Systeemextensies beheren met Jamf

In dit artikel wordt beschreven hoe u Jamf gebruikt om systeemextensies goed te keuren, volledige schijftoegang te verlenen via privacyvoorkeurenbeleidsbeheer en het netwerkextensiebeleid te configureren voor Microsoft Defender voor Eindpunt in macOS. Voltooi de vereisten voor het implementeren van Microsoft Defender voor Eindpunt voordat u deze procedures volgt.

Systeemextensies configureren in Jamf

Het Jamf-systeemextensiesbeleid configureren

Voer de volgende stappen uit om de systeemextensies goed te keuren:

1. Selecteer Configuratieprofielen voor computers >en selecteer vervolgens Opties > Systeemextensies.

2. Selecteer Toegestane systeemextensies in de vervolgkeuzelijst Typen systeemextensie .

3. Gebruik UBF8T346G9 voor Team-id.

4. Voeg de volgende bundel-id's toe aan de lijst Toegestane systeemextensies :

   • com.microsoft.wdav.epsext
   • com.microsoft.wdav.netext

   

Privacyvoorkeurenbeleidsbeheer configureren voor volledige schijftoegang

Voeg de volgende Jamf-payload toe om Volledige schijftoegang te verlenen aan de Microsoft Defender voor Eindpunt Security Extension. De payload voor het beleid voor beheer van privacyvoorkeuren is vereist om de extensie op uw apparaat uit te voeren.

1. Selecteer Opties > Privacyvoorkeuren Beleidsbeheer.

2. Gebruik com.microsoft.wdav.epsext als id en bundel-id als bundeltype.

3. Stel codevereiste in op de volgende waarde:

   identifier com.microsoft.wdav.epsext and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9
   

4. Stel App of service in op SystemPolicyAllFiles en stel toegang in op Toestaan.

   

Het beleid voor de netwerkextensie configureren in Jamf

Als onderdeel van de mogelijkheden voor eindpuntdetectie en -respons inspecteert Microsoft Defender voor Eindpunt in macOS socketverkeer en rapporteert deze informatie aan de Microsoft Defender portal. Met het volgende beleid kan de netwerkextensie socketverkeer inspecteren en deze informatie rapporteren aan de Microsoft Defender-portal:

1. Sla de volgende inhoud op uw apparaat op als com.microsoft.network-extension.mobileconfig met behulp van een teksteditor:

   <?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1">
    <dict>
        <key>PayloadUUID</key>
        <string>DA2CC794-488B-4AFF-89F7-6686A7E7B8AB</string>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadOrganization</key>
        <string>Microsoft Corporation</string>
        <key>PayloadIdentifier</key>
        <string>DA2CC794-488B-4AFF-89F7-6686A7E7B8AB</string>
        <key>PayloadDisplayName</key>
        <string>Microsoft Defender Network Extension</string>
        <key>PayloadDescription</key>
        <string/>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadEnabled</key>
        <true/>
        <key>PayloadRemovalDisallowed</key>
        <true/>
        <key>PayloadScope</key>
        <string>System</string>
        <key>PayloadContent</key>
        <array>
            <dict>
                <key>PayloadUUID</key>
                <string>2BA070D9-2233-4827-AFC1-1F44C8C8E527</string>
                <key>PayloadType</key>
                <string>com.apple.webcontent-filter</string>
                <key>PayloadOrganization</key>
                <string>Microsoft Corporation</string>
                <key>PayloadIdentifier</key>
                <string>CEBF7A71-D9A1-48BD-8CCF-BD9D18EC155A</string>
                <key>PayloadDisplayName</key>
                <string>Approved Network Extension</string>
                <key>PayloadDescription</key>
                <string/>
                <key>PayloadVersion</key>
                <integer>1</integer>
                <key>PayloadEnabled</key>
                <true/>
                <key>FilterType</key>
                <string>Plugin</string>
                <key>UserDefinedName</key>
                <string>Microsoft Defender Network Extension</string>
                <key>PluginBundleID</key>
                <string>com.microsoft.wdav</string>
                <key>FilterSockets</key>
                <true/>
                <key>FilterDataProviderBundleIdentifier</key>
                <string>com.microsoft.wdav.netext</string>
                <key>FilterDataProviderDesignatedRequirement</key>
                <string>identifier "com.microsoft.wdav.netext" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9</string>
            </dict>
        </array>
    </dict>
</plist>

1. Controleer of de inhoud van het XML-configuratieprofiel correct is gekopieerd naar het bestand com.microsoft.network-extension.mobileconfig door het hulpprogramma plutil in terminal uit te voeren. Met deze opdracht wordt gecontroleerd of het mobileconfig-bestand een geldige eigenschappenlijst (plist) is:

$ plutil -lint <PathToFile>/com.microsoft.network-extension.mobileconfig

Met de volgende opdracht wordt bijvoorbeeld een profiel gevalideerd dat is opgeslagen in de map Documenten :

$ plutil -lint ~/Documents/com.microsoft.network-extension.mobileconfig

1. Controleer of de opdracht plutil -lintok uitvoert. In de volgende voorbeelduitvoer wordt bevestigd dat het profielbestand geldig is:

<PathToFile>/com.microsoft.network-extension.mobileconfig: OK

1. Volg de instructies in technische artikelen over Jamf om een handtekeningcertificaat te maken met behulp van de ingebouwde certificeringsinstantie van Jamf.

2. Nadat het Jamf-handtekeningcertificaat is gemaakt en geïnstalleerd op uw apparaat, voert u de volgende opdracht uit vanaf de terminal om het configuratieprofiel te ondertekenen. Vervang <CertificateName> door de naam van uw handtekeningcertificaat, <PathToFile> door het pad naar het niet-ondertekende mobileconfig-bestand en <PathToSignedFile> door het gewenste uitvoerpad voor het ondertekende bestand:

$ security cms -S -N "<CertificateName>" -i <PathToFile>/com.microsoft.network-extension.mobileconfig -o <PathToSignedFile>/com.microsoft.network-extension.signed.mobileconfig

De volgende opdracht ondertekent bijvoorbeeld een profiel dat is opgeslagen in de map Documenten met behulp van een certificaat met de naam SigningCertificate en slaat de ondertekende uitvoer op in dezelfde map:

$ security cms -S -N "SigningCertificate" -i ~/Documents/com.microsoft.network-extension.mobileconfig -o ~/Documents/com.microsoft.network-extension.signed.mobileconfig

1. Ga vanuit de Jamf-portal naar Configuratieprofielen en selecteer de knop Uploaden . Selecteer com.microsoft.network-extension.signed.mobileconfig wanneer u wordt gevraagd een configuratieprofielbestand te kiezen dat u wilt uploaden.