Synkronisera Microsoft Entra ID med Sophos Fusion

Synkroniseringen med Microsoft Entra ID importerar användare och grupper från den egna klientorganisationen till Sophos Fusion (tidigare Sophos Central). Objekten blir därefter tillgängliga för relevanta Fusion-produkter och policytilldelningar. Entra ID-enheter ingår inte som standard. De kan väljas separat för synkronisering via Enable devices; importen av användare och grupper aktiverar inte automatiskt enhetssynkroniseringen.

Katalogsynkronisering är inte samma sak som Single Sign-On. Den gör användare och grupper tillgängliga i Sophos Fusion, men aktiverar inte Entra-inloggning till Sophos Fusion-portalen. Administratörsinloggning och dess Identity Provider-konfiguration ställs in oberoende av katalogsynkroniseringen.

⚠️ Entra-applikationen får omfattande läsåtkomst till katalogen genom Directory.Read.All. Den bör därför endast användas för den här synkroniseringen. Client secret får aldrig finnas i ärenden, skärmbilder, chattar eller kodarkivet. Application ID och klientorganisationens domän är inga lösenord, men de anonymiseras ändå i offentliga bilder.

Några av de befintliga skärmbilderna visar fortfarande den tidigare benämningen Azure AD och en äldre portalvy. Arbetsgången går fortfarande att känna igen, men den aktuella texten gäller för menynamn och behörigheter.

Förutsättningar

Följande punkter ska vara klara före konfigurationen:

• en lämplig Sophos Fusion-administratörsroll
• Microsoft Entra ID och behörighet att registrera en single-tenant-applikation
• en Entra-roll som får bevilja admin consent för Microsoft Graph i hela klientorganisationen
• klientorganisationens primära domän under Microsoft Entra ID > Custom domain names
• e-postadresser för de användare som Sophos Fusion ska importera
• en ägare och ett planerat datum för senare förnyelse av client secret

Användare från samma domän får inte synkroniseras samtidigt via lokalt Active Directory och Microsoft Entra ID. AD kan däremot fortsätta leverera enheter och enhetsgrupper medan Entra ID levererar användare och användargrupper från samma domän. Vid denna uppdelning hålls Enable devices avstängt i Entra-källan. Det ytterligare Entra-alternativet för enheter visar inte att samma enheter säkert kan synkroniseras från båda källorna. Office 365 GCC High stöds inte för den här Entra ID-synkroniseringen.

Endast en Entra ID-källa kan anslutas per domän. Användare och e-postadresser får inte heller synkroniseras samtidigt till flera Sophos Fusion-konton.

Ett Sophos Fusion-konto stöder högst 25 katalogkällor; för fler källor hänvisar Sophos till Sophos Central Enterprise. Utvärderingslicenser begränsar också antalet tillgängliga katalogobjekt. Om användarna behöver Self Service Portal för egen e-postadministration ska User access konfigureras före katalogsynkroniseringen, så att nya och befintliga användare får avsedd avisering och åtkomst.

Det valfria enhetsurvalet ändrar inte den separata begränsningen för delegeringsinformation för användare, grupper eller Shared Mailboxes: denna information synkroniseras inte. Shared Mailbox-objekt kan hämtas, men tilldelade delegater återskapas inte från Entra i Fusion. Denna begränsning är särskilt viktig före en övergång från lokalt AD till Entra ID.

Ansluta Microsoft Entra ID till Sophos Fusion

1. Förbereda katalogkällan i Sophos Fusion

Öppna ikonen Global Settings i Sophos Fusion och gå till:

Platform > Directory service > Add Microsoft Entra ID

Ange ett unikt namn, en kort beskrivning och klientorganisationens primära domän. Efter Next väntar Fusion på uppgifterna för Entra-applikationen som skapas i följande steg.

2. Registrera en dedikerad Entra-applikation

Utför följande steg i Microsoft Entra administrationscenter:

1. Öppna Enterprise applications > New application.
2. Välj Create your own application.
3. Ange ett unikt namn, till exempel Sophos Microsoft Entra ID Sync.
4. Välj Register an application to integrate with Microsoft Entra ID och skapa applikationen.
5. Välj Accounts in this organizational directory only (Single tenant) som kontotyp.
6. Välj Web som typ för Redirect URI och ange https://central.sophos.com.
7. Registrera applikationen.

central.sophos.com behålls här som en teknisk, bakåtkompatibel Redirect URI. Använd Sophos Fusion för aktuell portalinloggning.

Single tenant begränsar applikationen till den egna katalogen. Den dedikerade appen skiljer dessutom katalogsynkroniseringen från administratörsinloggning och andra integrationer som kräver ytterligare behörigheter eller Redirect URI:er.

3. Dokumentera Client ID och client secret

Öppna den nya applikationen under Microsoft Entra ID > App registrations. På Overview, anteckna Application (client) ID. Object ID är inte det Client ID som behövs här.

Skapa sedan ett secret med ett utgångsdatum som passar driftsprocessen under Certificates & secrets > Client secrets > New client secret. Direkt efter att det skapats visas två olika värden:

• Value: det här värdet anges i Sophos Fusion som client secret.
• Secret ID: den här identifieraren används inte för anslutningen.

Värdet för secret visas bara en gång. Spara det omedelbart i en godkänd lösenordshanterare och dokumentera även ägare och utgångsdatum.

4. Ge läsåtkomst via Microsoft Graph

Öppna API permissions > Add a permission > Microsoft Graph i appregistreringen och lägg till exakt följande behörighet:

Application permissions > Directory.Read.All

Välj sedan Grant admin consent for [Tenant]. Statusen ska därefter visa Granted for [Tenant].

Directory.Read.All är en Application Permission eftersom Sophos Fusion utför synkroniseringen i bakgrunden utan en inloggad Entra-användare. Ytterligare Delegated Permissions som openid, profile, User.Read.All eller Group.Read.All behövs inte för den här katalogsynkroniseringen. Tilldela inte heller Directory.ReadWrite.All: synkroniseringen behöver läsåtkomst, inte skrivbehörighet i klientorganisationen.

5. Spara och testa anslutningen i Sophos Fusion

Gå tillbaka till den förberedda katalogkällan i Sophos Fusion och ange följande värden:

• Client ID: Application (client) ID för Entra-appen
• Domain: den primära domänen från Custom domain names, inte Tenant ID
• Client secret: det tidigare sparade Value, inte Secret ID
• Client secret expiration: utgångsdatumet för secret

Kör sedan Test connection, spara inställningarna med Save och upprepa anslutningstestet med de sparade uppgifterna. Först två lyckade tester bekräftar att Fusion kan använda de lagrade värdena.

Välja användare och kontrollera den första synkroniseringen

Välja filter medvetet

Sophos Fusion kan importera alla användare och grupper, valda grupper via Object ID eller objekt som väljs med grupp- eller användarfilter. Om det redan finns användare i Fusion är All users and groups ofta det säkraste alternativet för den första jämförelsen, eftersom Fusion då får största möjliga uppsättning potentiella träffar. Vid en komplex grupphierarki kan däremot en i förväg definierad pilotmängd via Add users by group filter eller Add users by user filter vara lämplig. Rollen Admin krävs för att konfigurera eller ändra filter.

Ett grupp- eller användarfilter får innehålla högst tio binära villkor och tre nivåer av nästlade AND/OR-grupper. Planera för dessa gränser innan komplexa filter byggs; filtervyn kan inte fullt ut förutse påverkan på befintliga Fusion-objekt.

En ny standardinställning har aviserats för nyskapade Entra-källor: Guest-användare ska inte synkroniseras. Befintliga källor behåller sin nuvarande filterkonfiguration; det finns därför ingen anledning att ändra ett fungerande filter i förebyggande syfte. Bestäm uttryckligen före en ny synkronisering om gäster behövs. Om de ska ingå konfigureras det tillgängliga användarfiltret medvetet med User Type och det faktiska Entra-värdet för gäster, och kontrolleras mot kända gästkonton. För en ny källa är All users and groups i sig inget tillförlitligt bevis på att gäster ingår. Standardinställningen ingår i en stegvis utrullning; det avgörande är det sparade urvalet och det kontrollerade resultatet i den egna tenanten, inte en förmodad separat gästknapp.

Om ett katalogobjekt motsvarar ett identiskt Fusion-objekt som hittills hanterats manuellt kan synkroniseringen ta över det som ett katalogobjekt. Dokumentera därför förväntade träffar, roller och viktiga policytilldelningar innan den första körningen. En senare purge av synkroniserade data går inte att ångra och kan ta bort tillhörande data.

⚠️ En senare filterändring anpassar det synkroniserade beståndet. Användare och grupper som inte längre omfattas av det nya filtret tas bort från Sophos Fusion vid nästa synkronisering. Manuellt hanterade objekt påverkas inte.

Det valda alternativet och dess kriterier sparas med Save. Först därefter konfigureras schemat och den produktiva körningen.

Sophos dokumentation beskriver för närvarande förhandsgranskningen på olika sätt och funktionen är ännu inte tillgänglig i alla klientorganisationer. Om klientorganisationen erbjuder Preview efter slutförd konfiguration stängs källan av för detta. Förhandsgranskningen visar den valda datamängden, men inte alla konsekvenser för befintliga Fusion-objekt. Den gäller i sju dagar eller fram till nästa synkronisering. Vid fler än 20 000 poster finns resultatet endast som JSON-export. Om funktionen saknas genomförs den första körningen med en tydligt definierad pilotmängd och en dokumenterad lista över förväntade objekt.

Synkronisera alla användare och grupper

För den bredaste jämförelsen öppnas Global Settings > Platform > Directory service och Microsoft Entra ID sync väljs. Under Select users and groups to include in the synchronization väljs All users and groups. Därefter aktiveras källan med Turn on, körs med Synchronize och resultatet jämförs med listan över förväntade objekt under My Environment > Users & Groups.

Detta alternativ är ofta lämpligt vid den första synkroniseringen om Fusion redan innehåller användare och grupper, eftersom den största möjliga källmängden också kan matcha flest befintliga objekt. Det är inte automatiskt lämpligt för kontinuerlig drift. Servicekonton och grupper som inte behövs utesluts med ett snävare filter efter den kontrollerade första jämförelsen.

Välja grupper via Object ID

Group Object ID hämtar valda grupper och deras användare. Öppna varje grupp i Microsoft Entra, kopiera dess Object ID och lägg till den i Fusion via Group Object ID > Add group i Group ID list. Flera Object IDs kan klistras in samtidigt, avgränsade med kommatecken eller med ett ID per rad. Fusion kontrollerar varje ID när det läggs till och varnar om det är ogiltigt, inte tillhör någon befintlig grupp eller redan finns i Group ID list. Vid en varning jämförs ID:t med den valda Entra-gruppen och den felaktiga eller dubbla posten korrigeras. Kontrollera alla poster före Turn on. En grupp som inte behövs kan tas bort från listan med hjälp av dess ID.

Det maximala antalet Group IDs är för närvarande inte entydigt dokumenterat: samma guide anger tio på ett ställe och femton i avsnittet Group Object ID. Inget bekräftat maximum kan härledas ur detta. Före en ändring som beror på gränsen måste det tillåtna antalet för den egna klientorganisationen klarläggas genom portalens validering eller med Sophos. En lista som godtas i portalen ersätter inte kontrollen av det faktiska synkroniseringsresultatet.

Ett byte till Object IDs ersätter tidigare konfigurerade filter och kan därmed ändra innehållet i Fusion. Efter Synchronize kontrolleras varje vald grupp, representativa medlemmar och oväntade borttagningar under My Environment > Users & Groups.

Välja användare med ett gruppfilter

Under Select users and groups to include in the sync > Add users by group filter anges först om any eller all villkor och grupper måste uppfyllas. Därefter anges det primära villkoret, lämplig operator och jämförelsevärde. Tillgängliga operatorer beror på attributet. För Last Dir Sync Time finns Equal, Not equal, Greater than or Equal, Less than or Equal, Greater than och Less than. De skiljer en exakt tidpunkt från värden före eller efter ett brytdatum.

För Display Name, Mail och Mail Nickname finns, förutom Equal, Not equal, Starts with och Ends with, även In och Not in. Object ID stöder Equal, Not equal, In och Not in. Any proxy address erbjuder däremot endast jämförelser av likhet, olikhet, prefix och suffix; de booleska fälten för Directory Sync och Security Enabled endast likhet och olikhet. Kontrollera därför alltid operatorn för det valda fältet i stället för att hämta den från ett annat filter.

Med Add condition begränsas träffarna ytterligare. Add group skapar en nästlad delmängd inom användarna som redan har hittats. Ett filter kan exempelvis kombinera användare vars senaste Directory Sync skedde före ett brytdatum, som har en proxyadress och vars visningsnamn börjar med Admin. Fusion tillåter totalt högst tio binära villkor och tre logiska nästlingsnivåer.

Efter Turn on och Synchronize kontrolleras resultatet under My Environment > Users & Groups. Ett exempel med ett historiskt datum kopieras inte okontrollerat. Det avgörande är ett aktuellt brytdatum och en känd förväntad mängd.

Välja användare med ett användarfilter

Add users by user filter arbetar direkt med användarattribut. Även här väljs först any eller all, därefter ett primärt villkor, dess tillåtna operator och jämförelsevärdet. För användare från Tyskland kan villkoret exempelvis vara Country is Germany. För Country finns även Not equal, Starts with, Ends with, In och Not in.

In jämför ett fält med flera värden i ett enda villkor; Not in utesluter dessa värden. Till exempel kan Department In med värdena HR, Finance och Operations som faktiskt används i klientorganisationen välja tre avdelningar utan ett separat villkor för varje avdelning. Det är de lagrade Entra-attributvärdena som gäller, inte översatta visningsnamn. Ange flera värden i det avsedda inmatningsfältet; utgå inte från att syntaxen med kommatecken eller radbrytningar för Group Object IDs gäller för andra filterfält.

Dessa flervärdesoperatorer finns i användarfiltret för City, Country, Department, Display Name, Employee ID, Given Name, Immutable ID, Mail, Mail Nickname, State, Surname, Usage Location och User Principal Name. Object ID erbjuder Equal, Not equal, In och Not in, men inte sökning på prefix eller suffix. Other Mails och Any proxy address erbjuder jämförelser av likhet, olikhet, prefix och suffix, men inte In eller Not in. Account Enabled, Creation Type, det booleska Directory Sync-fältet och User Type erbjuder endast likhet och olikhet; Any sign in name value och Any user identities issuer endast likhet. För Last Dir Sync Time gäller samma sex datumoperatorer som i gruppfiltret.

Ytterligare block med Add condition och Add group förfinar urvalet, till exempel till tyska användare med ett visningsnamn som börjar med Admin. Även här gäller tio binära villkor och tre nästlingsnivåer. Filtret blir produktivt först med Turn on, körs därefter med Synchronize och valideras mot förväntade användare och grupper under My Environment > Users & Groups.

Ta med Entra-enheter i synkroniseringen som tillval

Entra-enheter är som standard uteslutna från katalogsynkroniseringen. Om endast användare och grupper behövs, eller om enheter fortfarande hämtas från AD, lämnas Enable devices avstängt. All users and groups är inget enhetsurval.

Tillverkarens dokumentation är fortfarande motstridig här: Entras installationsguide utesluter generellt synkronisering av enhetsändringar, medan den detaljerade filterguiden uttryckligen beskriver Enable devices. Det dokumenterade alternativet garanterar därför inte alla enhetsfunktioner som är kända från AD. Filterguiden nämner Entra-enheter, inte Entra-enhetsgrupper; AD-matchning, OU-strukturer samt policy- och borttagningseffekter kan inte härledas från den.

Dokumentera före aktiveringen vilka enheter som ska komma från vilken källa. Enhetsalternativet väljer objekt för katalogsynkroniseringen; det är ingen anvisning för att installera en Sophos-agent eller registrera en enhet i Entra ID. Urvalet i sig visar varken att en Endpoint är skyddad eller att en policy har tilldelats korrekt. Behåll den befintliga appkonfigurationen med Directory.Read.All under Application permissions och admin consent; tilldela inte extra behörigheter på antaganden.

För en redan konfigurerad källa följer ändringen proceduren nedan med Turn off, sparad konfiguration och därefter ett medvetet beslut att aktivera källan:

1. Öppna Global Settings > Platform > Directory service och välj önskad Microsoft Entra ID-katalog.
2. På Microsoft Entra ID Config, expandera Select devices to include in the synchronization.
3. Slå på Enable devices.
4. Välj All devices för att synkronisera alla Entra-enheter, eller Filter devices för att endast hämta enheter som motsvarar de fastställda filterkriterierna.
5. Spara urvalet med Save. Före Turn on och nästa Synchronize, öppna det sparade enhetsurvalet igen och jämför det med den planerade omfattningen.

Vilka enhetsattribut som finns i Filter devices, var importerade enheter visas, hur befintliga objekt matchas och vad en senare uteslutning medför är ännu inte tillräckligt klarlagt för denna procedur. Användar- och gruppoperatorerna ovan är därför ingen bekräftad lista för enhetsfilter. Inte heller de beskrivna följderna av borttagning och återställning för användare och grupper får överföras till enheter. Före enhetssynkronisering i produktion måste dessa punkter klarläggas i den egna portalvyn och vid behov med Sophos; fram till dess hålls enhetsalternativet avstängt.

Efter en godkänd pilotkörning kontrolleras källstatus, tidpunkten för den senaste synkroniseringen och de i förväg bestämda enheterna mot listan över förväntade objekt. Test connection bekräftar endast applikationens åtkomst, inte enhetsmatchning, skyddsstatus eller filtrets effekt. Att stänga av Enable devices ska inte behandlas som en återställning av enhetsobjekt som redan har ändrats.

Ställa in schemat och starta den första körningen

Välj ett tim-, dags-, vecko- eller månadsschema under Synchronization schedule. För Hourly anges intervall och lokal starttid. Om den egna tenanten redan erbjuder det nya valet är även ett intervall på 30 minuter möjligt. Funktionen är ännu inte tillgänglig för alla kunder; befintliga källor behåller sina scheman oförändrade. Om alternativet saknas används det befintliga schemat vidare i stället för att källan skapas på nytt. För Daily väljs lokal tid och för Weekly veckodagar och tid. Monthly stöder upp till två dagar i månaden; Add another day lägger till den andra. None innebär att varje körning måste startas manuellt. Save sparar schemat.

För den aviserade utbyggnaden planeras en fullständig synkronisering när en källa aktiveras och vid varje manuell Synchronize. Schemalagda körningar kan vara fullständiga eller inkrementella beroende på objektantal och schema; minst en fullständig synkronisering inom 24 timmar är planerad. Detta beskriver det aviserade läget, inte en uppmätt körtid i den egna tenanten eller en garanterad tidsgräns för att ändringar ska föras över. Kontrollera katalogstorlek, körtid och användningen av tenantens Microsoft Graph API innan frekvensen höjs. Tillverkarens varning om möjliga kostnader innebär inte att varje extra körning debiteras separat.

Gör sedan följande:

1. Aktivera Turn on.
2. Starta Synchronize.
3. Kontrollera en förväntad användare, en förväntad grupp och medlemskapet under My Environment > Users & Groups.
4. Kontrollera status, tidpunkt för senaste synkronisering och antalet importerade användare och grupper vid katalogkällan.
5. Öppna även Alerts och Reports > Logs > General Logs > Events om varningar visas.

Efter Turn on > Synchronize uppdaterar Fusion synkroniseringsstatusen. Länkarna Users och Groups leder direkt till de hämtade objekten, som dessutom kontrolleras under My Environment > Users & Groups.

Ett lyckat anslutningstest bevisar bara att Fusion kan använda Entra-appen. Först en kontroll av användar- och gruppbeståndet bekräftar att filtren och synkroniseringen ger det avsedda resultatet.

Ytterligare molnkatalogmeddelanden har aviserats för Entra ID och Google Directory om lyckade körningar, varningar, fel, alltför stora synkroniseringar och inaktiveringar. När de finns tillgängliga i tenanten granskas de under Alerts tillsammans med källstatus och händelser under Reports > Logs > General Logs > Events. Varken ett visst namn på en aviseringstyp eller redan allmän tillgänglighet förutsätts. Om ett meddelande saknas återstår kontrollen av senaste synkroniseringstid och det faktiska objektbeståndet; frånvaro av aviseringar bevisar inte att en körning har lyckats.

Skapa en förhandsgranskning av synkroniseringen

En förhandsgranskning är tillgänglig först när konfigurationen har slutförts. Om källan redan körs öppnas den under Global Settings > Platform > Directory service och stoppas med Turn off. Preview och fliken Preview visas först när statusändringen har slutförts.

Preview startar beräkningen. Under tiden visar Fusion en banner. När den har försvunnit kontrolleras resultatet på fliken Preview. Resultatet gäller i sju dagar eller fram till nästa produktiva synkronisering. Det kan exporteras som JSON. Vid fler än 20 000 poster visar Fusion inte längre en fullständig tabellvy. Då är JSON-exporten obligatorisk.

Förhandsgranskningen beskriver den valda källdatamängden, men ersätter inte kontrollen av konsekvenser för Policies, Mailboxes och borttagningar. Före Turn on jämförs särskilt användare och grupper som inte längre omfattas med det senaste produktiva beståndet.

Migrera från lokalt Active Directory till Entra ID

Vid en migrering ersätter Entra ID AD-källan för en domäns användare och användargrupper. AD kan fortsätta leverera enheter och enhetsgrupper för samma domän. De två procedurerna nedan behandlar detta användarbyte med Enable devices avstängt i Entra ID; de är ingen anvisning för att migrera AD-enheter till den valfria Entra-enhetssynkroniseringen. Offentliga e-postmappar kan däremot bara hanteras via AD, och AD måste då även synkronisera användare och användargrupper för domänen. Kontrollera detta beroende före ändringen.

Synkronisera AD omedelbart före bytet och Entra ID direkt efter att den nya källan har lagts till. Jämför sedan objekten från båda källorna. AD-användare utan matchning tas bort från Fusion och deras tillhörande Mailboxes kan också försvinna. Fusion slutar uppdatera befintliga Shared Mailboxes från AD och visar inte längre deras delegerade användare. Jämförelsen ska därför omfatta användare, grupper, Shared Mailboxes, enheter, enhetsgrupper och offentliga mappar, inte bara antalet användare.

Använd endast Entra ID för domänen

1. Synkronisera AD-källan och kontrollera användare, grupper, Mailboxes och eventuella enheter.
2. Öppna AD-källan under Global Settings > Platform > Directory service och välj Turn off.
3. Välj Add Microsoft Entra ID, konfigurera Entra-källan enligt beskrivningen ovan och synkronisera den.
4. Kontrollera i Fusion vilka användare och grupper som uppdaterades, skapades eller togs bort. Befintliga enheter, enhetsgrupper och offentliga mappar finns kvar men uppdateras inte längre utan AD.
5. Avinstallera Active Directory Synchronization Setup först när Entra-inventeringen har godkänts och inga AD-objekt längre behöver uppdateras.

Behåll Entra ID för användare och AD för enheter

1. Synkronisera AD-källan och kontrollera det aktuella innehållet.
2. Ändra AD-filtren så att endast enheter och enhetsgrupper synkroniseras och stäng sedan av AD-källan.
3. Lägg till och aktivera Entra-källan och kontrollera användare, användargrupper och Shared Mailboxes.
4. Aktivera AD-källan igen, synkronisera den och kontrollera enheter och enhetsgrupper.

Efter bytet uppdaterar Entra ID matchande användare och grupper och skapar nya objekt. AD-användare utan matchning tas bort, medan AD-grupper utan matchning behålls men inte längre uppdateras. Shared Mailboxes från AD behåller sitt senaste AD-tillstånd men förlorar synliga användarkopplingar; nya Shared Mailboxes från Entra visas också under Users och Mailboxes. Dessa olika följder kräver en separat lista över förväntade migreringsobjekt.

Förnya client secret före utgångsdatumet

Ett utgånget secret stoppar senare synkroniseringar. Rotationen bör därför börja före utgångsdatumet:

1. Skapa ett nytt client secret i den befintliga appregistreringen och dokumentera dess Value och utgångsdatum på ett säkert sätt.
2. Pausa Entra ID-källan i Sophos Fusion med Turn off.
3. Ange det nya värdet och det nya utgångsdatumet.
4. Kör Test connection, välj Save och kör Test connection igen.
5. Aktivera källan med Turn on, starta en synkronisering och kontrollera användare och grupper.
6. Ta bort det gamla secret från Entra ID först efter en lyckad kontroll.

Fram till att källan aktiveras igen kan en konfigurationsändring som ännu inte har aktiverats i Fusion återställas med Revert. Efter Turn on börjar den nya konfigurationen gälla vid nästa körning.

Ändra, rensa eller ta bort källan

Namn, beskrivning, filter och schema ändras endast när källan är avstängd. Den nya konfigurationen börjar gälla först med Turn on och kan därefter inte återställas till föregående status med Revert. Före varje filterändring dokumenteras därför den tidigare definitionen och en lista över förväntade användare och grupper skapas.

Purge data tar oåterkalleligen bort data som har synkroniserats från denna källa. Åtgärden är varken ett normalt anslutningstest eller det första steget vid ett utgånget secret. Före en purge kontrolleras roller, enhetstilldelningar, Mailboxes, grupper och Policy-kopplingar. Om även källan ska tas bort därefter stängs den av, rensas och tas först sedan bort via Delete directory source. En borttagen källa och dess data kan inte återställas.

Ändra konfigurationen för Entra-källan

Funktionen kanske ännu inte är tillgänglig i alla klientorganisationer. För en ändring öppnas Global Settings > Platform > Directory service, källans namn väljs och synkroniseringen stoppas med Turn off. Därefter kan namn, beskrivning, Azure-konfiguration, filter och schema redigeras.

Om Client ID, Domain eller Client Secret ändrades körs Test connection. Save sparar den nya konfigurationen. Så länge källan fortfarande är avstängd återställer Revert den status som var aktiv när den stängdes av. Med Turn on blir ändringen bindande. Från och med då kan den inte återställas med Revert och börjar gälla vid nästa synkronisering. Denna körning kontrolleras mot förväntade värden för användare, grupper och fel.

Rensa synkroniserade Entra-data

För att ta bort alla synkroniserade data öppnas Entra-källan under Global Settings > Platform > Directory service och stoppas med Turn off. Därefter väljs More > Purge data, oåterkalleligheten bekräftas uttryckligen och Purge data väljs en gång till. Källstatusen övervakas tills den visar att rensningen har slutförts.

En purge tar bort data som har hämtats från denna källa, inte bara en cache. Därför dokumenteras berörda användare, grupper, Mailboxes, roller och Policy-tilldelningar i förväg. Utan detta godkännande avbryts åtgärden.

Ta bort Entra-källan helt

En källa kan tas bort först efter att dess synkroniserade data har rensats. Under Global Settings > Platform > Directory service öppnas källan, stoppas med Turn off och tas bort via More > Delete. Om synkroniserade data fortfarande finns kräver Fusion först Purge now, en bekräftelse av oåterkalleligheten och Purge data.

När rensningen är klar väljs återigen Delete och Delete directory source. Varken källan eller borttagna data kan återställas. Entra-appen och dess secret kontrolleras därefter separat och tas bort från Microsoft Entra efter dokumenterad avveckling, om de endast användes för denna källa.

Felsöka vanliga fel

Verification failed due to invalid client ID

Vanligen har Object ID kopierats i stället för Application (client) ID, eller så är inloggning för den tillhörande Enterprise Application inaktiverad. Kontrollera båda punkterna i Entra ID och upprepa anslutningstestet.

AADSTS7000215: Invalid client secret

Fusion behöver det Value för secret som bara visas en gång efter att det skapats. Secret ID, som ser liknande ut, fungerar inte. Om värdet inte längre är tillgängligt måste ett nytt secret skapas och matas in kontrollerat.

AADSTS7000222: Client secret expired

Secret har gått ut. Skapa ett nytt värde, spara det i Fusion tillsammans med det nya utgångsdatumet och genomför hela rotationsproceduren.

Anslutningen fungerar, men användare eller grupper saknas

Kontrollera först att källan är aktiverad, att en synkronisering har körts och att det förväntade schemat är aktivt. Kontrollera sedan filter, användarens e-postadress, gruppmedlemskap och den primära domänen. Under API permissions måste Directory.Read.All visas som en Application-behörighet med beviljad admin consent.

Användare visas dubbelt

Sophos Fusion kan inte på ett tillförlitligt sätt slå samman en Entra-användare med en användare som redan skapats genom en Endpoint-inloggning om UPN, e-postadress och inloggning skiljer sig åt. Dokumentera båda identiteterna, berörda enheter och policytilldelningar före manuell rensning.

För en kontrollerad sammanslagning tas inloggningen bort och sparas under Logins > Edit hos den enhetsskapade användaren. Därefter tilldelas samma inloggning till den synkroniserade Entra-användaren. Den nu tomma enhetsskapade användaren tas bort först när enheter, Health och Policies visas korrekt på Entra-objektet. Om användaren hade en administratörsroll tas den först bort och tilldelas därefter medvetet till Entra-användaren.

Automatisk koppling fungerar endast när inloggningen som rapporteras av Endpoint motsvarar Entra-UPN. Avvikande avgränsare, ytterligare underdomäner eller en annan lokal inloggning skapar separata objekt. Före en bred rollout kontrolleras därför på en pilotenhet vilket UPN Sophos Fusion faktiskt rapporterar.

Användare försvinner efter en filterändring

Det är ofta inte ett överföringsfel. Det nya filtret avgör nästa synkroniserade bestånd och kan ta bort objekt som importerats tidigare. Stäng av eller korrigera filtret, dokumentera den förväntade omfattningen och synkronisera först därefter igen.

Efter varje filterändring kräver Fusion Test connection på nytt. Först därefter kan konfigurationen sparas med Save eller Save & Sync. Meddelandet The connection must be verified before saving the configuration är därför ett förväntat skyddsbeteende och inte ett autentiseringsfel.

Vanliga frågor