Déploie les appareils Windows en utilisant l’outil de déploiement Microsoft Defender

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

L’outil de déploiement Microsoft Defender est une application légère et auto-mise à jour qui installe les prérequis et embarque les appareils Windows supportés sur Microsoft Defender for Endpoint. Exécutez l’outil de manière interactive sur chaque appareil, ou automatisez-le avec des paramètres en ligne de commande, des fichiers de configuration, une stratégie de groupe, Microsoft Configuration Manager ou un autre système de déploiement logiciel.

Utilisez l’outil de déploiement comme méthode d’intégration distincte. Il ne s’intègre pas au processus d’intégration via Microsoft Intune, Microsoft Defender for Cloud ou d’autres méthodes de déploiement. Avant de commencer, examinez les systèmes d’exploitation pris en charge et les prérequis.

L’outil de déploiement offre les fonctionnalités suivantes :

  • Gestion des prérequis : Vérifie les mises à jour requises et résout les problèmes qui bloquent le déploiement.
  • Journalisation et retour : enregistre les opérations dans un journal local et affiche les descriptions d’erreur en mode interactif.
  • Installation et mises à jour : Évite de réinstaller les composants existants et télécharge les composants existants lorsque nécessaire.
  • Automatisation : Prend en charge les paramètres en ligne de commande et les fichiers de configuration réutilisables pour les déploiements automatisés.
  • Staging : Télécharge les fichiers d’installation des appareils cibles qui ne peuvent pas télécharger les fichiers directement.
  • Mode passif serveur : Configure l’antivirus Microsoft Defender pour qu’il fonctionne en mode passif sur Windows Server.
  • Infrastructure de bureau virtuel non persistante (VDI) : Aide les appareils recréés avec le même nom d’hôte à apparaître comme un seul appareil dans le portail Defender.
  • Garde-fous du package : nécessite une clé d’accès générée par un portail pour l’intégration et prend en charge les dates d’expiration du package allant d’un jour à un an. Utilisez la période de validité pratique la plus courte.
  • Gestion des paquets : Liste les paquets de déploiement dans le portail Microsoft Defender et vous permet de les filtrer par propriétés telles que le statut et la date d’expiration.
  • Aide intégrée : affiche les options disponibles en ligne de commande lorsque vous exécutez DefenderDT.exe -?.

En mode interactif, l’outil demande la clé d’accès depuis le portail Defender, installe les mises à jour et composants Defender nécessaires, et connecte l’appareil à Defender for Endpoint. Si l’installation nécessite un redémarrage, connectez-vous après le redémarrage pour que l’outil puisse reprendre.

Pour les déploiements avancés et à grande échelle, utilisez des paramètres en ligne de commande ou un fichier de configuration.

Systèmes d’exploitation pris en charge

L’outil de déploiement Defender prend en charge les systèmes d’exploitation suivants :

  • Windows 11
  • Windows 10, version 1809 (novembre 2018) ou ultérieure
  • Windows 7 SP1
  • Windows Server 2016 ou version ultérieure
  • Windows Server 2012 R2
  • Windows Server 2008 R2 SP1

Remarque

Windows 8.1 Pro et Enterprise sont pris en charge par Defender for Endpoint, mais pas par l’outil de déploiement Defender. Intégrez les appareils Windows 8.1 en utilisant l’Agent de Surveillance Microsoft (MMA). Pour plus d’informations, voir Intégrer les versions précédentes de Windows.

Prérequis

Examinez les prérequis généraux et les exigences pour Windows 7 SP1 et Windows Server 2008 R2 SP1 avant de déployer l’outil.

Conditions préalables générales

  • La plupart des opérations nécessitent des privilèges administratifs.

  • Permettre l’accès à definitionupdates.microsoft.com. L’outil télécharge les mises à jour et les fichiers d’installation depuis ce domaine. Comme les fichiers sont hébergés sur un réseau de distribution de contenu, les plages d’adresses IP associées ne sont ni statiques ni prévisibles.

  • L’outil vérifie la connectivité avec votre organisation avant l’intégration. D’autres fonctionnalités de Defender for Endpoint nécessitent également l’accès à des URL de service telles que *.endpoint.security.microsoft.com. Pour les exigences complètes, voir Configurer votre environnement réseau pour assurer la connectivité avec le service Defender for Endpoint.

Pour une connectivité fluide, excluez de l’inspection SSL/TLS, de l’interception HTTPS et du proxy man-in-the-middle (MITM) le trafic à destination de *.endpoint.security.microsoft.com. Si vous activez l’inspection SSL, les capteurs Defender for Endpoint risquent de ne pas parvenir à communiquer avec les services back-end, ce qui entraîne des échecs d’intégration ou de connectivité.

Prérequis pour Windows 7 SP1 et Windows Server 2008 R2 SP1

  • Les appareils doivent exécuter une version x64 de Windows 7 SP1 ou Windows Server 2008 R2 SP1. Installez les dernières mises à jour disponibles pour réduire le temps d’installation et la probabilité de redémarrage.

  • Installez le support de signature de code SHA-2. L’outil de déploiement nécessite au moins KB4474419.

    • Installez la mise à jour de la pile de maintenance (SSU) KB4490628. Windows Update propose automatiquement le SSU nécessaire.

    • Installez la mise à jour SHA-2 KB4474419, sortie le 10 septembre 2019. Windows Update propose automatiquement la mise à jour requise.

  • Sur Windows Server 2008 R2 SP1, installez .NET Framework 3.5 ou une version ultérieure.

Remarque

Pour plus d’informations sur la sécurité des terminaux Defender pour Windows 7 SP1 et Windows Server 2008 R2 SP1, consultez Déployer la solution de sécurité des terminaux Defender pour les appareils Windows 7 SP1 et Windows Server 2008 R2 SP1.

Générer et télécharger un nouveau package d’intégration

Générez un paquet d’intégration et une clé d’accès dans le portail Microsoft Defender. Vous avez besoin de la clé d’accès lorsque vous exécutez l’outil de manière interactive ou avec le -Key paramètre.

  1. Sur la page Intégration du portail Microsoft Defender à https://security.microsoft.com/securitysettings/endpoints/onboarding, configurez les paramètres suivants :

    • Étape 1 : Sélectionnez un système d’exploitation pour lancer le déploiement : Sélectionnez Windows.
    • Étape 2 : Choisissez une option de déploiement : Sélectionnez Intégré dans Déployer en téléchargeant et en appliquant des packages ou des fichiers>Outil de déploiement Defender.

    Capture d’écran de l’option portail Defender pour générer un package d’outil de déploiement Defender.

  2. Dans le menu contextuel Générer l’outil de déploiement Defender avec une clé d’accès qui s’ouvre, configurez le paquet :

    • Nom : Saisissez un nom de paquet unique et descriptif.
    • Organisation : Vérifiez l’organisation affichée.
    • Expiration : Utilisez la période de validité pratique la plus courte possible pour réduire le risque d’utilisation non autorisée du colis :
      • Dans 7 jours (par défaut)
      • Dans 30 jours
      • Personnalisé (jusqu’à un an)

    Cliquez sur Générer.

    Capture d’écran des paramètres d’un nouveau package d’outils de déploiement Defender.

  3. Lorsque le colis est prêt, copiez et stockez la clé d’accès en toute sécurité.

    Capture d’écran de la clé d’accès au package de déploiement générée et de l’option de téléchargement.

  4. Sélectionnez Télécharger outil de déploiement, et enregistrez l’exécutable téléchargé.

Déployer la sécurité des points de terminaison Defender sur les appareils

Exécutez l’outil de déploiement Defender de manière interactive ou non.

Utilisation interactive

Utilisez le mode interactif pour un appareil ou un petit nombre d’appareils. Double-cliquez sur l’exécutable pour utiliser les paramètres d’intégration par défaut, ou exécutez l’outil depuis l’invite de commande pour spécifier les options.

Pour embarquer un appareil avec les paramètres par défaut :

  1. Double-cliquez sur l’exécutable pour le lancer.

  2. Dans la boîte de dialogue confirmant le début de l’intégration, sélectionnez Continuer.

  3. Entrez la clé de l’outil de déploiement Defender que vous avez copiée à partir du portail, puis sélectionnez Continuer.

    Capture d’écran de la fenêtre de demande de la clé d’accès de l’outil de déploiement Defender.

  4. Attendez la fin de l’installation, puis sélectionnez OK. Si l’outil nécessite un redémarrage, connectez-vous après le redémarrage pour que l’installation puisse reprendre.

Utilisation non interactive

Utilisez l’interface en ligne de commande pour automatiser l’installation et l’intégration ou pour exécuter d’autres opérations, telles que les vérifications préalables.

Pour les paramètres disponibles, voir référence de commande de l’outil de déploiement Defender. Pour consulter la référence de commande de la version de votre outil téléchargé, exécutez DefenderDT.exe -?.

Déploiements avancés et à grande échelle

Exécutez l’outil de déploiement Defender de manière non interactive depuis Group Policy, Microsoft Configuration Manager ou un autre système de déploiement logiciel. Utilisez les paramètres en ligne de commande pour personnaliser l’intégration, la mise en scène, les mises à jour, les redémarrages, les proxys et d’autres opérations.

Pour les déploiements récurrents, utilisez un fichier de configuration au lieu de répéter les paramètres en ligne de commande. Exécutez l’outil avec -MakeConfig pour générer DefenderDTconfig.txt. Modifiez la configuration, puis chargez-la avec -Config:<path>. Si vous ne spécifiez pas de chemin, l’outil recherche DefenderDTconfig.txt dans le dossier actuel. Pour un exemple, voir Utiliser un fichier de configuration.

Référence de commande de l’outil de déploiement Defender

Le tableau suivant liste les paramètres disponibles dans l’outil de déploiement Defender version 1.0.0.6 (septembre 2026). Faites une exécution DefenderDT.exe -? pour vérifier les paramètres disponibles dans votre version téléchargée.

Catégorie Paramètre Description
Généralités -?, -Help Affichez les options disponibles.
Généralités -Quiet Empêchez les dialogues d’apparaître.
Généralités -Verbose Afficher des informations détaillées et consigner des journaux détaillés.
Configuration -AllowReboot Laissez l’appareil redémarrer si nécessaire.
Configuration -NoResumeAfterReboot Empêchez l’outil de redémarrer après un redémarrage.
Configuration -Proxy:<https://host:port> Configurez le serveur proxy pour l’intégration et Defender for Endpoint.
Configuration -Precheck Vérifiez les prérequis et consignez les résultats sans installer ni effectuer l’onboarding.
Configuration -UpdateOnly Installez les mises à jour sans intégration, même si un fichier d’intégration est présent.
Onboarding -File:<path> Spécifiez le chemin absolu d’un fichier .onboarding ou .offboarding. Si vous ne spécifiez pas le paramètre, l’outil recherche WindowsDefenderATP.onboarding dans le dossier courant.
Onboarding -Source:<path> Spécifiez le dossier contenant les fichiers d’installation en phases.
Onboarding -Passive Configurez l’antivirus Microsoft Defender pour qu’il fonctionne en mode passif sur Windows Server.
Onboarding -VDI Identifiez l’appareil comme un dispositif d’infrastructure de bureau virtuelle (VDI) non persistant.
Onboarding -DeviceTag:<tag> Ajoutez une étiquette à l’appareil.
Onboarding -Key:<key> Spécifiez la clé d’accès d’intégration générée dans le portail Defender.
Débarquement -Offboard Retirez l’appareil. Spécifier le .offboarding fichier avec -File:<path>.
Débarquement -Uninstall Retirer l’appareil et désinstaller les composants ajoutés lors de l’intégration. Spécifier le .offboarding fichier avec -File:<path>.
Débarquement -Yes Procédez à la désinscription ou à la désinstallation sans demander de confirmation.
Débarquement -Offline Autorisez le débranchement sans connexion.
Configuration -RemoveMMA:<workspace-id> Supprimez la connexion de l’espace de travail spécifiée avec le Microsoft Monitoring Agent (MMA).
Déploiement avancé -MakeConfig Générez DefenderDTconfig.txt avec des valeurs par défaut.
Déploiement avancé -Stage:<path> Téléchargez les fichiers d’installation de toutes les versions Windows prises en charge sur le chemin absolu spécifié.
Déploiement avancé -Config:<path> Chargez les paramètres à partir d’un fichier de configuration. Si vous omettez le chemin d’accès, l’outil recherche DefenderDTconfig.txt dans le dossier actuel.

Utilisez une invite de commande surélevée (une fenêtre d’invite que vous avez ouverte en sélectionnant Exécuter en tant qu’administrateur) pour intégrer, déconnecter, désinstaller, mettre à jour et générer des fichiers de configuration. Les opérations -Help, -Precheck et -Stage ne nécessitent pas de privilèges administratifs. Un fichier de configuration contourne également la vérification administrateur lorsqu’il spécifie uniquement un précontrôle ou un staging.

Exemples d’utilisation

Remplacez, dans les exemples ci-dessous, les chemins d’accès fictifs, les clés et les adresses de proxy par les valeurs correspondant à votre environnement. Utilisez une invite de commande surélevée, sauf pour les exemples de pré-vérification et de pré-production.

  • Exécutez la séquence d’intégration par défaut sans afficher de dialogues. L’outil utilise WindowsDefenderATP.onboarding depuis le dossier actuel :

    DefenderDT.exe -Quiet

  • Intégrez en utilisant une clé d’accès, configurez un proxy, autorisez un redémarrage obligatoire et empêchez les dialogues :

    DefenderDT.exe -Key:<access-key> -Proxy:https://proxy.contoso.com:8080 -AllowReboot -Quiet

  • Intégrer en utilisant un fichier d’intégration situé sur un emplacement réseau sans afficher de boîtes de dialogue :

    DefenderDT.exe -File:\\server.contoso.com\share\WindowsDefenderATP.onboarding -Quiet

  • Retirez l’appareil à l’aide d’un fichier local de retrait, sans demander de confirmation ni afficher de boîtes de dialogue :

    DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding -Yes -Quiet

  • Vérifiez les prérequis, affichez une sortie détaillée et évitez les dialogues :

    DefenderDT.exe -PreCheck -Verbose -Quiet

  • Téléchargez les fichiers d’installation de toutes les versions Windows prises en charge vers un chemin d’accès intermédiaire absolu :

    DefenderDT.exe -Stage:C:\DefenderDT\StagedFiles

Utiliser un fichier de configuration

Générez un fichier de configuration lorsque vous souhaitez réutiliser les mêmes paramètres dans plusieurs déploiements.

  1. Générez DefenderDTconfig.txt dans le dossier actuel :

    DefenderDT.exe -MakeConfig

  2. Ouvrez-le DefenderDTconfig.txt dans un éditeur de texte et configurez les paramètres de votre déploiement. Utilisez des chemins absolus pour les paramètres qui acceptent un chemin.

  3. Exécutez l’outil avec le fichier de configuration. L’exemple suivant charge le fichier depuis un emplacement réseau :

    DefenderDT.exe -Config:\\server.contoso.com\share\DefenderDTconfig.txt

    Si DefenderDTconfig.txt se trouve dans le dossier actuel, exécutez DefenderDT.exe -Config.

Déployer à l’aide de stratégie de groupe

Utilisez une tâche planifiée immédiate de stratégie de groupe pour exécuter l’outil de déploiement comme SYSTEM avec des autorisations élevées. Pour les étapes génériques de création, configuration, liaison et test de la tâche planifiée, voir Appareils embarqués en utilisant la Stratégie de groupe.

Utilisez ces valeurs spécifiques à l’outil de déploiement Defender :

  • Stockez DefenderDT.exe, le .onboarding fichier et tout DefenderDTconfig.txt fichier dans un emplacement partagé en lecture seule auquel les appareils cibles peuvent accéder.
  • Pour programme/script, entrez le chemin complet de la Convention de Nommage Universelle (UNC) vers DefenderDT.exe. Utilisez le nom de domaine entièrement qualifié (FQDN) du serveur de fichiers.
  • Pour les arguments d’addition, saisissez les paramètres de ligne de commande requis. Par exemple, utilisez -File:\\server\share\WindowsDefenderATP.onboarding -Quiet lorsque le fichier d’intégration n’est pas dans le répertoire de travail de l’outil.
  • Exécutez la tâche en , NT AUTHORITY\SYSTEMque l’utilisateur soit connecté ou non, et sélectionnez Exécuter avec les privilèges les plus élevés.
  • Testez l’objet de Politique de Groupe (GPO) avec un groupe de dispositifs limité avant un déploiement plus large.

Pour plus d’informations sur la console de gestion, consultez la Console de gestion de la stratégie de groupe.

Débarquer un appareil

Pour déconnecter un appareil, téléchargez le paquet de déploiement depuis le portail Defender, transférez-le sur l’appareil cible, puis exécutez l’outil de déploiement avec le paquet.

Étape 1 : Télécharger le dossier de départ

  1. Sur la page Offboarding du portail Microsoft Defender à https://security.microsoft.com/securitysettings/endpoints/offboarding, sélectionnez Windows sous Sélectionner le système d’exploitation.

  2. Dans l’outil de déploiement Defender, sélectionnez Télécharger le package pour télécharger le fichier .zip qui contient le script de désintégration.

    Capture d’écran de l’option du portail Defender permettant de télécharger un package de désintégration pour l’outil de déploiement.

Étape 2 : Exécuter la commande de retrait

Complétez ces étapes sur l’appareil que vous souhaitez démonter :

  1. Copiez le .zip fichier sur l’appareil cible et extrayez-le .offboarding .

  2. Exécutez l’outil de déploiement dans une Invite de commandes en mode administrateur en spécifiant le chemin absolu du fichier .offboarding extrait. Par exemple :

    DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding

  3. Tapez Y dans la boîte de confirmation pour continuer.

  4. Attendez que le processus se termine. Après un démontage réussi, l’outil affiche le message suivant :

    Microsoft Defender deployment tool completed, exit code: 0 [Success]

Considérations et limitations

Examinez les limitations générales et les limitations de Windows 7 SP1 et Windows Server 2008 R2 SP1.

Considérations générales et limitations

  • Si la séquence interactive nécessite un redémarrage, reconnectez-vous après le redémarrage pour que l’outil puisse reprendre. Sinon, l’appareil n’est pas entièrement embarqué.

  • Sur Windows Server 2016 et versions ultérieures, l'étape d'activation de la fonction « Windows-Defender » pouvait échouer si la fonction antivirus Microsoft Defender était désinstallée ou supprimée. L’interface utilisateur et le journal local affichent le code 710 de sortie et EnableFeatureFailed. Le journal peut également contenir des erreurs 14081 et 0x3701 The referenced assembly could not be found. Ouvrez un dossier de support pour Windows Server si vous rencontrez ce problème.

Problèmes connus et limitations pour Windows 7 SP1 et Windows Server 2008 R2 SP1

  • Vous pourriez recevoir des alertes concernant mpclient.dll, mpcommu.dll, mpsvc.dll, msmplics.dll et sense1ds.dll chargés soit par MpCmdRun.exe, soit par MsSense.exe. Les alertes devraient se résoudre avec le temps.

  • Sur Windows 7 SP1 et Windows Server 2008 R2 SP1 avec le pack Desktop Experience installé, Action Center peut afficher que Windows n’a pas trouvé d’antivirus sur cet ordinateur. La notification n’indique pas de problème de déploiement.

  • Utilisez la version préliminaire de l’outil d’analyse client pour collecter des journaux et résoudre les problèmes de connectivité sur Windows 7 SP1 et Windows Server 2008 R2 SP1. L’analyseur nécessite PowerShell 5.1 ou une version ultérieure.

  • Microsoft Defender Antivirus ne propose pas d'interface utilisateur locale sur ces systèmes d'exploitation. Pour gérer localement les paramètres antivirus Microsoft Defender, installez PowerShell 5.1 ou une version ultérieure.

  • La configuration de la Stratégie de Groupe nécessite un Magasin Central avec des modèles de Stratégie de Groupe actuels sur un contrôleur de domaine. Pour utiliser l’Éditeur de stratégie de groupe locale, mettez manuellement à jour WindowsDefender.admx et WindowsDefender.adml avec les modèles actuels de Windows 11.

  • La solution de sécurité de terminaux Defender s’installe dans C:\Program Files\Microsoft Defender for Endpoint.

  • Le paramètre de l'-Passiveoutil de déploiement s'applique à Windows Server. Ce n'est pas pris en charge pour Windows 7 SP1.

Résolution des problèmes

Consultez le journal de déploiement des outils Defender pour détecter les problèmes lors de l’installation et de l’intégration. Le journal se trouve à :

C:\ProgramData\Microsoft\DefenderDeploymentTool\DefenderDeploymentTool-<COMPUTERNAME>.log

L’outil enregistre également les événements dans ces journaux d’événements Windows :

  • Intégration : Journaux Windows > Application > Source : WDATPOnboarding
  • <c0 originalTag="ept" originalId="1">Débarquement : Journaux Windows <c1 originalTag="ph" originalId="1" /> Application <c2 originalTag="ph" originalId="2" /> Source : WDATPOffboarding

Pour vérifier que l’installation a réussi, effectuez ces vérifications :

  1. Vérifiez que les services s’exécutent avec les commandes suivantes :

    Sc.exe query sense

Sc.exe query windefend

    La sortie suivante doit s’afficher :

    SERVICE_NAME: sense
        TYPE               : 10  WIN32_OWN_PROCESS
        STATE              : 4  RUNNING
                                (STOPPABLE, NOT_PAUSABLE, ACCEPTS_PRESHUTDOWN)
        WIN32_EXIT_CODE    : 0  (0x0)
        SERVICE_EXIT_CODE  : 0  (0x0)
        CHECKPOINT         : 0x0
        WAIT_HINT          : 0x0

SERVICE_NAME: windefend
        TYPE               : 10  WIN32_OWN_PROCESS
        STATE              : 4  RUNNING
                                (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
        WIN32_EXIT_CODE    : 0  (0x0)
        SERVICE_EXIT_CODE  : 0  (0x0)
        CHECKPOINT         : 0x0
        WAIT_HINT          : 0x0

  2. Pour les journaux, les paramètres et les autres informations de diagnostic relatives à Microsoft Defender Antivirus, consultez Collecter les données de diagnostic de Microsoft Defender Antivirus.

  3. Utilisez l’outil d’analyse du client pour collecter les journaux et résoudre les problèmes de connectivité sous Windows.

Codes de sortie

Pour les déploiements à grande échelle via une solution de distribution logicielle, surveillez les codes de sortie suivants :

Code d’erreur Signification
0 Séquence terminée avec succès
1 Une autre instance est déjà en cours d’exécution
2 L’appareil est déjà intégré : aucune action n’est requise
3 Le retrait n’est disponible que pour les appareils déjà intégrés
5 Une nouvelle version de cet outil est disponible
6 Outil mis à jour vers la dernière version
10 Un redémarrage est nécessaire pour continuer. L’outil reprend automatiquement sauf si le NoResumeAfterReboot paramètre est spécifié.
11 Échec de la vérification de la signature
12 Échec de l’application de la stratégie d’atténuation des processus
20 Fichier introuvable
30 Les fichiers de ressources requis sont manquants
40 Exécutez l’outil avec les autorisations administratives
50 Système d’exploitation non pris en charge
70 Erreur de fichier de configuration détectée
80 Échec de la télémétrie de qualité
90 Les vérifications préalables ont échoué
100 Le fichier manifeste est endommagé
200 Échec de l’intégration : erreur d’initialisation du capteur
201 Fichier d’intégration manquant ou non spécifié
210 Échec du rechargement du moteur de Microsoft Defender Antivirus
300 Échec de la désactivation
301 Fichier de désinscription manquant ou non spécifié
302 Fichier de retrait non valide
400 Échec du téléchargement : impossible de récupérer le composant requis
500 Échec de l’installation : impossible d’installer les composants requis
600 Mise à jour échouée : impossible d’appliquer le package de mise à jour
610 Fichier de mise à jour non pris en charge
700 Échec de la préparation du système
710 Échec de l’activation de la fonctionnalité Defender Antivirus
720 Échec de désinstaller System Center Endpoint Protection (SCEP)
730 Échec de télécharger et d’appliquer la dernière signature manuelle pour le cloud souverain
740 Échec de configurer les paramètres du registre ADL pour le cloud souverain
900 Échec de la désinstallation des composants Defender
920 Échec de la suppression de l’espace de travail demandé de Microsoft Monitoring Agent (MMA)
930 ID d’espace de travail MMA non valide
1000 Une erreur non spécifiée s’est produite

Contenu connexe

  • Dernière mise à jour :