使用 Microsoft Intune 在 macOS 上部署 適用於端點的 Microsoft Defender

使用 Microsoft Intune 部署 適用於端點的 Microsoft Defender 到受管理的 macOS 裝置。 建立所需的設定檔，部署應用程式與新進套件，並驗證部署情況。 在開始之前，請先檢視前置條件與系統需求。

本文中的程序需要使用 Microsoft Intune。 Intune 是獨立產品，不包含在 Defender for Endpoint 裡，也不是所有訂閱都包含在內。 您需要包含 Intune 的訂閱方案，或者可以單獨購買 Intune。 有關授權資訊，請參見 Microsoft Intune 授權。 若欲將此方法與 Jamf Pro、另一款行動裝置管理解決方案或手動部署進行比較，請參閱 macOS 上的 Deploy Defender for Endpoint。

前置條件與系統需求

開始前，請先檢視 macOS 版 Defender for Endpoint 的前置條件，包括產品、管理員、系統、權限及網路需求。 關於產品能力與共享部署驗證，請參閱 macOS 上的 適用於端點的 Microsoft Defender。

部署概觀

下表總結了在 macOS 上搭配 Intune 部署 Defender for Endpoint 所使用的配置檔與套件。

建立系統組態設定檔

建立 適用於端點的 Microsoft Defender 所需的系統設定檔。

本節大部分步驟使用自訂的 macOS 設定檔。 詳細說明請參閱 Microsoft Intune 中「新增 Apple 裝置自訂設定」（連結會在新分頁開啟）。

當某個步驟指示您建立自訂組態設定檔時，請在 Microsoft Intune 系統管理中心的 https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration 頁面之 Policies 索引標籤中，於 選取建立>新增原則，並使用下列常用設定：

• 平台：選擇 macOS。
• 設定檔類型：選擇 範本。
• 範本名稱：選擇 自訂。

在 自訂 精靈中，請設定以下設定：

• 設定設定 標籤：使用每個相關步驟中描述的設定檔專屬設定。
• 指派 標籤：將設定檔指派給應該接收該設定檔的使用者或裝置群組。 你也可以新增範圍標籤，並從指派中排除群組。

步驟 1：核准系統擴充

使用 Intune 設定目錄來核准所需的系統擴充功能。 如需詳細指示，請參閱使用 Intune 設定目錄核准 適用於端點的 Microsoft Defender macOS 延伸模組。

在 建立設定檔 的精靈中，請於 設定 設定標籤中設定以下設定：

• 系統設定>系統擴充>允許的系統擴充：
  • 允許的系統擴充：加入 com.microsoft.wdav.epsext 和 com.microsoft.wdav.netext。
  • 球隊識別碼：輸入 UBF8T346G9。
• 系統配置>系統擴充>允許的系統擴充類型：
  • 允許的系統擴充類型：Add Network 和 EndpointSecurity。
  • 球隊識別碼：輸入 UBF8T346G9。

步驟 2：網路過濾器

Defender for Endpoint 使用網路擴充功能進行網路內容檢查。 網路過濾器設定描述檔讓擴充功能得以檢查通訊端流量。

從 Defender for Endpoint macOS 設定檔倉庫下載 netfilter.mobileconfig。

透過使用建立系統配置檔中描述的常見設定來建立自訂設定檔。 請使用以下特定設定：

• 基本 索引標籤：
  • 名稱：輸入描述性名稱，例如 macOS network filter。
• 組態設定 標籤:
  • 設定檔名稱：輸入設定檔的描述性名稱。
  • 部署通道：選擇 裝置通道。
  • 設定描述檔案：選取你下載的netfilter.mobileconfig檔案。

步驟 3：完整磁碟存取

從 Defender for Endpoint macOS 設定檔庫下載 fulldisk.mobileconfig。

透過使用建立系統配置檔中描述的常見設定來建立自訂設定檔。 請使用以下特定設定：

• 基本 索引標籤：
  • 名稱：輸入描述性名稱，例如 macOS full disk access。
• 組態設定 標籤:
  • 設定檔名稱：輸入設定檔的描述性名稱。
  • 部署通道：選擇 裝置通道。
  • 設定描述檔檔案：選擇你下載的 fulldisk.mobileconfig 檔案。

步驟四：背景調查服務

從 Defender for Endpoint macOS 設定檔庫下載 background_services.mobileconfig。

透過使用建立系統配置檔中描述的常見設定來建立自訂設定檔。 請使用以下特定設定：

• 基本 索引標籤：
  • 名稱：輸入描述性名稱，例如 macOS background services。
• 組態設定 標籤:
  • 設定檔名稱：輸入設定檔的描述性名稱。
  • 部署通道：選擇 裝置通道。
  • 設定描述檔案：選取你下載的 background_services.mobileconfig 檔案。

步驟五：通知

此設定檔允許 Defender for Endpoint 與 Microsoft AutoUpdate 顯示通知。

從 Defender for Endpoint macOS 設定檔庫下載 notif.mobileconfig。

若要對使用者隱藏通知，請在 false 中，將適用應用程式的 由 ShowInNotificationCenter 變更為 true。

透過使用建立系統配置檔中描述的常見設定來建立自訂設定檔。 請使用以下特定設定：

• 基本 索引標籤：
  • 名稱：輸入描述性名稱，例如 macOS notifications consent。
• 組態設定 標籤:
  • 設定檔名稱：輸入設定檔的描述性名稱。
  • 部署通道：選擇 裝置通道。
  • 設定描述檔案：選取你下載的 notif.mobileconfig檔案。

步驟六：無障礙設定

此設定檔授予該元件無障礙權限 com.microsoft.dlp.daemon 。

從 Defender for Endpoint macOS 設定檔庫下載 accessibility.mobileconfig。

透過使用建立系統配置檔中描述的常見設定來建立自訂設定檔。 請使用以下特定設定：

• 基本 頁籤：
  • 名稱：輸入描述性名稱，例如 macOS accessibility settings。
• 組態設定 標籤:
  • 設定檔名稱：輸入設定檔的描述性名稱。
  • 部署通道：選擇 裝置通道。
  • 設定描述檔案：選擇您下載的 accessibility.mobileconfig 檔案。

步驟7：藍牙權限（可選）

從 GitHub 倉庫下載 bluetooth.mobileconfig。

透過使用建立系統配置檔中描述的常見設定來建立自訂設定檔。 請使用以下特定設定：

• 基本 索引標籤：
  • 名稱：輸入描述性名稱，例如 macOS Bluetooth consent。
• 組態設定 標籤:
  • 設定檔名稱：輸入設定檔的描述性名稱。
  • 部署通道：選擇 裝置通道。
  • 設定描述檔案：選取您下載的 bluetooth.mobileconfig 檔案。

步驟八：Microsoft 自動更新

此設定檔用來設定 Microsoft AutoUpdate，以更新 Defender for Endpoint。 請選擇以下更新頻道之一：

• Beta
• Preview
• Current

欲了解更多資訊，請參閱 macOS 上 適用於端點的 Microsoft Defender 部署更新。

從 Microsoft AutoUpdate 設定庫下載 com.microsoft.autoupdate2.mobileconfig。

透過使用建立系統配置檔中描述的常見設定來建立自訂設定檔。 請使用以下特定設定：

• 基本 標籤頁：
  • 名稱：輸入描述性名稱，例如 macOS Microsoft AutoUpdate。
• 組態設定 標籤:
  • 設定檔名稱：輸入設定檔的描述性名稱。
  • 部署通道：選擇 裝置通道。
  • 設定描述檔案：選擇你下載的 com.microsoft.autoupdate2.mobileconfig 檔案。

步驟 9：適用於端點的 Microsoft Defender 設定組態設定

請在第 9a 步使用 Microsoft Defender 入口網站，或第 9b 步至 Microsoft Intune 管理中心設定反惡意軟體與 EDR 政策。

9a。 在 Microsoft Defender 入口網站設定政策

如果您的組織在 Microsoft Defender 入口網站管理端點安全政策，您可以使用與 Intune 相同的端點安全政策來設定防毒及端點偵測與回應（EDR）設定。

詳細說明請參閱 建立端點安全政策 或 編輯端點安全政策 （連結於新分頁開啟）。

在建立政策之前，先設定 適用於端點的 Microsoft Defender 與 Intune 之間的連線。

當您在 Defender 入口網站https://security.microsoft.com/policy-inventory?osPlatform=Mac的端點安全政策頁面的 macOS 政策標籤中建立端點安全防毒政策時，請使用以下特定設定：

• 選擇平台：選擇 macOS。
• 選擇範本：選擇 Microsoft Defender 防毒軟體。

請設定組織所需的防毒軟體設定。 接著，建立另一個包含以下設定的政策：

• 選擇平台：選擇 macOS。
• 選擇範本：選擇 端點偵測與回應。

9b。 在 Microsoft Intune 中設定原則

要建立此設定檔，複製Intune推薦設定檔 (推薦) 或Intune完整設定檔 (的程式碼，用於進階情境) ，並將檔案儲存為 com.microsoft.wdav.xml。

透過使用 建立系統配置檔中描述的常見設定來建立自訂設定檔。 請使用以下特定設定：

• 基本索引標籤：
  • 名稱：輸入描述性名稱，例如 macOS Microsoft Defender preferences。
• 組態設定 標籤:
  • 配置檔名稱：輸入 com.microsoft.wdav。
  • 部署通道：選擇 裝置通道。
  • 設定描述檔案：選取您所建立的 com.microsoft.wdav.xml 檔案。

如需詳細資訊，請參閱 在 macOS 上設定 適用於端點的 Microsoft Defender 的偏好設定。

欲了解更多管理安全設定的資訊，請參閱：

• 管理使用 Microsoft Intune 的裝置上的 適用於端點的 Microsoft Defender
• 在 Defender for Endpoint 中原生管理 Windows、macOS 和 Linux 的安全設定

步驟 10：macOS 上的適用於端點的 Microsoft Defender網路保護 (可選)

在 Microsoft Defender 防毒政策或你在步驟 9 建立的 Defender for Endpoint 偏好設定檔中設定網路防護。

關於需求、設定選項及驗證步驟，請參見 macOS 網路保護。

步驟 11：在 macOS 上為適用於端點的 Microsoft Defender 設定裝置控制（選用）

裝置控制需要 com.microsoft.dlp.daemon 的完整磁碟存取，以及獨立的裝置控制設定與原則。 fulldisk.mobileconfig步驟 3 的設定檔包含所需的全磁碟存取權限。

關於需求與設定說明，請參見 macOS 的裝置控制。

步驟 12：發布 Microsoft Defender 應用程式

將 Microsoft Defender 應用程式發佈給註冊在 Intune 的裝置。 詳細說明請參閱使用 Microsoft Intune 將 適用於端點的 Microsoft Defender 加入 macOS 裝置（連結可在新分頁開啟）。

在應用程式 |Microsoft Intune 管理中心https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allApps的所有應用程式頁面，選擇「建立」。 在選擇應用程式類型窗格中，在 適用於端點的 Microsoft Defender 下，選擇 macOS。

在 新增應用程式 的向導中，設定以下設定：

• 應用程式資訊 標籤：保留預設值。
• 指派 標籤：將應用程式指派給應該接收該應用程式的使用者或裝置群組。

步驟 13：下載 適用於端點的 Microsoft Defender 入門套件

從 Microsoft Defender 入口網站下載入職套件：

1. 在 Microsoft Defender 入口網站https://security.microsoft.com/securitysettings/endpoints/onboarding的入職頁面，請設定以下設定：

   1. 選擇作業系統以開始設定流程：選擇 macOS。

   2. 連接類型：確認已選擇 簡化 。

   3. 部署方式：選擇 Mobile 裝置管理 / Microsoft Intune。

      

2. 選擇 下載入職套件，並儲存 GatewayWindowsDefenderATPOnboardingPackage.zip。

3. 解壓 ZIP 檔案內容，以便透過 Intune 部署 WindowsDefenderATPOnboarding.xml ：

   unzip GatewayWindowsDefenderATPOnboardingPackage.zip
   

   Archive:  GatewayWindowsDefenderATPOnboardingPackage.zip
   warning:  GatewayWindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
    inflating: intune/kext.xml
    inflating: intune/WindowsDefenderATPOnboarding.xml
    inflating: jamf/WindowsDefenderATPOnboarding.plist
   

步驟 14：部署 macOS 版 適用於端點的 Microsoft Defender 入門套件

此設定檔包含 適用於端點的 Microsoft Defender 的授權資訊。

透過使用建立系統配置檔中描述的常見設定來建立自訂設定檔。 請使用以下特定設定：

• 基本 索引標籤：
  • 名稱：輸入描述性名稱，例如 適用於端點的 Microsoft Defender onboarding for macOS。
• 組態設定 標籤:
  • 設定檔名稱：輸入設定檔的描述性名稱。
  • 部署通道：選擇 裝置通道。
  • 設定檔案：選擇您從導入套件中解壓縮出的 WindowsDefenderATPOnboarding.xml 檔案。

步驟 15：檢查裝置與設定狀態

步驟15a。 檢視狀態

請使用Intune管理中心的政策報告查看裝置及使用者的簽到狀態：

1. 在 Intune 管理中心https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration的裝置 |設定頁面，選擇一個政策。

2. 在 裝置與使用者簽到狀態時，選擇 檢視報告。

步驟15b。 註冊用戶端裝置

使用 公司入口網站 來註冊 macOS 裝置：

1. 請依照 Enroll your Mac with Intune 公司入口網站 中的步驟操作。

2. 註冊完成後，請確認該裝置是否列在 Intune 管理中心的「所有裝置」頁面。https://intune.microsoft.com/#view/Microsoft_Intune_Devices/DevicesMenu/~/allDevices

步驟15c。 驗證用戶端裝置狀態

在受管理裝置上驗證設定檔和應用程式：

1. 部署完設定檔後，請在 macOS 裝置上開啟 System Settings>GeneralDevice>Management。

2. 確認你的部署設定檔是否已存在並安裝：

   • accessibility.mobileconfig，若已部署。
   • background_services.mobileconfig
   • bluetooth.mobileconfig，若已部署。
   • com.microsoft.autoupdate2.mobileconfig
   • fulldisk.mobileconfig
   • 管理設定檔，也就是 Intune 系統的設定檔。
   • WindowsDefenderATPOnboarding.xml，這是 Defender for Endpoint 的入門套件。
   • netfilter.mobileconfig
   • notif.mobileconfig

3. 請確認選單列中是否出現了 Microsoft Defender 圖示。

   

步驟 16：驗證防惡意軟體偵測

執行 防毒檢測測試 ，確認裝置已上線並正確回報。

步驟 17：驗證 EDR 偵測

執行 EDR 偵測測試 ，以驗證端點偵測與回應是否正常運作並回報正確。

步驟 18：macOS 版 Microsoft Purview 端點資料遺失防護（強烈推薦）

若要將裝置導入 Microsoft Purview 並設定端點資料遺失防護（DLP），請參閱「端點 DLP 開始使用」。

疑難排解

• 問題：Defender for Endpoint 報告未找到授權。
• 原因：裝置上線尚未完成。
• 解決方法：依步驟 13 下載入職套件，並依步驟 14 部署。

記錄安裝問題

請參閱 「安裝問題日誌 」，以查找安裝程式在錯誤發生時自動建立的日誌。

有關故障排除程序的資訊，請參見：

• 排解適用於端點的 Microsoft Defender 在 macOS 上的系統擴充功能問題
• 排解 macOS 上適用於端點的 Microsoft Defender 安裝問題
• 在 macOS 上排解 適用於端點的 Microsoft Defender 授權問題
• 在 macOS 上針對 適用於端點的 Microsoft Defender 排解雲端連線問題
• 針對 macOS 上的 適用於端點的 Microsoft Defender 效能問題進行疑難排解

解除安裝 Defender for Endpoint

請參閱 在 macOS 上解除安裝 Defender for Endpoint，以取得相關指示。