Wdrażanie czujnika Microsoft Defender for Identity w wersji 3.x

Wdroż czujnik Defender for Identity v3.x na uprawnionych kontrolerach domeny oraz serwerach AD FS, AD CS lub Microsoft Entra Connect, które nie są kontrolerami domeny. Wykonaj wymagane kontrole przed aktywacją, a następnie skonfiguruj audyt i ustawienia tożsamości.

Przed aktywowaniem

Wykonaj te kontrole przed aktywowaniem czujnika.

Ograniczenia wersji czujnika

Przed aktywowaniem czujnika usługi Defender for Identity w wersji 3.x należy pamiętać, że wersja 3.x:

• Nie obsługuje integracji sieci VPN.
• Nie obsługuje powiadomień dziennika systemowego.
• Ma ograniczenia dotyczące pracy z usługą Azure ExpressRoute. Aby uzyskać więcej informacji, zobacz Azure ExpressRoute for Microsoft 365.

Wymagania dotyczące serwera

Upewnij się, że serwer, na którym aktywujesz czujnik:

• Jest wdrożony do Defender for Endpoint. Składnik programu antywirusowego Microsoft Defender może być w trybie aktywnym lub pasywnym. Dla uprawnionych serwerów można zamiast tego korzystać z onboardingu sensora v3.x bez wdrożenia Defender for Endpoint.
• Nie ma jeszcze wdrożonego sensora Microsoft Defender for Identity w wersji 2.x.
• Działa na Windows Server 2019 lub nowszym.
• Ma zainstalowaną skumulowaną aktualizację Windows Server z września 2026 lub nowszą (Defender for Identity sensor w wersji 3.0.10 lub nowzej).

Użyj aktualizacji zbiorczej z września 2026 dla wersji Windows Server lub późniejszej aktualizacji zbiorczej:

Obsługiwane typy serwerów

Sensor v3.x obsługuje kontrolery domeny. Obsługuje także serwery, które nie są kontrolerami domeny i wykonują następujące role tożsamości:

• Usługi federacyjne Active Directory (AD FS)
• Usługi certyfikatów Active Directory (AD CS)
• Microsoft Entra Connect

Wymagania dotyczące licencjonowania

Wdrożenie usługi Defender for Identity wymaga jednej z następujących licencji platformy Microsoft 365:

• Enterprise Mobility + Security E5 (EMS E5/A5)
• Microsoft 365 E5 (Microsoft E5/A5/G5)
• zabezpieczenia Microsoft 365 E5/A5/G5/F5*
• Zabezpieczenia i zgodność platformy Microsoft 365 F5*

Obie licencje F5 wymagają Microsoft 365 F1/F3 lub Office 365 F3 i Enterprise Mobility + Security E3. Kupowanie licencji w portalu platformy Microsoft 365 lub za pośrednictwem licencjonowania partnera rozwiązań w chmurze (CSP). Aby uzyskać więcej informacji, zobacz Często zadawane pytania dotyczące licencjonowania i ochrony prywatności.

Role i uprawnienia

• Aby utworzyć obszar roboczy usługi Defender for Identity, potrzebujesz dzierżawy Microsoft Entra ID.

• Musisz być Administratorem zabezpieczeń albo mieć następujące uprawnienia Unified RBAC:

  • System settings (Read and manage)
  • Security settings (All permissions)

Wymagania dotyczące sieci

Czujnik usługi Defender for Identity używa tych samych identyfikatorów URI co Ochrona punktu końcowego w usłudze Microsoft Defender. Przejrzyj następujące dokumenty dotyczące usługi Defender for Endpoint w oparciu o łączność systemu, aby znaleźć pełną listę wymaganych punktów końcowych usługi.

• Microsoft Defender dla punktu końcowego — uproszczone adresy URL połączeń

• Standardowe adresy URL łączności dla usługi Microsoft Defender dla punktów końcowych

Wymagania dotyczące pamięci

W poniższej tabeli opisano wymagania dotyczące pamięci na serwerze z Defender dla czujnika tożsamości, w zależności od typu używanej wirtualizacji:

Defender dla czujnika tożsamości v3.x ogranicza wykorzystanie CPU do 30% oraz zużycie pamięci do 1,5 GB. Jednak jeśli inna usługa zużywa znaczne zasoby systemowe, serwer może nadal doświadczać obciążenia wydajności. Jeśli czujnik osiągnie limit CPU, ogranicza przetwarzanie zdarzeń. Jeśli czujnik osiągnie limit pamięci, usługa czujnika może zostać ponownie uruchomiona.

Narzędzie Defender for Identity do rozmiarowania dotyczy czujników v2.x i nie jest wymagane dla v3.x.

Wymagania dotyczące konta usługi

Czujnik usługi Defender for Identity współdziała z usługą Active Directory na dwa sposoby:

• Odczytywanie danych usługi AD (wykonywanie zapytań o obiekty, śledzenie zmian, rozpoznawanie jednostek). W v2.x używa się konta usługi katalogowej (DSA). W wersji 3.x system lokalny obsługuje to automatycznie.
• Wykonywanie akcji korygowania (wyłączanie kont, resetowanie haseł). W wersji 2.x używane jest konto akcji. W wersji 3.x system lokalny obsługuje to automatycznie.

Czujnik v3.x używa lokalnej tożsamości systemu serwera do obu celów. Nie używa kont usług katalogowych (DSA) ani kont usług zarządzanych przez grupę (gMSA). LocalSystem to jedyna obsługiwana tożsamość dla wersji 3.x.

Przed migracją z sensora v2.x wybierz Automatycznie używaj lokalnego konta systemowego sensora w portalu Microsoft Defender (Ustawienia>Tożsamości>Microsoft Defender for Identity>Zarządzaj kontami akcji). Migracja nie zmienia automatycznie tego ustawienia konta działań. Czujniki w wersji 3.x nie używają kont gMSA skonfigurowanych dla czujników w wersji 2.x.

Alerty zdrowotne DSA i gMSA w środowiskach z czujnikami zarówno v2.x, jak i v3.x

Jeśli w obszarze roboczym nadal skonfigurowano konto Directory Service Account (DSA) lub grupowe konto usługi zarządzanej (gMSA), ponieważ czujniki v2.x na serwerach AD FS, AD CS lub Entra Connect nadal tego wymagają, poświadczenia DSA i gMSA nadal podlegają weryfikacji na wszystkich czujnikach w obszarze roboczym, w tym na czujnikach v3.x. Jeśli weryfikacja poświadczeń DSA lub gMSA nie powiedzie się, zostanie wyświetlony alert kondycji Poświadczenia użytkownika usług katalogowych są nieprawidłowe. Weryfikacja poświadczeń DSA i gMSA na wszystkich sensorach na poziomie obszaru roboczego jest zamierzona. Usługa Defender for Identity weryfikuje poświadczenia DSA i gMSA na poziomie obszaru roboczego dla wszystkich czujników, o ile te konta istnieją, niezależnie od tego, czy poszczególne czujniki używają ich do przeprowadzania inspekcji lub akcji reagowania.

Czujniki Defender for Identity v3.x ignorują DSA i gMSA w przypadku audytu i reagowania, ale nadal są one uwzględniane w walidacji poświadczeń na poziomie przestrzeni roboczej. Proces migracji nie usuwa automatycznie konfiguracji DSA na poziomie przestrzeni roboczej ani gMSA. Aby przestać otrzymywać ten alert kondycji na czujnikach v3.x, ręcznie usuń konfigurację po pełnej migracji wszystkich czujników do v3.x i po tym, jak żaden czujnik v2.x tego nie wymaga. Usunięcie konfiguracji workspace nie usuwa konta gMSA w Active Directory.

Testowanie wymagań wstępnych

Uruchom skrypt Test-MdiReadiness.ps1 , aby sprawdzić, czy środowisko ma wymagane wymagania wstępne.

Skrypt Test-MdiReadiness.ps1 jest również dostępny w Microsoft Defender XDR na stronie Narzędzia tożsamości > (wersja zapoznawcza).

Aktywowanie czujnika

Po potwierdzeniu wszystkich wymagań wstępnych aktywuj czujnik z portalu Microsoft Defender.

Konfiguruj ustawienia po aktywacji

Wykonaj te kroki konfiguracji po aktywowaniu i uruchomieniu czujnika.

Konfigurowanie inspekcji zdarzeń systemu Windows

Usługa Defender for Identity korzysta z dzienników zdarzeń systemu Windows w przypadku wielu wykryć. W przypadku czujników v3.x włącz automatyczne audytowanie , aby skonfigurować obsługiwane ustawienia audytu. Wykonaj dodatkowe kroki dla AD FS lub AD CS, w zależności od zastosowania.

Jeśli automatyczny audyt nie jest dostępny lub zrezygnowałeś, konfiguruj audyt ręcznie lub konfiguruj zbieranie zdarzeń w Windows za pomocą PowerShell.

Konfigurowanie audytu RPC

Zainstaluj zbiorczą aktualizację systemu Windows Server z września 2026 roku lub nowszą przed instalacją lub uaktualnieniem do wersji 3.0.10 lub nowszej czujnika Defender for Identity. Począwszy od wersji sensora 3.0.8, audyt RPC jest automatycznie włączany na kontrolerach domeny, więc nie musisz już stosować tagu konfiguracyjnego RPC. Powiązany alert zdrowotny znika wkrótce po aktualizacji.

Zalecane ustawienia

Użyj następujących zalecanych ustawień, aby zapewnić stabilną wydajność czujnika:

• Ustaw opcję zasilania maszyny z uruchomionym czujnikiem usługi Defender for Identity na wartość Wysoka wydajność.
• Zsynchronizuj czas na serwerach, na których instalujesz czujnik, tak aby różnica między nimi nie przekraczała pięciu minut.

Następny krok

Aktywowanie czujnika Microsoft Defender for Identity