证书企业电子邮件

SophosMobile安装指南产品版本号:8内容关于本指南.
1关于SophosMobile.
2SophosMobile许可证.
3试用许可证.
3将试用许可证升级为完整许可证.
3更新许可证.
3设置SophosMobile.
4部署注意事项.
4系统环境要求.
4为SophosMobile申请SSL/TLS证书.
5安装和设置SophosMobile服务器.
6更改SQL登录语言.
8独立的EAS代理.
9独立EAS代理的使用方案.
10下载EAS代理安装程序.
10安装独立的EAS代理.
11通过PowerShell设置电子邮件访问控制.
13负载平衡和高可用性.
16要求.
16设置群集节点.
17设置SophosUTM负载平衡.
18更新SophosMobile.
20更新SophosMobile服务器.
20更新后的任务.
20更新服务器群集.
20更新独立的EAS代理.
21技术参考.
22SophosMobile服务器功能.
22SophosMobileWeb界面.
22技术支持.
24法律声明.
25(2018/03/27)SophosMobile1关于本指南本指南介绍如何安装和设置SophosMobile版本8.
还将介绍如何更新已经安装的现有SophosMobile.
除非另有说明,所有程序都必须以MicrosoftWindowsServer管理员身份或相关组的用户身份执行.
版权所有2018SophosLimited1SophosMobile2关于SophosMobileSophosMobileSophosMobile是一套EMM解决方案,适合希望节省管理和保护移动设备的时间和精力的公司.
通过易于使用、基于Web的统一SophosCentral管理界面管理移动设备,享受Sophos提供的端点、网络或服务器安全性.
安全的容器应用以及在iOS、Android企业和SamsungKnox中对移动OS容器化的支持,可以确保设备上敏感的公司数据和个人信息相分离.
SophosMobile提供了一流的数据保护、综合的安全性、很高的资金利用价值以及灵活的管理选项,是允许将移动设备用于工作、保持用户的生产效率、保持企业数据安全和保护个人数据隐私的最佳途径.
SophosMobileSecuritySophosMobileSecurity不仅可以保护您的Android设备,而且不会影响设备的性能或电池的寿命.
SophosMobileSecurity利用领先的Sophos反恶意软件技术,提供屡获殊荣的反恶意软件和反病毒功能,能够检测可能不需要的应用,并且提供了隐私和安全顾问、丢失和被盗保护、Web保护等功能.
SophosSecureWorkspaceSophosSecureWorkspace是针对iOS和Android系统的容器化移动内容管理应用,为保护、管理和分发企业文档及Web内容提供了安全的途径.
不离开容器环境即可编辑Office格式的文档,可以确保加密内容保持安全.
防钓鱼技术能够阻止用户打开文档或内容中的恶意链接.
通过SophosMobile托管时,管理员能够根据设备合规性规则,轻松限制内容的访问.
和SophosSafeGuardEncryption一起使用,SophosSecureWorkspace能够在Windows、macOS、iOS和Android用户之间提供加密文件(存储在本地或云上)的无缝交换.
SophosSecureEmailSophosSecureEmail是针对Android和iOS系统的全功能、安全且容器化的电子邮件应用,通过SophosMobile托管时,它让您可以在移动设备上分离企业电子邮件、日历及联系人和个人数据.
所有公司信息都受到AES-256加密方式的保护,并且可以根据设备合规性规则轻松取消访问权限.
SophosSecureEmail还让IT人员可以跨不同的设备和操作系统安全一致地设置企业电子邮件.
2版权所有2018SophosLimitedSophosMobile3SophosMobile许可证SophosMobile提供了两种类型的许可证:MobileStandard许可证MobileAdvanced许可证使用MobileAdvanced类型的许可证,您可以管理SophosMobileSecurity、SophosSecureWorkspace和SophosSecureEmail应用.
作为超级管理员,可以在超级管理员客户中激活购买的许可证,并向单个客户分配所需数量的授权用户.
3.
1试用许可证Sophos为SophosMobile提供了免费试用.
您可以在Sophos网站上注册,以便试用:http://www.
sophos.
com/zh-cn/products/free-trials/mobile-control.
aspx.
试用许可证可用于管理最多五个用户,有效期为30天.
安装SophosMobile进行评估时,您唯一需要的是下载安装程序时用于注册的电子邮件地址.
3.
2将试用许可证升级为完整许可证要将试用许可证升级为完整许可证,只需在SophosMobile中输入您的完整许可证密钥.
有关详细信息,请参阅SophosMobile管理员帮助.
3.
3更新许可证要更新您的许可证,您必须在SophosMobile中激活新的许可证密钥.
有关详细信息,请参阅SophosMobile超级管理员指南.
版权所有2018SophosLimited3SophosMobile4设置SophosMobile设置SophosMobile的重要步骤有:申请SSL/TLS证书.
请参阅为SophosMobile申请SSL/TLS证书(第5页).
运行SophosMobile安装程序.
请参阅安装和设置SophosMobile服务器(第6页).
安装后,需要执行几个初始配置步骤:首次登录SophosMobileAdmin,启动配置向导.
对于iPhone、iPad和Mac设备,需要有Apple推送通知服务证书.
可以选择设置独立的EAS代理用于电子邮件筛选,使用随SophosMobile自动安装的内部EAS代理具有以下优点:—支持基于证书的客户端身份验证.
—支持在非iOS设备上使用IBMNotesTraveler客户端.
—支持多个Exchange和IBMNotesTraveler服务器.
有关这些配置任务的详细信息,请参阅SophosMobile启动指南.
4.
1部署注意事项在安装和部署SophosMobile服务器前,建议您阅读SophosMobile部署指南.
该指南就SophosMobile服务器的安装提供了以下方面的指导:将SophosMobile服务器集成到贵公司基础设施的架构实例.
将独立的EAS代理集成到贵公司基础设施的架构实例.
依据硬件(如CPU和内存)和软件(如数据库、虚拟化)要求的容量指导原则.
所需的入站和出站连接的通信详细信息(端口、协议、目标).
4.
2系统环境要求SophosMobile安装程序运行一系列测试,验证您的系统环境是否满足SophosMobile的所有必需要求.
这些要求是︰您是该计算机的管理员.
SophosMobile支持该计算机的操作系统.
支持的操作系统有以下系统的64位版本︰—WindowsServer2008R2SP1—WindowsServer2012—WindowsServer2012R2—WindowsServer2016(包括附加的服务包,如果有)该计算机至少有一个网络适配器.
该计算机至少有4GB内存.
该计算机上已禁用MicrosoftInternetInformationServices(IIS)Web服务器.
4版权所有2018SophosLimitedSophosMobile该计算机上的以下HTTP/S端口可以使用:80,443,8080,8181该计算机可以连接到Apple推送通知服务(APNs).
该计算机可以连接到GoogleCloudMessaging(GCM)服务.
该计算机可以连接到GooglereCAPTCHA服务.
该计算机可以连接到Windows推送通知服务.
该计算机可以连接到Sophos服务.
可选:该计算机可以连接到Apple批量购买计划(VPP)Web服务.
可选:该计算机可以连接到Apple设备注册计划(VPP)Web服务.
可选:该计算机可以连接到AppleiTunesWeb服务.
可选:该计算机可以连接到Apple激活锁定跳过Web服务.
可选:该计算机可以连接到针对Androidenterprise的GoogleWeb服务.
4.
3为SophosMobile申请SSL/TLS证书为设置SophosMobile,需要SSLWeb服务器证书.
在设置过程中,可以选择创建自签名证书,或使用带证书、私钥和证书链的PKCS#12.
有关更多信息,请参阅安装和设置SophosMobile服务器(第6页).
提供的Sophos产品包括SSL证书向导,可用于为SophosMobileEAS代理申请SSL/TLS证书.
从%MDM_HOME%\tools\Wizard文件夹中运行向导,或从www.
sophos.
com/mysophos下载.
注释如果您使用自签名证书或由您自己的证书颁发机构(CA)颁发的证书,则在将设备注册到SophosMobile前,必须在您的设备上手动安装该自签名证书或您的CA证书.
如果您不这样做,SophosMobileControl应用程序将不会信任您的服务器,且会拒绝连接.
由全球受信任的CA颁发的证书不需要进行此手动安装.
注释如果您使用自签名证书或您自己的CA颁发的证书,您将不能从SophosMobile服务器上托管的APK文件安装Android应用.
要申请SSL证书:双击SophosMobileSSLCertificateWizard.
exe文件,启动SSL证书向导.
该向导将指导您完成安装过程.
按以下说明输入所需的信息:a)在UploadCSR(上传CSR)页面上,可以单击OpenCSR(打开CSR)按钮以打开CSR文件(如果您的证书供应商支持复制和粘贴).
b)在ImportCertificateFiles(导入证书文件)页面上,把在UploadCSR(上传CSR)页面上下载的CA证书输入到SelectCAcertificatefile(选择CA证书文件)字段中.
c)在Certificatecreated(证书已创建)页面上,将显示创建的证书的位置.
设置SophosMobile时需要引用此位置.
请参阅安装和设置SophosMobile服务器(第6页).
注释应创建一个包含证书文件的备份文件夹.
版权所有2018SophosLimited5SophosMobile4.
4安装和设置SophosMobile服务器如果要将SophosMobile连接到现有数据库,请在开始安装前确保有可用的登录凭据,并且有足够的权限创建新的数据存储、用户帐户和数据记录.
如果数据库不在本地,需要通过TCP端口1433访问MicrosoftSQLServer和端口3306访问MySQL.
此外,还需要SophosMobile服务器可以用于登录数据库的管理员帐户.
1.
以管理员身份运行SophosMobile安装程序,查看并同意LicenseAgreement(许可协议).
2.
在SystemPropertyChecks(系统属性检查)页面上,单击Check(检查)运行测试,验证您的系统环境是否满足SophosMobile的所有必需要求.
请参阅系统环境要求(第4页).
可以单击Report(报告),生成测试结果报告.
3.
在ChooseInstallLocation(选择安装位置)页面上,选择SophosMobile服务器的目标文件夹.
4.
在DatabaseTypeSelection(数据库类型选择)页面上,选择要使用的数据库:InstallanduseMicrosoftSQLServerExpress:将立即安装MicrosoftSQLServerExpress并将其配置为用于SophosMobile.
UseexistingMicrosoftSQLServerinstallation:使用已经安装的MicrosoftSQLServer,为SophosMobile创建新的数据库.
UseexistingMySQLinstallation:使用已经安装的MySQL,为SophosMobile创建新的数据库.
5.
在DatabaseSettings(数据库设置)页面上,输入数据库的登录凭据.
注释如果选择UseSQLServerAuthentification(使用SQL服务器身份验证)选项,需要确保SQL登录语言设置为英语.
参见更改SQL登录语言(第8页)了解详细信息.
6.
在DatabaseSelection(数据库选择)页面上,单击Createanewdatabasenamed(创建新的数据库,名称为),输入要创建的数据库的名称,如SMCDB.
7.
在DatabaseConfiguration(数据库配置)页面上,将在创建数据库期间显示进度消息.
数据库成功创建并填充后,单击Next(下一步)继续.
8.
如果已经选择Windows身份验证进行数据库访问,将有一个Setservicecredentials页面可用于设置Windows帐户,SophosMobile服务将在该帐户下运行.
可以使用本地系统帐户或用户帐户.
在后一种情况下,请将用户帐户指定为\或\.
安装程序将为该帐户分配数据库访问权限.
注释出于安全考虑,我们建议您以拥有有限访问权限的用户身份运行SophosMobile服务.
该用户帐户应具有以下属性:用户帐户是安装SophosMobile的计算机上的本地Windows帐户.
用户不是任何组的成员,甚至不是用户组的成员.
用户可以访问您的SQL数据库,并有必要的更改权限.
对于MSSQL数据库,这意味着用户必须是db_datareader和db_datawriter角色的成员.
6版权所有2018SophosLimitedSophosMobile9.
在Configuresuperadminaccount页面上,配置管理员的帐户详细信息.
超级管理员主要用于进行客户管理,不应该用于日常设备管理.
在SophosMobile中,客户是对其用户的设备进行管理的租户.
超级管理员登录到超级管理员客户,可以(例如)预定义新客户的设置,并将设置和配置推送给现有客户.
有关详细信息,请参阅SophosMobile超级管理员指南.
注释首次登录SophosMobileAdmin时,需要超级管理员凭据.
完成安装后,可以在SophosMobileAdmin中添加其他超级管理员.
10.
在Configureexternalservername(配置外部服务器名称)页面上,输入SophosMobile服务器名称(如smc.
mycompany.
com).
注释服务器名称必须能够由托管的设备解析.
11.
在Configureservercertificate(配置服务器证书)页面上,导入用于安全(HTTPS)访问Web服务器的证书.
如果已有信任的证书,请单击Importacertificatefromatrustedissuer(导入来自信任的颁发机构的证书)和下拉列表中的选项.
如果您还没有信任的证书,请选择Createself-signedcertificate(创建自签名证书).
注释如果您使用自签名证书或由您自己的证书颁发机构(CA)颁发的证书,则在将设备注册到SophosMobile前,必须在您的设备上手动安装该自签名证书或您的CA证书.
如果您不这样做,SophosMobileControl应用程序将不会信任您的服务器,且会拒绝连接.
由全球受信任的CA颁发的证书不需要进行此手动安装.
注释如果您使用自签名证书或您自己的CA颁发的证书,您将不能从SophosMobile服务器上托管的APK文件安装Android应用.
注释提供的Sophos产品包括SSL证书向导,可用于为SophosMobile申请SSL/TLS证书.
请参阅为SophosMobile申请SSL/TLS证书(第5页).
12.
在下一页面上,根据所选证书的类型,输入相应的证书信息.
注释对于自签名证书,需要指定可以从托管的设备访问的服务器.
13.
在ServerInformation(服务器信息)页面上,检查服务器信息,然后单击Next(下一步),确认服务器和配置过程.
版权所有2018SophosLimited7SophosMobile14.
安装完成后,将显示SophosMobileControl-Installationfinished(SophosMobileControl-安装完成)对话框.
确保选中StartSophosMobileservernow(现在启动SophosMobile服务器)复选框,并单击Finish(完成),开始首次启动SophosMobile服务器.
注释启动服务后,可能需要几分钟时间才会显示SophosMobileWeb界面.
安装后,需要执行几个初始配置步骤:首次登录SophosMobileAdmin,启动配置向导.
请参阅SophosMobile启动指南.
对于iOS设备,需要有Apple推送通知服务证书.
请参阅SophosMobile启动指南.
也可以设置独立的EAS代理用于电子邮件筛选.
请参阅独立的EAS代理(第9页).
4.
5更改SQL登录语言如果已经将SophosMobile服务器配置为使用SQLServer身份验证连接到数据库,则必须将SQL登录语言设置为英语.
否则,启动SophosMobile服务时将会出现错误.
本主题介绍如何将SQL登录语言更改为英语.
1.
停止SophosMobile服务.
2.
在服务器上打开SQLServerManagementStudio,并选择安全>登录.
3.
在登录属性的常规页面上,将默认语言设置为英语,然后单击确定保存修改.
4.
重新启动SophosMobile服务.
8版权所有2018SophosLimitedSophosMobile5独立的EAS代理您可以设置EAS代理,以控制托管设备对电子邮件服务器的访问.
您的托管设备的电子邮件数据流将通过该代理进行传输.
您可以阻止设备,如违反合规性规则的设备访问电子邮件.
必须将设备配置为使用EAS代理作为接收和发送电子邮件的电子邮件服务器.
如果设备在SophosMobile中是已知设备,并且与要求的策略相匹配,EAS代理将只转发数据流到实际的电子邮件服务器.
这可以确保更高的安全性,因为电子邮件服务器不需要从Internet访问,并且只有经过授权(经过正确配置,如按密码原则)的设备可以访问.
此外,还可以配置EAS代理,以阻止来自特定设备的访问.
有两种类型的EAS代理:随SophosMobile自动安装的内部EAS代理.
它支持MicrosoftExchange或IBMNotesTravelerforiOS和SamsungKnox设备使用的传入ActiveSync数据流.
可以下载并单独安装的独立EAS代理.
它通过HTTPSWeb接口与SophosMobile服务器通信.
注释出于性能方面的考虑,必须管理超过500个客户端设备的电子邮件流量时,我们建议您使用独立的EAS代理,而不是内部版本.
注释因为macOS不支持ActiveSync协议,因此您不能使用内部或独立的EAS代理来筛选来自Mac设备的电子邮件数据流.
功能与内部版本相比,独立的EAS代理具有额外的功能:支持用于非iOS设备(如Android)的IBMNotesTraveler.
用于这些设备的Traveler客户端使用内部EAS代理不支持的协议(不是ActiveSync).
支持多个MicrosoftExchange或IBMNotesTraveler电子邮件服务器.
可以为每个电子邮件服务器设置一个EAS代理实例.
支持负载平衡器.
可以在多台计算机上设置独立的EAS代理实例,然后使用负载平衡器在它们中间分配客户端请求.
支持基于证书的客户端身份验证.
可以选择来自证书颁发机构(CA)的证书,客户端证书必须从该证书派生出来.
支持通过PowerShell控制电子邮件访问.
在这种方案下,EAS代理服务通过PowerShell与电子邮件服务器进行通信,从而控制您的托管设备的电子邮件访问.
电子邮件数据流将直接从设备传输到电子邮件服务器,不通过代理进行传输.
请参阅通过PowerShell设置电子邮件访问控制(第13页).
注释对于非iOS设备,由于IBMNotesTraveler协议的要求,独立EAS代理的筛选能力会受到限制.
非iOS设备上的Traveler客户端不会随每个请求发送设备ID.
即使EAS代理不能验证设备是否获得授权,不带设备ID的请求也会转发到Traveler服务器.
版权所有2018SophosLimited9SophosMobile5.
1独立EAS代理的使用方案注释除本节提供的信息外,SophosMobile部署指南还包含将独立的EAS代理集成到贵公司基础设施的示意图.
在安装和部署独立的EAS代理前,我们建议您阅读该信息.
对于以下方案,应使用独立的EAS代理服务器.
对非iOS设备使用IBMNotesTraveler(以前的IBMLotusNotesTraveler)内部EAS代理不适合这种方案,因为它只支持ActiveSync协议,通过MicrosoftExchange和IBMNotesTraveler用于iOS设备.
用于非iOS设备(如Android)的IBMNotesTraveler使用独立的EAS代理支持的不同协议.
对于非iOS设备,需要专用的Traveler客户端软件.
该软件可以在/servlet/traveler或Traveler文件系统中找到.
SophosMobile的安装应用和卸载应用功能可用于安装和卸载Traveler客户端软件.
配置必须手动执行.
要支持多个后端服务器使用独立的EAS代理,可以设置多个后端电子邮件系统实例.
每个实例需要一个TCP接收端口.
每个端口可以连接到不同的后端.
每个EAS代理实例需要一个URL.
要为EAS设置负载平衡可以在多台计算机上设置独立的EAS代理实例,然后使用负载平衡器在它们中间分配客户端请求.
对于这种方案,需要使用现有的HTTP负载平衡器.
要使用基于客户端证书的身份验证对于这种方案,需要使用现有的PKI,并且CA证书的公共部分必须在EAS代理中设置.
您需要管理超过500个设备出于性能方面的考虑,必须管理超过500个客户端设备的电子邮件流量时,我们建议您使用独立的EAS代理,而不是内部版本.
5.
2下载EAS代理安装程序1.
以超级管理员身份登录SophosMobileAdmin.
2.
在侧边的菜单栏中,单击设置下的设置>系统设置,然后单击EAS代理选项卡.
3.
单击外部下的链接下载EAS代理安装程序.
10版权所有2018SophosLimitedSophosMobile将安装程序文件保存到您的本地计算机.
5.
3安装独立的EAS代理前提条件:已经安装和设置SophosMobile.
所有必需的电子邮件服务器都可以访问.
EAS代理安装程序将不会配置与不可用服务器的连接.
您是准备安装EAS代理的计算机上的管理员.
注释SophosMobile部署指南中包含将独立的EAS代理集成到贵公司基础设施的示意图.
在安装和部署独立的EAS代理前,我们建议您阅读该信息.
1.
运行SophosMobileEASProxySetup.
exe,启动SophosMobileEASProxy-SetupWizard(SophosMobileEAS代理-安装向导).
2.
在ChooseInstallLocation(选择安装位置)页面上,选择目标文件夹并单击Install(安装)开始安装.
安装完成后,将自动启动SophosMobileEASProxy-ConfigurationWizard(SophosMobileEAS代理-配置向导),并引导您完成配置步骤.
3.
在SophosMobileserverconfiguration(SophosMobile服务器配置)对话框中,输入EAS代理将要连接的SMC服务器的URL.
还应选中UseSSLforincomingconnections(ClientstoEASProxy)(对传入连接(客户端到EAS代理)使用SSL),以保护客户端和EAS代理之间的通信.
除EAS代理凭据外,如果还想让客户端使用证书进行身份验证,则可以选中Useclientcertificatesforauthentication(使用客户端证书进行身份验证).
这将为连接添加额外一层安全性.
如果SophosMobile服务器向EAS代理提供了不同的证书,例如,因为负载平衡器后有多个服务器实例,且每个实例使用不同的证书,请选中Allowallcertificates(允许所有证书).
选中此选项后,EAS代理将接受来自SophosMobile服务器的所有证书.
重要提示因为Allowallcertificates(允许所有证书)选项会降低服务器通信的安全级别,我们强烈建议您仅在您的网络环境需要时才选中它.
4.
如果之前选中了UseSSLforincomingconnections(ClientstoEASProxy)(对传入连接(客户端到EAS代理)使用SSL),将显示Configureservercertificate(配置服务器证书)页面.
在此页面上,可以创建或导入用于安全(HTTPS)访问EAS代理的证书.
注释提供的Sophos产品包括SSL证书向导,可用于为SophosMobileEAS代理申请SSL/TLS证书.
有关更多信息,请参阅为SophosMobile申请SSL/TLS证书(第5页).
如果您还没有信任的证书,请选择Createself-signedcertificate(创建自签名证书).
如果已有信任的证书,请单击Importacertificatefromatrustedissuer(导入来自信任的颁发机构的证书),并从列表中选择以下其中一种选项:版权所有2018SophosLimited11SophosMobile—PKCS12withcertificate,privatekeyandcertificatechain(intermediateandCA)—Separatefilesforcertificate,privatekey,intermediateandCAcertificate5.
在下一页面上,根据所选证书的类型,输入相应的证书信息.
注释对于自签名证书,需要指定可以从客户端设备访问的服务器.
6.
如果之前选中了Useclientcertificatesforauthentication(使用客户端证书进行身份验证),将显示SMCclientauthenticationconfiguration(SMC客户端身份验证配置)页面.
在此页面上,选择来自证书颁发机构(CA)的证书,客户端证书必须从该证书派生出来.
当客户端尝试连接时,EAS代理将检查客户端证书是否是由此处指定的CA派生出来的.
7.
在EASProxyinstancesetup(EAS代理实例设置)页面上,配置一个或多个EAS代理实例.
Instancetype(实例类型):选择EASproxy(EAS代理).
Instancename:用于标识该实例的名称.
Serverport(服务器端口):EAS代理用于传入电子邮件数据流的端口.
如果设置多个代理实例,每个实例必须使用不同的端口.
Requireclientcertificateauthentication(需要进行客户端证书身份验证):电子邮件客户端连接到EAS代理时,必须自己进行身份验证.
ActiveSyncserver(ActiveSync服务器):代理实例将连接的ExchangeActiveSync服务器实例的名称或IP地址.
SSL:代理实例和ExchangeActiveSync服务器之间的通信受到SSL或TLS的保护(取决于服务器支持的类型).
AllowEWSsubscriptionrequestsfromSecureEmail:选中此选项以允许iOS设备上的SophosSecureEmail应用预订通过ExchangeWeb服务(EWS)发送的推送通知.
有SecureEmail消息时,将向设备发送推送通知.
注释出于安全考虑,默认情况下,EAS代理会阻止所有对Exchange服务器的EWS界面的请求.
如果您选中此复选框,将允许预订请求.
仍会阻止其他请求.
EnableTravelerclientaccess(启用Traveler客户端访问):仅在需要允许非iOS设备上的IBMNotesTraveler客户端访问时选中此复选框.
8.
输入实例信息后,单击Add(添加)将实例添加到Instances(实例)列表中.
安装程序将为每个代理实例创建一个证书,需要将该证书上传到SophosMobile服务器.
单击Add(添加)后,将打开一个消息窗口,解释如何上传证书.
9.
在消息窗口中,单击OK(确定).
将打开一个对话框,显示创建的证书所在的文件夹.
注释也可以通过选择相应的实例,并单击EASProxyinstancesetup(EAS代理实例设置)页面上的ExportconfiganduploadtoSophosMobile(导出配置并上传到SophosMobile)链接,打开该对话框.
10.
记录证书文件夹.
将证书上传到SophosMobile时,您需要此信息.
11.
可选:再次单击Add(添加)并配置其他EAS代理实例.
12.
配置所有要求的EAS代理实例后,单击Next(下一步).
12版权所有2018SophosLimitedSophosMobile将测试您输入的服务器端口,并配置Windows防火墙的入站规则.
13.
在Allowedmailuseragents(允许的邮件用户代理)页面上,可以指定允许连接到EAS代理的邮件用户代理(即电子邮件客户端应用程序).
当客户端使用未指定的电子邮件应用程序连接到EAS代理时,请求将被拒绝.
选择Allowallmailuseragents(允许所有邮件用户代理)配置无限制.
选择Onlyallowthespecifiedmailuseragents(只允许指定的邮件用户代理),然后从列表中选择邮件用户代理.
单击Add(添加)将记录添加到允许代理列表中.
对所有允许连接到EAS代理的邮件用户代理,重复此操作.
14.
在SophosMobileEASProxy-ConfigurationWizardfinished(SophosMobileEAS代理-配置向导完成)页面上,单击Finish(完成)关闭配置向导并返回安装向导.
15.
在安装向导中,确保选中StartSophosMobileEASProxyservernow(现在启动SophosMobileEAS代理服务器),然后单击Finish(完成)完成配置,并开始首次启动SophosMobileEAS代理.
要完成EAS代理配置,请把为每个代理实例创建的证书上传到SophosMobile:16.
以超级管理员身份登录SophosMobileAdmin.
17.
单击外部下的上传文件.
上传安装向导为PowerShell连接创建的证书.
如果您设置了多个实例,请对所有实例证书重复此操作.
18.
单击保存.
19.
在Windows中,打开服务对话框并重新启动EASProxy服务.
这样就完成了独立EAS代理的初始设置.
注释每天,EAS代理日志记录都会移入一个新文件,命名方式为EASProxy.
log.
yyyy-mm-dd.
这些日常的日志文件不会自动删除,因此随着时间的推移可能会导致磁盘空间问题.
我们建议设置一个过程,将日志文件移动到备份位置.
5.
4通过PowerShell设置电子邮件访问控制您可以设置到Exchange或Office365服务器的PowerShell连接.
这就说,EAS代理服务通过PowerShell与电子邮件服务器进行通信,从而控制您的托管设备的电子邮件访问.
电子邮件数据流直接从设备传输到电子邮件服务器.
不通过代理进行传输.
注释有关PowerShell通信的说明,请参阅SophosMobile部署指南.
注释因为macOS不支持ActiveSync协议,因此您不能使用PowerShell来控制Mac设备的电子邮件访问权限.
PowerShell方案有以下优点:设备直接与Exchange服务器通信.
对于来自您的托管设备的传入电子邮件数据流,您不需要在服务器上为其打开端口.
支持的电子邮件服务器有:ExchangeServer2013版权所有2018SophosLimited13SophosMobileExchangeServer2016采用ExchangeOnline方案的Office365要设置PowerShell:1.
配置PowerShell.
2.
在Exchange服务器上或在Office365中创建服务帐户.
SophosMobile将使用此帐户执行PowerShell命令.
3.
设置一个或多个到Exchange或Office365的PowerShell连接实例.
4.
将实例证书上传到SophosMobile.
配置PowerShell1.
在准备安装EAS代理的计算机上,以管理员身份打开WindowsPowerShell,并输入:PSC:\Windows\system32>Set-ExecutionPolicyRemoteSigned注释如果没有PowerShell,按Microsoft文章安装WindowsPowerShell(外部链接)中所述进行安装.
2.
如果您要连接到本地Exchange服务器,请在该计算机上以管理员身份打开WindowsPowerShell,并输入和之前相同的命令:PSC:\Windows\system32>Set-ExecutionPolicyRemoteSigned注释Office365不需要执行此步骤.
创建服务帐户3.
登录到相关的管理控制台:对于ExchangeServer2013/2016:Exchange管理中心对于Office365:Office365管理中心4.
创建用户帐户.
SophosMobile将使用此帐户作为服务帐户执行PowerShell命令.
使用用户名(如smc_powershell)标识帐户用途.
关闭要求用户在下次登录时更改其密码的设置.
删除自动分配给该新帐户的所有Office365许可证.
服务帐户不需要许可证.
5.
创建一个新的角色组,并为其分配所需的权限.
使用如smc_powershell之类的角色组名称.
添加MailRecipients(邮件收件人)和OrganizationClientAccess(组织客户端访问)角色.
将该服务帐户添加为成员.
设置PowerShell连接6.
就像您要安装独立EAS代理一样,使用安装向导.
在EASProxyinstancesetup(EAS代理实例设置)向导步骤中,配置以下设置:Instancetype:选择PowerShellExchange/Office365.
Instancename:用于标识该实例的名称.
14版权所有2018SophosLimitedSophosMobileExchangeserver:Exchange服务器的名称或IP地址(对于本地安装的Exchange服务器)或outlook.
office365.
com(对于Office365).
不要包括前缀https://或后缀/powershell.
它们会自动添加.
Allowallcertificates:Exchange服务器提供的证书未经过验证.
例如,如果您的Exchange服务器上安装有自签名证书,则可使用此选项.
因为Allowallcertificates(允许所有证书)选项会降低服务器通信的安全级别,我们强烈建议您仅在您的网络环境需要时才选中它.
AllowEWSsubscriptionrequestsfromSecureEmail:选中此选项以允许iOS设备上的SophosSecureEmail应用预订通过ExchangeWeb服务(EWS)发送的推送通知.
有SecureEmail消息时,将向设备发送推送通知.
注释出于安全考虑,默认情况下,EAS代理会阻止所有对Exchange服务器的EWS界面的请求.
如果您选中此复选框,将允许预订请求.
仍会阻止其他请求.
Serviceaccount:您在Exchange或Office365管理控制台中创建的用户帐户的名称.
Password:该用户帐户的密码.
7.
单击Add(添加)将实例添加到Instances(实例)列表中.
8.
可选:重复前面的步骤设置到其他Exchange或Office365服务器的PowerShell连接.
9.
如安装独立的EAS代理(第11页)中所述,完成安装向导步骤.
上传证书10.
以超级管理员身份登录SophosMobileAdmin.
11.
在侧边的菜单栏上,在设置下,单击安装>系统设置然后单击EAS代理选项卡.
12.
可选:在常规下,选择对SophosSecureEmail的限制以限制SophosSecureEmail应用的电子邮件访问权限,可用于Android和iOS.
这可以防止其他电子邮件应用连接到您的电子邮件服务器.
13.
单击外部下的上传文件.
上传安装向导为PowerShell连接创建的证书.
如果您设置了多个实例,请对所有实例证书重复此操作.
14.
单击保存.
15.
在Windows中,打开服务对话框并重新启动EASProxy服务.
这样就完成了PowerShell连接的初始设置.
如果设备违反合规性规则,托管设备和Exchange或Office365服务器之间的电子邮件数据流将被阻止.
通过将单台设备的电子邮件访问模式设置为拒绝,您可以阻止该设备.
注释根据您的Exchange服务器的配置,设备的电子邮件访问被阻止时,设备将会收到通知.
版权所有2018SophosLimited15SophosMobile6负载平衡和高可用性SophosMobile可用于设置高可用性环境.
这可以确保即便是在SophosMobile节点出现故障后,仍然可以从外部访问SMC服务和继续处理任务.
为此,需要能够使用DNS轮循机制将客户端和浏览器会话分配给可用节点的负载平衡.
下面介绍如何为SophosMobile设置群集,以及如何通过SophosUTM配置负载平衡.
6.
1要求一个单独的Windows服务器,用于每个SophosMobile节点.
所有节点必须在同一网络上.
一个MicrosoftSQL或MySQL数据库服务器或群集.
SophosUTM或Apache反向代理(mod_proxy),用于负载平衡.
负载平衡器必须支持永久会话Cookie和正式的SSL/TLSWeb服务器证书.
注释有关安装要求的详细信息,请参阅SophosMobile8.
1发行说明和SophosMobile安装前提条件表.
架构有关三节点SophosMobile群集的示例,请参阅SophosMobile部署指南.
对于单个SophosMobile节点间的多播通信,可以选择使用单独的网络.
要使用的网络接口可以在进行群集配置时选择,如设置第一个节点(第17页)中所述.
它也可能是VLAN.
注释如果出于测试目的而要运行第二个SophosMobile群集,则需要单独的网络.
端口和协议下表显示了SophosMobile服务器群集的单个节点之间的通信所需的端口和协议.
协议端口目标TCP7600,8181,57600TCP7600,8181,57600UDP4570016版权所有2018SophosLimitedSophosMobile服务器证书当您设置SophosMobile时,可以配置SSL/TLSWeb服务器证书,以使SophosMobileControl应用可以和SophosMobile服务器建立安全连接.
我们建议您使用由全球受信任证书颁发机构(CA)颁发的证书.
在负载平衡器后有多个SophosMobile服务器节点的群集环境中,这可能不可行.
您可以改用自签名证书.
SophosMobile支持自签名证书,但有以下限制:如果您使用自签名证书或由您自己的证书颁发机构(CA)颁发的证书,则在将设备注册到SophosMobile前,必须在您的设备上手动安装该自签名证书或您的CA证书.
如果您不这样做,SophosMobileControl应用程序将不会信任您的服务器,且会拒绝连接.
由全球受信任的CA颁发的证书不需要进行此手动安装.
如果您使用自签名证书或您自己的CA颁发的证书,您将不能从SophosMobile服务器上托管的APK文件安装Android应用.
6.
2设置群集节点要设置群集环境,请按安装和设置SophosMobile服务器(第6页)中所述安装第一个节点.
之后,群集本身将使用ConfigurationWizard(配置向导)激活.
对于所有其他节点,必须选中在安装首个节点时创建的数据库,并且必须激活群集.
注释也可以配置现有SMC服务器进行群集,并通过添加其他节点扩展该环境.
6.
2.
1设置第一个节点1.
安装和设置SophosMobile服务器(第6页)中所述的步骤安装SophosMobile,并记录创建的数据库的名称.
安装其他节点时,指定此数据库.
2.
在安装结束时,在SophosMobile-Installationfinished(SophosMobile-安装已完成)对话框中,取消选中StartSophosMobileservernow(现在启动SophosMobileControl服务器)选项.
注释如果SophosMobile服务已启动,在进行本节后面部分介绍的配置时,它将会自动停止并重新启动.
另外,也可以通过SophosMobile系统托盘图标的菜单手动停止该服务.
3.
在服务器上,单击Start(开始),转到SophosMobile,并单击SMCConfigurationWizard(配置向导).
4.
将显示SophosMobile配置向导的Welcome(欢迎)页面.
单击Next.
5.
在DatabaseSelection(选择配置步骤)页面上,选择Skipdatabaseconfiguration(配置群集支持)并单击Next(下一步).
6.
在Chooseconfigurationsteps(选择配置步骤)页面上,选择Configureclustersupport(配置群集支持)并单击Next(下一步).
7.
在ClusterConfiguration(群集配置)页面上,使用可用网络接口的下拉列表,选择要设置的服务器节点和其他节点之间的多播通信将要使用的接口.
8.
在配置向导的其余页面单击确定.
确保在询问是否启动SMC服务时单击Yes(是).
版权所有2018SophosLimited17SophosMobile首个SMC服务器节点的配置即完成.
在SophosMobile-ConfigurationWizardfinished(SophosMobile-配置向导已完成)对话框中,单击Finish(完成).
6.
2.
2设置其他节点1.
按安装和设置SophosMobile服务器(第6页)中所述的步骤,开始安装SophosMobile.
2.
在Databaseselection(数据库选择)页面上,选择在安装第一个节点时创建的数据库,然后单击Next(下一步).
将显示Databaseconfiguration(数据库配置)对话框.
它会显示配置过程的进度.
3.
在Databaseconfiguration(数据库配置)页面上,等待配置过程完成,然后单击Next(下一步).
4.
在Chooseconfigurationsteps(选择配置步骤)页面上,选择Configureclustersupport(配置群集支持)并单击Next(下一步).
5.
在Configureservercertificate(配置服务器证书)页面上,按安装和设置SophosMobile服务器(第6页)中所述的步骤创建自签名证书,然后单击Next(下一步).
6.
在ClusterConfiguration(群集配置)页面上,使用可用网络接口的下拉列表,选择要设置的SophosMobile服务器节点的接口,然后单击Next(下一步).
7.
在配置向导的其余页面单击确定.
在SophosMobile-Installationfinished(SophosMobileControl-安装已完成)页面上,选择StartSophosMobileservernow(现在启动SophosMobileControl服务器)以启动刚刚配置的群集节点.
SMC节点的配置即完成.
如果需要,重复此过程以配置其他节点.
6.
3设置SophosUTM负载平衡本主题介绍如何将SophosUTM设置为SophosMobile服务器节点群集的负载平衡器.
有关配置SophosUTM的详细信息,请参阅SophosUTM文档.
注释为使用SophosUTM进行群集分析,需要订阅了SophosWebserverProtection的SophosUTM许可证.
如本节后面部分所述,需要指定证书,用于保护托管的设备和在SophosUTM中设置的虚拟Web服务器之间的通信.
为简单起见,推荐使用用于SophosMobile服务器的相同证书(请参阅为SophosMobile申请SSL/TLS证书(第5页)).
如果使用自签名证书,强制要求使用此同一证书.
1.
登录SophosUTMWebAdmin.
2.
从WebAdmin的WebserverProtection菜单部分,转到Web应用程序防火墙>实际Web服务器选项卡.
3.
单击新建实际Web服务器,创建SMC节点.
4.
在添加实际Web服务器对话框中,输入以下设置:a)名称:输入Web服务器的描述性名称(如SMCnode).
b)主机:选择或添加主机.
通过单击主机字段旁边的文件夹符号选择主机.
从可用主机列表中,将主机拖入主机字段.
有关如何添加定义的详细信息,请参阅UTM管理指南中的网络定义主题.
c)类型:选择加密(HTTPS).
单击保存,保存配置.
18版权所有2018SophosLimitedSophosMobile对每个SophosMobile服务器节点重复上述步骤.
5.
从WebAdmin的WebserverProtection菜单部分,转到证书管理>证书选项卡.
6.
单击新建证书,上传SSL/TLSWeb服务器证书.
7.
在添加证书对话框中,输入以下设置:a)名称:为证书输入描述性名称.
b)方法:选择上传.
c)文件类型:选择PKCS#12(Cert+CA)d)密码:输入证书文件的密码.
e)文件:单击文件框旁边的文件夹图标,选择要上传的证书,并单击开始上传.
单击保存,保存配置.
证书将添加到证书列表中.
8.
从WebAdmin的WebserverProtection菜单部分,转到Web应用程序防火墙>虚拟Web服务器选项卡.
9.
单击新建虚拟Web服务器,为群集添加虚拟Web服务器.
10.
在添加虚拟Web服务器对话框中,进行以下设置:a)名称:输入虚拟Web服务器的描述性名称(如SMCcluster).
b)在接口列表中,选择可用于从外部访问群集的WAN口.
c)类型:选择加密(HTTPS)和重定向.
d)在证书列表中,选择之前上传的Web服务器证书.
e)域(仅用于通配符证书,即可用于多个子域的公钥证书):输入Web服务器负责的域,如shop.
example.
com,或使用操作图标导入域名列表.
必须以完全限定的域名(FQDN)输入域.
可以用星号(*)作为通配符用作域前缀,如*.
mydomain.
com.
带通配符的域将作为回退设置:仅在没有配置带有更详细域名的其他虚拟Web服务器时,才使用带有通配符域条目的虚拟Web服务器.
示例:对a.
b.
c的客户端请求将优先匹配a.
b.
c,然后匹配*.
b.
c,最后匹配*.
c.
f)实际Web服务器:选择之前创建的SMC节点.
重要提示请勿选择防火墙配置文件.
单击保存,保存配置.
服务器将添加到虚拟Web服务器列表中.
11.
启用虚拟Web服务器.
新的虚拟Web服务器在默认情况下是禁用的.
单击切换开关启用虚拟Web服务器.
切换开关的颜色应从灰色(禁用)改变为绿色(启用).
12.
转到站点路径路由选项卡.
13.
在虚拟Web服务器列表中,转到添加的虚拟Web服务器,并单击编辑.
14.
在编辑站点路径路由对话框中,单击高级,然后选择启用粘性会话Cookie.
单击保存,保存配置.
版权所有2018SophosLimited19SophosMobile7更新SophosMobile安装的SophosMobile服务器可以直接从版本7或7.
1到更新到8.
更旧的版本需要先更新到版本7.
有关详细信息,请参阅SophosMobile7文档.
7.
1更新SophosMobile服务器要将安装的SophosMobile服务器更新到版本8,请运行SophosMobile8安装程序,并按说明进行操作.
安装程序将自动检测是否有现有的安装需要更新到版本8.
开始更新前,将执行系统属性检查.
所有检查都通过后,即可进行更新.
数据库和文件将自动更新,无需任何用户交互.
更新完成后,SophosMobile服务将再次启动.
注释如果初始安装SophosMobile服务器时使用的是Windows身份验证,现在启动StartSophosMobileservernow服务器选项将显示为灰色.
必须手动启动该服务.
7.
2更新后的任务7.
2.
1重新配置Windows计算机的自助服务门户注册如果您已经为Windows计算机配置了自助服务门户注册,将SophosMobile更新到版本8以后,必须对配置进行调整.
在SophosMobile7.
1中,初始软件包是一个策略,而在SophosMobile8中是一个任务捆绑包.
在SophosMobileAdmin中,执行以下步骤:1.
在任务捆绑包>Windows下,创建一个包含注册任务以及(可选)一个或多个分配策略和/或安装应用任务的新任务捆绑包.
根据要求,为公司设备和个人设备创建不同的任务捆绑包.
2.
在安装>自助服务门户>组设置下,选择这些任务捆绑包作为Windows平台的初始包,然后单击Windows旁边的复选框.
有关任务捆绑包和自助服务门户设置的详细信息,请参阅SophosMobile管理员帮助.
7.
3更新服务器群集更新SophosMobile服务器节点群集时,有一点很重要,那就是所有节点在所有时间都运行在相同的版本上,且服务器版本和数据库版本一致.
为此:1.
停止相关计算机上的SophosMobile服务,关闭所有服务器节点.
2.
如更新SophosMobile服务器(第20页)中所述,更新第一个节点.
这将同时更新数据库.
3.
启动更新后的服务器节点,并检查更新是否已成功.
4.
更新其他服务器节点.
20版权所有2018SophosLimitedSophosMobile提示如果您使用独立的EAS代理,即使在所有SophosMobile服务器节点都停止时,您的托管设备也可以访问您的电子邮件服务器.
这是因为,在未连接到SophosMobile服务器时,EAS代理会缓存设备状态最多60分钟.
7.
4更新独立的EAS代理要将您的独立EAS代理更新到版本8,请运行EAS代理8安装程序,并按说明进行操作.
安装程序将自动检测是否有目前安装的程序需要更新.
如果您在负载平衡器后使用EAS代理服务器节点群集,您可以按任意顺序对这些节点进行相互独立的更新.
提示请勿在同一时间停止所有EAS代理服务器节点.
这样可以确保在更新过程中,您的托管设备的电子邮件通讯不会受到影响.
版权所有2018SophosLimited21SophosMobile8技术参考8.
1SophosMobile服务器功能SophosMobile产品的核心组件是SophosMobile服务器.
其主要功能包括:服务器连接到Internet.
服务器可用于设置高可用性环境.
管理员可以使用Web界面控制服务器.
最终用户可以使用自助服务门户注册他们自己的设备,或从管理员处获得已做好自动注册准备的设备.
托管的设备通过HTTPS与服务器同步.
iOS客户端通过APNs由服务器触发,Android客户端通过GCM触发.
Windows设备使用Windows通知服务(WNS).
可以使用现有的MicrosoftSQLServer或MySQL数据库存储设备和应用程序信息.
也可以让SophosMobile安装程序使用MicrosoftSQLServerExpress创建新的数据库.
数据库可以存放在相同的或单独的计算机上.
这样就可以使用数据库群集.
服务器支持多租户设置,允许在同一台服务器上创建不同的客户.
可以通过集成的或独立的EAS代理访问电子邮件.
对于独立方式,需要通过HTTPS访问SMC服务器.
SophosMobile服务器是针对JavaEE(EnterpriseEdition)开发的.
它安装和运行在经过严格测试、作为行业标准的WildFly应用程序服务器上.
服务器可以安装在虚拟环境中.
8.
2SophosMobileWeb界面8.
2.
1SophosMobile管理界面SophosMobile通过Web界面进行管理,Web界面通过登录和会话机制进行保护.
可以实施密码策略.
访问控制允许不同的用户角色.
这些角色有不同的访问权限集.
每个用户可以分配一个角色.
有关详细信息,请参阅SophosMobile管理员帮助.
8.
2.
2超级管理员界面超级管理员主要用于设置和管理进行设备管理的客户.
第一个超级管理员帐户是在安装SophosMobile时创建的.
请参阅安装和设置SophosMobile服务器(第6页).
以超级管理员身份登录到同样是在安装SophosMobile时创建的超级管理员客户.
对于超级管理员客户,SophosMobileAdmin控制台将显示针对超级管理员任务的定制视图.
22版权所有2018SophosLimitedSophosMobile8.
2.
3自助服务门户自助服务门户通过登录、会话机制和密码策略进行保护.
帐户必须由SophosMobile管理员设置,并且可以和某个租户关联.
自助服务门户用于让最终用户注册其使用SophosMobile的设备.
最终用户还可以对他们的设备执行任务,如远程锁定或远程擦除.
他们可以执行的任务因设备平台和配置而不同.
作为管理员,您可以配置最终用户可以使用的自助服务门户功能.
有关如何为最终用户配置自助服务门户的信息,请参阅SophosMobile管理员帮助.
版权所有2018SophosLimited23SophosMobile9技术支持可以通过以下任意方式获得Sophos产品的技术支持:访问community.
sophos.
com/的SophosCommunity论坛,并搜索遇到相同问题的其它用户.
访问www.
sophos.
com/zh-cn/support.
aspx的Sophos技术支持知识库.
访问www.
sophos.
com/en-us/support/documentation.
aspx下载产品的技术文档.
访问https://secure2.
sophos.
com/support/contact-support/support-query.
aspx联系我们的技术支持团队.
24版权所有2018SophosLimitedSophosMobile10法律声明Copyright2018SophosLimited.
Allrightsreserved.
本出版物的任何部分,都不得被以电子、机械、复印、记录或其它一切手段或形式,再生、存储到检索系统中或者传输.
除非您是有效的被授权用户,并且根据您的用户授权使用许可协议中的条件,您可以再生本文档;或者,除非您事先已经获得了版权所有者的书面许可.
Sophos,SophosAnti-Virus和SafeGuard都是SophosLimited,SophosGroup和UtimacoSafewareAG的注册商标.
所有其他产品和公司名称是其各自所有者的商标或注册商标.
版权所有2018SophosLimited25