Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Lorsque vous désactivez un appareil à partir de Defender pour point de terminaison, aucune nouvelle détection, vulnérabilité ou données de sécurité n’est envoyée au portail Microsoft Defender. Sept jours après le retrait d’un appareil, son statut devient inactif. Les appareils qui n’étaient pas actifs au cours des 30 derniers jours ne sont pas pris en compte dans le score d’exposition de votre organization.
Les données passées, telles que les alertes, les vulnérabilités et la chronologie de l’appareil, pour un appareil hors bord sont affichées dans le portail Microsoft Defender jusqu’à l’expiration de la période de rétention configurée. Vous voyez également le profil d’appareil (sans données) dans l’inventaire des appareils pendant jusqu’à 180 jours. Pour afficher les données des appareils actifs uniquement, vous pouvez utiliser des filtres, tels que l’état d’intégrité du capteur, les étiquettes d’appareil ou les groupes d’appareils.
Prérequis
La désinscription est prise en charge sur les appareils fonctionnant sous les systèmes d’exploitation suivants :
- Systèmes d’exploitation clients Windows
- Windows Server 2012 R2 et versions ultérieures
- Linux (client et serveur)
- macOS
- Android et iOS
- système d’exploitation Azure Stack HCI, version 23H2 et ultérieure
Retirer les appareils clients
Retirer les appareils client Windows
Naviguez jusqu’au portail Microsoft Defender, dans le panneau de navigation, sélectionnez Paramètres>Déconnecter, puis sélectionnez un système d’exploitation pour lancer le processus de déconnexion.
Vous pouvez également utiliser d’autres méthodes, telles que :
- Retirer des appareils à l'aide d'un script local
- Retirer des appareils à l'aide d'une stratégie de groupe
- Retirer des appareils à l'aide des outils de gestion des appareils mobiles
- Appareils externes utilisant l’API
Retirer les appareils clients Linux
Pour des informations sur le retrait du service et la désinstallation de Microsoft Defender for Endpoint sur les clients Linux, voir Offboard Microsoft Defender for Endpoint on Linux clients.
Retirer des appareils macOS
Dans la procédure suivante, les étapes 1 et 2 sont optionnelles si vous ne souhaitez pas voir ces appareils mis hors service dans l'« inventaire des appareils » pendant 180 jours.
Créez une balise d’appareil et nommez la balise
decommissioned. Attribuez la balise aux appareils Mac que vous souhaitez retirer de Defender for Endpoint.Créez un groupe d’appareils et nommez-le comme .
Decommissioned MacAffectez cette balise à un groupe d’utilisateurs approprié.Supprimez les stratégies de protection contre les falsifications. Voir Définir les préférences sur Mac : Protection contre les falsifications, ou désactiver la protection contre les falsifications à l’aide d’une configuration locale.
Dans le portail Microsoft Defender, accédez à Système>Paramètres>Points de terminaison>Gestion des appareils>Déconnexion. Sélectionnez macOS à l’étape 1, puis choisissez votre méthode de déploiement préférée, puis sélectionnez Télécharger le package pour télécharger le package offboarding.
Ou, si vous utilisez une solution de gestion des appareils non-Microsoft, désactivez l’intégration à Defender pour point de terminaison.
Désinstallez l’application Defender pour point de terminaison sur les appareils Mac.
Supprimez les appareils Mac du groupe associé aux règles relatives aux extensions système si un MDM a été utilisé pour les configurer.
Désactiver les appareils Android ou iOS
Pour désactiver un appareil Android ou iOS, désinstallez l’application Microsoft Defender sur l’appareil.
Retirer les serveurs cloud et sur site
Retirer un environnement Azure en une seule étape en désactivant Defender pour serveurs de l’abonnement. Les serveurs éligibles sont automatiquement retirés, sans exécuter de package de retrait sur chaque serveur. Pour ne désinscrire que certains serveurs, utilisez la désinscription manuelle.
Choisissez un processus de sortie
Choisissez une option selon que vous souhaitez retirer des serveurs dans l’ensemble d’un abonnement Azure ou uniquement certains serveurs sélectionnés.
| Résultat | Procédure à suivre |
|---|---|
| Désinscrire un abonnement Azure et tous les serveurs qui y sont associés | Désactivez Defender pour les serveurs pour l’abonnement. Suivez le retrait automatique d’Azure. |
| Retirer des serveurs individuels | Suivez le retrait manuel du terminal en utilisant une méthode prise en charge pour le système d’exploitation. |
Note
- Changer le forfait actif Defender for Servers : Suivez la procédure de changement de forfait. Examinez les paramètres d’abonnement et de ressources avant de faire des modifications.
- Désinstaller Microsoft Defender for Endpoint : Suivez les instructions de désinstallation du système d'exploitation du serveur. Le retrait ne désinstalle pas le logiciel.
Préparez-vous à la mise hors service du serveur
- Consignez les serveurs affectés, les couvertures existantes et les politiques de déploiement.
- Examinez les investigations en cours, les besoins de conservation des éléments de preuve, ainsi que les éventuels projets de réintégration du serveur ou de réinstallation du logiciel de protection des points de terminaison.
- Supprimez les affectations d’intégration conflictuelles afin que les outils de déploiement n’annulent pas le changement.
- Pour l’intégration directe, vérifiez qui est concerné avant de changer un paramètre partagé.
Retirer des serveurs d’un abonnement Azure
Pour retirer un environnement Azure, désactivez Defender pour serveurs pour son abonnement dans le portail Azure. Cela retire automatiquement les serveurs éligibles de Defender pour Endpoint. Pas besoin d’exécuter un package d’offboarding sur chaque serveur.
- Utilisez le paramètre du forfait Defender for Servers de l'abonnement, pas la suppression du connecteur d'environnement Azure.
- Passer du Plan 2 au Plan 1 ou déplacer un serveur entre les abonnements ne déclenche pas automatiquement la désintégration.
Pour commencer la désactivation et vérifier le résultat :
- Dans Microsoft Defender for Cloud sur le portail Azure, identifiez l’abonnement où vous souhaitez désactiver Defender for Servers.
- Désactivez le plan en utilisant la procédure de changement de plan. C’est la seule action requise pour lancer le processus de départ. Le logiciel gère automatiquement la validation de l’intention, la suppression des extensions MDE et la mise hors service des points de terminaison.
- Laissez le traitement se terminer, puis vérifiez chaque résultat. La désintégration peut prendre jusqu’à une heure pour les abonnements importants. Si les machines sont éteintes, le logiciel réessaie plus tard.
Utilisez le contrôle du plan de l’abonnement pour initier la désintégration, pas la suppression de la connexion d’environnement Azure.
La désintégration automatique déconnecte le point de terminaison de son organisation Defender for Endpoint actuelle et interrompt les rapports EDR à cette organisation. Il ne désinstalle pas le logiciel de point de terminaison ni ne supprime les enregistrements historiques des périphériques. La présence du logiciel ou des enregistrements seuls n’indique pas une défaillance, et le réglage du plan seul ne confirme pas que la désintégration est terminée. Le retrait ou la désinstallation manuelle des terminaux n’est pas nécessaire dans le cadre du flux automatique.
Note
Si vous réactivez le plan avant la fin de la désintégration, les actions de désintégration et d’intégration s’exécutent de manière asynchrone. Defender for Endpoint est de nouveau réinscrit après quelques heures. Remettre le plan en marche n’annule pas immédiatement le processus de désintégration.
Retirer des serveurs individuels
Utilisez le retrait manuel pour empêcher certains serveurs d’envoyer des rapports à Microsoft Defender pour Endpoint. Suivez la méthode ci-dessous pour votre système d’exploitation et votre outil de gestion.
Téléchargez un package de désactivation (si nécessaire)
Accédez au portail Microsoft Defender, dans le panneau de navigation, sélectionnez Paramètres>Sécurité du cloud>Sécurité des serveurs - Intégrer et gérer>Gérer le retrait, puis sélectionnez un système d’exploitation pour lancer le processus de retrait.
Note
Utilisez un compte autorisé à télécharger le paquet, puis suivez les instructions relatives au système d’exploitation et au paquet propres à la méthode concernée.
Téléchargez un package à jour correspondant au bon locataire, vérifiez sa date d’expiration et conservez-le en lieu sûr. Les formats de package et les périodes de validité varient selon la méthode.
Pour le retrait du script local ou de Configuration Manager, sélectionnez le groupe de versions de Windows spécifié dans les instructions de cette méthode. L’option Windows générique ouvre le flux de travail séparé de l’outil de déploiement Defender, et non le flux de travail du package spécifique à la version.
Choisissez une méthode pour votre système d’exploitation et votre outil de gestion. Téléchargez un package de départ uniquement si la procédure choisie l’exige.
| Méthode | Procedure |
|---|---|
| Script Linux, fichier JSON, API ou désinstallation | Retirer un appareil ou désinstaller le logiciel sous Linux |
| Windows Configuration Manager | Effectuer le retrait à l’aide du Gestionnaire de configuration |
| Script local Windows | Effectuer le retrait à l’aide d’un script local |
| Stratégie de groupe Windows | Retrait à l’aide de la stratégie de groupe |
| Gestion des périphériques mobiles | Retrait de la gestion des appareils mobiles |
| Automatisation des API | API de retrait d’une machine |
Valider la mise hors service du serveur
| Changement prévu | Cocher |
|---|---|
| Couverture du plan | Confirmez l’état prévu du plan dans Defender for Cloud. |
| Retrait des points de terminaison | Vérifiez l’état local du retrait en suivant la procédure propre à la méthode utilisée, puis vérifiez que les nouvelles données des points de terminaison cessent d’être transmises. L’inactivité seule n’est pas en soi une preuve de départ. |
| Suppression des logiciels | Confirmez que l’application, le package ou le service pertinent est absent à l’aide des outils du système d’exploitation. |
| Pas de retour automatique | Effectuez une nouvelle vérification après l’actualisation des stratégies du système de déploiement. |
Données historiques et rétention
Les données passées des points de terminaison peuvent rester visibles selon la politique de rétention configurée. La présence d’un enregistrement d’appareil conservé ne prouve pas que la protection ou la remontée des données est toujours active. Voir la conservation des données.