Distribuisci dispositivi Windows utilizzando lo strumento di distribuzione Microsoft Defender

Lo strumento di distribuzione Microsoft Defender è un'applicazione leggera e auto-aggiornante che installa i prerequisiti e integra i dispositivi Windows supportati su Microsoft Defender per endpoint. Esegui lo strumento in modo interattivo su singoli dispositivi, oppure automatizzalo con parametri da riga di comando, file di configurazione, Group Policy, Microsoft Configuration Manager o un altro sistema di distribuzione software.

Usa lo strumento di distribuzione come metodo distinto di configurazione iniziale. Non si integra con l'onboarding tramite Microsoft Intune, Microsoft Defender per il cloud o altri metodi di distribuzione. Prima di iniziare, esamina i sistemi operativi supportati e i prerequisiti.

Lo strumento di distribuzione offre queste funzionalità:

• Gestione dei prerequisiti: Controlla gli aggiornamenti necessari e risolve problemi che bloccano il deployment.
• Logging e feedback: registra le operazioni in un log locale e mostra le descrizioni degli errori in modalità interattiva.
• Installazione e aggiornamenti: Evita di reinstallare i componenti esistenti e scarica quelli esistenti quando necessario.
• Automazione: Supporta parametri da riga di comando e file di configurazione riutilizzabili per implementazioni automatizzate.
• Staging: scarica file di installazione per i dispositivi target che non possono scaricarli direttamente.
• Modalità passiva server: Configura Microsoft Defender Antivirus per eseguire in modalità passiva su Windows Server.
• Infrastruttura desktop virtuale non persistente (VDI): Aiuta i dispositivi ricreati con lo stesso nome host a apparire come un unico dispositivo nel portale Defender.
• Limitazioni del pacchetto: richiede una chiave di accesso generata dal portale per l'onboarding e supporta date di scadenza comprese tra un giorno e un anno. Usa il periodo di validità pratico più breve.
• Gestione pacchetti: Elenca i pacchetti di distribuzione nel portale Microsoft Defender e ti permette di filtrarli per proprietà come stato e data di scadenza.
• Aiuto integrato: Visualizza le opzioni disponibili in riga di comando quando esegui DefenderDT.exe -?.

In modalità interattiva, lo strumento richiede la chiave di accesso dal portale Defender, installa gli aggiornamenti necessari e i componenti Defender, e collega il dispositivo a Defender per Endpoint. Se l'installazione richiede un riavvio, accedi dopo il riavvio così lo strumento può riprendere.

Per implementazioni avanzate e su larga scala, utilizzare parametri da riga di comando o un file di configurazione.

Sistemi operativi supportati

Lo strumento di distribuzione Defender supporta i sistemi operativi seguenti:

• Windows 11
• Windows 10, versione 1809 (novembre 2018) o successiva
• Windows 7 SP1
• Windows Server 2016 o versione successiva
• Windows Server 2012 R2
• Windows Server 2008 R2 SP1

Prerequisiti

Esamina i prerequisiti generali e i requisiti per Windows 7 SP1 e Windows Server 2008 R2 SP1 prima di distribuire lo strumento.

Prerequisiti generali

• La maggior parte delle operazioni richiede privilegi amministrativi.

• Consentire l'accesso a definitionupdates.microsoft.com. Lo strumento scarica aggiornamenti e file di installazione da questo dominio. Poiché i file sono ospitati su una rete di distribuzione dei contenuti, gli intervalli di indirizzi IP associati non sono statici o prevedibili.

• Lo strumento verifica la connettività con la tua organizzazione prima dell'onboarding. Altre funzionalità di Defender for Endpoint richiedono anch'esse l'accesso agli URL dei servizi come *.endpoint.security.microsoft.com. Per i requisiti completi, vedi Configura il tuo ambiente di rete per garantire la connettività con il servizio Defender for Endpoint.

Per semplificare la connettività, escludere il traffico verso *.endpoint.security.microsoft.com dall'ispezione SSL/TLS, dall'intercettazione HTTPS e dal proxying man-in-the-middle (MITM). Se si abilita l'ispezione SSL, Defender per i sensori endpoint potrebbe non riuscire a comunicare con i servizi back-end, causando errori di onboarding o connettività.

Prerequisiti per Windows 7 SP1 e Windows Server 2008 R2 SP1

• I dispositivi devono eseguire una versione x64 di Windows 7 SP1 o Windows Server 2008 R2 SP1. Installa gli ultimi aggiornamenti disponibili per ridurre i tempi di installazione e la probabilità di un riavvio.

• Installa il supporto per la firma del codice SHA-2. Lo strumento di distribuzione richiede almeno KB4474419.

  • Installa l'aggiornamento dello stack di manutenzione (SSU) KB4490628. Windows Update offre automaticamente l'SSU richiesta.

  • Installa il KB4474419 di aggiornamento SHA-2, rilasciato il 10 settembre 2019. Windows Update offre automaticamente l'aggiornamento richiesto.

• Su Windows Server 2008 R2 SP1, installa .NET Framework 3.5 o versioni successive.

Generare e scaricare un nuovo pacchetto di onboarding

Genera un pacchetto di onboarding e una chiave di accesso nel portale Microsoft Defender. Ti serve la chiave di accesso quando esegui lo strumento in modo interattivo o con il -Key parametro.

1. Nella pagina Onboarding del portale Microsoft Defender su https://security.microsoft.com/securitysettings/endpoints/onboarding, configura le seguenti impostazioni:

   • Passo 1: Seleziona un sistema operativo per avviare la distribuzione: Seleziona Windows.
   • Passo 2: Scegli un'opzione di distribuzione: seleziona Onboard in Distribuisci scaricando e applicando pacchetti o file>strumento di distribuzione Defender.

   

2. Nel riquadro a comparsa Genera strumento di distribuzione Defender con una chiave di accesso che si apre, configurare il pacchetto:

   • Nome: inserisci un nome unico e descrittivo del pacchetto.
   • Organizzazione: Verifica l'organizzazione visualizzata.
   • Scadenza: Utilizzare il periodo di validità pratico più breve per ridurre il rischio di uso non autorizzato del pacchetto:
     • In 7 giorni (predefinito)
     • Tra 30 giorni
     • Personalizzazione (fino a un anno)

   Seleziona Genera.

   

3. Quando il pacchetto è pronto, copia e memorizza in modo sicuro la chiave di accesso.

   

4. Seleziona Download deployment tool e salva l'eseguibile scaricato.

Distribuisci la protezione degli endpoint di Defender sui dispositivi

Esegui lo strumento di distribuzione di Defender in modo interattivo o non.

Uso interattivo

Usa la modalità interattiva per un dispositivo o per un piccolo numero di dispositivi. Fai doppio clic sull'eseguibile per usare le impostazioni di onboarding predefinite, oppure esegui lo strumento dal prompt dei comandi per specificare le opzioni.

Per integrare un dispositivo con le impostazioni predefinite:

1. Fare doppio clic sul file eseguibile per avviarlo.

2. Nella finestra che conferma che l'onboarding inizierà, seleziona Continua.

3. Immettere la chiave dello strumento di distribuzione defender copiata dal portale e quindi selezionare Continua.

   

4. Aspetta che l'installazione finisca, poi seleziona OK. Se lo strumento richiede un riavvio, accedi dopo il riavvio così l'installazione può riprendere.

Uso non interattivo

Utilizzare l'interfaccia in linea di comando per automatizzare l'installazione e l'onboarding o per eseguire altre operazioni, come i controlli dei prerequisiti.

Per i parametri disponibili, vedi il riferimento al comando dello strumento di distribuzione Defender. Per visualizzare il riferimento al comando per la versione dello strumento scaricato, esegui DefenderDT.exe -?.

Distribuzioni avanzate e su larga scala

Esegui lo strumento di distribuzione Defender in modo non interattivo da Group Policy, Microsoft Configuration Manager o un altro sistema di distribuzione software. Usa i parametri della riga di comando per personalizzare l'inizializzazione, la gestione temporanea, gli aggiornamenti, i riavvii, i proxy e altre operazioni.

Per le implementazioni ricorrenti, usa un file di configurazione invece di ripetere i parametri della riga di comando. Esegui lo strumento con -MakeConfig per generare DefenderDTconfig.txt. Modifica la configurazione e poi caricala con -Config:<path>. Se non specifichi un percorso, lo strumento cerca DefenderDTconfig.txt nella cartella corrente. Per un esempio, vedi Usa un file di configurazione.

Riferimento dei comandi dello strumento di distribuzione Defender

La seguente tabella elenca i parametri disponibili nello strumento di distribuzione Defender versione 1.0.0.6 (settembre 2026). Esegui DefenderDT.exe -? per verificare i parametri disponibili nella versione scaricata.

Usa un Prompt dei comandi con privilegi elevati (una finestra del Prompt dei comandi aperta selezionando Esegui come amministratore) per l'onboarding, l'offboarding, la disinstallazione, l'aggiornamento e la generazione del file di configurazione. Le -Helpoperazioni , -Precheck, e -Stage non richiedono privilegi amministrativi. Un file di configurazione bypassa anche il controllo amministratore quando specifica solo precheck o staging.

Esempi di utilizzo

Sostituisci i percorsi segnaposto, le chiavi e gli indirizzi proxy nei seguenti esempi con valori per il tuo ambiente. Usa un prompt dei comandi elevato tranne che per gli esempi di precheck e staging.

• Esegui la sequenza di onboarding predefinita senza mostrare dialoghi. Lo strumento utilizza WindowsDefenderATP.onboarding dalla cartella corrente:

  DefenderDT.exe -Quiet
  

• Esegui l'onboarding tramite una chiave di accesso, configura un proxy, consenti il riavvio richiesto e impedisci la visualizzazione di finestre di dialogo:

  DefenderDT.exe -Key:<access-key> -Proxy:https://proxy.contoso.com:8080 -AllowReboot -Quiet
  

• Onboard utilizzando un file di onboarding in una posizione di rete senza visualizzare dialoghi:

  DefenderDT.exe -File:\\server.contoso.com\share\WindowsDefenderATP.onboarding -Quiet
  

• Eseguire l'offboarding del dispositivo usando un file di offboarding locale senza richiedere conferma né visualizzare finestre di dialogo:

  DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding -Yes -Quiet
  

• Controlla i prerequisiti, mostra l'output dettagliato e evita dialoghi:

  DefenderDT.exe -PreCheck -Verbose -Quiet
  

• Scarica i file di installazione di tutte le versioni supportate di Windows su un percorso di staging assoluto:

  DefenderDT.exe -Stage:C:\DefenderDT\StagedFiles
  

Usare un file di configurazione

Genera un file di configurazione quando vuoi riutilizzare gli stessi parametri in più distribuzioni.

1. Genera DefenderDTconfig.txt nella cartella corrente:

   DefenderDT.exe -MakeConfig
   

2. Apri DefenderDTconfig.txt in un editor di testo e configura i parametri per la tua implementazione. Usa percorsi assoluti per parametri che accettano un percorso.

3. Eseguire lo strumento con il file di configurazione. Il seguente esempio carica il file da una posizione di rete:

   DefenderDT.exe -Config:\\server.contoso.com\share\DefenderDTconfig.txt
   

   Se DefenderDTconfig.txt è nella cartella corrente, esegui DefenderDT.exe -Config.

Distribuire usando Criteri di gruppo

Usare un'attività programmata Criteri di gruppo immediata programmazione per eseguire lo strumento di distribuzione come SYSTEM con permessi elevati. Per i passaggi generici per creare, configurare, collegare e testare il compito programmato, vedi Dispositivi a bordo utilizzando la Group Policy.

Usa questi valori specifici dello strumento di distribuzione di Defender:

• Memorizza DefenderDT.exe, il .onboarding file e qualsiasi DefenderDTconfig.txt file in una posizione condivisa di sola lettura a cui i dispositivi target possono accedere.
• Per Program/script, inserisci il percorso completo della Convenzione Universale di Denominazione (UNC) verso DefenderDT.exe. Usa il nome di dominio completamente qualificato (FQDN) del file server.
• Per aggiungere argomenti, inserisci i parametri richiesti della riga di comando. Ad esempio, usa -File:\\server\share\WindowsDefenderATP.onboarding -Quiet quando il file di onboarding non è nella directory operativa dello strumento.
• Esegui il compito come NT AUTHORITY\SYSTEM, indipendentemente dal fatto che l'utente sia connesso o meno, e seleziona Esegui con i privilegi più alti.
• Testa l'oggetto Group Policy (GPO) con un gruppo di dispositivi limitato prima di una distribuzione più ampia.

Per maggiori informazioni sulla console di gestione, consulta Group Policy Management Console.

Rimuovere un dispositivo

Per effettuare l'offboarding di un dispositivo, scarica il pacchetto offboarding dal portale Defender, trasferilo sul dispositivo di destinazione e esegui lo strumento di distribuzione insieme al pacchetto.

Passaggio 1: Scarica il pacchetto di disattivazione

1. Nella pagina Offboarding del portale Microsoft Defender a https://security.microsoft.com/securitysettings/endpoints/offboarding, seleziona Windows sotto Seleziona sistema operativo.

2. Sotto lo strumento di distribuzione Defender, seleziona Download package per scaricare il .zip file che contiene lo script di offboarding.

   

Passaggio 2: Esegui il comando di disattivazione

Completa questi passaggi sul dispositivo che vuoi rimuovere dalla gestione:

1. Copia il .zip file sul dispositivo di destinazione ed estrai il .offboarding file.

2. Esegui lo strumento di distribuzione in un Prompt dei comandi con privilegi elevati, specificando il percorso assoluto del file estratto .offboarding. Ad esempio:

   DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding
   

3. Digita Y nella finestra di conferma per procedere.

4. Attendere il completamento del processo. Dopo un offboarding riuscito, lo strumento mostra il seguente messaggio:

   Microsoft Defender deployment tool completed, exit code: 0 [Success]
   

Considerazioni e limitazioni

Esamina i limiti generali e quelli di Windows 7 SP1 e Windows Server 2008 R2 SP1.

Considerazioni generali e limitazioni

• Se la sequenza interattiva richiede un riavvio, effettua nuovamente l'accesso dopo il riavvio così lo strumento può riprendere. Altrimenti, l'onboarding del dispositivo non è completo.

• Su Windows Server 2016 e versioni successive, il passaggio Abilitazione della Funzione 'Windows-Defender' potrebbe fallire se la funzione Microsoft Defender Antivirus viene disinstallata o rimossa. L'interfaccia utente e il log locale mostrano il codice 710 di uscita e EnableFeatureFailed. Il log potrebbe anche contenere errore 14081 e 0x3701 The referenced assembly could not be found. Apri un caso di supporto per Windows Server se incontri questo problema.

Problemi noti e limitazioni per Windows 7 SP1 e Windows Server 2008 R2 SP1

• Potresti ricevere avvisi relativi a mpclient.dll, mpcommu.dll, mpsvc.dll, msmplics.dll e sense1ds.dll caricati da MpCmdRun.exe o da MsSense.exe. Gli avvisi dovrebbero risolversi nel tempo.

• Su Windows 7 SP1 e Windows Server 2008 R2 SP1 con il pacchetto Desktop Experience installato, il Centro Azioni potrebbe visualizzare che Windows non ha trovato software antivirus su questo computer. La notifica non indica un problema durante la distribuzione.

• Usa la versione anteprima dello strumento client analyzer per raccogliere log e risolvere problemi di connettività su Windows 7 SP1 e Windows Server 2008 R2 SP1. L'analizzatore richiede PowerShell 5.1 o versioni successive.

• Microsoft Defender Antivirus non fornisce un'interfaccia utente locale su questi sistemi operativi. Per gestire localmente le impostazioni di Microsoft Defender Antivirus, installa PowerShell 5.1 o versioni successive.

• La configurazione della Politica di Gruppo richiede uno Store Centrale con i modelli attuali della Politica di Gruppo su un controller di dominio. Per usare Editor Criteri di gruppo locali, aggiorna manualmente WindowsDefender.admx e WindowsDefender.adml con i modelli correnti di Windows 11.

• La soluzione Defender per la sicurezza degli endpoint si installa in C:\Program Files\Microsoft Defender per endpoint.

• Il parametro dello -Passive strumento di distribuzione si applica a Windows Server. Non è supportata per Windows 7 SP1.

Risoluzione dei problemi

Consulta il registro degli strumenti di distribuzione di Defender per eventuali problemi durante l'installazione e l'onboarding. Il file di log si trova in:

C:\ProgramData\Microsoft\DefenderDeploymentTool\DefenderDeploymentTool-<COMPUTERNAME>.log

Lo strumento registra anche gli eventi in questi log eventi di Windows:

• Onboarding: Registri di Windows > Applicazione > Origine: WDATPOnboarding
• Offboarding: Registri di Windows > Applicazione > Origine: WDATPOffboarding

Per verificare che l'installazione sia andata bene, completare questi controlli:

1. Verificare che i servizi siano in esecuzione con i comandi seguenti:

   Sc.exe query sense
   
   Sc.exe query windefend
   

   Verrà visualizzato l'output seguente:

   SERVICE_NAME: sense
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_PRESHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   
   SERVICE_NAME: windefend
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   

2. Per i log, le impostazioni e altre informazioni diagnostiche di Defender Antivirus, consulta Raccogli dati diagnostici di Microsoft Defender Antivirus.

3. Usa lo strumento client analyzer per raccogliere log e risolvere problemi di connettività su Windows.

Codici di uscita

Per implementazioni su larga scala tramite una soluzione di distribuzione software, monitorare i seguenti codici di uscita:

Contenuto correlato

• Distribuire la soluzione di sicurezza degli endpoint di Defender per i dispositivi Windows 7 SP1 e Windows Server 2008 R2 SP1
• Limitare le azioni di risposta su asset di valore elevato