Jamf Pro で macOS ポリシーでMicrosoft Defender for Endpointを設定する

[アーティクル]
12/02/2024

適用対象:

この記事を使用して、Jamf Pro を使用して Mac 上の Defender for Endpoint のポリシーを設定します。

手順 1: Microsoft Defender for Endpoint オンボードパッケージを取得する

重要

デバイスを表示、管理、オンボードするには、適切なロールが割り当てられている必要があります。詳細については、「グローバルロールを使用してMicrosoft Defender XDRへのアクセスMicrosoft Entra管理する」を参照してください。

Microsoft Defender ポータルで、[設定>Endpoints>Onboarding] に移動します。
オペレーティングシステムとして [macOS] を選択し、展開方法として [Mobile デバイス管理/Microsoft Intune] を選択します。
[ オンボードパッケージのダウンロード (WindowsDefenderATPOnboardingPackage.zip)] を選択します。
WindowsDefenderATPOnboardingPackage.zipを抽出します。
ファイルを任意の場所にコピーします。たとえば、「 C:\Users\JaneDoe_or_JohnDoe.contoso\Downloads\WindowsDefenderATPOnboardingPackage_macOS_MDM_contoso\Jamf\WindowsDefenderATPOnboarding.plist 」のように入力します。

手順 2: オンボードパッケージを使用して Jamf Pro で構成プロファイルを作成する

前のセクションのファイル WindowsDefenderATPOnboarding.plist を見つけます。
Jamf Pro にサインインし、[ コンピューター>構成プロファイル] に移動し、[新規] を選択 します。
[ 全般 ] タブで、次の詳細を指定します。
- 名前: MDE onboarding for macOS
- 説明: MDE EDR onboarding for macOS
- カテゴリ: None
- 配布方法: Install Automatically
- レベル: Computer Level
[ アプリケーション & カスタム設定] ページに移動し、[ アップロード] を選択し、[ 追加] を選択します。
[ ファイルのアップロード (PLIST ファイル)] を選択し、[ 基本設定ドメイン] に「 com.microsoft.wdav.atp」と入力します。
[ 開く ] を選択し、オンボードファイルを選択します。
[アップロード] を選択します。
[ スコープ ] タブを選択します。
ターゲットコンピューターを選択します。
[保存] を選択します。
[完了] を選択します。

手順 3: Microsoft Defender for Endpoint設定を構成する

この手順では、Microsoft Defender ポータル (https://security.microsoft.com) または Jamf を使用してマルウェア対策ポリシーと EDR ポリシーを構成できるように、基本設定に進みます。

重要

Microsoft Defender for Endpointセキュリティ設定管理ポリシーは、Jamf set (およびその他のサードパーティ MDM) ポリシーよりも優先されます。

3a。ポータルを使用してポリシー Microsoft Defender設定する

Microsoft Defenderを使用してセキュリティポリシーを設定する前に、「IntuneでMicrosoft Defender for Endpointを構成する」のガイダンスに従ってください。
Microsoft Defender ポータルで、構成管理>Endpoint セキュリティポリシー>Mac ポリシー>新しいポリシーの作成に移動します。
[ プラットフォームの選択] で、[ macOS] を選択します。
[ テンプレートの選択] でテンプレートを選択し、[ ポリシーの作成] を選択します。
ポリシーの名前と説明を指定し、[ 次へ] を選択します。
[ 割り当て ] タブで、macOS デバイスやユーザーが配置されているグループ、または すべてのユーザー と すべてのデバイスにプロファイルを割り当てます。

セキュリティ設定の管理の詳細については、次の記事を参照してください。

3b。 Jamf を使用してポリシーを設定する

Jamf Pro GUI を使用して、Microsoft Defender for Endpoint構成の個々の設定を編集するか、テキストエディターで構成 Plist を作成して Jamf Pro にアップロードすることで、レガシメソッドを使用できます。

基本設定ドメインとして正確なcom.microsoft.wdavを使用する必要があります。 Microsoft Defender for Endpointでは、この名前とcom.microsoft.wdav.extのみを使用して管理設定を読み込みます。 ( com.microsoft.wdav.ext バージョンは、まれに GUI メソッドを使用する場合に使用できますが、スキーマにまだ追加されていない設定を構成する必要もあります)。

GUI メソッド

Defender の GitHub リポジトリからschema.json ファイルをダウンロードし、ローカルファイルに保存します。
```
curl -o ~/Documents/schema.json https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/schema/schema.json
```
新しい構成プロファイルを作成します。 [ コンピューター] の [ 構成プロファイル] に移動し、[ 全般 ] タブで次の詳細を指定します。
- 名前: MDATP MDAV configuration settings
- 説明: <blank\>
- カテゴリ: None (default)
- レベル: Computer Level (default)
- 配布方法: Install Automatically (default)
[ アプリケーション & カスタム設定 ] タブまで下にスクロールし、[ 外部アプリケーション] を選択し、[ 追加] を選択し、基本設定ドメインのソースとして カスタムスキーマ を使用します。
基本設定ドメインに「 com.microsoft.wdav 」と入力し、[ スキーマの追加 ] を選択し、手順 1 でダウンロードした schema.json ファイルをアップロードします。 [保存] を選択します。
[基本設定ドメインのプロパティ] で、サポートされているすべてのMicrosoft Defender for Endpoint構成設定を確認できます。 [ プロパティの追加と削除 ] を選択して管理する設定を選択し、[ OK] を 選択して変更を保存します。 (選択されていない設定はマネージド構成には含まれません。エンドユーザーは、それらの設定を自分のマシンで構成できます)。
設定の値を目的の値に変更します。 [ 詳細情報 ] を選択すると、特定の設定のドキュメントを取得できます。 ( Plist プレビュー を選択して、構成 plist を調べることができます。 [フォームエディター] を選択してビジュアルエディターに戻ります)。
[ スコープ ] タブを選択します。
[Contoso のコンピューターグループ] を選択します。 [ 追加] を選択し、[保存] を選択 します。
[完了] を選択します。新しい 構成プロファイルが表示されます。

Microsoft Defender for Endpointは、時間の経過に伴って新しい設定を追加します。これらの新しい設定がスキーマに追加され、新しいバージョンが GitHub に発行されます。更新プログラムを取得するには、更新されたスキーマをダウンロードし、既存の構成プロファイルを編集します。 [ アプリケーション & カスタム設定 ] タブで、[ スキーマの編集] を選択します。

レガシメソッド

次のMicrosoft Defender for Endpoint構成設定を使用します。

enableRealTimeProtection
passiveMode (この設定は既定ではオンになっていません。Mac で Microsoft 以外のウイルス対策ソフトウェアを実行する予定の場合は、 trueに設定します)。
exclusions
excludedPath
excludedFileExtension
excludedFileName
exclusionsMergePolicy
allowedThreats (EICAR はサンプルにあります。概念実証を行う場合は、EICAR をテストする場合は特に削除してください)。
disallowedThreatActions
potentially_unwanted_application
archive_bomb
cloudService
automaticSampleSubmission
tags
hideStatusMenuIcon

詳細については、「 Jamf の完全な構成プロファイルのプロパティリスト」を参照してください。

  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>antivirusEngine</key>
      <dict>
          <key>enableRealTimeProtection</key>
          <true/>
          <key>passiveMode</key>
          <false/>
          <key>exclusions</key>
          <array>
              <dict>
                  <key>$type</key>
                  <string>excludedPath</string>
                  <key>isDirectory</key>
                  <false/>
                  <key>path</key>
                  <string>/var/log/system.log</string>
              </dict>
              <dict>
                  <key>$type</key>
                  <string>excludedPath</string>
                  <key>isDirectory</key>
                  <true/>
                  <key>path</key>
                  <string>/home</string>
              </dict>
              <dict>
                  <key>$type</key>
                  <string>excludedFileExtension</string>
                  <key>extension</key>
                  <string>pdf</string>
              </dict>
              <dict>
                  <key>$type</key>
                  <string>excludedFileName</string>
                  <key>name</key>
                  <string>cat</string>
              </dict>
          </array>
          <key>exclusionsMergePolicy</key>
          <string>merge</string>
          <key>allowedThreats</key>
          <array>
              <string>EICAR-Test-File (not a virus)</string>
          </array>
          <key>disallowedThreatActions</key>
          <array>
              <string>allow</string>
              <string>restore</string>
          </array>
          <key>threatTypeSettings</key>
          <array>
              <dict>
                  <key>key</key>
                  <string>potentially_unwanted_application</string>
                  <key>value</key>
                  <string>block</string>
              </dict>
              <dict>
                  <key>key</key>
                  <string>archive_bomb</string>
                  <key>value</key>
                  <string>audit</string>
              </dict>
          </array>
          <key>threatTypeSettingsMergePolicy</key>
          <string>merge</string>
      </dict>
      <key>cloudService</key>
      <dict>
          <key>enabled</key>
          <true/>
          <key>diagnosticLevel</key>
          <string>optional</string>
          <key>automaticSampleSubmission</key>
          <true/>
      </dict>
      <key>edr</key>
      <dict>
          <key>tags</key>
          <array>
              <dict>
                  <key>key</key>
                  <string>GROUP</string>
                  <key>value</key>
                  <string>ExampleTag</string>
              </dict>
          </array>
      </dict>
      <key>userInterface</key>
      <dict>
          <key>hideStatusMenuIcon</key>
          <false/>
      </dict>
  </dict>
  </plist>

ファイルを MDATP_MDAV_configuration_settings.plistとして保存します。
Jamf Pro ダッシュボードで、 コンピューターとその 構成プロファイルを開きます。 [ 新規 ] を選択し、[ 全般 ] タブに切り替えます。
[ 全般 ] タブで、次の詳細を指定します。
- 名前: MDATP MDAV configuration settings
- 説明: <blank>
- カテゴリ: None (default)
- 配布方法: Install Automatically (default)
- レベル: Computer Level (default)
[ アプリケーション & カスタム設定] で、[構成] を選択 します。
[ ファイルのアップロード (PLIST ファイル)] を選択します。
[ 基本設定ドメイン] に「 com.microsoft.wdav」と入力し、[ PLIST ファイルのアップロード] を選択します。
[ファイルの選択] を選択します。
MDATP_MDAV_configuration_settings.plist を選択し、[開く] を選択します。
[アップロード] を選択します。

注:

Intune ファイルをアップロードすると、次のエラーが発生します。
[保存] を選択します。
ファイルがアップロードされます。
[ スコープ ] タブを選択します。
[Contoso のコンピューターグループ] を選択します。 [ 追加] を選択し、[保存] を選択 します。
[完了] を選択します。新しい 構成プロファイルが表示されます。

手順 4: 通知設定を構成する

注:

これらの手順は、macOS 11 (Big Sur) 以降で適用できます。 Jamf は macOS バージョン 10.15 以降で通知をサポートしていますが、Mac 上の Defender for Endpoint には macOS 11 以降が必要です。

Jamf Pro ダッシュボードで、[コンピューター]、[構成プロファイル] の順に選択します。
[ 新規] を選択し、[ 全般 ] タブの [ オプション] に次の詳細を指定します。
- 名前: MDATP MDAV Notification settings
- 説明: macOS 11 (Big Sur) or later
- カテゴリ: None *(default)*
- 配布方法: Install Automatically *(default)*
- レベル: Computer Level *(default)*
[通知] タブで [ 追加] を選択し、次の値を指定します。
- バンドル ID: com.microsoft.wdav.tray
- 重大なアラート: [無効] を選択します
- 通知: [有効にする] を選択します
- バナーアラートの種類: [含める] と [一時](既定値) を選択します
- ロック画面の通知: [非表示] を選択します
- 通知センターの通知: [表示] を選択します
- バッジアプリアイコン: [表示] を選択します
[通知] タブで、[もう 1 回追加 ] を選択し、[ 新しい通知設定] まで下にスクロールします。
- バンドル ID: com.microsoft.autoupdate.fba
前に説明したのと同じ値に設定の残りの部分を構成する

通知構成を含む 2 つのテーブルがあり、1 つは バンドル ID の場合は com.microsoft.wdav.tray、もう 1 つは バンドル ID: com.microsoft.autoupdate.fba です。要件に応じてアラート設定を構成できますが、バンドル ID は前の説明とまったく同じである必要があります。また、通知には [含める] スイッチを [オン] にする必要があります。
[ スコープ ] タブを選択し、[ 追加] を選択します。
[Contoso のコンピューターグループ] を選択します。 [ 追加] を選択し、[保存] を選択 します。
[完了] を選択します。新しい 構成プロファイルが表示されます。

手順 5: Microsoft AutoUpdate (MAU) を構成する

次のMicrosoft Defender for Endpoint構成設定を使用します。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
 <key>ChannelName</key>
 <string>Current</string>
 <key>HowToCheck</key>
 <string>AutomaticDownload</string>
 <key>EnableCheckForUpdatesButton</key>
 <true/>
 <key>DisableInsiderCheckbox</key>
 <false/>
 <key>SendAllTelemetryEnabled</key>
 <true/>
</dict>
</plist>

MDATP_MDAV_MAU_settings.plistとして保存します。
Jamf Pro ダッシュボードで、[全般] を選択 します。
[ 全般 ] タブで、次の詳細を指定します。
- 名前: MDATP MDAV MAU settings
- 説明: Microsoft AutoUpdate settings for MDATP for macOS
- カテゴリ: None (default)
- 配布方法: Install Automatically (default)
- レベル: Computer Level (default)
[ アプリケーション & カスタム設定] で、[ 構成] を選択 します。
[ ファイルのアップロード (PLIST ファイル)] を選択します。
[ 基本設定ドメイン] に「 com.microsoft.autoupdate2」と入力し、[ PLIST ファイルのアップロード] を選択します。
[ファイルの選択] を選択します。
[MDATP_MDAV_MAU_settings.plist] を選択します。
[アップロード] を選択します。
[保存] を選択します。
[ スコープ ] タブを選択します。
[追加] を選択します。
[完了] を選択します。

手順 6: Microsoft Defender for Endpointへのフルディスクアクセスを許可する

Jamf Pro ダッシュボードで、[ 構成プロファイル] を選択します。
[ + 新規] を選択します。
[ 全般 ] タブで、次の詳細を指定します。
- 名前: MDATP MDAV - grant Full Disk Access to EDR and AV
- 説明: On macOS 11 (Big Sur) or later, the new Privacy Preferences Policy Control
- カテゴリ: None
- 配布方法: Install Automatically
- レベル: Computer level
[ プライバシー設定ポリシー制御の構成 ] で、[構成] を選択 します。
[ プライバシー設定ポリシー制御] に、次の詳細を入力します。
- 識別子: com.microsoft.wdav
- 識別子の種類: Bundle ID
- コード要件: identifier "com.microsoft.wdav" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9
[+ 追加] を選択します。
- [ アプリまたはサービス] で、[ SystemPolicyAllFiles] を選択します。
- [ アクセス] で、[許可] を選択 します。
右下にある [ 保存 ] を選択します。
[App Access] の横にある+記号を選択して、新しいエントリを追加します。
次の詳細を入力します:
- 識別子: com.microsoft.wdav.epsext
- 識別子の種類: Bundle ID
- コード要件: identifier "com.microsoft.wdav.epsext" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9
[+ 追加] を選択します。

[ アプリまたはサービス] で、[ SystemPolicyAllFiles] を選択します。
[ アクセス] で、[許可] を選択 します。

右下にある [ 保存 ] を選択します。

[ スコープ ] タブを選択します。

[+ 追加] を選択します。

[ コンピューターグループ] を選択し、[ グループ名] で [Contoso の MachineGroup] を選択します。

[追加] を選択します。その後、[保存] を選択します。
[完了] を選択します。

または、「Jamf Pro を使用したカスタム構成プロファイルのデプロイ|方法 2: 構成プロファイルを Jamf Pro にアップロードします。

注:

Apple MDM 構成プロファイルを介して付与された完全なディスクアクセスは、システム設定 => プライバシー & セキュリティ => フルディスクアクセスには反映されません。

手順 7: Microsoft Defender for Endpointのシステム拡張機能を承認する

[構成プロファイル] で、[+ 新規] を選択します。
[ 全般 ] タブで、次の詳細を指定します。
- 名前: MDATP MDAV System Extensions
- 説明: MDATP system extensions
- カテゴリ: None
- 配布方法: Install Automatically
- レベル: Computer Level
[ システム拡張機能] で 、[構成] を選択 します。
[ システム拡張機能] に、次の詳細を入力します。
- 表示名: Microsoft Corp. System Extensions
- システム拡張機能の種類: Allowed System Extensions
- チーム識別子: UBF8T346G9
- 許可されるシステム拡張機能:
  - com.microsoft.wdav.epsext
  - com.microsoft.wdav.netext
[ スコープ ] タブを選択します。
[+ 追加] を選択します。
[コンピューターグループ] を選択>[グループ名] で>Contoso のコンピューターグループを選択します。
[+ 追加] を選択します。
[保存] を選択します。
[完了] を選択します。

手順 8: ネットワーク拡張機能を構成する

エンドポイント検出および応答機能の一部として、macOS のMicrosoft Defender for Endpointはソケットトラフィックを検査し、この情報をMicrosoft Defender ポータルに報告します。

注:

Jamf Pro ダッシュボードで、[コンピューター]、[構成プロファイル] の順に選択します。
[ 新規] を選択し、[オプション] に次の詳細を入力 します。
[ 全般 ] タブで、次の値を指定します。
- 名前: Microsoft Defender Network Extension
- 説明: macOS 11 (Big Sur) or later
- カテゴリ: None *(default)*
- 配布方法: Install Automatically *(default)*
- レベル: Computer Level *(default)*
[ コンテンツフィルター] タブで 、次の値を指定します。
- フィルター名: Microsoft Defender Content Filter
- 識別子: com.microsoft.wdav
- サービスアドレス、組織、ユーザー名、パスワード、証明書を空白のままにします ([含める] が選択されていません)
- フィルター順序: Inspector
- ソケットフィルター: com.microsoft.wdav.netext
- ソケットフィルター指定要件: identifier "com.microsoft.wdav.netext" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9
- [ネットワークフィルター] フィールドは空白のままにします ([含める] が選択されていません)
前に指定した 識別子、 ソケットフィルター 、 ソケットフィルター指定要件 の正確な値に注意してください。
[ スコープ ] タブを選択します。
[+ 追加] を選択します。 [ コンピューターグループ] を選択し、[ グループ名] で [Contoso のコンピューターグループ] を選択します。次に、[ + 追加] を選択します。
[保存] を選択します。
[完了] を選択します。

または、「Jamf Pro を使用したカスタム構成プロファイルのデプロイ|

手順 9: バックグラウンドサービスを構成する

注意

macOS 13 (Ventura) には、新しいプライバシーの強化が含まれています。このバージョン以降、既定では、明示的な同意なしにアプリケーションをバックグラウンドで実行することはできません。 Microsoft Defender for Endpointデーモンプロセスをバックグラウンドで実行する必要があります。

この構成プロファイルは、バックグラウンドサービスのアクセス許可をMicrosoft Defender for Endpointに付与します。以前に Jamf を使用してMicrosoft Defender for Endpointを構成した場合は、この構成プロファイルを使用してデプロイを更新することをお勧めします。

GitHub リポジトリから background_services.mobileconfig をダウンロードします。

Jamf Pro を使用したカスタム構成プロファイルのデプロイに関するページの説明に従って、ダウンロードした mobileconfig を Jamf 構成プロファイルにアップロードする|方法 2: 構成プロファイルを Jamf Pro にアップロードします。

手順 10: Bluetoothアクセス許可を付与する

注意

macOS 14 (Sonoma) には、新しいプライバシーの強化が含まれています。このバージョン以降、既定では、アプリケーションは明示的な同意なしにBluetoothにアクセスできません。 Microsoft Defender for Endpointデバイス制御のBluetoothポリシーを構成する場合に使用されます。

GitHub リポジトリから bluetooth.mobileconfig をダウンロードします。

警告

現在のバージョンの Jamf Pro では、この種類のペイロードはまだサポートされていません。この mobileconfig をそのままアップロードすると、Jamf Pro はサポートされていないペイロードを削除し、クライアントマシンに適用できません。最初にダウンロードした mobileconfig に署名する必要があります。その後、Jamf Pro はそれを "封印済み" と見なし、改ざんしません。以下の手順を参照してください。

KeyChain には少なくとも 1 つの署名証明書がインストールされている必要があります。自己署名証明書でも機能します。次を使用して、持っているものを検査できます。

> /usr/bin/security find-identity -p codesigning -v

  1) 70E46A47F552EA8D58521DAC1E7F5144BA3012BC "DevCert"
  2) 67FC43F3FAB77662BB7688C114585BAA37CA8175 "Mac Developer: John Doe (1234XX234)"
  3) E142DFD879E5EB60FA249FB5B24CEAE3B370394A "Apple Development: Jane Doe 7XX7778888)"
  4) 21DE31645BBF1D9F5C46E82E87A6968111E41C75 "Apple Development: me@example.com (8745XX123)"
     4 valid identities found

いずれか 1 つを選択し、引用符で囲まれたテキストを -N パラメーターとして指定します。

/usr/bin/security cms -S -N "DevCert" -i bluetooth.mobileconfig -o bluetooth-signed.mobileconfig

生成された bluetooth-signed.mobileconfig を Jamf Pro にアップロードできるようになりました。「 Jamf Pro を使用したカスタム構成プロファイルのデプロイ|方法 2: 構成プロファイルを Jamf Pro にアップロードします。

注:

Apple MDM 構成プロファイルを使用して付与されたBluetoothは、システム設定 => プライバシー & セキュリティ => Bluetoothには反映されません。

手順 11: macOS でMicrosoft Defender for Endpointを使用してスキャンをスケジュールする

「macOS でMicrosoft Defender for Endpointを使用してスキャンをスケジュールする」の手順に従います。

手順 12: macOS にMicrosoft Defender for Endpointをデプロイする

注:

次の手順では、 .pkg ファイルの名前と 表示名 の値を例に示します。これらの例では、200329はパッケージとポリシーが作成された日付 (yymmdd形式) を表し、v100.86.92は展開されているMicrosoft Defender アプリケーションのバージョンを表します。これらの値は、パッケージとポリシーの環境で使用する名前付け規則に準拠するように更新する必要があります。

wdav.pkgを保存した場所に移動します。
名前を wdav_MDM_Contoso_200329.pkg に変更します。
Jamf Pro ダッシュボードを開きます。
コンピューターを選択し、上部にある歯車アイコンを選択し、[ コンピューターの管理] を選択します。
[ パッケージ] で、[ + 新規] を選択します。
[ 全般] タブの [ 新しいパッケージ] で、次の詳細を指定します。
- 表示名: 今のところ空白のままにします。 pkg を選択するとリセットされるためです。
- カテゴリ: None (default)
- ファイル名: Choose File
ファイルを開き、 wdav.pkg または wdav_MDM_Contoso_200329.pkgにポイントします。
[開く]を選択します。 [表示名] を [Advanced Threat Protection] と [Microsoft Defender ウイルス対策] Microsoft Defender設定します。
- マニフェストファイル は必要ありません。 Microsoft Defender for Endpointマニフェストファイルなしで動作します。
- [オプション] タブ: 既定値をそのまま使用します。
- [制限事項] タブ: 既定値をそのまま使用します。
[保存] を選択します。パッケージは Jamf Pro にアップロードされます。

パッケージがデプロイに使用できるようになるまで数分かかる場合があります。
[ ポリシー] ページに 移動します。

[ + 新規] を選択して、新しいポリシーを作成します。
[ 全般] の [表示名] には、 MDATP Onboarding Contoso 200329 v100.86.92 or laterを使用します。
[ 定期的なチェックイン] を選択します。
[保存] を選択します。次 に、[パッケージ] を選択し、[構成] を選択します。
[Advanced Threat Protection と Microsoft Defender ウイルス対策] の横にある [追加] ボタンMicrosoft Defender選択します。
[保存] を選択します。

Microsoft Defender プロファイルを持つマシンのスマートグループを作成します。

ユーザーエクスペリエンスを向上させるには、Microsoft Defenderのパッケージの前に、登録済みマシンの構成プロファイルをインストールする必要があります。ほとんどの場合、JamF Pro は構成プロファイルをすぐにプッシュし、それらのポリシーはしばらくしてから実行されます (つまり、チェックイン中)。ただし、場合によっては、構成プロファイルのデプロイを大幅な遅延でデプロイできます (つまり、ユーザーのマシンがロックされている場合)。

Jamf Pro には、正しい順序を確保する方法が用意されています。既にMicrosoft Defenderの構成プロファイルを受け取ったマシン用のスマートグループを作成し、Microsoft Defenderのパッケージをそれらのマシンにのみインストールできます (このプロファイルを受け取るとすぐにインストールできます)。

次の手順を実行します。

スマートグループを作成します。新しいブラウザーウィンドウで、[ スマートコンピューターグループ] を開きます。
[ 新規] を選択し、グループに名前を付けます。
[ 抽出条件 ] タブで、[ 追加] を選択し、[ 詳細な条件の表示] を選択します。
条件として [プロファイル名] を選択し、以前に作成した構成プロファイルの名前を値として使用します。
[保存] を選択します。
パッケージポリシーを構成するウィンドウに戻るします。
[ スコープ ] タブを選択します。
ターゲットコンピューターを選択します。
[ スコープ] で、[追加] を選択 します。
[ コンピューターグループ ] タブに切り替えます。作成したスマートグループを見つけて、[ 追加] を選択します。

ユーザーが自発的に (またはオンデマンドで) Defender for Endpoint をインストールする場合は、[ セルフサービス] を選択します。

[完了] を選択します。

構成プロファイルのスコープ

Jamf では、構成プロファイルの一連のマシンを定義する必要があります。 Defender のパッケージを受け取るすべてのマシンも、上記 のすべての 構成プロファイルを受け取るようにする必要があります。

警告

Jamf では、動的に評価された特定の条件に一致するすべてのマシンへの構成プロファイルやポリシーなどの展開を許可するスマートコンピューターグループがサポートされています。これは、構成プロファイルの配布に広く使用される強力な概念です。

ただし、これらの条件には、コンピューター上の Defender の存在を含めないように注意してください。この基準を使用すると論理的に聞こえるかもしれませんが、診断が困難な問題が発生します。

Defender は、インストールの時点でこれらすべてのプロファイルに依存しています。

Defender の存在に応じて構成プロファイルを作成すると、構成プロファイルの展開が実質的に遅れ、最初に異常な製品や、プロファイルによって自動承認される特定のアプリケーションのアクセス許可の手動承認を求めるメッセージが表示されます。構成プロファイルを展開した後にMicrosoft Defenderのパッケージを使用してポリシーを展開すると、必要なすべての構成がパッケージのインストール前に適用されるため、エンドユーザーの最適なエクスペリエンスが保証されます。

ヒント

さらに多くの情報を得るには、 Tech Community 内の Microsoft Security コミュニティ (Microsoft Defender for Endpoint Tech Community) にご参加ください。

次の方法で共有

Jamf Pro で macOS ポリシーでMicrosoft Defender for Endpointを設定する

手順 1: Microsoft Defender for Endpoint オンボードパッケージを取得する

手順 2: オンボードパッケージを使用して Jamf Pro で構成プロファイルを作成する

手順 3: Microsoft Defender for Endpoint設定を構成する

3a。ポータルを使用してポリシー Microsoft Defender設定する

3b。 Jamf を使用してポリシーを設定する

GUI メソッド

レガシメソッド

手順 4: 通知設定を構成する

手順 5: Microsoft AutoUpdate (MAU) を構成する

手順 6: Microsoft Defender for Endpointへのフルディスクアクセスを許可する

手順 7: Microsoft Defender for Endpointのシステム拡張機能を承認する

手順 8: ネットワーク拡張機能を構成する

手順 9: バックグラウンドサービスを構成する

手順 10: Bluetoothアクセス許可を付与する

手順 11: macOS でMicrosoft Defender for Endpointを使用してスキャンをスケジュールする

手順 12: macOS にMicrosoft Defender for Endpointをデプロイする

Microsoft Defender プロファイルを持つマシンのスマートグループを作成します。

構成プロファイルのスコープ

フィードバック

その他のリソース

次の方法で共有

Jamf Pro で macOS ポリシーでMicrosoft Defender for Endpointを設定する

手順 1: Microsoft Defender for Endpoint オンボード パッケージを取得する

手順 2: オンボード パッケージを使用して Jamf Pro で構成プロファイルを作成する

手順 3: Microsoft Defender for Endpoint設定を構成する

3a。 ポータルを使用してポリシー Microsoft Defender設定する

3b。 Jamf を使用してポリシーを設定する

GUI メソッド

レガシ メソッド

手順 4: 通知設定を構成する

手順 5: Microsoft AutoUpdate (MAU) を構成する

手順 6: Microsoft Defender for Endpointへのフル ディスク アクセスを許可する

手順 7: Microsoft Defender for Endpointのシステム拡張機能を承認する

手順 8: ネットワーク拡張機能を構成する

手順 9: バックグラウンド サービスを構成する

手順 10: Bluetoothアクセス許可を付与する

手順 11: macOS でMicrosoft Defender for Endpointを使用してスキャンをスケジュールする

手順 12: macOS にMicrosoft Defender for Endpointをデプロイする

Microsoft Defender プロファイルを持つマシンのスマート グループを作成します。

構成プロファイルのスコープ

フィードバック

その他のリソース

手順 1: Microsoft Defender for Endpoint オンボードパッケージを取得する

手順 2: オンボードパッケージを使用して Jamf Pro で構成プロファイルを作成する

3a。ポータルを使用してポリシー Microsoft Defender設定する

レガシメソッド

手順 6: Microsoft Defender for Endpointへのフルディスクアクセスを許可する

手順 9: バックグラウンドサービスを構成する

Microsoft Defender プロファイルを持つマシンのスマートグループを作成します。