Laitteen hallintakäytännöt Microsoft Defender for Endpoint

Koskee seuraavia:

• Microsoft Defender for Endpoint Plan 1
• Microsoft Defender for Endpoint Plan 2
• Microsoft Defender for Business

Tässä artikkelissa kuvataan laitteen hallintakäytännöt, säännöt, merkinnät, ryhmät ja lisäehdot. Pohjimmiltaan laitteen hallintakäytännöt määrittävät käyttöoikeuden joukolle laitteita. Laajuuteen kuuluvat laitteet määräytyvät sisällytettyjen laiteryhmien luettelon ja pois jätettyjen laiteryhmien luettelon mukaan. Käytäntöä sovelletaan, jos laite on kaikissa sisällytetyissä laiteryhmissä eikä yhdessäkään pois jätetyssä laiteryhmässä. Jos käytäntöjä ei käytetä, käytetään oletusarvoista pakotusta.

Laitteen ohjausobjekti on oletusarvoisesti poissa käytöstä, joten kaikentyyppisten laitteiden käyttö on sallittua. Lisätietoja laitteen hallinnasta on kohdassa Laiteohjausobjekti Microsoft Defender for Endpoint.

Oletustoiminnan hallinta

Kun laiteohjausobjekti on käytössä, se on oletusarvoisesti käytössä kaikissa laitetyypeissä. Oletusarvon mukaista pakottamista voidaan muuttaa myös Salli-asetukseksi Estä. Suojaustiimisi voi myös määrittää laitetyypit, joita laitteen hallinta suojaa. Seuraavassa taulukossa esitetään, miten eri asetusyhdistelmät muuttavat käyttöoikeuksien valvontapäätöstä.

Onko laitteen ohjausobjekti käytössä?	Oletustoiminta	Laitetyypit
Ei	Käyttö on sallittu	- CD- tai DVD-asemat -Tulostimet - Siirrettävät tietovälinelaitteet – kannettavat Windows-laitteet
Kyllä	(Ei määritetty) Käyttö on sallittu	- CD- tai DVD-asemat -Tulostimet - Siirrettävät tietovälinelaitteet – kannettavat Windows-laitteet
Kyllä	Kieltää	- CD- tai DVD-asemat -Tulostimet - Siirrettävät tietovälinelaitteet – kannettavat Windows-laitteet
Kyllä	Estä siirrettävät medialaitteet ja tulostimet	- Tulostimet ja siirrettävät medialaitteet (estetty) - CD-/DVD-asemat ja kannettavat Windows-laitteet (sallittu)

Kun laitetyyppejä määritetään, Laitteen hallinta Defender for Endpointissa ohittaa pyynnöt muille laiteperheille.

Lisätietoja on seuraavissa artikkeleissa:

• Ota käyttöön ja hallitse laitteen ohjausobjektia Intune
• Ota käyttöön ja hallitse laitteen ohjausobjektia ryhmäkäytäntö avulla

Käytännöt

Laitteiden käyttöoikeuksien tarkentamiseksi laitteen ohjausobjekti käyttää käytäntöjä. Käytäntö on joukko sääntöjä ja ryhmiä. Sääntöjen ja ryhmien määritelmät vaihtelevat hieman hallintakokemusten ja käyttöjärjestelmien välillä seuraavassa taulukossa kuvatulla tavalla.

Hallintatyökalu	Käyttöjärjestelmä	Sääntöjen ja ryhmien hallinta
Intune – Laitteen hallintakäytäntö	Windows	Laite- ja tulostinryhmiä voidaan hallita uudelleenkäytettävissä olevissa asetuksissa ja sisällyttää sääntöihin. Kaikki ominaisuudet eivät ole käytettävissä laitteen hallintakäytännössä (katso Ota käyttöön ja hallitse laitteen ohjausobjektia Microsoft Intune kanssa)
Intune – Mukautettu	Windows	Kukin ryhmä/sääntö tallennetaan XML-merkkijonona mukautettuun määrityskäytäntöön. OMA-URI sisältää ryhmän/säännön GUID-tunnuksen. GUID on luotava.
Ryhmäkäytäntö	Windows	Ryhmät ja säännöt määritetään ryhmäkäytäntö-objektin erillisissä XML-asetuksissa (katso Laitteen ohjausobjektin käyttöönotto ja hallinta ryhmäkäytäntö).
Intune	Mac	Säännöt ja käytännöt yhdistetään yhdeksi JSON-muotoon ja sisällytetään mobileconfig tiedostoon, joka otetaan käyttöön käyttämällä Intune
JAMF	Mac	Säännöt ja käytännöt yhdistetään yhdeksi JSON-muotoon ja määritetään käyttämällä JAMF:tä laitteen hallintakäytäntönä (katso MacOS:n laitehallinta)

Säännöt ja ryhmät tunnistetaan yleisen yksilöivän tunnuksen (GUID) mukaan. Jos laitteen hallintakäytännöt otetaan käyttöön jollakin muulla hallintatyökalulla kuin Intune, GUID-tunnukset on luotava. Voit luoda GUID-tunnukset käyttämällä PowerShelliä.

Lisätietoja rakenteesta on kohdassa JSON-rakenne Macille.

Käyttäjät

Laitteen hallintakäytäntöjä voidaan käyttää käyttäjille ja/tai käyttäjäryhmille.

Huomautus

Laiteohjausobjektiin liittyvissä artikkeleissa käyttäjäryhmiä kutsutaan käyttäjäryhmiksi. Termiryhmät viittaavat ryhmiin, jotka on määritetty laitteen ohjausobjektikäytännössä.

Intune avulla laitteen hallintakäytännöt voidaan kohdistaa Joko Macissa ja Windowsissa Entra Id:ssä määritetyille käyttäjäryhmille.

Windowsissa käyttäjä tai käyttäjäryhmä voi olla käytännön merkinnän ehto.

Käyttäjä- tai käyttäjäryhmiä käyttävät merkinnät voivat viitata objekteihin joko Entra-tunnuksesta tai paikallisesta Active Directorysta.

Laitteen hallinnan käytön parhaat käytännöt käyttäjien ja käyttäjäryhmien kanssa

• Jos haluat luoda säännön yksittäiselle käyttäjälle Windowsissa, luo sääntöön merkintä, joka Sid sisältää ehdon jokaiselle käyttäjälle

• Jos haluat luoda säännön käyttäjäryhmälle Windowsissa ja Intune, luo merkintä, jolla on Sid ehto kullekin käyttäjäryhmälle [säännöstä] ja kohdista käytäntö tietokoneryhmään Intune tai luo sääntö ilman ehtoja ja kohdista käytäntö Intune käyttäjäryhmälle.

• Macissa voit käyttää Intune ja kohdistaa käytännön entra-tunnuksen käyttäjäryhmälle.

Varoitus

Älä käytä sekä käyttäjä-/käyttäjäryhmäehtoja säännöissä että käyttäjäryhmälle, joiden kohteena on Intune.

Huomautus

Jos verkkoyhteys on ongelma, käytä Intune käyttäjäryhmälle kohdistamista tai paikallista Active Directory -ryhmää. Käyttäjä-/käyttäjäryhmäehtoja, jotka viittaavat Entra-tunnukseen, tulee käyttää vain ympäristöissä, joissa on luotettava yhteys Entra-tunnukseen.

Säännöt

Sääntö määrittää sisällytettyjen ryhmien luettelon ja pois jätettyjen ryhmien luettelon. Jotta sääntöä voidaan soveltaa, laitteen on oltava kaikissa sisällytetyissä ryhmissä eikä missään pois jätetyissä ryhmissä. Jos laite vastaa sääntöä, kyseisen säännön merkinnät arvioidaan. Merkintä määrittää käytetyt toiminto- ja ilmoitusasetukset, jos pyyntö vastaa ehtoja. Jos sääntöjä ei käytetä tai kirjaukset eivät vastaa pyyntöä, käytetään oletusarvoista pakottamista.

Jos haluat esimerkiksi sallia kirjoitusoikeuden joillekin USB-laitteille ja lukuoikeuden kaikille muille USB-laitteille, käytä seuraavia käytäntöjä, ryhmiä ja merkintöjä, joiden oletusarvoinen pakotus on asetettu kieltämään.

Ryhmä	Kuvaus
Kaikki siirrettävät tallennuslaitteet	Siirrettävät tallennuslaitteet
Kirjoitettavat USB-objektit	Niiden USB:iden luettelo, joissa kirjoitusoikeudet ovat sallittuja

Sääntö	Sisällytetty laitteen Ryhmät	Poissuljettu laitteen Ryhmät	Merkintä
Vain luku -oikeudet yhdysvaltain keskuspankeille	Kaikki siirrettävät tallennuslaitteet	Kirjoitettavat USB-objektit	Vain luku -oikeudet
Usb-objektien kirjoitusoikeudet	Kirjoitettavat USB-objektit		Kirjoitusoikeus

Säännön nimi näkyy portaalissa raportointia varten ja ilmoitusruutuilmoituksessa käyttäjille, joten muista antaa säännöille kuvaavia nimiä.

Voit määrittää sääntöjä muokkaamalla käytäntöjä Intune, käyttämällä XML-tiedostoa Windowsissa tai käyttämällä JSON-tiedostoa Macissa. Saat lisätietoja valitsemalla kunkin välilehden.

Intune

Seuraavassa kuvassa esitetään laitteen hallintakäytännön määritysasetukset Intune:

Näyttökuvassa Sisällytetyt tunnukset ja Pois jätetty tunnus ovat viittauksia sisällytettyihin ja pois jätettyihin uudelleenkäytettäviin asetusryhmiin. Käytännöllä voi olla useita sääntöjä.

Intune ei kunnioita sääntöjen järjestystä. Sääntöjä voidaan arvioida missä tahansa järjestyksessä, joten varmista, että jätät nimenomaisesti pois laiteryhmät, jotka eivät kuulu säännön vaikutusalueeseen.

XML (Windows)

Seuraava koodikatkelma näyttää laitteen ohjausobjektin käytäntösäännön syntaksin XML:ssä:

<PolicyRule Id="{75a4e33a-5268-4552-bef2-e34dd0c39cb1}">
  <Name>Read Only Access for USBs</Name>
  <IncludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171694}</GroupId>
  </IncludedIdList>
  <ExcludedIdList>
      <GroupId>{3f5253e4-0e73-4587-bb9e-bb29a2171695}</GroupId>
  </ExcludedIdList>
  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
   ...
  </Entry>
  <Entry Id="{34413b98-8198-4e16-accf-c95c3c775ba3}">
    ...
  </Entry>
</PolicyRule> 

Seuraavassa taulukossa on enemmän kontekstia XML-koodikatkelmalle:

Ominaisuuden nimi	Kuvaus	Asetukset
PolicyRule Id	Yksilöivä GUID-tunnus edustaa käytäntöä, ja sitä käytetään raportoinnissa ja vianmäärityksessä.	Voit luoda tunnuksen PowerShellin kautta.
Name	Merkkijono, käytännön nimi ja näytetään ilmoitusruudussa käytäntöasetuksen perusteella.
IncludedIdList	Ryhmät, joita käytäntö koskee. Jos useita ryhmiä lisätään, median on oltava luettelon jokaisen ryhmän jäsen, jotta se voidaan sisällyttää.	Tässä esiintymässä on käytettävä ryhmätunnusta/GUID-tunnusta. Seuraavassa esimerkissä näytetään GroupID:n käyttö: <IncludedIdList> <GroupId> {EAA4CCE5-F6C9-4760-8BAD-FDCC76A2ACA1}</GroupId> </IncludedIdList>
ExcludedIDList	Ryhmät, joihin käytäntöä ei sovelleta. Jos useita ryhmiä lisätään, median on oltava luettelossa olevan ryhmän jäsen, jotta se voidaan sulkea pois.	Tässä esiintymässä on käytettävä ryhmätunnusta/GUID-tunnusta.
Entry	Yhdessä PolicyRule-määrityksessä voi olla useita merkintöjä. jokainen merkintä, jolla on yksilöllinen GUID-tunnus, kertoo laitteen ohjausobjektille yhden rajoituksen.	Katso lisätietoja alla olevasta Merkinnän ominaisuudet -taulukosta.

JSON (Mac)

Seuraava koodikatkelma näyttää laitteen ohjausobjektin käytäntösäännön syntaksin JSON for macOS:ssä:

{
      "id": "75a4e33a-5268-4552-bef2-e34dd0c39cb1",
      "name": "Read Only Access for USBs",
      "includeGroups": [
        "3f5253e4-0e73-4587-bb9e-bb29a2171694"
      ],
      "includedGroups":[
         "3f5253e4-0e73-4587-bb9e-bb29a2171695"
      ]
      "entries": [
        ...
      ]
    } 

Seuraavassa taulukossa on enemmän kontekstia XML-koodikatkelmalle:

Ominaisuuden nimi	Kuvaus	Asetukset
id	YKSILÖIVÄ GUID-tunnus edustaa sääntöä, ja sitä käytetään käytännössä.	New-Guid (Microsoft.PowerShell.Utility) - PowerShell<br/>uuidgen
name	Merkkijono, käytännön nimi ja näytetään ilmoitusruudussa käytäntöasetuksen perusteella.
includeGroups	Ryhmät, joissa käytäntöä käytetään. Jos määritettynä on useita ryhmiä, käytäntö koskee kaikkia näiden ryhmien medioita. Jos tätä ei määritetä, sääntö koskee kaikkia laitteita.	Tässä esiintymässä on käytettävä ryhmän sisältämää tunnusarvoa. Jos includeGroups-kohteessa on useita ryhmiä, se on AND. "includeGroups": ["3f082cd3-f701-4c21-9a6a-ed115c28e217"]
excludeGroups	Ryhmä, johon käytäntöä ei sovelleta.	Ryhmän id sisällä olevaa arvoa on käytettävä tässä esiintymässä. Jos excludeGroups-ryhmissä on useita ryhmiä, se on OR.
entries	Yhdellä säännöllä voi olla useita merkintöjä. jokainen merkintä, jolla on yksilöllinen GUID-tunnus, kertoo laitteen ohjausobjektille yhden rajoituksen.	Lisätietoja on tämän artikkelin kohdassa Merkinnän ominaisuudet -taulukko.

Merkinnät

Laitteen hallintakäytännöt määrittävät käyttöoikeuden (jota kutsutaan merkinnäksi) joukolle laitteita. Merkinnät määrittävät toiminto- ja ilmoitusasetukset laitteille, jotka vastaavat käytäntöä ja merkinnässä määritettyjä ehtoja.

Merkintäasetus	Asetukset
AccessMask	Ottaa toiminnon käyttöön vain, jos käyttöoikeustoiminnot vastaavat käyttöpeitettä – Käyttöoikeuspeite on käyttöoikeusarvojen bittiviisas TAI: 1 - Laitteen luku 2 - Laitteen kirjoitus 4 - Laitteen suorittaminen 8 - Tiedoston luku 16 - Tiedoston kirjoitus 32 - Tiedosto suoritetaan 64 - Tulosta Esimerkki: Laitteen luku-, kirjoitus- ja suoritusarvo = 7 (1+2+4) Laitteen luku, levyn luku = 9 (1+8)
Toiminta	Salli Kieltää AuditAllow AuditDeny
Ilmoitus	Ei mitään (oletus) Tapahtuma luodaan Käyttäjä saa ilmoituksen

Merkinnän arviointi

Tietueita on kahdenlaisia: pakotusmerkintöjä (Salli/Kiellä) ja valvontamerkintöjä (AuditAllow/AuditDeny).

Säännön pakotusmerkinnät arvioidaan järjestyksessä, kunnes kaikki pyydetyt käyttöoikeudet on täsmätty. Jos mikään merkintä ei vastaa sääntöä, seuraava sääntö arvioidaan. Jos mikään sääntö ei vastaa toisiaan, käytetään oletusarvoa.

Valvontamerkinnät

Valvontatapahtumat ohjaavat toimintaa, kun laitteen ohjausobjekti valvoo sääntöä (salli/estä). Laitteen ohjausobjekti voi näyttää ilmoituksen käyttäjälle. Käyttäjä saa ilmoituksen, joka sisältää laitteen hallintakäytännön nimen ja laitteen nimen. Ilmoitus tulee näkyviin kerran tunnissa sen jälkeen, kun ensimmäinen käyttö on estetty.

Laitteen ohjausobjekti voi myös luoda tapahtuman, joka on saatavilla laajennetussa metsästyksessä.

Tärkeää

Päivittäinen laitekohtainen 300 tapahtuman raja on 300. Valvontamerkinnät käsitellään sen jälkeen, kun täytäntöönpanopäätös on tehty. Kaikki vastaavat valvontamerkinnät arvioidaan.

Olosuhteet

Merkintä tukee seuraavia valinnaisia ehtoja:

• Käyttäjä/käyttäjäryhmän ehto: Toiminto koskee vain SID:n tunnistamaa käyttäjä-/käyttäjäryhmää

Huomautus

Käytä Microsoft Entra tunnukseen tallennettujen käyttäjäryhmien ja käyttäjien tapauksessa objektitunnusta ehdossa. Käytä paikallisesti tallennettuihin käyttäjäryhmiin ja käyttäjiin suojaustunnusta (SID).

Huomautus

Windowsissa kirjautuneen käyttäjän SID voidaan hakea suorittamalla PowerShell-komento whoami /user.

• Koneen ehto: Toimintoa sovelletaan vain SID:n määrittämään laitteeseen tai ryhmään
• Parametrien ehto: Käyttää toimintoa vain, jos parametrit vastaavat toisiaan (Katso lisäehdot)

Merkinnät voidaan rajata tarkemmin tiettyihin käyttäjiin ja laitteisiin. Voit esimerkiksi sallia näiden USB:iden lukuoikeuden vain tälle käyttäjälle tässä laitteessa.

Politiikka	Sisällytetty laitteen Ryhmät	Poissuljettu laitteen Ryhmät	Merkintä(ä)
Vain luku -oikeudet yhdysvaltain keskuspankeille	Kaikki siirrettävät tallennuslaitteet	Kirjoitettavat USB-objektit	Vain luku -oikeudet
Usb-objektien kirjoitusoikeudet	Kirjoitettavat USB-objektit		Kirjoitusoikeus käyttäjälle 1 Kirjoitusoikeudet käyttäjälle 2 laiteryhmässä A

Merkinnän kaikkien ehtojen on oltava tosia, jotta toiminto voidaan ottaa käyttöön.

Voit määrittää merkintöjä käyttämällä Intune, Windowsin XML-tiedostoa tai Macin JSON-tiedostoa. Saat lisätietoja valitsemalla kunkin välilehden.

Intune

Intune Access-peitekentässä on esimerkiksi seuraavat vaihtoehdot:

• Lue (levytason luku = 1)
• Kirjoitus (levytason kirjoitus = 2)
• Suorita (levytason suoritus = 4)
• Tulosta (Tulosta = 64).

Kaikki ominaisuudet eivät näy Intune käyttöliittymässä. Lisätietoja on kohdassa Ota käyttöön ja hallitse laitteen ohjausobjektia Intune avulla.

XML (Windows)

Seuraava koodikatkelma näyttää laiteohjausobjektin merkinnän syntaksin XML:ssä:

  <Entry Id="{e3837e60-5e56-43ce-8095-043ccd793eac}">
    <Type>Allow</Type>
    <Options>0</Options>
    <AccessMask>1</AccessMask>
  </Entry> 

Seuraavassa taulukossa on enemmän kontekstia XML-koodikatkelmalle:

Ominaisuuden nimi	Kuvaus	Vaihtoehto
Entry Id	GUID, yksilöllinen tunnus, edustaa merkintää, ja sitä käytetään raportoinnissa ja vianmäärityksessä.	Voit luoda GUID-tunnuksen käyttämällä PowerShelliä.
Type	Määrittää toiminnon siirrettäville tallennusryhmille kohteessa IncludedIDList. - Allow - Deny - AuditAllowed: Määrittää ilmoituksen ja tapahtuman, kun käyttö on sallittua - AuditDenied: Määrittää ilmoituksen ja tapahtuman, kun käyttö on estetty. toimii yhdessä merkinnän Deny kanssa. Kun samalle medialle on ristiriitatyyppejä, järjestelmä käyttää käytännön ensimmäistä. Esimerkki ristiriitatyypistä on Allow ja Deny.	- Allow - Deny - AuditAllowed - AuditDenied
Option	Jos tyyppi on Allow	- 0:ei mitään - 4: Poista käytöstä AuditAllowed ja AuditDenied tämän merkinnän kohdalla. Jos Allow tapahtuu ja AuditAllowed asetus on määritetty, tapahtumia ei luoda.
Option	Jos tyyppi on Deny	- 0:ei mitään - 4: poista käytöstä AuditDenied tämän merkinnän kohdalla. Jos Block ilmenee ja asetus AuditDenied on määritetty, järjestelmä ei näytä ilmoituksia.
Option	Jos tyyppi on AuditAllowed	- 0:ei mitään - 1:ei mitään - 2: lähetä tapahtuma
Option	Jos tyyppi on AuditDenied	- 0:ei mitään - 1: näytä ilmoitus - 2: lähetä tapahtuma - 3: näytä ilmoitus ja lähetä tapahtuma
AccessMask	Määrittää käyttöoikeuden	Katso seuraavasta osiosta Lisätietoja rajoitinkäyttötavoista
Sid	Paikallisen käyttäjän SID- tai käyttäjän SID-ryhmä, Microsoft Entra-objektin SID tai objektitunnus. Se määrittää, sovelletaanko tätä käytäntöä tietylle käyttäjä- vai käyttäjäryhmälle. Yhdellä merkinnällä voi olla enintään yksi SID- ja merkintä ilman SID-tunnusta, mikä tarkoittaa käytännön soveltamista laitteessa.	SID
ComputerSid	Paikallisen tietokoneen SID tai tietokoneen SID-ryhmä, Microsoft Entra objektin SID tai objektitunnus. Se määrittää, otetaanko tämä käytäntö käyttöön tietyssä laitteessa vai laiteryhmässä. Yhdellä merkinnällä voi olla enintään yksi ComputerSID ja merkintä ilman ComputerSID-koodauksen keinoja käytännön käyttöön laitteessa. Jos haluat käyttää merkintää tietylle käyttäjälle ja tietylle laitteelle, lisää sekä SID että ComputerSID samaan merkintään.	SID
Parameters	Merkinnän ehto, kuten verkkoehto.	Voi lisätä ryhmiä (muita kuin laitetyyppejä) tai jopa lisätä parametreja parametreihin. Lisätietoja on lisäehtojen osiossa (tässä artikkelissa).

Tutustu peitekäyttöyn (Windows)

Laitteen ohjausobjekti käyttää käyttöoikeuspeitetta määrittääkseen, vastaako pyyntö merkintää. Seuraavat toiminnot ovat käytettävissä issa CdRomDevices, RemovableMediaDevicesja WpdDevices:

Access	Naamio
Levytason luku	1
Levytason kirjoitus	2
Levytason suorittaminen	4
Tiedostojärjestelmän luku	8
Tiedostojärjestelmän kirjoitus	16
Tiedostojärjestelmän suorittaminen	32

Seuraavat toiminnot ovat käytettävissä PrinterDevices-palvelussa:

• Käyttö: Tulosta
• Peite: 64

Voit käyttää useita käyttöoikeusasetuksia suorittamalla binaarisen OR-toiminnon. Tässä on esimerkki:

• Luku- ja kirjoitus- ja suoritusoikeuskartta on 7
• Luku- ja kirjoitusoikeuskartta on 3

JSON (Mac)

Seuraava koodikatkelma näyttää laiteohjausobjektin syntaksin JSON for macOS:ssä:

{
          "$type": "generic",
          "id": "e3837e60-5e56-43ce-8095-043ccd793eac",
          "enforcement": {
            "$type": "allow"
          },
          "access": [
            "generic_read"
          ]
} 

Seuraavassa taulukossa on enemmän kontekstia JSON-koodikatkelmalle:

Ominaisuuden nimi	Kuvaus	Asetukset
id	GUID, yksilöllinen tunnus, edustaa merkintää, ja sitä käytetään raportoinnissa ja vianmäärityksessä.	Voit luoda tunnuksen käyttämällä PowerShelliä.
enforcement $type	Määrittää toiminnon siirrettäville tallennusryhmille kohteessa includedGroups. - allow - deny - auditAllow: Määrittää ilmoituksen ja tapahtuman, kun käyttö on sallittua - AuditDeny: Määrittää ilmoituksen ja tapahtuman, kun käyttö on estetty. on toimittava yhdessä Estä-merkinnän kanssa. Kun samalle medialle on ristiriitatyyppejä, järjestelmä käyttää käytännön ensimmäistä. Esimerkki ristiriitatyypistä ovat Salli ja Estä.	enforcement $type Määrite voi olla jokin seuraavista arvoista: - allow - deny - auditAllow - auditDeny
enforcement $options	Jos pakottamisen $type on sallittu	disable_audit_allow: Jos Salli tapahtuu ja auditAllow on määritetty, järjestelmä ei lähetä tapahtumia.
enforcement $options	Jos $type pakotetaan	disable_audit_deny: Jos Block tapahtuu ja auditDeny-asetus on määritetty, järjestelmä ei näytä ilmoituksia eikä lähetä tapahtumia.
enforcement $options	Jos $type on auditAllow	send_event: Lähettää telemetriatietoja
enforcement $options	Jos $type on auditDeny	- send_event: Lähettää telemetriatietoja - show_notification: Näyttää käyttäjälle lähetettävän estoviestin
$type	Merkinnän tyyppi. -tyyppi määrittää toiminnot, jotka voidaan suojata laitteen ohjausobjektilla	Määritteet $type voivat olla mitä tahansa seuraavista arvoista: - removableMedia - appleDevice - PortableDevice - bluetoothDevice
access	Luettelo toiminnoista, jotka tämä tapahtuma myöntää	Katso seuraava osio" "Tutustu Mac-käyttöoikeutta"

Käyttöoikeuden ymmärtäminen (Mac)

Merkinnälle on kahdentyyppisiä käyttöoikeuksia: yleinen ja laitetyyppikohtainen.

• Yleisiä käyttöoikeusasetuksia ovat , generic_readgeneric_writeja generic_execute.
• Laitetyyppikohtainen käyttö hienosäätää hallintaa, koska laitetyyppikohtaiset käyttöoikeusarvot sisältyvät yleisiin käyttöoikeustyyppeihin.

Seuraavassa taulukossa kuvataan laitteen tyyppikohtainen käyttöoikeus ja se, miten ne yhdistetään yleisiin käyttöoikeustyyppeihin.

Laitetyyppi ($type)	Laitetyyppikohtainen käyttöoikeus	Kuvaus	Lukea	Kirjoittaa	Suorittaa
appleDevice	backup_device		X
appleDevice	update_device			X
appleDevice	download_photos_from_device	lataa valokuvat tietystä iOS-laitteesta paikalliseen laitteeseen	X
appleDevice	download_files_from_device	lataa tiedostot tietystä iOS-laitteesta paikalliseen laitteeseen	X
appleDevice	sync_content_to_device	synkronoi sisältöä paikallisesta laitteesta tiettyyn iOS-laitteeseen		X
portableDevice	download_files_from_device	X
portableDevice	send_files_to_device			X
portableDevice	download_photos_from_device		X
portableDevice	debug	ADB-työkalun ohjausobjekti			X
removableMedia	read		X
removableMedia	write			X
removableMedia	execute				X
bluetoothDevice	download_files_from_device		X
bluetoothDevice	send_files_to_device			X

Ryhmät

Ryhmät määrittää ehdot objektien suodattamiselle niiden ominaisuuksien mukaan. Objekti määritetään ryhmälle, jos sen ominaisuudet vastaavat ryhmälle määritettyjä ominaisuuksia.

Huomautus

tämän osion Ryhmät eivät viittaa käyttäjäryhmiin.

Esimerkki:

• Sallitut USB:t ovat kaikki laitteita, jotka vastaavat mitä tahansa näistä valmistajista
• Kadonneet USB:t ovat kaikki laitteita, jotka vastaavat mitä tahansa näistä sarjanumeroista
• Sallitut tulostimet ovat kaikki laitteita, jotka vastaavat mitä tahansa näistä VID/PID-laitteista

Ominaisuudet voidaan sovittaa yhteen neljällä tavalla: MatchAll, MatchAny, MatchExcludeAllja MatchExcludeAny

• MatchAll: Ominaisuudet ovat And-suhde. Jos esimerkiksi järjestelmänvalvoja asettaa DeviceID -ja InstancePathID-parametrin jokaiselle yhdistetylle USB:lle, järjestelmä tarkistaa, vastaako USB molempia arvoja.
• MatchAny: Ominaisuudet ovat Or-suhde. Jos esimerkiksi järjestelmänvalvoja asettaa DeviceID-tunnuksen ja InstancePathID, jokaiselle yhdistetylle USB:lle, järjestelmä edellyttää, kunhan USB:llä on joko identtinen DeviceID arvo tai InstanceID arvo.
• MatchExcludeAll: Ominaisuudet ovat "Ja"-suhde, kaikki kohteet, jotka eivät täytä, käsitellään. Jos järjestelmänvalvoja esimerkiksi asettaa ja InstancePathID käyttää MatchExcludeAll-parametria DeviceID jokaiselle yhdistetylle USB:lle, järjestelmä pakottaa sen, kunhan USB:llä ei ole sekä identtistä että samaa DeviceIDInstanceID arvoa.
• MatchExcludeAny: Ominaisuudet ovat "Tai"-suhde. Kaikki kohteet, jotka eivät täytä, käsitellään. Jos järjestelmänvalvoja esimerkiksi asettaa DeviceID ja InstancePathID käyttää MatchExcludeAnykohdetta jokaiselle yhdistetylle USB:lle, järjestelmä pakottaa toiminnon, kunhan USB:llä ei ole identtistä DeviceID arvoa tai InstanceID arvoa.

Ryhmät käytetään kahdella tavalla: voit valita laitteita, jotka sisällytetään tai jätetään pois säännöistä, ja suodattaa käyttö edistyneiden ehtojen mukaan. Tässä taulukossa on yhteenveto ryhmätyypeistä ja niiden käyttötavan.

Kirjoita	Kuvaus	O/S	Sisällytä tai jätä pois -säännöt	Lisäehdot
Laite (oletus)	Suodatinlaitteet ja tulostimet	Windows/Mac	X
Verkko	Suodata verkko-ehdot	Windows		X
VPN-yhteys	Suodata VPN-ehdot	Windows		X
Tiedosto	Suodata tiedoston ominaisuudet	Windows		X
Tulostustyö	Tulostettavan tiedoston ominaisuuksien suodattaminen	Windows		X

Laitteet, jotka kuuluvat käytännön piiriin sisällytettyjen ryhmien luettelon ja pois jätettyjen ryhmien luettelon perusteella. Sääntöä sovelletaan, jos laite on kaikissa sisällytetyissä ryhmissä eikä missään pois jätetyissä ryhmissä. Ryhmät voidaan muodostaa laitteiden ominaisuuksista. Seuraavia ominaisuuksia voidaan käyttää:

Ominaisuus	Kuvaus	Windows-laitteet	Mac-laitteet	Tulostimet
FriendlyNameId	Kutsumanimi Windows Laitehallinta	Y	N	Y
PrimaryId	Laitteen tyyppi	Y	Y	Y
VID_PID	Toimittajan tunnus on nelinumeroinen toimittajakoodi, jonka USB-komitea määrittää toimittajalle. Tuotetunnus on nelinumeroinen tuotekoodi, jonka toimittaja määrittää laitteelle. Yleismerkkejä tuetaan. Esimerkiksi 0751_55E0	Y	N	Y
PrinterConnectionId	Tulostinyhteyden tyyppi: - USB: Tulostin, joka on yhdistetty tietokoneen USB-portin kautta. - Network: Verkkotulostin on tulostin, jota voi käyttää verkkoyhteydellä, joten muut verkkoon yhdistetyt tietokoneet voivat käyttää sitä. - Corporate: Yrityksen tulostin on paikallisen Windows Print Serverin kautta jaettu tulostusjono. - Universal: Universal Print on nykyaikainen tulostusratkaisu, jonka avulla organisaatiot voivat hallita tulostusinfrastruktuuriaan Microsoftin pilvipalvelujen kautta. Mikä on Universal Print? - Universal Print | Microsoft Docs - File: Microsoft Print to PDF ja Microsoft XPS Document Writer tai muut tulostimet, jotka käyttävät TIEDOSTO- tai PORTPROMPT-tiedostoa: portti - Custom: tulostin, joka ei yhdistä Microsoftin tulostusportin kautta - Local: tulostin ei ole mikään edellä mainituista tyypeistä, esimerkiksi tulosta RDP-tulostimen tai uudelleenohjauksen tulostimien kautta	N	N	Y
BusId	Tietoja laitteesta (lisätietoja on tämän taulukon seuraavissa osissa)	Y	N	N
DeviceId	Tietoja laitteesta (lisätietoja on tämän taulukon seuraavissa osissa)	Y	N	N
HardwareId	Tietoja laitteesta (lisätietoja on tämän taulukon seuraavissa osissa)	Y	N	N
InstancePathId	Tietoja laitteesta (lisätietoja on tämän taulukon seuraavissa osissa)	Y	N	N
SerialNumberId	Tietoja laitteesta (lisätietoja on tämän taulukon seuraavissa osissa)	Y	Y	N
PID	Tuotetunnus on nelinumeroinen tuotekoodi, jonka toimittaja määrittää laitteelle	Y	Y	N
VID	Toimittajan tunnus on nelinumeroinen toimittajakoodi, jonka USB-komitea määrittää toimittajalle.	Y	Y	N
DeviceEncryptionStateId	(Esikatselu) Laitteen BitLocker-salauksen tila. Kelvolliset arvot ovat BitlockerEncrypted tai Plain	Y	N	N
APFS Encrypted	Jos laite on APFS-salattu	N	Y	N

Laitteen ominaisuuksien määrittäminen Windows Laitehallinta avulla

Windows-laitteissa voit käyttää Laitehallinta laitteiden ominaisuuksien ymmärtämiseen.

1. Avaa Laitehallinta, etsi laite, napsauta hiiren kakkospainikkeella Ominaisuudet ja valitse tiedot-välilehti.

2. Valitse Ominaisuus-luettelosta Laitteen esiintymän polku.

   Laitteen esiintymäpolun arvo on InstancePathId, mutta se sisältää myös muita ominaisuuksia:

   • USB\VID_090C&PID_1000\FBH1111183300721
   • {BusId}\{DeviceId}\{SerialNumberId}

   Laitehallinnan ominaisuudet yhdistävät laitteen ohjausobjektiin seuraavassa taulukossa esitetyllä tavalla:

   Laitehallinta	Laiteohjausobjekti
   Laitteistotunnukset	HardwareId
   Kutsumanimi	FriendlyNameId
   Vanhempi	VID_PID
   DeviceInstancePath	InstancePathId

Raporttien ja kehittyneen metsästyksen käyttäminen laitteiden ominaisuuksien määrittämiseen

Laitteen ominaisuuksilla on hieman erilaiset tunnisteet kehittyneessä metsästyksessä. Alla oleva taulukko yhdistää portaalin propertyId otsikot laitteen ohjausobjektin käytäntöön.

Microsoft Defender Portal -ominaisuus	Laitteen ohjausobjektin ominaisuustunnus
Median nimi	FriendlyNameId
Toimittajan tunnus	HardwareId
DeviceId	InstancePathId
Sarjanumero	SerialNumberId

Huomautus

Varmista, että valitulla objektilla on oikea medialuokka käytännölle. Yleisesti ottaen siirrettävässä tallennusvälineessä on käytössä Class Name == USB.

Ryhmien määrittäminen Intune, XML Windowsissa tai JSON Macissa

Voit määrittää ryhmiä Intune käyttämällä Windowsin XML-tiedostoa tai käyttämällä JSON-tiedostoa Macissa. Saat lisätietoja valitsemalla kunkin välilehden.

Huomautus

XML-koodissa Group Id ja id JSON-tiedostossa -toiminnolla tunnistetaan ryhmä laiteohjausobjektissa. Se ei viittaa mihinkään muuhun, kuten Entra-tunnuksen käyttäjäryhmään .

Intune

Uudelleenkäytettävät asetukset Intune yhdistä laiteryhmiin. Voit määrittää uudelleenkäytettävät asetukset Intune.

Ryhmiä on kahdenlaisia: tulostinlaite ja siirrettävä tallennustila. Seuraavassa taulukossa on luettelo näiden ryhmien ominaisuuksista.

Ryhmän tyyppi	Ominaisuudet
Tulostinlaite	- FriendlyNameId - PrimaryId - PrinterConnectionId - VID_PID
Siirrettävä tallennustila	- BusId - DeviceId - FriendlyNameId - HardwareId - InstancePathId - PID - PrimaryId - SerialNumberId - VID - VID_PID

XML (Windows)

Seuraavassa XML-katkelmassa näytetään vastaavien ryhmien syntaksi:

<Group Id="{3f5253e4-0e73-4587-bb9e-bb29a2171694}">
  <MatchType>MatchAny</MatchType>
  <DescriptorIdList>
   ...
  </DescriptorIdList>
</Group> 

Seuraavassa taulukossa kuvataan ryhmien ominaisuudet.

Ominaisuuden nimi	Kuvaus	Asetukset
Group Id	GUID, yksilöllinen tunnus, edustaa ryhmää ja sitä käytetään käytännössä.	Voit luoda tunnuksen PowerShellin kautta.
Type	Ryhmän tyyppi	Laite (oletus) Muita ryhmätyyppejä (File, , VPNConnectionPrintJob, Network) voidaan käyttää kehittyneissä ehdoissa. Säännöissä käytettävien ryhmien tyyppi on Device, joka on oletusarvo.
MatchType	Käytetty vastaava algoritmi	- MatchAny - MatchAll - MatchExcludeAll - MatchExcludeAny
DescriptionIdList	Ryhmään sisällytettävien ominaisuuksien luettelo	Katso DescriptionIdList-ominaisuudet (tämän taulukon jälkeinen osa)

DescriptionIdList-ominaisuudet

Seuraavassa taulukossa kuvatut ominaisuudet voidaan sisällyttää :hin DescriptionIdList:

Ominaisuus	Kuvaus
PrimaryId	Sisältää RemovableMediaDevices, CdRomDevices, WpdDevicesja PrinterDevices.
InstancePathId	Merkkijono, joka yksilöi järjestelmän laitteen, esimerkiksi USBSTOR\DISK&VEN_GENERIC&PROD_FLASH_DISK&REV_8.07\8735B611&0. Se vastaa Laitehallinta laiteesiintymäpolkua Windowsissa. Lopussa oleva luku (esimerkiksi &0) edustaa käytettävissä olevaa paikkaa ja saattaa muuttua laitteesta toiseen. Saat parhaat tulokset käyttämällä lopussa yleismerkkiä. Esimerkiksi USBSTOR\DISK&VEN_GENERIC&PROD_FLASH_DISK&REV_8.07\8735B611*.
DeviceId	Jos haluat muuntaa Laiteesiintymän polun Laitetunnus-muotoon, käytä USB-vakiotunnisteita, kuten tätä esimerkkiä: USBSTOR\DISK&VEN_GENERIC&PROD_FLASH_DISK&REV_8.07
HardwareId	Merkkijono, joka tunnistaa järjestelmän laitteen, kuten USBSTOR\DiskGeneric_Flash_Disk___8.07. Se vastaa windowsin Laitehallinta laitteistotunnusta. Muista, että tämä HardwareId ei ole yksilöllinen; eri laitteilla voi olla sama arvo.
FriendlyNameId	Laitteeseen liitetty merkkijono, kuten Generic Flash Disk USB Device. Se vastaa windowsin Laitehallinta kutsumanimeä.
BusId	Esimerkiksi , USBSCSI
SerialNumberId	Löydät SerialNumberId laitteen esiintymäpolusta windowsin Laitehallinta. Esimerkiksi 03003324080520232521 on SerialNumberId kohteessa USBSTOR\DISK&VEN__USB&PROD__SANDISK_3.2GEN1&REV_1.00\03003324080520232521&0
VID_PID	- Toimittajan tunnus on nelinumeroinen toimittajakoodi, jonka USB-komitea määrittää toimittajalle. - Tuotetunnus on nelinumeroinen tuotekoodi, jonka toimittaja määrittää laitteelle. Se tukee yleismerkkejä. - Jos haluat muuntaa laiteesiintymän polun toimittajan tunnukseen ja tuotetunnusmuotoon, käytä USB-vakiotunnisteita. Seuraavassa on joitakin esimerkkejä: 0751_55E0: vastaa tätä tarkkaa VID/PID-paria _55E0: vastaa mitä tahansa mediatiedostoa PID=55E0 0751_: vastaa mitä tahansa mediatiedostoa VID=0751
DeviceEncryptionStateId	BitLocker-salauksen tila - Plain tai BitlockerEncrpted

Seuraavassa on joitakin esimerkkejä laiteryhmän määritteistä laitteen ohjausobjektin mallisäilössä:

• Laiteryhmä esiintymän polun tunnuksen mukaan
• Laiteryhmä VID_PID mukaan
• Laiteryhmä ensisijaisen tunnuksen mukaan

JSON (Mac)

Seuraava JSON-katkelma näyttää syntaksin ryhmien määrittämiselle Macissa:

    {
      "$type": "device",
      "id": "3f5253e4-0e73-4587-bb9e-bb29a2171694",
      "query": {
        "$type": "or",
        "clauses": [
    ...
        ]
      }
    } 

Seuraavassa taulukossa kuvataan ryhmien ominaisuudet:

Ominaisuus	Kuvaus	Asetukset
$type	Ryhmän tyyppi	laite
id	GUID, yksilöllinen tunnus, edustaa ryhmää, jota käytetään käytännössä.	Voit luoda tunnuksen käyttämällä Windows PowerShell New-GUID-cmdlet-komentoa tai macOS:n uuidgen komentoa
name	Ryhmän kutsumanimi.	merkkijono
query	Tämän ryhmän medianäkyvyys	Lisätietoja on alla olevissa kyselyominaisuuksien taulukoissa.

Kysely tukee kaikkia tyyppejä ja (sama kuin kaikki), mitä tahansa tai (samaa kuin mikä tahansa). Tätä logiikkaa käytetään yhdistämään -lausekkeiden ominaisuudet.

Seuraavia arvoja tuetaan lausekkeina:

Lause $type	Arvo	Kuvaus
primaryId	Yksi seuraavista: - apple_devices - removable_media_devices - portable_devices - bluetooth_devices
vendorId	nelinumeroinen heksadesimaalimerkkijono	Vastaa laitteen toimittajan tunnusta
productId	nelinumeroinen heksadesimaalimerkkijono	Vastaa laitteen tuotetunnusta
serialNumber	merkkijono	Vastaa laitteen sarjanumeroa. Ei täsmää, jos laitteessa ei ole sarjanumeroa.
encryption	apfs	Vastaa, jos laite on apfs-salattu.
groupId	UUID-merkkijono	Vastaa, jos laite on toisen ryhmän jäsen. Arvo edustaa vastattavan ryhmän UUID-tunnusta. Ryhmä on määritettävä käytännössä ennen -lausetta.

Tässä on esimerkkikysely:

"query": {
        "$type": "or",
        "clauses": [
          {
            "$type": "serialNumber",
            "value": "FBH1111183300731"
          }
        ]
      } 

Esimerkkikyselyämme voidaan muokata, jotta saadaan ExcludedMatchAll- ja ExcludedMatchAny-tyyppiä vastaava toiminta käyttämällä "ei"-tyyppiä seuraavasti:

"query": {
    "$type":"not",
        "query": {
                    "$type": "or",
                    "clauses": [
                          {
                            "$type": "serialNumber",
                            "value": "FBH1111183300731"
                          }
                    ]
              }

} 

Tämä kysely vastaa kaikkia laitteita, joissa ei ole määritettyä sarjanumeroa.

Lisäehdot

Merkintöjä voidaan edelleen rajoittaa parametrien perusteella. Parametrit soveltavat kehittyneitä ehtoja, jotka ulottuvat laitteen ulkopuolelle. Lisäehdot mahdollistavat tarkennetun hallinnan, joka perustuu verkkoon, VPN-yhteyteen, tiedostoon tai tulostustyöhön.

Huomautus

Lisäehtoja tuetaan vain XML-muodossa.

Verkon ehdot

Seuraavassa taulukossa kuvataan verkkoryhmän ominaisuudet:

Ominaisuus	Kuvaus
NameId	Verkon nimi. Yleismerkkejä tuetaan.
NetworkCategoryId	Kelvolliset asetukset ovat Public, Privatetai DomainAuthenticated.
NetworkDomainId	Kelvolliset asetukset ovat NonDomain, Domain, DomainAuthenticated.

Nämä ominaisuudet lisätään Verkko-tyypin ryhmän DescriptorIdList-luetteloon. Tässä on esimerkkikatkelma:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30a}" Type="Network" MatchType="MatchAll">
    <DescriptorIdList>
        <NetworkCategoryId>Public</PathId>
        <NetworkDomainId>NonDomain</PathId>
    </DescriptorIdList>
</Group>

Ryhmään viitataan merkinnässä parametreina seuraavassa katkelmassa esitetyllä tavalla:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <Network MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30a }</GroupId>
            </Network>
      </Parameters>
   </Entry>

VPN-yhteyden ehdot

Seuraavassa taulukossa kuvataan VPN-yhteyden ehdot:

Nimi	Kuvaus
NameId	VPN-yhteyden nimi. Yleismerkkejä tuetaan.
VPNConnectionStatusId	Kelvolliset arvot ovat Connected tai Disconnected.
VPNServerAddressId	Merkkijonoarvo VPNServerAddress. Yleismerkkejä tuetaan.
VPNDnsSuffixId	Merkkijonoarvo VPNDnsSuffix. Yleismerkkejä tuetaan.

Nämä ominaisuudet lisätään VPNConnection-ryhmän DescriptorIdList-luetteloon seuraavassa katkelmassa esitetyllä tavalla:

    <Group Id="{d633d17d-d1d1-4c73-aa27-c545c343b6d7}" Type="VPNConnection">
        <Name>Corporate VPN</Name>
        <MatchType>MatchAll</MatchType>
        <DescriptorIdList>
            <NameId>ContosoVPN</NameId>
            <VPNServerAddressId>contosovpn.*.contoso.com</VPNServerAddressId>
            <VPNDnsSuffixId>corp.contoso.com</VPNDnsSuffixId>
            <VPNConnectionStatusId>Connected</VPNConnectionStatusId>
        </DescriptorIdList>
    </Group>

Sitten ryhmään viitataan merkinnän parametreina seuraavassa katkelmassa esitetyllä tavalla:

       <Entry Id="{27c79875-25d2-4765-aec2-cb2d1000613f}">
          <Type>Allow</Type>
          <Options>0</Options>
          <AccessMask>64</AccessMask>
          <Parameters MatchType="MatchAny">
            <VPNConnection>
                    <GroupId>{d633d17d-d1d1-4c73-aa27-c545c343b6d7}</GroupId>
            </VPNConnection>
        </Parameters>
       </Entry>

Ryhmään viitataan merkinnässä parametreina, kuten seuraavassa katkelmassa esitetään:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <File MatchType="MatchAny">
                   <GroupId>{ e5f619a7-5c58-4927-90cd-75da2348a30f }</GroupId>
            </File>
      </Parameters>
   </Entry>

Tulosta työn ehdot

Seuraavassa taulukossa kuvataan PrintJob ryhmän ominaisuudet:

Nimi	Kuvaus
PrintOutputFileNameId	Tulostuksen kohdetiedoston polku tiedostoon tulostamista varten. Yleismerkkejä tuetaan. Esimerkiksi C:\*\Test.pdf
PrintDocumentNameId	Lähdetiedoston polku. Yleismerkkejä tuetaan. Tätä polkua ei ehkä ole. Voit esimerkiksi lisätä tekstiä uuteen tiedostoon Muistiossa ja tulostaa tallentamatta tiedostoa.

Nämä ominaisuudet lisätään DescriptorIdList tyyppiryhmään PrintJobseuraavassa katkelmassa esitetyllä tavalla:

<Group Id="{e5f619a7-5c58-4927-90cd-75da2348a30b}" Type="PrintJob" MatchType="MatchAny">
    <DescriptorIdList>
        <PrintOutputFileNameId>C:\Documents\*.pdf</PrintOutputFileNameId >
        <PrintDocumentNameId>*.xlsx</PrintDocumentNameId>
<PrintDocumentNameId>*.docx</PrintDocumentNameId>
    </DescriptorIdList>
</Group>

Ryhmään viitataan merkinnässä parametreina, kuten seuraavassa katkelmassa esitetään:

   <Entry Id="{1ecfdafb-9b7f-4b66-b3c5-f1d872b0961d}">
      <Type>Deny</Type>
      <Options>0</Options>
      <AccessMask>40</AccessMask>
      <Parameters MatchType="MatchAll">
             <PrintJob MatchType="MatchAny">
                   <GroupId>{e5f619a7-5c58-4927-90cd-75da2348a30b}</GroupId>
            </PrintJob>
      </Parameters>
   </Entry>

Seuraavat vaiheet

• Näytä laitteen hallintatapahtumat ja -tiedot Microsoft Defender for Endpoint
• Ota käyttöön ja hallitse laitteen ohjausobjektia Microsoft Defender for Endpoint Microsoft Intune avulla
• Ota käyttöön ja hallitse laitteen ohjausobjektia Microsoft Defender for Endpoint ryhmäkäytäntö avulla
• Device Control for macOS