Wdrażaj urządzenia Windows za pomocą narzędzia Microsoft Defender

Narzędzie wdrożeniowe Microsoft Defender to lekka, samoaktualizująca się aplikacja, która instaluje wymagania wstępne i integruje obsługiwane urządzenia Windows do Ochrona punktu końcowego w usłudze Microsoft Defender. Uruchom narzędzie interaktywnie na poszczególnych urządzeniach lub zautomatyzuj je za pomocą parametrów wiersza poleceń, plików konfiguracyjnych, polityki grupowej, Microsoft Configuration Manager lub innego systemu wdrażania oprogramowania.

Traktuj narzędzie do wdrażania jako oddzielną metodę wdrażania użytkowników. Nie integruje się z procesem wdrażania za pośrednictwem usługi Microsoft Intune, Microsoft Defender dla Chmury ani z innymi metodami wdrażania. Zanim zaczniesz, zapoznaj się z obsługiwanymi systemami operacyjnymi i wymaganiami wstępnymi.

Narzędzie wdrożenia oferuje następujące funkcje:

• Obsługa wymaganych wymagań: Sprawdza wymagane aktualizacje i rozwiązuje problemy blokujące wdrożenie.
• Logowanie i informacja zwrotna: Rejestruje operacje w dzienniku lokalnym i wyświetla opisy błędów w trybie interaktywnym.
• Instalacja i aktualizacje: Unika ponownej instalacji istniejących komponentów i pobiera aktualne w razie potrzeby.
• Automatyzacja: Obsługuje parametry wiersza poleceń oraz wielokrotnego użytku pliki konfiguracyjne dla automatycznych wdrożeń.
• Staging: Pobiera pliki instalacyjne dla docelowych urządzeń, które nie mogą pobrać plików bezpośrednio.
• Tryb pasywny serwera: Konfiguruje Microsoft Defender Antivirus do działania w trybie pasywnym na Windows Server.
• Nietrwała infrastruktura wirtualnych pulpitów (VDI): Pomaga urządzeniom odtworzonym z tą samą nazwą hosta być wyświetlanymi jako jedno urządzenie w portalu Defender.
• Zabezpieczenia pakietów: Wymaga klucza dostępu wygenerowanego przez portal do onboardingu i obsługuje daty wygaśnięcia pakietów od jednego dnia do roku. Stosuj najkrótszy praktyczny okres ważności.
• Zarządzanie pakietami: Lista pakietów wdrożeń w portalu Microsoft Defender i pozwala filtrować je według właściwości, takich jak status i data ważności.
• Wbudowana pomoc: Wyświetla dostępne opcje wiersza poleceń podczas uruchamiania DefenderDT.exe -?.

W trybie interaktywnym narzędzie prosi o podanie klucza dostępu z portalu Defender, instaluje wymagane aktualizacje i komponenty Defender oraz łączy urządzenie z Defender for Endpoint. Jeśli instalacja wymaga restartu, zaloguj się po wznowieniu, aby narzędzie mogło wznowić działanie.

Dla zaawansowanych i dużych wdrożeń używaj parametrów wiersza poleceń lub pliku konfiguracyjnego.

Obsługiwane systemy operacyjne

Narzędzie do wdrażania usługi Defender obsługuje następujące systemy operacyjne:

• Windows 11
• Windows 10, wersja 1809 (listopad 2018) lub nowsza
• Windows 7 SP1
• Windows Server 2016 lub nowszy
• Windows Server 2012 R2
• Windows Server 2008 R2 SP1

Wymagania wstępne

Przed wdrożeniem narzędzia zapoznaj się z ogólnymi wymaganiami i wymaganiami dla Windows 7 SP1 oraz Windows Server 2008 R2 SP1.

Ogólne wymagania wstępne

• Większość operacji wymaga uprawnień administracyjnych.

• Zezwalaj na dostęp do definitionupdates.microsoft.com. Narzędzie pobiera aktualizacje i pliki instalacyjne z tej domeny. Ponieważ pliki są hostowane w sieci dystrybucji treści, powiązane zakresy adresów IP nie są statyczne ani przewidywalne.

• Narzędzie sprawdza łączność z organizacją przed wdrożeniem. Inne funkcje Defender for Endpoint również wymagają dostępu do adresów URL usług, takich jak *.endpoint.security.microsoft.com. Szczegółowe wymagania znajdziesz w sekcji Konfiguruj środowisko sieciowe, aby zapewnić łączność z usługą Defender for Endpoint.

Aby zapewnić sprawną łączność, wyklucz ruch do *.endpoint.security.microsoft.com z inspekcji SSL/TLS, przechwytywania ruchu HTTPS oraz pośredniczenia przez serwer proxy typu man-in-the-middle (MITM). Jeśli włączysz inspekcję SSL, czujniki Defender for Endpoint mogą nie komunikować się z usługami back-endowymi, co może skutkować niepowodzeniami podczas wdrażania lub problemami z łącznością.

Wymagania wstępne dla Windows 7 SP1 oraz Windows Server 2008 R2 SP1

• Urządzenia muszą korzystać z wersji x64 Windows 7 SP1 lub Windows Server 2008 R2 SP1. Zainstaluj najnowsze dostępne aktualizacje, aby skrócić czas instalacji i zmniejszyć ryzyko restartu.

• Zainstaluj wsparcie dla podpisywania kodu SHA-2. Narzędzie do wdrażania wymaga co najmniej KB4474419.

  • Zainstaluj aktualizację stosu serwisowego (SSU) KB4490628. Windows Update automatycznie oferuje wymagane SSU.

  • Zainstaluj aktualizację SHA-2 KB4474419, wydaną 10 września 2019 roku. Windows Update automatycznie oferuje wymaganą aktualizację.

• Na Windows Server 2008 R2 SP1 zainstaluj .NET Framework 3.5 lub nowszy.

Wygeneruj i pobierz nowy pakiet wdrożeniowy

Wygeneruj pakiet onboardingowy i klucz dostępu w portalu Microsoft Defender. Potrzebujesz klucza dostępu, gdy uruchamiasz narzędzie interaktywnie lub z parametrem -Key .

1. Na stronie Onboarding w portalu Microsoft Defender w , https://security.microsoft.com/securitysettings/endpoints/onboardingskonfiguruj następujące ustawienia:

   • Krok 1: Wybierz system operacyjny, aby rozpocząć wdrożenie: Wybierz Windows.
   • Krok 2: Wybierz opcję wdrożenia: Wybierz Onboard w Deploy, pobierając i stosując pakiety lub pliki>– narzędzie wdrożeniowe Defender.

   

2. W otwartym panelu wysuwanym Generowanie narzędzia wdrożeniowego Defender z kluczem dostępu skonfiguruj pakiet:

   • Nazwa: Wprowadź unikalną, opisową nazwę pakietu.
   • Organizacja: Sprawdź wyświetlaną organizację.
   • Wygasa: Wykorzystaj najkrótszy praktyczny okres ważności, aby zmniejszyć ryzyko nieautoryzowanego użycia pakietu:
     • Za 7 dni (domyślnie)
     • Za 30 dni
     • Niestandardowy (do jednego roku)

   Wybierz Generuj.

   

3. Gdy pakiet będzie gotowy, skopiuj i bezpiecznie przechowuj klucz dostępu.

   

4. Wybierz Download deployment tool i zapisz pobrany plik wykonywalny.

Wdrażanie zabezpieczeń punktów końcowych usługi Defender na urządzeniach

Uruchamiaj narzędzie Defender do wdrażania interaktywnie lub nieinteraktywnie.

Użycie interaktywne

Używaj trybu interaktywnego dla jednego urządzenia lub niewielkiej liczby urządzeń. Kliknij dwukrotnie na plik wykonywalny, aby użyć domyślnych ustawień onboardingu, lub uruchom narzędzie w wierszu poleceń, aby określić opcje.

Aby włączyć urządzenie z domyślnymi ustawieniami:

1. Kliknij dwukrotnie plik wykonywalny, aby go uruchomić.

2. W oknie potwierdzającym rozpoczęcie onboardingu wybierz Kontynuuj.

3. Wprowadź klucz narzędzia wdrażania usługi Defender skopiowany z portalu, a następnie wybierz pozycję Kontynuuj.

   

4. Poczekaj aż instalacja się zakończy, a potem wybierz OK. Jeśli narzędzie wymaga restartu, zaloguj się po wznowieniu, aby instalacja mogła zostać wznowiona.

Użycie nieinterakcyjne

Korzystaj z interfejsu wiersza poleceń do automatyzacji instalacji i onboardingu lub do wykonywania innych operacji, takich jak sprawdzanie wymagań wstępnych.

Informacje o dostępnych parametrach można znaleźć w dokumencie Informacje o poleceniach narzędzia do wdrażania Defender. Aby wyświetlić opis poleceń dla pobranej wersji narzędzia, uruchom DefenderDT.exe -?.

Wdrożenia zaawansowane i na dużą skalę

Uruchamiaj narzędzie wdrożeniowe Defender nieinteraktywnie z Polityki Grupowej, Microsoft Configuration Manager lub innego systemu wdrożeniowego oprogramowania. Użyj parametrów wiersza polecenia, aby dostosować wdrażanie, testowanie, aktualizacje, ponowne uruchomienia, serwery proxy i inne operacje.

W przypadku wdrożeń powtarzających się używaj pliku konfiguracyjnego zamiast powtarzania parametrów wiersza poleceń. Uruchom narzędzie za pomocą -MakeConfig, aby wygenerować DefenderDTconfig.txt. Edytuj konfigurację, a następnie załaduj ją z -Config:<path>. Jeśli nie określisz ścieżki, narzędzie szuka DefenderDTconfig.txt w bieżącym folderze. Dla przykładu, zobacz : Użyj pliku konfiguracyjnego.

Referencja poleceń narzędzia wdrożeniowego Defender

Poniższa tabela przedstawia parametry dostępne w narzędziu wdrożeniowym Defender w wersji 1.0.0.6 (wrzesień 2026). Uruchom, DefenderDT.exe -? aby zweryfikować parametry dostępne w pobranej wersji.

Użyj podwyższonego wiersza poleceń (okna wiersza poleceń, które otwierasz, wybierając Uruchom jako administrator) do onboardingu, offboardingu, odinstalowywania, aktualizacji i generowania plików konfiguracyjnych. Operacje -Help, -Precheck, i -Stage nie wymagają uprawnień administracyjnych. Plik konfiguracyjny omija także kontrolę administratora, gdy określa tylko precheck lub staging.

Przykłady użycia

Zamień zastępcze ścieżki, klucze i adresy proxy w poniższych przykładach wartościami dla swojego środowiska. Używaj wiersza polecenia uruchomionego z uprawnieniami administratora, z wyjątkiem przykładów sprawdzania wstępnego i przygotowania.

• Uruchom domyślną sekwencję onboardingu bez wyświetlania dialogów. Narzędzie używa WindowsDefenderATP.onboarding z bieżącego folderu:

  DefenderDT.exe -Quiet
  

• Wdrożenie za pomocą klucza dostępu, konfiguracja proxy, umożliwienie wymaganego restartu i zapobieganie dialogom:

  DefenderDT.exe -Key:<access-key> -Proxy:https://proxy.contoso.com:8080 -AllowReboot -Quiet
  

• Wdrażanie przy użyciu pliku wdrażania z lokalizacji sieciowej bez wyświetlania okien dialogowych:

  DefenderDT.exe -File:\\server.contoso.com\share\WindowsDefenderATP.onboarding -Quiet
  

• Wyłącz urządzenie, używając lokalnego pliku odłączania bez konieczności potwierdzenia lub wyświetlania dialogów:

  DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding -Yes -Quiet
  

• Sprawdź wymagania wstępne, wyświetlaj szczegółowe wyniki i zapobiegaj dialogom:

  DefenderDT.exe -PreCheck -Verbose -Quiet
  

• Pobierz pliki instalacyjne wszystkich obsługiwanych wersji Windows do absolutnej ścieżki etapowej:

  DefenderDT.exe -Stage:C:\DefenderDT\StagedFiles
  

Korzystanie z pliku konfiguracji

Wygeneruj plik konfiguracyjny, gdy chcesz ponownie użyć tych samych parametrów w wielu wdrożeniach.

1. Wygeneruj DefenderDTconfig.txt w aktualnym folderze:

   DefenderDT.exe -MakeConfig
   

2. Otwórz DefenderDTconfig.txt w edytorze tekstu i skonfiguruj parametry swojego wdrożenia. Używaj ścieżek absolutnych dla parametrów, które akceptują ścieżkę.

3. Uruchom narzędzie z plikiem konfiguracji. Poniższy przykład ładuje plik z lokalizacji sieciowej:

   DefenderDT.exe -Config:\\server.contoso.com\share\DefenderDTconfig.txt
   

   Jeśli DefenderDTconfig.txt jest w aktualnym folderze, uruchom DefenderDT.exe -Config.

Wdrażaj za pomocą polityki grupowej

Użyj natychmiastowego zadania zaplanowanego w zasadzie grupowej, aby uruchomić narzędzie wdrożenia z SYSTEM podwyższonymi uprawnieniami. Aby zapoznać się z ogólnymi krokami tworzenia, konfigurowania, łączenia i testowania zadania zaplanowanego, zobacz Dołączanie urządzeń przy użyciu zasad grupy.

Używaj tych wartości specyficznych dla narzędzi wdrożenia Defender:

• Przechowuj DefenderDT.exe, plik .onboarding oraz dowolny DefenderDTconfig.txt plik w współdzielonym, tylko do odczytu miejscu, do którego mają dostęp docelowe urządzenia.
• W polu Program/script wprowadź pełną ścieżkę w formacie Universal Naming Convention (UNC) do DefenderDT.exe. Użyj w pełni kwalifikowanej nazwy domenowej serwera plików (FQDN).
• Aby dodać argumenty, wprowadź wymagane parametry wiersza poleceń. Na przykład użyj -File:\\server\share\WindowsDefenderATP.onboarding -Quiet, gdy plik wdrożeniowy nie znajduje się w katalogu roboczym narzędzia.
• Wykonaj zadanie jako NT AUTHORITY\SYSTEM, niezależnie od tego, czy użytkownik jest zalogowany, i wybierz Uruchom z najwyższymi uprawnieniami.
• Przetestuj obiekt Group Policy (GPO) z ograniczoną grupą urządzeń przed szerszym wdrożeniem.

Więcej informacji o konsoli zarządzania można znaleźć w Konsoli Zarządzania Politykami Grupowymi.

Odłączanie urządzenia

Aby odłączyć urządzenie, pobierz pakiet offboardingowy z portalu Defender, przenieś go na docelowe urządzenie i uruchom narzędzie wdrożenia razem z tym pakietem.

Krok 1. Pobieranie pakietu odłączania

1. Na stronie Offboarding w portalu Microsoft Defender w , https://security.microsoft.com/securitysettings/endpoints/offboardingwybierz Windows w sekcji Wybierz system operacyjny.

2. W narzędziu do wdrażania Defender wybierz opcję Pobierz pakiet, aby pobrać plik .zip, który zawiera skrypt wycofywania.

   

Krok 2. Uruchamianie polecenia odłączania

Wykonaj następujące kroki na urządzeniu, które chcesz odłączyć:

1. Skopiuj plik .zip na urządzenie docelowe i rozpakuj plik .offboarding.

2. Uruchom narzędzie wdrożenia w podwyższonym wierszu poleceń z absolutną ścieżką do rozpakowanego .offboarding pliku. Przykład:

   DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding
   

3. Wpisz Y w oknie potwierdzenia, aby kontynuować.

4. Poczekaj na zakończenie procesu. Po pomyślnym zakończeniu procesu offboardingu narzędzie wyświetla następujący komunikat:

   Microsoft Defender deployment tool completed, exit code: 0 [Success]
   

Zagadnienia i ograniczenia

Zapoznaj się z ogólnymi ograniczeniami i ograniczeniami dotyczącymi Windows 7 SP1 oraz Windows Server 2008 R2 SP1.

Ogólne zagadnienia i ograniczenia

• Jeśli sekwencja interaktywna wymaga restartu, zaloguj się ponownie po wznowieniu, aby narzędzie mogło wznowić działanie. W przeciwnym razie urządzenie nie jest w pełni zintegrowane.

• W systemie Windows Server 2016 i nowszych wersjach krok Włączanie funkcji 'Windows-Defender' może zakończyć się niepowodzeniem, jeśli funkcja Microsoft Defender Antivirus została odinstalowana lub usunięta. Interfejs użytkownika i lokalny dziennik pokazują kody zakończenia 710 i EnableFeatureFailed. Log może również zawierać błąd 14081 i 0x3701 The referenced assembly could not be found. Jeśli napotkasz ten problem, otwórz zgłoszenie wsparcia dla Windows Server.

Znane problemy i ograniczenia dotyczące systemu Windows 7 z dodatkiem SP1 i Windows Server 2008 R2 z dodatkiem SP1

• Możesz otrzymywać alerty dotyczące sense1ds.dll, MsSense.exe, MpCmdRun.exe, msmplics.dll i mpsvc.dll załadowanych przez mpcommu.dll lub mpclient.dll. Alerty powinny z czasem ustąpić.

• Na Windows 7 SP1 i Windows Server 2008 R2 SP1 z zainstalowanym pakietem Desktop Experience, Action Center może wyświetlić, że Windows nie znalazł na tym komputerze oprogramowania antywirusowego. Powiadomienie nie wskazuje na problem z wdrożeniem.

• Użyj wersji podglądowej narzędzia analizatora klienta, aby zbierać logi i diagnozować problemy z łącznością na Windows 7 SP1 i Windows Server 2008 R2 SP1. Analizator wymaga PowerShell 5.1 lub nowszego.

• Microsoft Defender Antivirus nie zapewnia lokalnego interfejsu użytkownika na tych systemach operacyjnych. Aby lokalnie zarządzać ustawieniami antywirusa Microsoft Defender, zainstaluj PowerShell 5.1 lub nowszy.

• Konfiguracja polityki grupowej wymaga centralnego magazynu z aktualnymi szablonami polityk grupowych na kontrolerze domeny. Aby używać Edytora lokalnych zasad grupy, ręcznie zaktualizuj WindowsDefender.admx i WindowsDefender.adml do aktualnych szablonów systemu Windows 11.

• Rozwiązanie zabezpieczeń punktów końcowych Defender instaluje się w C:\Program Files\Ochrona punktu końcowego w usłudze Microsoft Defender.

• Parametr -Passive narzędzia wdrożeniowego dotyczy Windows Server. Nie jest obsługiwany dla Windows 7 SP1.

Rozwiązywanie problemów

Przejrzyj dziennik narzędzi wdrożenia Defender pod kątem problemów podczas instalacji i onboardingu. Plik dziennika znajduje się w:

C:\ProgramData\Microsoft\DefenderDeploymentTool\DefenderDeploymentTool-<COMPUTERNAME>.log

Narzędzie rejestruje również zdarzenia w tych dziennikach zdarzeń Windows:

• Wdrażanie: Dzienniki systemu Windows > Aplikacja > Źródło: WDATPOnboarding
• Offboarding: Dzienniki systemu Windows > Aplikacja > Źródło: WDATPOffboarding

Aby zweryfikować skuteczność instalacji, wykonaj następujące kontrole:

1. Sprawdź, czy usługi są uruchomione przy użyciu następujących poleceń:

   Sc.exe query sense
   
   Sc.exe query windefend
   

   Powinny zostać wyświetlone następujące dane wyjściowe:

   SERVICE_NAME: sense
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_PRESHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   
   SERVICE_NAME: windefend
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   

2. Aby uzyskać logi, ustawienia i inne informacje diagnostyczne Defender Antivirus, zobacz Zbieraj dane diagnostyczne Microsoft Defender Antivirus.

3. Użyj narzędzia client analyzer, aby zbierać logi i diagnozować problemy z łącznością na Windows.

Kody wyjścia

W przypadku dużych wdrożeń za pośrednictwem rozwiązania dystrybucji oprogramowania monitoruj następujące kody wyjścia:

Zawartość pokrewna

• Wdróż rozwiązanie Defender do zabezpieczania punktów końcowych dla urządzeń z systemem Windows 7 z dodatkiem SP1 i Windows Server 2008 R2 z dodatkiem SP1
• Ogranicz działania odpowiedzi dla zasobów o wysokiej wartości