Installera Microsoft Defender for Identity-sensorn v3.x

Distribuera Defender for Identity Sensor v3.x på berättigade domänkontrollanter och AD FS-, AD CS- eller Microsoft Entra Connect-servrar som inte är domänkontroller. Genomför förkunskapskontrollerna innan aktivering, och konfigurera sedan granskning och identitetsinställningar.

Innan du aktiverar

Slutför dessa kontroller innan du aktiverar sensorn.

Begränsningar för sensorversion

Innan du aktiverar Defender for Identity-sensorn v3.x, observera att v3.x:

• Stöder inte VPN-integrering.
• Stöder inte syslog-meddelanden.
• Har begränsningar för att arbeta med Azure ExpressRoute. Mer information finns i Azure ExpressRoute för Microsoft 365.

Serverkrav

Kontrollera att den server där du aktiverar sensorn:

• Har anslutits till Defender for Endpoint. Komponenten Microsoft Defender Antivirus kan vara i antingen aktivt eller passivt läge. För domänkontrollanter som uppfyller kraven kan du i stället använda introduktion av Sensor v3.x utan driftsättning av Defender for Endpoint.
• Har inte någon Defender for Identity-sensor v2.x redan installerad.
• Kör Windows Server 2019 eller senare.
• Har den kumulativa uppdateringen för Windows Server från september 2026 eller senare installerats (Defender for Identity-sensor version 3.0.10 eller senare).

Använd den kumulativa uppdateringen från september 2026 för din Windows Server-version, eller en senare kumulativ uppdatering:

Servertyper som stöds

v3.x-sensorn stöder domänkontroller. Den stödjer också servrar som inte är domänkontrollanter och kör följande identitetsroller:

• Active Directory Federation Services (ADFS) (AD FS)
• služba Active Directory-certifikattjänster (AD CS)
• Microsoft Entra Connect

Licensieringskrav

Distribution av Defender for Identity kräver någon av följande Microsoft 365-licenser:

• Enterprise Mobility + Security E5 (EMS E5/A5)
• Microsoft 365 E5 (Microsoft E5/A5/G5)
• Microsoft 365 E5/A5/G5/F5* Säkerhet
• Microsoft 365 F5 Säkerhet + efterlevnad*

Båda F5-licenserna kräver Microsoft 365 F1/F3 eller Office 365 F3 och Enterprise Mobility + Security E3. Köp licenser i Microsoft 365-portalen eller via CSP-licensiering (Cloud Solution Partner). Mer information finns i Vanliga frågor och svar om licensiering och sekretess.

Roller och behörigheter

• Om du vill skapa en arbetsyta för Defender for Identity behöver du en Microsoft Entra ID-klientorganisation.

• Du måste antingen vara säkerhetsadministratör eller ha följande enhetliga RBAC-behörigheter :

  • System settings (Read and manage)
  • Security settings (All permissions)

Nätverkskrav

Defender for Identity-sensorn använder samma URI:er som Microsoft Defender för Endpoint. Granska följande dokument för Defender för Endpoint, baserat på systemets anslutning, för att hitta den fullständiga listan över nödvändiga tjänstslutpunkter.

• Microsoft Defender för Endpoint förenklade anslutnings-URL:er

• Standard-URL:er för anslutning i Microsoft Defender för Endpoint

Minneskrav

I följande tabell beskrivs minneskraven på servern som kör Defender för identitetssensor, beroende på vilken typ av virtualisering du använder:

Den Defender för Identity Sensor v3.x begränsar CPU-användningen till 30% och minnesanvändningen till 1,5 GB. Men om en annan tjänst använder betydande systemresurser kan servern fortfarande uppleva prestandabelastning. Om sensorn når CPU-gränsen stryps viss händelsebearbetning. Om sensorn når minnesgränsen kan sensortjänsten starta om.

Se Defender for Identity Capacity Planning-dokumentationen för att avgöra om dina servrar har tillräckliga resurser för en Microsoft Defender for Identity-sensor.

Krav för tjänstkonto

Defender for Identity-sensorn interagerar med služba Active Directory på två sätt:

• Läsa AD-data (fråga efter objekt, spåra ändringar, matcha entiteter). I v2.x används ett katalogtjänstkonto (DSA). I v3.x hanterar LocalSystem detta automatiskt.
• Utföra åtgärder (inaktivera konton, återställa lösenord). I v2.x används ett åtgärdskonto. I v3.x hanterar LocalSystem detta automatiskt.

V3.x-sensorn använder serverns lokala systemidentitet för båda ändamålen. Den använder inte katalogtjänstkonton (DSA) eller grupphanterade tjänstkonton (gMSA). LocalSystem är den enda identitet som stöds för v3.x.

Innan du migrerar från sensor v2.x väljer du Använd automatiskt sensorns lokala systemkonto i Microsoft Defender-portalen (Inställningar>Identiteter>Microsoft Defender för identitet>Hantera åtgärdskonton). Migreringen ändrar inte automatiskt denna åtgärdskontoinställning . V3.x-sensorerna använder inte gMSA-konton som konfigurerats för v2.x-sensorer.

DSA- och gMSA-hälsovarningar i miljöer med både v2.x- och v3.x-sensorer

Om din arbetsplats fortfarande har ett Directory Service Account (DSA) eller grupphanterat tjänstekonto (gMSA) konfigurerat eftersom v2.x-sensorer på AD FS-, AD CS- eller Entra Connect-servrar fortfarande kräver det, fortsätter DSA- och gMSA-behörigheter att valideras på alla sensorer i arbetsområdet, inklusive v3.x-sensorer. Om validering av DSA- eller gMSA-autentiseringsuppgifter misslyckas visas hälsoaviseringen Katalogtjänstens användares autentiseringsuppgifter är felaktiga. Validering på arbetsytenivå av DSA- och gMSA-autentiseringsuppgifter på alla sensorer är avsiktligt. Defender for Identity verifierar DSA- och gMSA-autentiseringsuppgifter på arbetsytenivå för alla sensorer så länge dessa konton finns, oavsett om enskilda sensorer använder dem för granskning eller svarsåtgärder.

Defender for Identity v3.x-sensorer ignorerar DSA och gMSA för granskning och svarsåtgärder, men de ingår fortfarande i validering av behörigheter på arbetsytsnivå. Migreringen tar inte automatiskt bort DSA- eller gMSA-konfigurationen på arbetsytsnivå. För att sluta få denna hälsovarning på v3.x-sensorer, ta bort konfigurationen manuellt efter att alla sensorer är fullt migrerade till v3.x och inga v2.x-sensorer kräver det. Att ta bort arbetsytkonfigurationen raderar inte gMSA-kontot i služba Active Directory.

Testa dina förutsättningar

Kör Test-MdiReadiness.ps1-skriptet för att testa om din miljö har de nödvändiga förutsättningarna.

Skriptet Test-MdiReadiness.ps1 är också tillgängligt i Microsoft Defender XDR, på sidan Identiteter > Verktyg (förhandsversion).

Aktivera sensorn

När du har bekräftat alla krav aktiverar du sensorn från Microsoft Defender-portalen.

Konfigurera inställningar efter aktivering

Slutför de här konfigurationsstegen när sensorn har aktiverats och körs.

Konfigurera granskning av Windows-händelser

Defender for Identity förlitar sig på Windows-händelseloggar för många identifieringar. För v3.x-sensorer, aktivera automatisk granskning, som hanterar alla granskningsinställningar utan manuell konfiguration.

Om automatisk granskning inte är tillgänglig eller om du valt bort det, konfigurera granskning manuellt eller konfigurera Windows händelseinsamling med PowerShell.

Konfigurera RPC-granskning

Installera den kumulativa uppdateringen för Windows Server från september 2026 eller senare innan du installerar eller uppgraderar till Microsoft Defender for Identity-sensorn version 3.0.10 eller senare. Från och med sensorversion 3.0.8 aktiveras RPC-granskning automatiskt på domänkontroller, så du behöver inte längre använda en RPC-konfigurationstagg. Den relaterade hälsovarningen försvinner strax efter uppgraderingen.

Rekommenderade inställningar

Använd följande rekommenderade inställningar för att säkerställa stabil sensorprestanda:

• Ange Energialternativet för datorn som kör Defender for Identity-sensorn till Höga prestanda.
• Synkronisera tiden på servrarna där du installerar sensorn till inom fem minuter från varandra.

Nästa steg

Aktivera Microsoft Defender for Identity-sensorn