Microsoft Defender展開ツールを使用してWindowsデバイスを展開します

Microsoft Defender展開ツールは軽量で自己更新可能なアプリケーションで、Microsoft Defender for Endpointに対応するWindowsデバイスに前提条件とオンボードをインストールします。 ツールを個別のデバイス上でインタラクティブに実行するか、コマンドラインパラメータ、設定ファイル、グループポリシー、Microsoft Configuration Manager、またはその他のソフトウェア展開システムで自動化できます。

デプロイメントツールは別のオンボーディング方法として使ってください。 Microsoft Intune、Microsoft Defender for Cloud、その他の展開方法によるオンボーディングとは連携していません。 始める前に 、サポートされているオペレーティングシステム と 前提条件をよく確認してください。

この展開ツールは以下の機能を提供します:

• 事前条件処理:必要な更新をチェックし、展開を妨げる問題を解決します。
• ログとフィードバック:ローカルログに操作を記録し、インタラクティブモードでエラーの説明を表示します。
• インストールとアップデート:既存のコンポーネントを再インストールせず、必要に応じて現在のコンポーネントをダウンロードします。
• 自動化:コマンドラインパラメータと自動展開のための再利用可能な設定ファイルをサポートします。
• ステージング:直接ダウンロードできないターゲットデバイスのインストールファイルをダウンロードします。
• サーバーパッシブモード:Microsoft Defender AntivirusをWindows Server上でパッシブモードで動作させる設定。
• 非永続的な仮想デスクトップインフラストラクチャ(VDI):同じホスト名で再作成されたデバイスがDefenderポータル内で1つのデバイスとして認識されるのを助けます。
• パッケージガードレール:オンボーディング用にポータル生成のアクセスキーが必要で、パッケージの有効期限を1日から1年までサポートします。 現実的に可能な限り最も短い有効期間を使用してください。
• パッケージ管理:Microsoft Defenderポータルでデプロイメントパッケージを一覧表示し、ステータスや有効期限などのプロパティでフィルタリングできます。
• 内蔵ヘルプ: DefenderDT.exe -?を実行すると利用可能なコマンドラインオプションが表示されます。

インタラクティブモードでは、ツールはDefenderポータルからアクセスキーを入力するよう促し、必要なアップデートやDefenderコンポーネントをインストールし、デバイスをDefender for Endpointに接続します。 インストールの再起動が必要な場合は、再起動後にサインインしてツールを再開してください。

高度かつ大規模な展開では、コマンドラインパラメータや設定ファイルを使用してください。

サポートされるオペレーティング システム

Defender展開ツールは、次のオペレーティング システムをサポートしています。

• ウィンドウズ11
• Windows 10、バージョン1809(2018年11月以降)
• WINDOWS 7 SP1
• Windows Server 2016以降
• Windows Server 2012 R2
• Windows Server 2008 R2 SP1

前提条件

ツールを展開する前に、Windows 7 SP1およびWindows Server 2008 R2 SP1の一般的な前提条件と要件を確認してください。

一般的な前提条件

• ほとんどの業務は管理権限を必要とします。

• definitionupdates.microsoft.comへのアクセスを許可してください。 このツールはこのドメインからアップデートやインストールファイルをダウンロードします。 ファイルはコンテンツ配信ネットワーク上でホストされるため、関連するIPアドレスの範囲は静的でも予測可能でもありません。

• このツールはオンボーディング前に組織との接続性をチェックします。 エンドポイント機能の他のDefenderも*.endpoint.security.microsoft.comなどのサービスURLへのアクセスを必要とします。 完全な要件については、「Defender for Endpointサービスとの接続を確保するためのネットワーク環境の設定」をご覧ください。

合理化された接続を実現するには、SSL/TLS 検査、HTTPS インターセプト、中間者 (MITM) プロキシから *.endpoint.security.microsoft.com へのトラフィックを除外します。 SSL 検査を有効にすると、エンドポイント センサーのDefenderがバックエンド サービスとの通信に失敗し、オンボードまたは接続エラーが発生する可能性があります。

Windows 7 SP1およびWindows Server 2008 R2 SP1の前提条件

• デバイスはWindows 7 SP1のx64バージョンまたはWindows Server 2008 R2 SP1を実行しなければなりません。 インストール時間短縮と再起動の可能性を減らすために、最新の利用可能なアップデートをインストールしましょう。

• SHA-2コード署名のサポートをインストールしてください。 デプロイメントツールには最低KB4474419が必要です。

  • サービススタックアップデート(SSU) KB4490628をインストールしてください。 Windows Updateは必要なSSUを自動的に提供します。

  • 2019年9月10日にリリースされたSHA-2アップデート KB4474419をインストールしてください。 Windows Updateは必要なアップデートを自動的に提供します。

• Windows Server 2008 R2 SP1には、.NET Framework 3.5以降をインストールしてください。

新しいオンボード パッケージを生成してダウンロードする

Microsoft Defenderポータルでオンボーディングパッケージとアクセスキーを生成します。 ツールをインタラクティブに動かすときや -Key パラメータを使うときにアクセスキーが必要です。

1. https://security.microsoft.com/securitysettings/endpoints/onboardingの Microsoft Defender ポータルのオンボーディングページで、以下の設定を設定してください:

   • ステップ1:展開を開始するオペレーティングシステムを選択してください:Windowsを選択します。
   • 手順 2: デプロイ オプションを選択する: Defender デプロイ ツールのパッケージまたはファイルをダウンロードして適用してデプロイするで、Onboardを選択します>

   

2. アクセス キーを使用して Defender 展開ツールを生成 フライアウトが開いたら、パッケージを構成してください：

   • 名前:一意で説明的なパッケージ名を入力してください。
   • 構成:表示されている構成を確認してください。
   • 有効期限:無断パッケージ使用のリスクを減らすために、実用的に有効な有効期間を最小限にしてください:
     • 7日後 (デフォルト)
     • 30日後
     • カスタム (最長1年)

   [Generate] \(生成) を選択します。

   

3. パッケージが準備できたら、アクセスキーをコピーして安全に保存してください。

   

4. 「 デプロイメントツールをダウンロード」を選択し、ダウンロードした実行ファイルを保存します。

デバイスに Defender エンドポイント セキュリティを展開する

Defenderのデプロイメントツールはインタラクティブまたは非インタラクティブに実行してください。

対話的な利用

インタラクティブモードは1台または少数のデバイスに適用してください。 デフォルトのオンボーディング設定を使うには実行ファイルをダブルクリックするか、コマンドプロンプトからツールを実行してオプションを指定します。

デフォルト設定でデバイスをオンボーディングするには:

1. 実行可能ファイルをダブルクリックして起動します。

2. オンボーディング開始を確認するダイアログで 「続ける」を選択してください。

3. ポータルからコピーした Defender 展開ツール キーを入力し、[続行] を選択 します。

   

4. インストールが終わるのを待ってから 「OK」を選択してください。 ツールに再起動が必要な場合は、再起動後にサインインしてインストールを再開してください。

非対話型利用

コマンドラインインターフェースを使ってインストールやオンボーディングの自動化、または事前条件チェックなどの他の操作を実行しましょう。

利用可能なパラメータについては、Defenderデプロイメントツールコマンドリファレンスを参照してください。 ダウンロードしたツールのコマンド参照を見るには、 DefenderDT.exe -?を実行します。

高度かつ大規模なデプロイ

Defenderデプロイメントツールは、グループポリシー、Microsoft Configuration Manager、または他のソフトウェア展開システムから非対話的に実行してください。 コマンドラインパラメータを使ってオンボーディング、ステージング、更新、再起動、プロキシ、その他の操作をカスタマイズできます。

定期的なデプロイの場合は、コマンドラインのパラメータを繰り返し表示する代わりに設定ファイルを使いましょう。 ツールを -MakeConfig で実行して DefenderDTconfig.txtを生成してください。 設定を編集してから、-Config:<path>で読み込みます。 パスを指定していない場合、ツールは現在のフォルダ内の DefenderDTconfig.txt を探します。 例としては、「 Use a configuration file」を参照してください。

Defenderデプロイメントツールコマンド参照

以下の表は、Defenderデプロイメントツールバージョン1.0.0.6(2026年9月)で利用可能なパラメータを示しています。 ダウンロードしたバージョンのパラメータを確認するために DefenderDT.exe -? を実行してください。

オンボーディング、オフボーディング、アンインストール、更新、および構成ファイルの生成には、昇格されたコマンド プロンプト（Run as administrator を選択して開いたコマンド プロンプト ウィンドウ）を使用してください。 -Help、-Precheck、-Stageの運営は管理権限を必要としません。 設定ファイルは事前チェックやステージングのみを指定する場合、管理者チェックをバイパスします。

使用例

以下の例でプレースホルダーパス、キー、プロキシアドレスを環境の値に置き換えてください。 プレチェックやステージングの例以外は、昇格されたコマンドプロンプトを使いましょう。

• ダイアログを表示せずにデフォルトのオンボーディングシーケンスを実行してください。 このツールは現在のフォルダから以下の WindowsDefenderATP.onboarding を使用します:

  DefenderDT.exe -Quiet
  

• アクセスキーを使ってオンボードし、プロキシを設定し、必要な再起動を許可し、ダイアログを防止します:

  DefenderDT.exe -Key:<access-key> -Proxy:https://proxy.contoso.com:8080 -AllowReboot -Quiet
  

• ネットワーク上のオンボーディングファイルを使用し、ダイアログを表示せずにオンボーディングします:

  DefenderDT.exe -File:\\server.contoso.com\share\WindowsDefenderATP.onboarding -Quiet
  

• 確認のプロンプトやダイアログ表示なしにローカルのオフボーディングファイルを使ってデバイスをオフボードする方法:

  DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding -Yes -Quiet
  

• 前提条件を確認し、詳細な出力を表示し、ダイアログを禁止する:

  DefenderDT.exe -PreCheck -Verbose -Quiet
  

• サポートされているすべての Windows バージョン用のインストール ファイルを絶対ステージング パスにダウンロードしてください:

  DefenderDT.exe -Stage:C:\DefenderDT\StagedFiles
  

構成ファイルを使用する

同じパラメータを複数回のデプロイで再利用したい場合、設定ファイルを生成します。

1. 現在のフォルダで DefenderDTconfig.txt を生成します:

   DefenderDT.exe -MakeConfig
   

2. テキストエディタで DefenderDTconfig.txt を開き、デプロイメントのパラメータを設定してください。 パスを受け入れるパラメータには絶対パスを使いましょう。

3. 構成ファイルを使用してツールを実行します。 以下の例は、ネットワークの場所からファイルを読み込みます:

   DefenderDT.exe -Config:\\server.contoso.com\share\DefenderDTconfig.txt
   

   DefenderDTconfig.txtが現在のフォルダにある場合はDefenderDT.exe -Configを実行してください。

グループ ポリシーを使用してデプロイする

グループポリシーの即時スケジュールタスクを使って、権限を昇格させたまま展開ツールを SYSTEM として実行してください。 スケジュールタスクの作成、設定、リンク、テストの一般的な手順については、「 グループポリシーを使ったオンボードデバイス」をご覧ください。

以下のDefender展開ツール固有の値をご利用ください:

• DefenderDT.exe、.onboardingファイル、およびDefenderDTconfig.txtファイルを、ターゲットデバイスがアクセスできる共有の読み取り専用場所に保存します。
• プログラム/スクリプトの場合は、Universal Naming Convention(UNC)の完全なパスを入力してDefenderDT.exeしてください。 ファイルサーバーの完全適格ドメイン名(FQDN)を使用してください。
• 「引数を追加」では、必要なコマンドラインパラメータを入力します。 例えば、オンボーディングファイルがツールのワーキングディレクトリにない場合は -File:\\server\share\WindowsDefenderATP.onboarding -Quiet を使います。
• ユーザーがサインインしているかどうかに関わらず、タスクを NT AUTHORITY\SYSTEMとして実行し、「 最高権限で実行」を選択します。
• より広範な展開前に、限定されたデバイスグループでグループポリシーオブジェクト(GPO)をテストしてください。

管理コンソールの詳細については、 グループポリシー管理コンソールを参照してください。

デバイスの登録を解除する

デバイスをオフボードするには、Defenderポータルからオフボーディングパッケージをダウンロードし、ターゲットデバイスに転送し、パッケージと一緒にデプロイツールを実行します。

手順 1: オフボーディング パッケージをダウンロード

1. https://security.microsoft.com/securitysettings/endpoints/offboardingのMicrosoft Defenderポータルのオフボーディングページで、「オペレーティングシステム選択」のWindowsを選択します。

2. Defender 展開ツールで、パッケージのダウンロードを選択して、オフボーディング スクリプトを含む.zipファイルをダウンロードしてください。

   

手順 2: オフボード コマンドを実行する

オフボードしたいデバイスで以下のステップを完了してください:

1. .zipファイルをターゲットデバイスにコピーし、.offboardingファイルを抽出します。

2. デプロイメントツールを昇格されたコマンドプロンプトで実行し、抽出した .offboarding ファイルの絶対パスを表示します。 例:

   DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding
   

3. 確認ダイアログで Yを入力し て進めてください。

4. プロセスが完了するまで待ちます。 オフボーディングが成功した後、ツールは以下のメッセージを表示します。

   Microsoft Defender deployment tool completed, exit code: 0 [Success]
   

考慮事項と制限事項

Windows 7 SP1およびWindows Server 2008 R2 SP1の一般的な制限事項と制限事項を確認しましょう。

一般的な考慮事項と制限事項

• インタラクティブシーケンスに再起動が必要な場合は、再起動後に再度サインインしてツールを再開してください。 そうでなければ、デバイスは完全にオンボーディングされていません。

• Windows Server 2016以降では、Microsoft Defenderのアンチウイルス機能がアンインストールまたは削除されると、Enable Featureの「Windows-Defender」ステップが失敗する可能性があります。 ユーザーインターフェースとローカルログには出口コード 710 と EnableFeatureFailedが表示されます。 ログにはエラー 14081 や 0x3701 The referenced assembly could not be foundが含まれていることもあります。 この問題に遭遇したら、Windows Serverのサポートケースを開いてください。

Windows 7 SP1 および Windows Server 2008 R2 SP1 の既知の問題と制限事項

• msmplics.dll または sense1ds.dll によって読み込まれた MpCmdRun.exe、MsSense.exe、mpclient.dll、mpcommu.dll、mpsvc.dll に関するアラートを受け取ることがあります。 アラートは時間とともに解消されるはずです。

• Windows 7 SP1およびWindows Server 2008 R2 SP1でDesktop Experienceパックをインストールした場合、アクションセンターで「このコンピュータでWindowsがウイルス対策ソフトを見つけられなかった」と表示されることがあります。 通知にはデプロイメントの問題は示されていません。

• クライアント アナライザー ツールのプレビュー版を使用してログを収集し、Windows 7 SP1 および Windows Server 2008 R2 SP1 で接続に関する問題をトラブルシューティングします。 アナライザーにはPowerShell 5.1以降が必要です。

• Microsoft Defender AntivirusはこれらのOSでローカルユーザーインターフェースを提供していません。 Microsoft Defenderのウイルス対策設定をローカルで管理するには、PowerShell 5.1以降をインストールしてください。

• グループポリシーの設定には、ドメインコントローラー上の最新のグループポリシーテンプレートを備えた中央ストアが必要です。 ローカルグループポリシーエディターを使用するには、WindowsDefender.admxと現在のWindows 11テンプレートで手動でWindowsDefender.admlを更新してください。

• DefenderエンドポイントセキュリティソリューションはC:\Program Files\Microsoft Defender for Endpointにインストールされます。

• デプロイメントツールの-PassiveパラメータはWindows Serverに適用されます。 Windows 7 SP1ではサポートされていません。

トラブルシューティング

インストールやオンボーディング時の問題がないか、Defenderのデプロイメントツールログを確認してください。 ログは以下の場所にあります:

C:\ProgramData\Microsoft\DefenderDeploymentTool\DefenderDeploymentTool-<COMPUTERNAME>.log

また、このツールは以下のWindowsイベントログにもイベントを記録します:

• オンボーディング: Windows ログ > アプリケーション > ソース: WDATPOnboarding
• オフボード: [Windows ログ] > [アプリケーション] > [ソース: WDATPOffboarding]

設置が成功したことを確認するには、以下のチェックを行ってください:

1. 次のコマンドを使用して、サービスが実行されていることを確認します。

   Sc.exe query sense
   
   Sc.exe query windefend
   

   次の出力が表示されます。

   SERVICE_NAME: sense
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_PRESHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   
   SERVICE_NAME: windefend
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   

2. Defender Antivirusのログ、設定、その他の診断情報については、「Microsoft Defender Antivirus診断データの収集」をご覧ください。

3. クライアントアナライザーツールを使ってログを収集し、Windowsの接続性をトラブルシューティングしてください。

終了コード

ソフトウェア配布ソリューションを通じた大規模な展開では、以下の出口コードを監視してください:

関連コンテンツ

• Windows 7 SP1 および Windows Server 2008 R2 SP1 デバイス用の Defender エンドポイント セキュリティ ソリューションを展開する
• 価値の高い資産に対する応答アクションを制限する