Microsoft Intuneを使用して macOS にMicrosoft Defender for Endpointをデプロイする

Microsoft Intuneを使って、管理されたmacOSデバイスにMicrosoft Defender for Endpointを展開します。 必要な設定プロファイルを作成し、アプリとオンボーディングパッケージを展開し、デプロイを検証します。 始める前に、前提条件とシステム要件を確認しましょう。

この記事の手順にはMicrosoft Intuneが必要です。 IntuneはDefender for Endpointの一部ではない別の製品であり、すべてのサブスクリプションに含まれているわけではありません。 Intuneを含むサブスクリプションが必要ですし、別途購入することもできます。 ライセンスの詳細については、Microsoft Intune ライセンスをご覧ください。 この方法をJamf Pro(別のモバイルデバイス管理ソリューション)や手動展開と比較するには、macOSのDeploy Defender for Endpointを参照してください。

前提条件とシステム要件

始める前に、macOS版Defender for Endpointの要件、製品、管理者、システム、権限、ネットワーク要件を必ず確認してください。 製品機能および共有展開検証については、macOSのMicrosoft Defender for Endpointを参照してください。

展開の概要

以下の表は、Intuneを搭載したmacOS上でDefender for Endpointを展開するために使用されたプロファイルとパッケージをまとめたものです。

システム構成プロファイルを作成する

Microsoft Defender for Endpointに必要なシステム構成プロファイルを作成します。

このセクションのほとんどのステップはカスタムmacOS設定プロファイルを使用しています。 詳細な手順については、Microsoft Intuneの「Appleデバイスに追加カスタム設定」をご覧ください(新しいタブでリンクが開きます)。

ステップでカスタム設定プロファイルを作成するよう指示されたら、Devices |Microsoft Intune管理センターの設定ページにあるhttps://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configurationの「Create>New policy」を選択して、以下の一般的な設定を使用します:

• プラットフォーム: macOS を選択します。
• プロファイルの種類: [テンプレート] を選択します。
• テンプレート名: カスタムを選択します。

カスタムウィザードで以下の設定を設定してください:

• 設定タブ :各該当ステップで説明されているプロファイル固有の設定を活用してください。
• 割り当て タブ:プロファイルを受信すべきユーザーまたはデバイスグループに割り当てます。 また、スコープタグを追加したり、グループを割り当てから除外することもできます。

手順 1: システム拡張機能を承認する

必要なシステム拡張を承認するにはIntuneの設定カタログをご利用ください。 詳細な手順については、「Intune 設定カタログを使用して Microsoft Defender for Endpoint の macOS 拡張機能を承認する」をご覧ください。

プロファイル作成ウィザードでは、設定タブで以下の設定を設定してください:

• システム構成>システム拡張>許可されるシステム拡張:
  • 許可されたシステム拡張: com.microsoft.wdav.epsext と com.microsoft.wdav.netextを追加。
  • チーム識別子: 「 UBF8T346G9」と入力します。
• システム構成>システム拡張番号>許可されるシステム拡張タイプ:
  • 許可されたシステム拡張タイプ: Network と EndpointSecurityを追加してください。
  • チーム識別子: 「 UBF8T346G9」と入力します。

手順 2: ネットワーク フィルター

Defender for Endpointはネットワークコンテンツ検査にネットワーク拡張機能を使用しています。 ネットワークフィルタープロファイルにより、拡張はソケットトラフィックを検査できます。

Defender for EndpointのmacOS設定プロファイルリポジトリからnetfilter.mobileconfigをダウンロードしてください。

「システム構成プロファイルの作成」で説明されている一般的な設定を使ってカスタム構成プロファイルを作成します。 以下のプロファイル固有の設定をご利用ください:

• の [基本] タブ:
  • 名前: macOS network filterなどのわかりやすい名前を入力します。
• 設定タブ :
  • 設定プロファイル名:プロファイルの説明名を入力します。
  • 展開チャネル: デバイスチャネルを選択します。
  • 設定プロファイルファイル:ダウンロードした netfilter.mobileconfig ファイルを選択します。

手順 3: フル ディスク アクセス

Defender for EndpointのmacOS設定プロファイルリポジトリからfulldisk.mobileconfigをダウンロードしてください。

「システム構成プロファイルの作成」で説明されている一般的な設定を使ってカスタム構成プロファイルを作成します。 以下のプロファイル固有の設定をご利用ください:

• の [基本] タブ:
  • 名前: macOS full disk accessなどのわかりやすい名前を入力します。
• 設定タブ :
  • 設定プロファイル名:プロファイルの説明名を入力します。
  • 展開チャネル: デバイスチャネルを選択します。
  • 設定プロファイルファイル:ダウンロードした fulldisk.mobileconfig ファイルを選択します。

手順 4: バックグラウンド サービス

Defender for EndpointのmacOS設定プロファイルリポジトリからbackground_services.mobileconfigをダウンロードしてください。

「システム構成プロファイルの作成」で説明されている一般的な設定を使ってカスタム構成プロファイルを作成します。 以下のプロファイル固有の設定をご利用ください:

• の [基本] タブ:
  • 名前: macOS background servicesなどのわかりやすい名前を入力します。
• 設定タブ :
  • 設定プロファイル名:プロファイルの説明名を入力します。
  • 展開チャネル: デバイスチャネルを選択します。
  • 設定プロファイルファイル:ダウンロードした background_services.mobileconfig ファイルを選択します。

手順 5: 通知

このプロファイルにより、Defender for EndpointおよびMicrosoft AutoUpdateが通知を表示できます。

Defender for EndpointのmacOS設定プロファイルリポジトリからnotif.mobileconfigをダウンロードしてください。

通知をユーザーから隠すには、notif.mobileconfigで該当するアプリのShowInNotificationCenterをtrueからfalseに変更してください。

「システム構成プロファイルの作成」で説明されている一般的な設定を使ってカスタム構成プロファイルを作成します。 以下のプロファイル固有の設定をご利用ください:

• の [基本] タブ:
  • 名前: macOS notifications consentなどのわかりやすい名前を入力します。
• 設定タブ :
  • 設定プロファイル名:プロファイルの説明名を入力します。
  • 展開チャネル: デバイスチャネルを選択します。
  • 設定プロファイルファイル:ダウンロードした notif.mobileconfig ファイルを選択します。

手順 6: アクセシビリティ設定

このプロファイルは com.microsoft.dlp.daemon コンポーネントにアクセシビリティ権限を与えます。

Defender for EndpointのmacOS設定プロファイルリポジトリからaccessibility.mobileconfigをダウンロードしてください。

「システム構成プロファイルの作成」で説明されている一般的な設定を使ってカスタム構成プロファイルを作成します。 以下のプロファイル固有の設定をご利用ください:

• の [基本] タブ:
  • 名前: macOS accessibility settingsなどのわかりやすい名前を入力します。
• 設定タブ :
  • 設定プロファイル名:プロファイルの説明名を入力します。
  • 展開チャネル: デバイスチャネルを選択します。
  • 設定プロファイルファイル:ダウンロードした accessibility.mobileconfig ファイルを選択します。

ステップ7:Bluetooth権限(任意)

GitHubリポジトリからbluetooth.mobileconfigをダウンロードしてください。

「システム構成プロファイルの作成」で説明されている一般的な設定を使ってカスタム構成プロファイルを作成します。 以下のプロファイル固有の設定をご利用ください:

• の [基本] タブ:
  • 名前: macOS Bluetooth consentなどのわかりやすい名前を入力します。
• 設定タブ :
  • 設定プロファイル名:プロファイルの説明名を入力します。
  • 展開チャネル: デバイスチャネルを選択します。
  • 設定プロファイルファイル:ダウンロードした bluetooth.mobileconfig ファイルを選択します。

手順 8: Microsoft AutoUpdate

このプロファイルはMicrosoft AutoUpdateがDefender for Endpointを更新するように設定します。 以下の更新チャンネルのいずれかを選択してください:

• Beta
• Preview
• Current

詳細については、「macOS でMicrosoft Defender for Endpointの更新プログラムをデプロイする」を参照してください。

Microsoft AutoUpdate設定リポジトリからcom.microsoft.autoupdate2.mobileconfigをダウンロードしてください。

「システム構成プロファイルの作成」で説明されている一般的な設定を使ってカスタム構成プロファイルを作成します。 以下のプロファイル固有の設定をご利用ください:

• の [基本] タブ:
  • 名前: macOS Microsoft AutoUpdateなどのわかりやすい名前を入力します。
• 設定タブ :
  • 設定プロファイル名:プロファイルの説明名を入力します。
  • 展開チャネル: デバイスチャネルを選択します。
  • 設定プロファイルファイル:ダウンロードした com.microsoft.autoupdate2.mobileconfig ファイルを選択します。

手順 9: Microsoft Defender for Endpoint の構成設定

アンチマルウェアおよびEDRポリシーは、ステップ9aのMicrosoft Defenderポータル、ステップ9bのMicrosoft Intune管理センターのいずれかを使って設定してください。

9a。 Microsoft Defender ポータルでポリシーを設定する

もし組織がMicrosoft Defenderポータルでエンドポイントセキュリティポリシーを管理しているなら、Intuneが使用するのと同じエンドポイントセキュリティポリシーでアンチウイルスおよびエンドポイント検出・応答(EDR)設定を設定できます。

詳細な手順については、「 エンドポイントセキュリティポリシーを作成 」または 「エンドポイントセキュリティポリシーを編集 (新しいタブでリンクを開く)」をご覧ください。

ポリシーを作成する前に、Microsoft Defender for EndpointとIntune間の接続を設定してください。

https://security.microsoft.com/policy-inventory?osPlatform=MacのDefenderポータルのエンドポイントセキュリティポリシーページのmacOSポリシータブでエンドポイントセキュリティアンチウイルスポリシーを作成する際は、以下の特定の設定をご利用ください:

• プラットフォームを選択してください: macOSを選択します。
• [テンプレートの選択]: [Microsoft Defenderウイルス対策] を選択します。

組織で求められるウイルス対策設定を設定しましょう。 次に、以下の設定で別のポリシーを作成します。

• プラットフォームを選択してください: macOSを選択します。
• テンプレートを選択してください: エンドポイント検出および対応を選択します。

9b。 Microsoft Intune でポリシーを設定する

このプロファイルを作成するには、Intune推奨プロファイル (推奨) またはIntuneフル プロファイル (高度なシナリオの場合) のコードをコピーし、ファイルをcom.microsoft.wdav.xmlとして保存します。

「 システム構成プロファイルの作成」で説明されている一般的な設定を使ってカスタム構成プロファイルを作成します。 以下のプロファイル固有の設定をご利用ください:

• の [基本] タブ:
  • 名前: macOS Microsoft Defender preferencesなどのわかりやすい名前を入力します。
• 設定タブ :
  • 設定プロファイル名: com.microsoft.wdavを入力してください。
  • 展開チャネル: デバイスチャネルを選択します。
  • 構成プロファイルファイル:作成した com.microsoft.wdav.xml ファイルを選択します。

詳細については、「macOS でMicrosoft Defender for Endpointの基本設定を設定する」を参照してください。

セキュリティ設定の管理の詳細については、次を参照してください。

• Microsoft Intuneを使用してデバイスのMicrosoft Defender for Endpointを管理する
• Defender for Endpoint で Windows、macOS、Linuxのセキュリティ設定をネイティブに管理する

手順 10: macOS でのMicrosoft Defender for Endpointのネットワーク保護 (省略可能)

ネットワーク保護は、Microsoft Defenderのウイルス対策ポリシーまたはステップ9で作成したDefender for Endpointの設定プロファイルで設定してください。

要件、設定オプション、検証手順については、 macOSのネットワーク保護を参照してください。

手順 11: macOS でのMicrosoft Defender for Endpointのデバイス制御 (省略可能)

デバイス制御は com.microsoft.dlp.daemon および別個のデバイス制御設定やポリシーのためにフルディスクアクセスが必要です。 ステップ3の fulldisk.mobileconfig プロファイルには必要なフルディスクアクセス権限が含まれています。

要件および設定手順については、 macOSのデバイス制御を参照してください。

手順 12: Microsoft Defender アプリケーションを発行する

Intuneに登録されているデバイスにMicrosoft Defenderアプリを公開してください。 詳細な手順については、「Microsoft Intune を使ったmacOSデバイスにAdd Microsoft Defender for Endpoint(新しいタブでリンクが開きます)」をご覧ください。

アプリ |Microsoft Intune管理センターのhttps://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allAppsにある「すべてのアプリ」ページで、作成を選択します。 「アプリタイプ選択」ペインのMicrosoft Defender for EndpointでmacOSを選択してください。

アプリ追加ウィザードで、以下の設定を設定してください:

• アプリ情報 タブ:デフォルト値を保持してください。
• 割り当て タブ:アプリを受信すべきユーザーまたはデバイスグループに割り当てます。

手順 13: Microsoft Defender for Endpoint オンボード パッケージをダウンロードする

Microsoft Defender ポータルからオンボード パッケージをダウンロードするには:

1. https://security.microsoft.com/securitysettings/endpoints/onboardingの Microsoft Defender ポータルのオンボーディングページで、以下の設定を設定してください:

   1. オンボーディングプロセスを開始するためにオペレーティングシステムを選択してください: macOSを選択します。

   2. 接続タイプ: 「Streamlined 」を選択しています。

   3. 展開方法:Mobile デバイス管理 / Microsoft Intuneを選択します。

      

2. オンボーディングパッケージのダウンロードを選択し、保存GatewayWindowsDefenderATPOnboardingPackage.zip。

3. ZIPファイルの内容を抽出して、Intune経由で WindowsDefenderATPOnboarding.xml を展開できるようにします:

   unzip GatewayWindowsDefenderATPOnboardingPackage.zip
   

   Archive:  GatewayWindowsDefenderATPOnboardingPackage.zip
   warning:  GatewayWindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
    inflating: intune/kext.xml
    inflating: intune/WindowsDefenderATPOnboarding.xml
    inflating: jamf/WindowsDefenderATPOnboarding.plist
   

ステップ14:macOS向けのMicrosoft Defender for Endpointオンボーディングパッケージを展開する

このプロファイルには、Microsoft Defender for Endpointのライセンス情報が含まれています。

「システム構成プロファイルの作成」で説明されている一般的な設定を使ってカスタム構成プロファイルを作成します。 以下のプロファイル固有の設定をご利用ください:

• の [基本] タブ:
  • 名前: Microsoft Defender for Endpoint onboarding for macOSなどのわかりやすい名前を入力します。
• 設定タブ :
  • 設定プロファイル名:プロファイルの説明名を入力します。
  • 展開チャネル: デバイスチャネルを選択します。
  • 設定プロファイルファイル:オンボーディングパッケージから抽出した WindowsDefenderATPOnboarding.xml ファイルを選択します。

ステップ15:デバイスと設定状況の確認

手順 15a。 状態の表示

Intune管理センターのポリシーレポートを使って、デバイスおよびユーザーのチェックイン状況を確認してください:

1. デバイス |Intune管理センターのhttps://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration設定ページで、ポリシーを選択してください。

2. デバイスおよびユーザーのチェックインステータスで、「レポートの表示」を選択してください。

手順 15b。 クライアントデバイスの登録

ポータル サイトを使ってmacOSデバイスに登録してください:

1. 「Enroll your Mac with Intune ポータル サイト」の手順に従ってください。

2. 登録完了後、https://intune.microsoft.com/#view/Microsoft_Intune_Devices/DevicesMenu/~/allDevicesのIntune管理センターの「すべてのデバイス」ページにデバイスが掲載されているか確認してください。

手順 15c。 クライアント デバイスの状態を確認する

管理デバイス上でプロファイルとアプリを確認してください:

1. 設定プロファイルが展開された後、macOSデバイスでシステム設定>General>デバイス管理を開きます。

2. デプロイメント用の設定プロファイルが存在し、インストールされているかを確認しましょう:

   • accessibility.mobileconfig、デプロイされている場合
   • background_services.mobileconfig
   • bluetooth.mobileconfig、デプロイされている場合
   • com.microsoft.autoupdate2.mobileconfig
   • fulldisk.mobileconfig
   • 管理プロファイル(Intuneのシステムプロファイル)です。
   • WindowsDefenderATPOnboarding.xmlこれはDefender for Endpointのオンボーディングパッケージです。
   • netfilter.mobileconfig
   • notif.mobileconfig

3. メニューバーにMicrosoft Defenderのアイコンが表示されているか確認してください。

   

ステップ16:アンチマルウェア検出の検証

デバイスがオンボーディングされて正しく報告されているかを確認するために 、ウイルス検出テスト を実行してください。

ステップ17:EDR検出の検証

EDR検出テストを実行し、エンドポイントの検出と応答が正しく動作し、正しく報告されているか確認してください。

ステップ18:macOS向けMicrosoft Purviewエンドポイントデータ損失防止(強く推奨)

デバイスをMicrosoft Purviewにオンボーディングし、エンドポイントデータ損失防止(DLP)を設定するには、「エンドポイントDLPで始める」をご覧ください。

トラブルシューティング

• 問題点:Defender for Endpointはライセンスが見つからなかったと報告しています。
• 原因:デバイスのオンボーディングが完了していない。
• 解決:ステップ13で説明されたオンボーディングパッケージをダウンロードし、ステップ14で説明した通りに展開します。

インストールの問題を記録する

エラーが発生した場合にインストーラーが自動的に作成するログについては 、「インストール問題のログ 」を参照してください。

トラブルシューティング手順の詳細については、次を参照してください。

• macOS でのMicrosoft Defender for Endpointのシステム拡張機能に関する問題のトラブルシューティング
• macOS でのMicrosoft Defender for Endpointのインストールに関する問題のトラブルシューティング
• macOS でのMicrosoft Defender for Endpointのライセンスに関する問題のトラブルシューティング
• macOS でのMicrosoft Defender for Endpointのクラウド接続に関する問題のトラブルシューティング
• macOS でのMicrosoft Defender for Endpointのパフォーマンスに関する問題のトラブルシューティング

Defender for Endpointをアンインストールしてください

手順はmacOSの「Defender for Endpointのアンインストール」をご覧ください。