Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
È possibile eseguire la migrazione dei sensori di Defender per identità da v2.x a v3.x direttamente dal portale di Microsoft Defender. La migrazione completa automaticamente il passaggio e mantiene le configurazioni del server e il monitoraggio della sicurezza, senza tempi di inattività o duplicazione dei dati.
Prima di migrare, verifica i prerequisiti e le limitazioni delle versioni dei sensori, incluso che la versione 3.x non supporta l'integrazione VPN o le notifiche syslog.
Prerequisiti
Nota
La migrazione richiede Defender for Endpoint ed è attualmente supportata solo per i controller di dominio, inclusi i controller di dominio che eseguono anche AD FS, AD CS o Microsoft Entra Connect.
Per eseguire la migrazione, ogni server deve soddisfare i requisiti seguenti:
- Controller di dominio, incluso un controller di dominio che esegue anche AD FS, AD CS o Microsoft Entra Connect
- Sensore Defender per identità v2.x (versione 2.254.19112.470 o successiva)
- Windows Server 2019 o versione successiva
- Microsoft Defender per endpoint è stato distribuito, con l'aggiornamento cumulativo di Windows Server di settembre 2026 o successivo installato.
Prima di migrare, seleziona Usa automaticamente l'account di sistema locale del sensore nel portale Microsoft Defender. La migrazione non cambia automaticamente questa impostazione. Per dettagli, vedi requisiti dell'account di servizio.
Per l'elenco completo dei prerequisiti di v3.x, vedere Prerequisiti del sensore Defender for Identity v3.x.
Avviare la migrazione
I server che soddisfano tutti i prerequisiti vengono visualizzati come Pronti per la migrazione nella pagina Sensori .
- Nel portale Microsoft Defender, vai a Impostazioni>Identità>On-premises>Sensori.
- Selezionare uno o più server contrassegnati come Pronti per la migrazione e selezionare Esegui migrazione.
- Nella richiesta di conferma esaminare i dettagli e confermare l'avvio della migrazione.
Nota
La migrazione richiede in genere fino a 20 minuti. Durante questo periodo, il sensore v2.x continua a funzionare finché il sensore v3.x non è pronto, così il server rimane protetto senza interruzioni.
Comprendere gli stati migratori
La colonna Stato migrazione nella pagina Sensori mostra lo stato corrente di ogni server:
| Stato | Descrizione |
|---|---|
| Pronto per la migrazione | Il server soddisfa tutti i prerequisiti e può essere migrato. Selezionare il server e scegliere Esegui migrazione per iniziare. |
| Non pronto per la migrazione | Il server non soddisfa uno o più prerequisiti. |
| Migrazione | La migrazione è in corso. Il sensore v2.x continua a essere in esecuzione mentre il sensore v3.x viene attivato. |
| Migrazione non riuscita | Si è verificato un errore durante la migrazione. |
| Aggiornato | Il server esegue il sensore v3.x. |
Configurare il sensore v3.x
Per una protezione e un monitoraggio ottimali, completare i passaggi di configurazione descritti in Prerequisiti del sensore defender per identità v3.x, tra cui:
- Configurare il controllo automatico degli eventi di Windows. Le configurazioni di controllo esistenti dal sensore v2.x vengono mantenute e convertite per v3.x, ma è consigliabile abilitare il controllo eventi automatico di Windows per la convalida della configurazione ottimale.
- Verificare l'impostazione dell'account per azioni del sistema locale. Conferma che Usa automaticamente l'account di sistema locale del sensore rimane selezionato per gli account di azione. Se gMSA rimane selezionato, le azioni di risposta (inclusa la interruzione degli attacchi) non funzioneranno.
- Comprendere gli avvisi sullo stato di integrità di DSA e gMSA negli ambienti con sensori sia v2 che v3. Se l'area di lavoro ha ancora un account del servizio directory (DSA) o un account del servizio gestito del gruppo (gMSA) configurato per i sensori v2, le credenziali DSA e gMSA continuano a essere convalidate in tutti i sensori, inclusi i sensori v3. Questo è voluto. I sensori V3 ignorano DSA e gMSA per le azioni di controllo e risposta, ma la convalida delle credenziali avviene a livello di area di lavoro. Per interrompere la ricezione dell'avviso relativo all'integrità delle credenziali utente dei servizi directory non è corretto , rimuovere il DSA o gMSA dopo la migrazione di tutti i sensori alla versione 3.
- Configura il controllo RPC. A partire dalla versione del sensore 3.0.8 (versione di luglio 2026), il controllo RPC viene abilitato automaticamente quando si aggiorna il sensore, quindi non è necessaria alcuna configurazione manuale.
Importante
Il sensore v3.x viene aggiornato tramite Windows Update come parte del processo di aggiornamento del sistema operativo del server. L'opzione di aggiornamento ritardato per sensore disponibile per i sensori v2.x non si applica a v3.x. Per altre informazioni, vedere Gestire e aggiornare i sensori.
Risolvere i problemi relativi allo stato "Non pronto per la migrazione"
Quando un server è contrassegnato come Non pronto per la migrazione, passare il puntatore del mouse sullo stato nella pagina Sensori per visualizzare una descrizione comando che elenca i motivi per cui il server non soddisfa i prerequisiti di migrazione.
La tabella seguente elenca tutti i motivi che possono comparire nel tooltip e indica come verificarli e come risolverli:
| Motivo visualizzato nel tooltip | Come verificare | Risoluzione |
|---|---|---|
| Il dispositivo non viene caricato correttamente in Microsoft Defender per endpoint. | Eseguire Analizzatore client Microsoft Defender per endpoint e controllare RegOnboardingInfoPolicy.Json nel file ZIP dei risultati. Il log di connettività mostra che "OnboardingInfo non è stato trovato nel Registro di sistema" se mancano le informazioni di onboarding. |
Eseguire di nuovo l'onboarding del server per Microsoft Defender per endpoint. |
| La versione del sistema operativo non è supportata. Richiede Windows Server 2019 o versione successiva. | Eseguire winver per confermare la versione del sistema operativo e il numero di build. |
Aggiorna il sistema operativo a Windows Server 2019 o successivo e installa l'aggiornamento cumulativo di settembre 2026 o successivo. |
| La versione del sensore di Microsoft Defender per Endpoint è obsoleta o non supportata. | Nel report Client Analyzer, controlla il campo versione di Sense. | Aggiornare il sensore Microsoft Defender per endpoint alla versione più recente. |
| Il servizio Microsoft Defender per endpoint (Sense) non è in esecuzione. | Nel report di Analizzatore client, verificare che Stato del servizio Sense sia in esecuzione. | Avviare il servizio Sense e verificare che l'onboarding di Microsoft Defender per endpoint sia stato completato. |
| La migrazione è attualmente supportata solo per i controller di dominio. | Verificare che il server sia un controller di dominio. | La migrazione sul posto è disponibile solo per i controller di dominio. |
| L'ID del dispositivo di Microsoft Defender per endpoint manca o non è registrato. | Nel report Client Analyzer, verificare che il campo ID del dispositivo contenga un GUID valido. | Verificare che l'onboarding di Microsoft Defender per endpoint sia stato completato correttamente ed eseguire nuovamente l'onboarding del server se l'ID del dispositivo è vuoto. |
| Lo stato del sensore v2.x non è raggiungibile o disconnesso. | Nella pagina Sensori controllare lo stato del sensore. | Verificare la connettività di rete tra il server e il Defender per il servizio Identity e verificare che il sensore v2.x sia in esecuzione. |
| Il servizio del sensore v2.x non è in esecuzione. | Nella pagina Sensori verificare che la colonna Stato servizio mostri In esecuzione oppure esegui sc query AATPSensorUpdater per confermare lo stato del servizio. |
Avviare il AATPSensorUpdater servizio. Se il servizio non viene avviato, reinstallare il sensore v2.x. |
Risolvere gli errori di migrazione
Se in un server viene visualizzato lo stato Migrazione non riuscita, eseguire l'analizzatore client Microsoft Defender per endpoint nel server per verificare che il sensore Defender per endpoint sia in esecuzione, integro e invii eventi. Se i risultati di Client Analyzer mostrano che il sensore funziona correttamente, aprire un ticket di supporto per ricevere ulteriore assistenza.
Pulire il sensore v2.x
La migrazione disabilita il servizio sensore v2.x, ma il software del sensore v2.x rimane installato nel server. Completare i seguenti passaggi di pulizia dopo la migrazione:
- Disinstallare il sensore v2.x: rimuovere il software del sensore v2.x dal server. Questo passaggio potrebbe richiedere un riavvio del server. Per istruzioni, vedere Eliminare e disinstallare un sensore v2.x da un controller di dominio.
- Rimuovi Npcap: Npcap è stato usato dal sensore v2.x ma non è richiesto dal sensore v3.x. Se Npcap non viene usato da altre applicazioni nel server, rimuoverlo. Lasciare Npcap installato non ha effetti sul sensore v3.x.
- Rimuovere la configurazione DSA o gMSA dello spazio di lavoro: Aspettare che tutti i sensori vengano migrati alla v3.x e che nessun altro sensore v2.x richieda l'account. Poi rimuovi manualmente la configurazione DSA o gMSA a livello di workspace. La migrazione non rimuove automaticamente questa configurazione.
- Disattivare gli account gMSA non utilizzati: rimuovere la configurazione dell'area di lavoro non elimina l'account gMSA in Active Directory. Prima di chiudere l'account, verifica che nessun altro servizio lo utilizzi. Per indicazioni, vedere Rimuovere il provisioning degli account di servizio.