使用 Microsoft Intune 在macOS上部署適用於端點的 Microsoft Defender

發行項
10/29/2024

適用於：

本文說明如何透過 Microsoft Intune 在macOS上部署適用於端點的 Microsoft Defender。

必要條件和系統需求

開始之前，請參閱 macOS 上的主要適用於端點的 Microsoft Defender 頁面，以取得目前軟體版本的必要條件和系統需求說明。

概觀

下表摘要說明透過 Microsoft Intune 在 Mac 上部署和管理適用於端點的 Microsoft Defender 的步驟。如需更詳細的步驟，請參閱下表：

步驟	範例檔名	套件組合標識碼
核准系統擴充功能	`sysext.mobileconfig`	不適用
網路擴充原則	`netfilter.mobileconfig`	不適用
完整磁碟存取	`fulldisk.mobileconfig`	`com.microsoft.wdav.epsext`
適用於端點的 Microsoft Defender 組態設定如果您打算在 Mac 上執行非 Microsoft 防病毒軟體，請將設定為 `passiveModetrue`。	`MDE_MDAV_and_exclusion_settings_Preferences.xml`	`com.microsoft.wdav`
背景服務	`background_services.mobileconfig`	不適用
設定適用於端點的 Microsoft Defender 通知	`notif.mobileconfig`	`com.microsoft.wdav.tray`
輔助功能設定	`accessibility.mobileconfig`	`com.microsoft.dlp.daemon`
藍牙	`bluetooth.mobileconfig`	`com.microsoft.dlp.agent`
設定 Microsoft AutoUpdate (MAU)	`com.microsoft.autoupdate2.mobileconfig`	`com.microsoft.autoupdate2`
裝置控制件	`DeviceControl.mobileconfig`	不適用
資料外洩防護	`DataLossPrevention.mobileconfig`	不適用
下載上線套件	`WindowsDefenderATPOnboarding__MDATP_wdav.atp.xml`	`com.microsoft.wdav.atp`
在 macOS 應用程式上部署適用於端點的 Microsoft Defender	`Wdav.pkg`	不適用

建立系統組態配置檔

下一個步驟是建立適用於端點的 Microsoft Defender 需要的系統組態配置檔。在 Microsoft Intune 系統管理中心，開啟 [裝置>組態配置檔]。

步驟 1：核准系統延伸模組

在 Intune 系統管理中心，移至 [裝置]，然後在 [管理裝置] 下，選取 [設定]。
在 [ 組態配置檔] 底下，選取 [ 建立配置檔]。
在 [ 原則] 索引 標籤上，選取 [建立>新原則]。
在 [ 平臺] 底下，選取 [macOS]。
在 [配置檔類型] 下，選 取 [設定目錄]。
選取 [建立]。
在 [ 基本] 索引標籤上 ，命名配置檔並輸入 描述。 然後選取 [ 下一步]。
在 [ 組態設定] 索引標籤上， 選取 [ + 新增設定]。
在 [範本名稱] 底下，選取 [ 延伸模組]。
在 [設定] 選擇器中，展開 [系統組態] 類別，然後選取 [系統延伸模組允許的>系統延伸模組]：
關閉 [設定] 選擇器，然後選取 [+ 編輯實例]。
在 [ 允許的系統延伸 模組] 區段中設定下列專案，然後選取 [ 下一步]。

允許的系統延伸模組小組標識碼

com.microsoft.wdav.epsext UBF8T346G9

com.microsoft.wdav.netext UBF8T346G9
在 [ 指派] 索引標籤 上，將配置檔指派給macOS裝置或使用者所在的群組。
檢閱組態配置檔。選取 [建立]。

允許的系統延伸模組	小組標識碼
`com.microsoft.wdav.epsext`	`UBF8T346G9`
`com.microsoft.wdav.netext`	`UBF8T346G9`

步驟 2：網路篩選

作為端點偵測和回應功能的一部分，macOS 上的適用於端點的 Microsoft Defender 會檢查套接字流量，並將此資訊報告至 Microsoft 365 Defender 入口網站。下列原則可讓網路擴充功能執行這項功能。

從 GitHub 存放庫下載 netfilter.mobileconfig。

重要事項

僅支援一個 .mobileconfig 網路篩選器的 () 清單。新增多個網路篩選器會導致 Mac 上的網路連線問題。此問題並非 macOS 上適用於端點的 Defender 所特有。

若要設定網路篩選：

在 [ 組態配置檔] 底下，選取 [ 建立配置檔]。
在 [ 平臺] 底下，選取 [macOS]。
在 [設定檔類型] 下，選取 [範本]。
在 [範本名稱] 下，選取 [ 自定義]。
選取 [建立]。
在 [ 基本] 索引標籤上 ，為配置檔命名。例如，NetFilter-prod-macOS-Default-MDE。然後，選取 [下一步]。
在 [ 組態設定] 索引標籤上 ，輸入 自訂組態配置檔 名稱。例如，NetFilter-prod-macOS-Default-MDE。
選擇 部署通道 ，然後選取 [ 下一步]。
選取組 態配置檔，然後選取 [ 下一步]。
在 [ 指派] 索引標籤 上，將配置檔指派給 macOS 裝置和/或使用者所在的群組，或 [ 所有使用者 ] 和 [ 所有裝置]。
檢閱組態配置檔。選取 [建立]。

步驟 3：完整磁碟存取

注意事項

從macOS Catalina (10.15) 或更新版本開始，為了為使用者提供隱私權，它建立了 [ ( 完整磁碟存取]) 。啟用 TCC (透明度、同意 & 控制) 透過行動裝置裝置管理解決方案，例如 Intune，可消除適用於端點的 Defender 失去完整磁碟存取授權以正常運作的風險。

此組態配置檔會將完整磁碟存取權授與適用於端點的 Microsoft Defender。如果您先前已透過 Intune 設定適用於端點的 Microsoft Defender，建議您使用此組態配置檔來更新部署。

從 GitHub 存放庫下載 fulldisk.mobileconfig。

若要設定完整磁碟存取：

在 [Intune 系統管理中心] 的 [組態配置檔] 下，選取 [建立配置檔]。
在 [ 平臺] 底下，選取 [macOS]。
在 [設定檔類型] 下，選取 [範本]。
在 [範本名稱] 下，選取 [ 自定義]，然後選取 [ 建立]。
在 [ 基本] 索引標籤上 ，為配置檔命名。例如，FullDiskAccess-prod-macOS-Default-MDE。然後選取 [下一步]。
在 [ 組態設定] 索引標籤上 ，輸入 自訂組態配置檔 名稱。例如，FullDiskAccess-prod-macOS-Default-MDE。
選擇 [部署通道 ]，然後選取 [ 下一步]。
選取組態配置檔。
在 [ 指派] 索引標籤 上，將配置檔指派給 macOS 裝置和/或使用者所在的群組，或 [ 所有使用者 ] 和 [ 所有裝置]。
檢閱組態配置檔。選取 [建立]。

注意事項

透過 Apple MDM 組態配置檔授與的完整磁碟存取權不會反映在 系統設定 > 隱私權 & 安全 > 性完整磁碟存取中。

步驟 4：背景服務

注意

macOS 13 (Ventura) 包含新的隱私權增強功能。從這個版本開始，根據預設，應用程式在未經明確同意的情況下，無法在背景中執行。適用於端點的 Microsoft Defender 必須在背景中執行其精靈進程。此組態配置檔會將背景服務許可權授與適用於端點的 Microsoft Defender。如果您先前已透過 Microsoft Intune 設定適用於端點的 Microsoft Defender，建議您使用此組態配置檔來更新部署。

從 GitHub 存放庫下載 background_services.mobileconfig。

若要設定背景服務：

在 [ 組態配置檔] 底下，選取 [ 建立配置檔]。
在 [ 平臺] 底下，選取 [macOS]。
在 [設定檔類型] 下，選取 [範本]。
在 [範本名稱] 下，選取 [ 自定義]。
選取 [建立]。
在 [ 基本] 索引標籤上 ，為配置檔命名。例如，BackgroundServices-prod-macOS-Default-MDE。然後選取 [下一步]。
在 [ 組態設定] 索引標籤上 ，輸入 自訂組態配置檔 名稱。例如，backgroundServices-prod-macOS-Default-MDE。
選擇 部署通道 ，然後選取 [ 下一步]。
選取組態配置檔。
在 [ 指派] 索引標籤 上，將配置檔指派給 macOS 裝置和/或使用者所在的群組，或 [ 所有使用者 ] 和 [ 所有裝置]。
檢閱組態配置檔。選取 [建立]。

步驟 5：通知

此配置檔是用來允許在macOS上適用於端點的 Microsoft Defender，並Microsoft AutoUpdate 在UI中顯示通知。

從 GitHub 存放庫下載 notif.mobileconfig。

若要關閉使用者的通知，您可以將 [顯示通知中心] 從 truefalse 變更為 notif.mobileconfig。

顯示 notif.mobileconfig 的螢幕快照，其中 ShowNotificationCenter 設定為 True。

若要設定通知：

在 [ 組態配置檔] 底下，選取 [ 建立配置檔]。
在 [ 平臺] 底下，選取 [macOS]。
在 [設定檔類型] 下，選取 [範本]。
在 [範本名稱] 下，選取 [ 自定義]。
選取 [建立]。
在 [ 基本] 索引標籤上 ，為配置檔命名。例如，Notify-prod-macOS-Default-MDE。然後選取 [下一步]。
在 [ 組態設定] 索引標籤上 ，輸入 自訂組態配置檔 名稱。例如，Notif.mobileconfig。
選擇 [部署通道 ]，然後選取 [ 下一步]。
選取組態配置檔。
在 [ 指派] 索引標籤 上，將配置檔指派給 macOS 裝置和/或使用者所在的群組，或 [ 所有使用者 ] 和 [ 所有裝置]。
檢閱組態配置檔。選取 [建立]。

步驟 6：輔助功能設定

此配置檔是用來允許 macOS 上的適用於端點的 Microsoft Defender 存取 Apple macOS High Sierra (10.13.6) 和更新版本上的輔助功能設定。

從 GitHub 存放庫下載 accessibility.mobileconfig。

在 [ 組態配置檔] 底下，選取 [ 建立配置檔]。
在 [ 平臺] 底下，選取 [macOS]。
在 [設定檔類型] 下，選取 [範本]。
在 [範本名稱] 下，選取 [ 自定義]。
選取 [建立]。
在 [ 基本] 索引標籤上 ，為配置檔命名。例如，Accessibility-prod-macOS-Default-MDE。然後選取 [下一步]。
在 [ 組態設定] 索引標籤上 ，輸入 自訂組態配置檔 名稱。例如，Accessibility.mobileconfig。
選擇 部署通道 ，然後選取 [ 下一步]。
選取組態配置檔。
在 [ 指派] 索引標籤 上，將配置檔指派給 macOS 裝置和/或使用者所在的群組，或 [ 所有使用者 ] 和 [ 所有裝置]。
檢閱組態配置檔。選取 [建立]。

步驟 7：藍牙許可權

注意

macOS 14 (Sonoma) 包含新的隱私權增強功能。從此版本開始，應用程式預設無法在未經明確同意的情況下存取藍牙。如果您為裝置控制設定藍牙原則，適用於端點的 Microsoft Defender 會使用它。

從 GitHub 存放庫下載 bluetooth.mobileconfig，並使用與步驟 6：輔助功能設定中相同的工作流程來啟用藍牙存取。

注意事項

透過 Apple MDM 組態設定檔授與的藍牙不會反映在系統設定 => 隱私權 & 安全性 => 藍牙中。

步驟 8：Microsoft自動更新

此配置檔可用來透過 Microsoft AutoUpdate (MAU) 更新 macOS 上的適用於端點的 Microsoft Defender。如果您要在 macOS 上部署適用於端點的 Microsoft Defender，您可以選擇取得更新版本的應用程式， (平臺更新) 位於此處所述的不同通道中：

Beta (測試人員快速)
目前通道 (預覽，測試人員-慢速)
目前通道 (生產)

如需詳細資訊，請參閱在macOS上部署適用於端點的 Microsoft Defender的更新。

從 GitHub 存放庫下載 com.microsoft.autoupdate2.mobileconfig。

注意事項

GitHub 存放庫中的範例 com.microsoft.autoupdate2.mobileconfig 已將它設定為目前通道 (生產) 。

在 [ 組態配置檔] 底下，選取 [ 建立配置檔]。
在 [ 平臺] 底下，選取 [macOS]。
在 [設定檔類型] 下，選取 [範本]。
在 [範本名稱] 下，選取 [ 自定義]。
選取 [建立]。
在 [ 基本] 索引標籤上 ，為配置檔命名。例如，Autoupdate-prod-macOS-Default-MDE。然後選取 [下一步]。
在 [ 組態設定] 索引標籤上 ，輸入 自訂組態配置檔 名稱。例如，com.microsoft.autoupdate2.mobileconfig。
選擇 部署通道 ，然後選取 [ 下一步]。
選取組態配置檔。
在 [ 指派] 索引標籤 上，將配置檔指派給 macOS 裝置和/或使用者所在的群組，或 [ 所有使用者 ] 和 [ 所有裝置]。
檢閱組態配置檔。選取 [建立]。

步驟 9：適用於端點的 Microsoft Defender 組態設定

在此步驟中，我們會移至 [喜好設定]，讓您能夠使用 Microsoft Intune () https://intune.microsoft.com 來設定反惡意代碼和 EDR 原則。

9a. 使用入口網站 Microsoft Defender 設定原則

藉由實作下列指示或使用 Microsoft Intune，使用 Microsoft Defender 入口網站設定原則：

在使用適用於端點的 Microsoft Defender 安全性設定管理來設定安全策略之前，請先流覽在 Intune 中設定適用於端點的 Microsoft Defender。
在 Microsoft Defender 入口網站中，移至 [設定管理>端點安全策略>] [Mac 原則>] [建立新原則]。
在 [ 選取平臺] 底下，選取 [macOS]。
在 [ 選取範本] 下，選擇範本，然後選取 [ 建立原則]。
指定原則的名稱和描述，然後選取 [ 下一步]。
在 [ 指派] 索引標籤 上，將配置檔指派給 macOS 裝置和/或使用者所在的群組，或 [ 所有使用者 ] 和 [ 所有裝置]。

如需管理安全性設定的詳細資訊，請參閱：

使用 Microsoft Intune 設定原則

您可以在macOS的 [設定喜好設定] 下管理 macOS 上適用於端點的 Microsoft Defender 的安全性設定 Microsoft Intune。

如需詳細資訊，請參閱設定 Mac 上適用於端點的 Microsoft Defender 的喜好設定。

步驟 10：macOS 上適用於端點的 Microsoft Defender 的網路保護

在 Microsoft Defender 入口網站中：

移至 [ 設定管理>端點安全策略>] [Mac 原則>] [建立新原則]。
在 [ 選取平臺] 底下，選取 [macOS]。
在 [選取範本] 底下，選取 [Microsoft Defender 防病毒軟體]，然後選取 [建立原則]。
在 [ 基本] 索引標籤上 ，輸入 原則的 [名稱 ] 和 [ 描述 ]。選取 [下一步]。
在 [ 組態設定] 索引標籤的 [網络保護] 下，選取 [強制執行] 層級。選取 [下一步]。
在 [ 指派] 索引標籤 上，將配置檔指派給 macOS 裝置和/或使用者所在的群組，或 [ 所有使用者 ] 和 [ 所有裝置]。
檢閱 Review +Create 中的原則，然後選取 [ 儲存]。

提示

您也可以藉由附加來自網路保護的資訊來設定網路保護，以協助防止macOS連線到.mobileconfig步驟8中的不正確的網站。

步驟 11：macOS 上適用於端點的 Microsoft Defender 裝置控制

若要在macOS上設定適用於端點的 Microsoft Defender的裝置控制，請遵循下列步驟：

步驟 12：端點的數據外洩防護 (DLP)

若要為macOS上的端點設定 Purview 的數據外洩防護 (DLP) ，請遵循使用 Microsoft Intune 將macOS裝置上線和離線至合規性解決方案中的步驟。

步驟 13：檢查 PList (.mobileconfig) 的狀態

完成設定檔設定之後，您將能夠檢閱原則的狀態。

檢視狀態

一旦 Intune 變更傳播至已註冊的裝置，您就會看到這些變更列在 [監視>裝置狀態] 下：

用戶端裝置設定

標準公司入口網站安裝對mac裝置而言已足夠。

確認裝置管理。

選取 [開啟系統喜好設定]，在清單中找出 [管理配置檔 ]，然後選取 [ 核准...]。您的管理設定檔會顯示為 已驗證：
選取 [繼續 ] 並完成註冊。

您現在可以註冊更多裝置。您也可以在完成佈建系統設定和應用程式套件之後，於稍後註冊它們。
在 [Intune] 中，開啟 [管理>裝置>所有裝置]。您可以在這裡看到列出的裝置：

確認客戶端裝置狀態

將組態配置檔部署到您的裝置之後，請在Mac裝置上開啟 [系統喜好>設定設定檔]。
確認下列組態配置檔存在並已安裝。 管理配置檔應該是 Intune 系統配置檔。 Wdav-config 和 wdav-kext 是 Intune 中新增的系統組態配置檔：
您也應該會在右上角看到適用於端點的 Microsoft Defender 圖示。

步驟 14：發佈應用程式

此步驟可讓您將適用於端點的 Microsoft Defender 部署至已註冊的機器。

在 Microsoft Intune 系統管理中心，開啟 [應用程式]。
選 取 [依平臺>macOS>新增]。
在 [應用程式類型] 底下，選取 [macOS]。選 取 [選取]。
在 [應用程式資訊] 上，保留預設值，然後選取 [ 下一步]。
在 [指派]索引標籤上，選取 [下一步]。
檢閱和建立。您可以造訪 應用程式>依據平臺>macOS ，以在所有應用程式的清單中看到它。

如需詳細資訊，請參閱使用 Microsoft Intune 將適用於端點的 Microsoft Defender 新增至macOS裝置。

重要事項

您應該依照指定的順序建立和部署組態配置檔， (步驟 1-13) ，以成功設定系統。

步驟 15：下載上線套件

若要從 Microsoft 365 Defender 入口網站下載上線套件：

在 Microsoft 365 Defender 入口網站中，移至 [系統>設定>端點>裝置管理>上線]。
將操作系統設定為 macOS，並將部署方法設定為 Mobile 裝置管理 / Microsoft Intune。
選取 [下載上線套件]。將它 儲存為WindowsDefenderATPOnboardingPackage.zip 至相同的目錄。

擷取 .zip 檔案的內容：

unzip WindowsDefenderATPOnboardingPackage.zip

Archive:  WindowsDefenderATPOnboardingPackage.zip
warning:  WindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
 inflating: intune/kext.xml
 inflating: intune/WindowsDefenderATPOnboarding.xml
 inflating: jamf/WindowsDefenderATPOnboarding.plist

步驟 16：部署上線套件

此配置檔包含適用於端點的 Microsoft Defender 的授權資訊。

若要部署上線套件：

在 [ 組態配置檔] 底下，選取 [ 建立配置檔]。
在 [ 平臺] 底下，選取 [macOS]。
在 [設定檔類型] 下，選取 [範本]。
在 [範本名稱] 下，選取 [ 自定義]。
選取 [建立]。
在 [ 基本] 索引標籤上 ，為配置檔命名。例如，Onboarding-prod-macOS-Default-MDE。選取 [下一步]。
在 [ 組態設定] 索引標籤上 ，輸入 自訂組態配置檔 名稱。例如，WindowsDefenderATPOnboarding。
選擇 部署通道 ，然後選取 [ 下一步]。
選取組態配置檔。
在 [ 指派] 索引標籤 上，將配置檔指派給 macOS 裝置和/或使用者所在的群組，或 [ 所有使用者 ] 和 [ 所有裝置]。
檢閱組態配置檔。選取 [建立]。
開 啟 [裝置>組態配置檔] 以查看已建立的配置檔。

步驟 17：驗證反惡意代碼偵測

請參閱下列文章以測試反惡意代碼偵測檢閱：用於驗證裝置上線和 Reporting Services 的防病毒軟體偵測測試

步驟 18：驗證 EDR 偵測

請參閱下列文章以測試 EDR 偵測檢閱：用來驗證裝置上線和 Reporting Services 的 EDR 偵測測試

疑難排解

問題：找不到授權。

解決方案：請遵循本文中的步驟，使用 WindowsDefenderATPOnboarding.xml 建立裝置配置檔。

記錄安裝問題

如需有關如何在發生錯誤時尋找安裝程式所建立之自動產生的記錄檔的詳細資訊，請參閱記錄安裝問題。

如需疑難解答程序的資訊，請參閱：

卸載

如需如何從用戶端裝置移除macOS上適用於端點的 Microsoft Defender的詳細資訊，請參閱卸載。

共用方式為

使用 Microsoft Intune 在macOS上部署適用於端點的 Microsoft Defender

必要條件和系統需求

概觀