiva Force-Install central estiver ativa. Os limites obrigatórios e os procedimentos adicionais para desinstalações geridas centralmente estão na secção de offboarding seguinte.

Desinstalar a extensão e concluir o offboarding

Documente antes da desinstalação o browser, o caminho de instalação e os perfis existentes ou ficheiros de registo. Os utilizadores perderão depois a função fornecida pela extensão. Inicie, portanto, a desinstalação num dispositivo de teste e verifique-a antes de uma remoção alargada.

Manualmente no Windows

  1. Utilize a pasta uninstall a partir do mesmo ficheiro ZIP da Sophos usado para a instalação.
  2. Clique duas vezes em ExtensionUninstaller.reg para remover a extensão.
  3. Se o programa de extensão tiver sido instalado, abra o PowerShell com os direitos de administrador necessários e execute o comando documentado pela Sophos:
powershell.exe -Command "& { msiexec /q /x $((New-Object -ComObject 'WindowsInstaller.Installer').RelatedProducts('{B0D532EB-39A8-497B-8DD8-6A3ACCE97532}')); }"

Em seguida, abra o navegador no dispositivo de teste e verifique se a extensão não é mais exibida. Se continuar presente, pare a desinstalação abrangente e verifique se uma GPO, Intune ou outra política MDM a está a aplicar novamente.

Manualmente no macOS

  1. Abra System Settings e procure por Profiles.
  2. Remova tanto o perfil de instalação forçada quanto o perfil com as definições de extensão personalizadas. Confirme cada um com a palavra-passe de administrador.
  3. Caso o ExtensionUtility.pkg tenha sido instalado, abra um terminal com uma conta de administrador e execute o desinstalador documentado pela Sophos:
sudo /usr/local/island/island-nmh/uninstall

Depois, verifique no dispositivo de teste se ambos os perfis foram removidos e se a extensão não aparece mais no navegador. Se um perfil continuar a ser atribuído via MDM, interrompa a desinstalação local e remova primeiro a atribuição gerida através do processo MDM responsável.

Definir separadamente a desinstalação no Google Enterprise Core, Intune e Jamf Pro, incluindo políticas, pacotes e perfis realmente utilizados. No procedimento GPO, existem etapas para a reversão, mas não um processo completo para a limpeza conjunta de atribuições, entradas de registo, política de instalação forçada e, se aplicável, utilitário. Deixe que a reversão seja determinada pelo suporte da Sophos ou por um processo interno aprovado e testado, com base nos perfis, políticas e pacotes realmente criados. Até lá, não amplie a atribuição e mantenha o grupo piloto inalterado. Não remova ficheiros locais nem perfis individuais, entradas de registo, políticas ou o utilitário por suspeita, enquanto uma política central de instalação forçada estiver ativa.

Operação e Ciclo de Vida

Não guarde permanentemente um ficheiro ZIP antigo descompactado como uma instalação de referência presumida. Recarregue os ficheiros antes de uma alteração planeada através do caminho do Sophos Fusion previsto para o método selecionado e registe qual ficheiro foi distribuído a qual grupo piloto. Após alterações em GPO, atribuição de OU, perfis Intune ou âmbito Jamf, verifique novamente a política e a extensão num dispositivo piloto.

Para o controlo regular de operações incluem-se:

  • a atribuição de âmbito corresponde ainda aos dispositivos e navegadores previstos;
  • existem perfis locais e MDM concorrentes nos Macs;
  • o programa de extensão apenas é executado onde são necessários objetos de política de estado do dispositivo;
  • a desinstalação manual documentada continua a funcionar num dispositivo de teste;
  • foram definidos responsáveis e percurso de escalonamento para desinstalações geridas centralmente.

Planeie datas de migração ou desativação apenas com base em informações de produtos atuais da Sophos. Em caso de alteração do caminho de implementação, valide primeiro a nova configuração piloto e só depois desative o caminho antigo de forma controlada.

Guias existentes relacionados

Este manual trata da extensão, das suas vias de distribuição e da desinstalação manual segura. Licenciamento, identidades, DNS, ZTNA e funções gerais do Sophos Fusion não fazem parte da instalação da extensão. Igualmente, a implementação do Sophos Protected Browser completo é um ciclo de vida e processo de atualização separados, descritos em Implementar e manter o Sophos Protected Browser atualizado.