Déployer Microsoft Defender pour point de terminaison sur macOS avec Microsoft Intune

Utilisez Microsoft Intune pour déployer Microsoft Defender for Endpoint sur des appareils macOS gérés. Créez les profils de configuration requis, déployez l’application et le package d’intégration, et vérifiez le déploiement. Avant de commencer, examinez les prérequis et les exigences système.

Les procédures de cet article nécessitent Microsoft Intune. Intune est un produit distinct qui ne fait pas partie de Defender for Endpoint, et il n'est pas inclus dans tous les abonnements. Vous avez besoin d’un abonnement qui inclut Intune, ou vous pouvez l’acheter séparément. Pour des informations sur les licences, voir Microsoft Intune licering. Pour comparer cette méthode avec Jamf Pro, une autre solution de gestion d’appareils mobiles, ou le déploiement manuel, voir Deploy Defender for Endpoint sur macOS.

Conditions préalables et configuration système requise

Avant de commencer, consultez les prérequis de Defender for Endpoint sur macOS, y compris le produit, l’administrateur, le système, les permissions et les exigences réseau. Pour les capacités du produit et la vérification du déploiement partagé, voir Microsoft Defender for Endpoint sur macOS.

Importante

Si vous souhaitez exécuter plusieurs solutions de sécurité côte à côte, consultez Considérations relatives aux performances, à la configuration et à la prise en charge.

Vous avez peut-être déjà configuré des exclusions de sécurité mutuelle pour les appareils intégrés à Microsoft Defender pour point de terminaison. Si vous devez toujours définir des exclusions mutuelles pour éviter les conflits, consultez Ajouter Microsoft Defender pour point de terminaison à la liste d’exclusions de votre solution existante.

Vue d’ensemble du déploiement

Le tableau suivant résume les profils et packages utilisés pour déployer Defender for Endpoint sur macOS avec Intune.

Étape	Exemple de nom de fichier	Identifiant du bundle
Approuver les extensions du système	Sans objet	com.microsoft.wdav.epsext et com.microsoft.wdav.netext
Stratégie d’extension réseau	netfilter.mobileconfig	com.microsoft.wdav.netext
Accès complet au disque	fulldisk.mobileconfig	com.microsoft.wdav, com.microsoft.wdav.epsext et com.microsoft.dlp.daemon
Préférences de Defender for Endpoint Si vous prévoyez d’utiliser un antivirus non Microsoft sur macOS, configurez le mode passif dans le profil des préférences.	com.microsoft.wdav.xml	com.microsoft.wdav
Services en arrière-plan	background_services.mobileconfig	Sans objet
Notifications	notif.mobileconfig	com.microsoft.wdav.tray et com.microsoft.autoupdate2
Paramètres d’accessibilité	accessibility.mobileconfig	com.microsoft.dlp.daemon
Autorisations Bluetooth	bluetooth.mobileconfig	com.microsoft.dlp.agent
mise à jour automatique Microsoft (AutoUpdate)	com.microsoft.autoupdate2.mobileconfig	com.microsoft.autoupdate2
Forfait d’intégration	WindowsDefenderATPOnboarding.xml	com.microsoft.wdav.atp
Application Defender pour Endpoint	Sans objet	Sans objet

Créer des profils de configuration système

Créez les profils de configuration système dont Microsoft Defender for Endpoint a besoin.

La plupart des étapes de cette section utilisent un profil de configuration personnalisé de macOS. Pour des instructions détaillées, voir Ajouter des paramètres personnalisés aux appareils Apple dans Microsoft Intune (le lien s’ouvre dans un nouvel onglet).

Lorsqu’une étape vous demande de créer un profil de configuration personnalisé, dans l’onglet Politiques de la page Appareils | Configuration dans le centre d’administration Microsoft Intune à https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, en sélectionnant Créer>une nouvelle politique, utilisez ces réglages courants :

• Plateforme : sélectionnez macOS.
• Type de profil : sélectionnez Modèles.
• Nom du modèle : Sélectionnez personnalisé.

Dans l’assistant personnalisé , configurez les paramètres suivants :

• Onglet Paramètres de configuration : Utilisez les paramètres spécifiques au profil décrits à chaque étape concernée.
• Onglet Affectations : Attribuer le profil aux groupes d’utilisateurs ou d’appareils qui doivent le recevoir. Vous pouvez aussi ajouter des balises de portée et exclure des groupes de l’affectation.

Étape 1 : Approuver les extensions système

Utilisez le catalogue des paramètres Intune pour approuver les extensions système requises. Pour des instructions détaillées, voir Approuver les extensions macOS de Microsoft Defender for Endpoint en utilisant le catalogue des paramètres Intune.

Dans l’assistant Création de profil , configurez les paramètres suivants dans l’onglet Paramètres de configuration :

• Configuration >du systèmeExtensions> du système Extensions du système autorisées :
  • Extensions système autorisées : Ajouter com.microsoft.wdav.epsext et com.microsoft.wdav.netext.
  • Identificateur de l’équipe : entrez UBF8T346G9.
• Configuration >du systèmeExtensions> du système Types d’extensions du système autorisées :
  • Types d’extension système autorisés : Ajouter Network et EndpointSecurity.
  • Identificateur de l’équipe : entrez UBF8T346G9.

Étape 2 : Filtre réseau

Defender for Endpoint utilise l’extension réseau pour l’inspection du contenu réseau. Le profil du filtre réseau permet à l’extension d’inspecter le trafic de socket.

Téléchargez netfilter.mobileconfig depuis le dépôt de profils de configuration Defender for Endpoint macOS.

Importante

macOS ne prend en charge qu’un seul fichier de filtre .mobileconfig réseau. Ajouter plusieurs filtres réseau peut poser des problèmes de connectivité. Cette limitation n'est pas spécifique à Defender for Endpoint.

Créez un profil de configuration personnalisé en utilisant les paramètres courants décrits dans Créer des profils de configuration système. Utilisez ces paramètres spécifiques au profil :

• onglet Général :
  • Nom : entrez un nom descriptif, tel que macOS network filter.
• Onglet Paramètres de configuration :
  • Nom du profil de configuration : Saisissez un nom descriptif pour le profil.
  • Canal de déploiement : Sélectionnez le canal de l’appareil.
  • Fichier de profil de configuration : Sélectionnez le netfilter.mobileconfig fichier que vous avez téléchargé.

Étape 3 : Accès au disque complet

Remarque

macOS Catalina 10.15 et versions ultérieures utilisent la transparence, le consentement et le contrôle (TCC) pour protéger l’accès aux données sensibles des utilisateurs. Le déploiement du profil d’accès complet au disque via la gestion des appareils mobiles (MDM) empêche les utilisateurs locaux de révoquer les autorisations dont Defender for Endpoint a besoin.

Ce profil accorde un accès complet au disque à Defender pour Endpoint. Si vous avez configuré Defender pour Endpoint via Intune sans ce profil, mettez à jour le déploiement pour l’inclure.

Téléchargez fulldisk.mobileconfig depuis le référentiel de profil de configuration Defender for Endpoint macOS.

Créez un profil de configuration personnalisé en utilisant les paramètres courants décrits dans Créer des profils de configuration système. Utilisez ces paramètres spécifiques au profil :

• Onglet Informations de base :
  • Nom : entrez un nom descriptif, tel que macOS full disk access.
• Onglet Paramètres de configuration :
  • Nom du profil de configuration : Saisissez un nom descriptif pour le profil.
  • Canal de déploiement : Sélectionnez le canal de l’appareil.
  • Fichier de profil de configuration : Sélectionnez le fulldisk.mobileconfig fichier que vous avez téléchargé.

Remarque

L’accès complet au disque accordé via un profil de configuration Apple MDM n’est pas indiqué dans les paramètres> système,confidentialité et sécurité>: Accès complet au disque.

Étape 4 : Services en arrière-plan

Attention

À partir de macOS 13 (Ventura), les applications nécessitent une autorisation explicite pour s’exécuter en arrière-plan. Defender for Endpoint doit exécuter des processus en arrière-plan. Ce profil accorde les autorisations requises au service d’arrière-plan. Si vous avez configuré Defender pour Endpoint via Intune sans ce profil, mettez à jour le déploiement pour l’inclure.

Téléchargez background_services.mobileconfig à partir du dépôt de profils de configuration macOS de Microsoft Defender for Endpoint.

Créez un profil de configuration personnalisé en utilisant les paramètres courants décrits dans Créer des profils de configuration système. Utilisez ces paramètres spécifiques au profil :

• onglet Général :
  • Nom : entrez un nom descriptif, tel que macOS background services.
• Onglet Paramètres de configuration :
  • Nom du profil de configuration : Saisissez un nom descriptif pour le profil.
  • Canal de déploiement : Sélectionnez le canal de l’appareil.
  • Fichier de profil de configuration : Sélectionnez le background_services.mobileconfig fichier que vous avez téléchargé.

Étape 5 : Notifications

Ce profil permet à Defender for Endpoint et mise à jour automatique Microsoft (AutoUpdate) d’afficher les notifications.

Téléchargez notif.mobileconfig depuis le dépôt de profils de configuration Defender for Endpoint macOS.

Pour masquer les notifications aux utilisateurs, changez ShowInNotificationCenter de true pour false l’application concernée dans notif.mobileconfig.

Créez un profil de configuration personnalisé en utilisant les paramètres courants décrits dans Créer des profils de configuration système. Utilisez ces paramètres spécifiques au profil :

• onglet Notions de base :
  • Nom : entrez un nom descriptif, tel que macOS notifications consent.
• Onglet Paramètres de configuration :
  • Nom du profil de configuration : Saisissez un nom descriptif pour le profil.
  • Canal de déploiement : Sélectionnez le canal de l’appareil.
  • Fichier de profil de configuration : Sélectionnez le notif.mobileconfig fichier que vous avez téléchargé.

Étape 6 : Paramètres d’accessibilité

Ce profil accorde l’autorisation d’accessibilité au com.microsoft.dlp.daemon composant.

Téléchargez accessibility.mobileconfig depuis le dépôt de profils de configuration Defender for Endpoint de macOS.

Créez un profil de configuration personnalisé en utilisant les paramètres courants décrits dans Créer des profils de configuration système. Utilisez ces paramètres spécifiques au profil :

• onglet Notions de base :
  • Nom : entrez un nom descriptif, tel que macOS accessibility settings.
• Onglet Paramètres de configuration :
  • Nom du profil de configuration : Saisissez un nom descriptif pour le profil.
  • Canal de déploiement : Sélectionnez le canal de l’appareil.
  • Fichier de profil de configuration : Sélectionnez le accessibility.mobileconfig fichier que vous avez téléchargé.

Étape 7 : Autorisations Bluetooth (optionnelles)

Attention

À partir de macOS 14 (Sonoma), les applications nécessitent une autorisation explicite pour accéder au Bluetooth. Déploie ce profil si tu configures des politiques Bluetooth pour le contrôle des appareils.

Téléchargez bluetooth.mobileconfig depuis le dépôt GitHub.

Créez un profil de configuration personnalisé en utilisant les paramètres courants décrits dans Créer des profils de configuration système. Utilisez ces paramètres spécifiques au profil :

• onglet Notions de base :
  • Nom : entrez un nom descriptif, tel que macOS Bluetooth consent.
• Onglet Paramètres de configuration :
  • Nom du profil de configuration : Saisissez un nom descriptif pour le profil.
  • Canal de déploiement : Sélectionnez le canal de l’appareil.
  • Fichier de profil de configuration : Sélectionnez le bluetooth.mobileconfig fichier que vous avez téléchargé.

Remarque

L’accès Bluetooth accordé via un profil de configuration Apple MDM n’est pas indiqué dans les paramètres>système Confidentialité & sécurité>Bluetooth.

Étape 8 : Mise à jour automatique Microsoft

Ce profil configure mise à jour automatique Microsoft (AutoUpdate) pour mettre à jour Defender for Endpoint. Sélectionnez l’un des canaux de mise à jour suivants :

• Beta
• Preview
• Current

Pour plus d’informations, consultez Déployer des mises à jour pour Microsoft Defender pour point de terminaison sur macOS.

Téléchargez com.microsoft.autoupdate2.mobileconfig depuis le dépôt des paramètres mise à jour automatique Microsoft (AutoUpdate).

Remarque

Le fichier d’exemple com.microsoft.autoupdate2.mobileconfig est configuré pour Current Channel (Production).

Créez un profil de configuration personnalisé en utilisant les paramètres courants décrits dans Créer des profils de configuration système. Utilisez ces paramètres spécifiques au profil :

• onglet Notions de base :
  • Nom : entrez un nom descriptif, tel que macOS mise à jour automatique Microsoft (AutoUpdate).
• Onglet Paramètres de configuration :
  • Nom du profil de configuration : Saisissez un nom descriptif pour le profil.
  • Canal de déploiement : Sélectionnez le canal de l’appareil.
  • Fichier de profil de configuration : Sélectionnez le com.microsoft.autoupdate2.mobileconfig fichier que vous avez téléchargé.

Étape 9 : Paramètres de configuration de Microsoft Defender for Endpoint

Configurez les politiques antimalware et EDR en utilisant soit le portail Microsoft Defender à l’étape 9a, soit le centre d’administration Microsoft Intune à l’étape 9b.

Remarque

Ne complétez qu’une seule des étapes suivantes : 9a ou 9b.

9a. Définir les politiques dans le portail Microsoft Defender

Si votre organisation gère les politiques de sécurité des terminaux via le portail Microsoft Defender, vous pouvez configurer les paramètres antivirus et la détection et réponse des terminaux (EDR) avec les mêmes politiques de sécurité qu’Intune.

Pour des instructions détaillées, voir Créer une politique de sécurité de terminaux ou Modifier une politique de sécurité de terminaux (liens s’ouvrent dans de nouveaux onglets).

Avant de créer les politiques, configurez la connexion entre Microsoft Defender for Endpoint et Intune.

Lorsque vous créez la politique antivirus de sécurité des terminaux dans l’onglet politiques macOS de la page des politiques de sécurité des terminaux du portail Defender à https://security.microsoft.com/policy-inventory?osPlatform=Mac, utilisez ces paramètres spécifiques :

• Sélectionner la plateforme : sélectionner macOS.
• Sélectionner le modèle : sélectionnez antivirus Microsoft Defender.

Configurez les paramètres antivirus exigés par votre organisation. Ensuite, créez une autre politique avec les paramètres suivants :

• Sélectionner la plateforme : sélectionner macOS.
• Sélectionnez le modèle : sélectionnez Détection et réponse sur les terminaux.

9b. Définir les politiques dans Microsoft Intune

Pour créer ce profil, copiez le code du profil Intune recommandé (recommandé) ou du profil complet Intune (pour les scénarios avancés), puis enregistrez le fichier sous com.microsoft.wdav.xml.

Créez un profil de configuration personnalisé en utilisant les paramètres courants décrits dans Créer des profils de configuration système. Utilisez ces paramètres spécifiques au profil :

• onglet Notions de base :
  • Nom : entrez un nom descriptif, tel que macOS Microsoft Defender preferences.
• Onglet Paramètres de configuration :
  • Nom du profil de configuration : Enter com.microsoft.wdav.
  • Canal de déploiement : Sélectionnez le canal de l’appareil.
  • Fichier de profil de configuration : Sélectionnez le com.microsoft.wdav.xml fichier que vous avez créé.

Attention

Saisissez com.microsoft.wdav comme nom du profil de configuration. Defender for Endpoint ne reconnaît pas les préférences si vous utilisez une autre valeur.

Pour plus d’informations, consultez Définir les préférences pour Microsoft Defender pour point de terminaison sur macOS.

Pour plus d’informations sur la gestion des paramètres de sécurité, consultez :

• Gérer Microsoft Defender pour point de terminaison sur des appareils à l’aide de Microsoft Intune
• Gérer les paramètres de sécurité pour Windows, macOS et Linux en mode natif dans Defender pour point de terminaison

Étape 10 : Protection réseau pour Microsoft Defender pour point de terminaison sur macOS (facultatif)

Configurez la protection réseau dans la politique antivirus Microsoft Defender ou dans le profil des préférences Defender for Endpoint que vous avez créé à l’étape 9.

Pour les exigences, les options de configuration et les étapes de vérification, voir Protection réseau pour macOS.

Étape 11 : Contrôle d’appareil pour Microsoft Defender pour point de terminaison sur macOS (facultatif)

Le contrôle des périphériques nécessite un accès complet au disque pour com.microsoft.dlp.daemon, ainsi que des paramètres et des stratégies de contrôle des périphériques distincts. Le fulldisk.mobileconfig profil de l’étape 3 inclut l’autorisation d’accès complet au disque requise.

Pour les exigences et instructions de configuration, voir Contrôle des périphériques pour macOS.

Importante

Déploie les profils de configuration requis avant de déployer l’application Defender for Endpoint et le paquet d’intégration.

Étape 12 : Publier l’application Microsoft Defender

Importante

L’application Microsoft Defender pour macOS prend en charge à la fois Defender for Endpoint et Microsoft Purview Endpoint Data Loss Prevention. Si vous prévoyez également d’intégrer les appareils macOS à Microsoft Purview à l’étape 18, activez la surveillance des appareils dans le cadre du processus d’intégration Purview. Dans le portail Microsoft Purview, dans https://purview.microsoft.com, accédez à Paramètres>Intégration des appareils>Appareils, puis sélectionnez Activer la surveillance des appareils.

Publiez l’application Microsoft Defender sur les appareils inscrits dans Intune. Pour des instructions détaillées, voir Ajouter Microsoft Defender for Endpoint aux appareils macOS utilisant Microsoft Intune (le lien s’ouvre dans un nouvel onglet).

Dans la page Applications | Toutes les applications du centre d’administration Microsoft Intune, à l’adresse https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allApps, sélectionnez Créer. Dans le volet Sélectionner le type d’application, sous Microsoft Defender for Endpoint, sélectionnez macOS.

Dans l’assistant Ajouter l’application , configurez les paramètres suivants :

• onglet Informations de l’application : Conservez les valeurs par défaut.
• Onglet Affectations : Assignez l’application aux groupes d’utilisateurs ou d’appareils qui doivent la recevoir.

Étape 13 : Télécharger le package d’intégration de Microsoft Defender for Endpoint

Pour télécharger le package d’intégration à partir du portail Microsoft Defender :

1. Sur la page Intégration du portail Microsoft Defender à https://security.microsoft.com/securitysettings/endpoints/onboarding, configurez les paramètres suivants :

   1. Sélectionnez le système d’exploitation pour démarrer le processus d’intégration : sélectionnez macOS.

   2. Type de connectivité : Verify Streamlined est sélectionné.

   3. Méthode de déploiement : Sélectionnez Mobile Gestion des appareils / Microsoft Intune.

      

2. Sélectionnez Télécharger le forfait d’intégration, et enregistrez GatewayWindowsDefenderATPOnboardingPackage.zip.

3. Extrais le contenu du fichier ZIP pour pouvoir le déployer WindowsDefenderATPOnboarding.xml via Intune :

   unzip GatewayWindowsDefenderATPOnboardingPackage.zip
   

   Archive:  GatewayWindowsDefenderATPOnboardingPackage.zip
   warning:  GatewayWindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
    inflating: intune/kext.xml
    inflating: intune/WindowsDefenderATPOnboarding.xml
    inflating: jamf/WindowsDefenderATPOnboarding.plist
   

Étape 14 : Déploiez le package d’intégration Microsoft Defender for Endpoint pour macOS

Ce profil contient des informations de licence pour Microsoft Defender pour point de terminaison.

Créez un profil de configuration personnalisé en utilisant les paramètres courants décrits dans Créer des profils de configuration système. Utilisez ces paramètres spécifiques au profil :

• onglet Notions de base :
  • Nom : entrez un nom descriptif, tel que Microsoft Defender for Endpoint onboarding for macOS.
• Onglet Paramètres de configuration :
  • Nom du profil de configuration : Saisissez un nom descriptif pour le profil.
  • Canal de déploiement : Sélectionnez le canal de l’appareil.
  • Fichier de profil de configuration : Sélectionnez le WindowsDefenderATPOnboarding.xml fichier que vous avez extrait du package d’intégration.

Étape 15 : Vérifier l’état des appareils et de la configuration

Étape 15a. Afficher l’état

Utilisez le rapport de politique dans le centre d’administration Intune pour consulter le statut de l’enregistrement des appareils et des utilisateurs :

1. Sur la page Appareils | Configuration dans le centre d’administration Intune, à l’adresse https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, sélectionnez une stratégie.

2. Dans État de synchronisation de l’appareil et de l’utilisateur, sélectionnez Afficher le rapport.

Étape 15b. Enregistrer un appareil client

Utilisez le Portail d'entreprise pour inscrire l’appareil macOS :

1. Suivez les étapes dans Inscrire votre Mac au Portail d'entreprise Intune.

2. Une fois l’inscription terminée, vérifiez que l’appareil est listé sur la page Tous les appareils du centre d’administration Intune à https://intune.microsoft.com/#view/Microsoft_Intune_Devices/DevicesMenu/~/allDevices.

Étape 15c. Vérifier l’état de l’appareil client

Vérifiez les profils et l’application sur l’appareil géré :

1. Après le déploiement des profils de configuration, ouvrez System Settings>GeneralDevice>Management sur l’appareil macOS.

2. Vérifiez que les profils de configuration de votre déploiement sont présents et installés :

   • accessibility.mobileconfig, s’il est déployé.
   • background_services.mobileconfig
   • bluetooth.mobileconfig, s’il est déployé.
   • com.microsoft.autoupdate2.mobileconfig
   • fulldisk.mobileconfig
   • Profil de gestion, qui est le profil système Intune.
   • WindowsDefenderATPOnboarding.xml, qui correspond au package d’intégration de Defender for Endpoint.
   • netfilter.mobileconfig
   • notif.mobileconfig

3. Vérifiez que l’icône Microsoft Defender apparaît dans la barre de menu.

   

Étape 16 : Vérifier la détection des antimalwares

Effectuez un test de détection antivirus pour vérifier que l’appareil est bien embarqué et rapporte correctement.

Étape 17 : Vérifier la détection de l’EDR

Effectuez un test de détection EDR pour vérifier que la détection et la réponse des points de terminaison fonctionnent et rapportent correctement.

Étape 18 : Microsoft Purview Endpoint Data Loss Prevention pour macOS (fortement recommandé)

Pour intégrer l’appareil à Microsoft Purview et configurer la prévention de la perte de données sur les terminaux (DLP), voir Démarrer avec DLP des terminaux.

Résolution des problèmes

• Problème : Defender for Endpoint rapporte qu’aucune licence n’a été trouvée.
• Cause : L’intégration des appareils n’est pas terminée.
• Résolution : Téléchargez le package d’intégration décrit à l’étape 13, et déployez-le comme décrit à l’étape 14.

Journalisation des problèmes d’installation

Voir Journalisation des problèmes d’installation pour trouver le journal que le programme d’installation crée automatiquement lorsqu’une erreur se produit.

Pour plus d’informations sur les procédures de résolution des problèmes, consultez :

• Résoudre les problèmes d’extension système dans Microsoft Defender pour point de terminaison sur macOS
• Résoudre les problèmes d’installation de Microsoft Defender pour point de terminaison sur macOS
• Résoudre les problèmes de licence pour Microsoft Defender pour point de terminaison sur macOS
• Résoudre les problèmes de connectivité cloud pour Microsoft Defender pour point de terminaison sur macOS
• Résoudre les problèmes de performances pour Microsoft Defender pour point de terminaison sur macOS

Désinstaller Defender pour Endpoint

Voir Désinstaller Defender pour Endpoint sur macOS pour les instructions.