Despliega el sensor Microsoft Defender for Identity v3.x

Despliega el sensor Defender for Identity v3.x en controladores de dominio elegibles y servidores AD FS, ADC CS o Microsoft Entra Connect que no sean controladores de dominio. Completa las comprobaciones previas antes de la activación y luego configura la auditoría y los ajustes de identidad.

Antes de activar

Complete estas comprobaciones antes de activar el sensor.

Limitaciones de la versión del sensor

Antes de activar el sensor de Defender for Identity v3.x, tenga en cuenta que v3.x:

Requisitos de servidor

Asegúrese de que el servidor en el que está activando el sensor:

  • Está incorporado a Defender for Endpoint. El componente Microsoft Defender Antivirus puede estar en modo activo o pasivo. En el caso de los servidores que cumplan los requisitos, puedes utilizar en su lugar la incorporación de Sensor v3.x sin la implementación de Defender for Endpoint.
  • No tiene un sensor de Defender for Identity v2.x ya implementado.
  • Ejecuta Windows Server 2019 o versiones posteriores.
  • ¿Tiene instalada la actualización acumulativa de Windows Server de septiembre de 2026 o posterior (sensor Defender for Identity versión 3.0.10 o posterior)?

Utiliza la actualización acumulativa de septiembre de 2026 para tu versión de Windows Server, o una actualización acumulativa posterior:

Versión de Windows Server Actualización acumulativa de septiembre de 2026
Windows Server 2019 KB5122876
Windows Server 2022 KB5122882
Windows Server 2025 KB5122871

Tipos de servidor admitidos

El sensor v3.x soporta controladores de dominio. También soporta servidores que no son controladores de dominio y ejecutan los siguientes roles de identidad:

  • Servicios de federación de Active Directory (ADFS)
  • Servicios de certificados de Active Directory (AD DS)
  • Microsoft Entra Connect

Note

La activación manual del sensor Defender for Identity v3.x en servidores AD FS, AD CS y Microsoft Entra Connect elegibles está en vista previa. Esta vista previa solo se aplica a servidores que no son controladores de dominio y que no tienen un sensor Defender for Identity existente.

Importante

Si despliegas el sensor Defender for Identity v3.x solo en servidores AD FS, ADC CS o Microsoft Entra Connect, también debes instalar al menos un sensor v3.x en un controlador de dominio.

Requisitos de licencias

La implementación de Defender for Identity requiere una de las siguientes licencias de Microsoft 365:

  • Enterprise Mobility + Security E5 (EMS E5/A5)
  • Microsoft 365 E5 (Microsoft E5/A5/G5)
  • Microsoft 365 E5/A5/G5/F5* Seguridad
  • Seguridad y cumplimiento de Microsoft 365 F5*

Ambas licencias F5 requieren Microsoft 365 F1/F3 o Office 365 F3 y Enterprise Mobility + Security E3. Compre licencias en el portal de Microsoft 365 o a través de licencias de Cloud Solution Partner (CSP). Para obtener más información, consulte Preguntas más frecuentes sobre licencias y privacidad.

Roles y permisos

  • Para crear el área de trabajo de Defender for Identity, necesita un inquilino de Microsoft Entra ID.

  • Debe ser administrador de seguridad o tener los siguientes permisos de RBAC unificados :

    • System settings (Read and manage)
    • Security settings (All permissions)

Requisitos de red

El sensor de Defender for Identity utiliza los mismos URI que Microsoft Defender para punto de conexión. Consulte los siguientes documentos de Defender for Endpoint, en función de la conectividad de su sistema, para encontrar la lista completa de los endpoints de servicio necesarios.

Requisitos de memoria

En la tabla siguiente se describen los requisitos de memoria en el servidor que ejecutan el Defender para el sensor identity, en función del tipo de virtualización que use:

Máquina virtual en ejecución Descripción
Hyper-V Asegúrese de que Habilitar memoria dinámica no esté habilitado para la máquina virtual.
VMware Asegúrese de que la cantidad de memoria configurada y la memoria reservada sean iguales o seleccione la opción Reservar toda la memoria de invitado (todo bloqueado) en la configuración de la máquina virtual.
Otro host de virtualización Consulte la documentación proporcionada por el proveedor sobre cómo asegurarse de que la memoria siempre está totalmente asignada a las máquinas virtuales.

Importante

Cuando se ejecuta como una máquina virtual, asigne siempre toda la memoria a la máquina virtual.

El Defender para el sensor Identity v3.x limita la utilización de la CPU a 30% y el uso de memoria a 1,5 GB. Sin embargo, si otro servicio utiliza recursos sustanciales del sistema, el servidor puede seguir sufriendo una presión de rendimiento. Si el sensor alcanza el límite de la CPU, reduce la velocidad de parte del procesamiento de eventos. Si el sensor alcanza el límite de memoria, el servicio de sensores podría reiniciarse.

La herramienta Defender for Identity de dimensionamiento se aplica a sensores v2.x y no es necesaria para v3.x.

Requisitos de la cuenta de servicio

El sensor de Defender for Identity interactúa con Active Directory de dos maneras:

  • Lectura de datos de AD (consulta de objetos, seguimiento de cambios, resolución de entidades). En v2.x, usa una cuenta de servicio de directorio (DSA). En v3.x, LocalSystem controla esto automáticamente.
  • Realizar acciones de corrección (deshabilitar cuentas, restablecer contraseñas). En la versión 2.x, se utiliza una cuenta de acciones. En v3.x, LocalSystem controla esto automáticamente.

El sensor v3.x usa la identidad del sistema local del servidor para ambos propósitos. No usa cuentas de servicio de directorio (DSA) ni cuentas de servicio administradas de grupo (gMSA). LocalSystem es la única identidad admitida para v3.x.

Antes de migrar desde el sensor v2.x, selecciona Usar automáticamente la cuenta del sistema local del sensor en el portal de Microsoft Defender (Settings>Identities>Microsoft Defender for Identity>Manage action accounts). La migración no cambia automáticamente esta configuración de la cuenta de acción. Los sensores v3.x no usan cuentas gMSA configuradas para sensores v2.x.

Importante

Si alguno de los sensores es v3.x, seleccione Usar automáticamente la cuenta del sistema local del sensor para todos los sensores. Los sensores v3.x usan la cuenta del sistema local independientemente de la configuración de gMSA.

Alertas de salud DSA y gMSA en entornos con sensores tanto v2.x como v3.x

Si tu espacio de trabajo aún tiene configurada una Cuenta de Servicio Directorio (DSA) o una Cuenta de Servicio Gestionado de Grupo (gMSA) porque los sensores v2.x en servidores AD FS, AD CS o Entra Connect aún lo requieren, las credenciales DSA y gMSA siguen validándose en todos los sensores del espacio de trabajo, incluidos los sensores v3.x. Si falla la validación de credenciales DSA o gMSA, las credenciales de usuario de los servicios Directory son incorrectas , aparece una alerta de salud. La validación a nivel del área de trabajo de las credenciales DSA y gMSA en todos los sensores forma parte del diseño. Defender for Identity valida las credenciales de DSA y gMSA en el nivel de área de trabajo para todos los sensores siempre y cuando esas cuentas existan, independientemente de si los sensores individuales las usan para realizar acciones de auditoría o respuesta.

Los sensores de Defender for Identity v3.x ignoran la DSA y la gMSA para las acciones de auditoría y respuesta, pero siguen estando incluidas en la validación de credenciales a nivel de espacio de trabajo. La migración no elimina automáticamente la configuración de DSA o gMSA a nivel de espacio de trabajo. Para evitar recibir esta alerta de salud en los sensores de la versión 3.x, elimina manualmente la configuración una vez que todos los sensores estén completamente migrados a la versión 3.x y ningún sensor de la versión 2.x la requiera. Eliminar la configuración del espacio de trabajo no elimina la cuenta de gMSA en Active Directory.

Prueba de los requisitos previos

Ejecute el script deTest-MdiReadiness.ps1 para comprobar si el entorno tiene los requisitos previos necesarios.

El script Test-MdiReadiness.ps1 también está disponible desde Microsoft Defender XDR, en la página Identidades > Herramientas (versión preliminar).

Activar el sensor

Después de confirmar todos los requisitos previos, active el sensor desde el portal de Microsoft Defender.

Configurar ajustes tras la activación

Complete estos pasos de configuración después de activar y ejecutar el sensor.

Configuración de la auditoría de eventos de Windows

Defender for Identity se basa en los registros de eventos de Windows para muchas detecciones. Para sensores v3.x, activa la auditoría automática para configurar los ajustes de auditoría compatibles. Completar los pasos adicionales para AD FS o AD CS, según corresponda.

Si no hay auditoría automática disponible o has optado por no hacerlo, configura la auditoría manualmente o configura la recopilación de eventos de Windows usando PowerShell.

Configurar la auditoría de RPC

Instala la actualización acumulativa de Windows Server de septiembre de 2026 o posterior antes de instalar o actualizar a Defender for Identity Sensor versión 3.0.10 o posterior. A partir de la versión 3.0.8 del sensor, la auditoría RPC está habilitada automáticamente en los controladores de dominio, por lo que ya no es necesario aplicar una etiqueta de configuración RPC. La alerta sanitaria relacionada se disipa poco después de la actualización.

Note

Si está en la versión del sensor 3.0.8 y ya ha aplicado la etiqueta Unified Sensor RPC Audit o Sensor Extended RPC Audit , no se necesita ninguna acción adicional. Puede dejar la etiqueta en su lugar.

Use la siguiente configuración recomendada para ayudar a garantizar un rendimiento estable del sensor:

  • Establezca la opción Power de la máquina que ejecuta el sensor de Defender for Identity en Alto rendimiento.
  • Sincroniza la hora en los servidores donde instalas el sensor para que esté a cinco minutos de diferencia.

Paso siguiente

Activar el sensor de Microsoft Defender for Identity

  • Se actualizó por última vez el