Menyebarkan Microsoft Defender untuk Titik Akhir di iOS dengan Microsoft Intune

Terapkan Microsoft Defender untuk Titik Akhir pada perangkat iOS yang terdaftar menggunakan aplikasi Microsoft Defender dan Microsoft Intune. Opsi penyebaran mendukung perangkat yang diawasi, perangkat tanpa pengawasan, dan perangkat yang menggunakan Intune-User Enrollment.

Prosedur dalam artikel ini memerlukan Microsoft Intune. Intune adalah produk terpisah yang bukan bagian dari Microsoft Defender untuk Titik Akhir, dan tidak termasuk dalam semua langganan. Untuk menggunakan Intune, Anda memerlukan langganan yang menyertakannya, atau Anda dapat membelinya secara terpisah sebagai langganan atau add-on mandiri. Untuk informasi selengkapnya, lihat lisensi Microsoft Intune.

Prerequisites

• Gunakan akun dengan izin berikut:

  • Microsoft Intune: Tetapkan peran bawaan Application Manager serta Policy dan Profile Manager, atau gunakan peran khusus dengan izin yang setara:

    • Application Manager menyediakan izin aplikasi mobile dan aplikasi terkelola yang diperlukan untuk menambah, mengonfigurasi, dan menetapkan aplikasi Microsoft Defender.
    • Policy and Profile Manager menyediakan konfigurasi perangkat dan izin pendaftaran yang diperlukan untuk membuat dan menetapkan profil dalam artikel ini.

    Lingkup penugasan peran kepada pengguna dan perangkat yang Anda kelola. Untuk izin yang termasuk dalam setiap peran, lihat Izin peran bawaan untuk Microsoft Intune.

  • Microsoft Defender portal: Di Microsoft Defender XDR Unified role-based access control (RBAC), tetapkan Security operations \ Security data \ Security data basics (baca), dengan akses ke grup perangkat yang berisi perangkat yang didaftarkan. Di organisasi yang masih menggunakan Defender for Endpoint RBAC, tetapkan Lihat data> dan akses ke grup perangkat yang sesuai.

• Daftarkan perangkat iOS pengguna Anda di Intune. Untuk informasi selengkapnya, lihat Enroll perangkat iOS dan iPadOS di Microsoft Intune.

• Berikan lisensi Defender for Endpoint kepada pengguna untuk menggunakan aplikasi Microsoft Defender. Untuk petunjuk, lihat Tetapkan lisensi kepada pengguna.

• Jika metode pendaftaran Anda memerlukan aplikasi Company Portal, pastikan pengguna telah menginstal dan masuk ke aplikasi serta telah menyelesaikan pendaftaran. Untuk skenario pendaftaran just-in-time (JIT) di mana aplikasi Company Portal tidak diperlukan, terapkan aplikasi Microsoft Authenticator sebagai aplikasi yang diperlukan. Authenticator menyediakan ekstensi SSO yang digunakan oleh pendaftaran JIT.

Note

App Microsoft Defender tersedia di Apple App Store.

Terbarkan aplikasi ke perangkat yang diawasi maupun tidak diawasi

Tambahkan aplikasi Microsoft Defender ke Intune untuk penerapan ke perangkat iOS yang diawasi maupun tidak diawasi.

Menambahkan aplikasi toko iOS

Lewati prosedur ini jika Anda menerapkan aplikasi Microsoft Defender sebagai aplikasi yang dibeli secara volume.

Tambahkan aplikasi Microsoft Defender ke Intune sebagai aplikasi toko iOS. Untuk petunjuk rinci, lihat Tambahkan aplikasi toko iOS ke Microsoft Intune (tautan terbuka di tab baru di dokumentasi Intune).

Pada halaman Aplikasi | Semua aplikasi di pusat admin Microsoft Intune di https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allApps, pilih Buat, dan gunakan pengaturan khusus berikut:

• Platform: Pilih iOS/iPadOS.
• Jenis aplikasi: Pilih aplikasi toko iOS di bagian aplikasi Store .

Di wizard Tambah aplikasi , konfigurasikan pengaturan berikut pada tab informasi aplikasi :

• Pilih Cari di App Store, cari Defender, lalu pilih Microsoft Defender: Security.
• Sistem operasi minimum: Pilih iOS 17.0.

Setelah Anda membuat aplikasi, halaman detail aplikasi akan terbuka. Untuk kembali ke halaman ini nanti, pilih Microsoft Defender: Security di halaman Aplikasi | Semua aplikasi. Di halaman detail aplikasi, di bawah Monitor, pilih Status instalasi perangkat untuk memverifikasi bahwa instalasi telah berhasil dilakukan.

Penerapan lengkap untuk perangkat tersupervisi

Aplikasi Microsoft Defender menawarkan kemampuan yang ditingkatkan pada perangkat iOS/iPadOS yang diawasi dengan menggunakan fitur manajemen canggih dari platform ini. Perangkat ini juga memberikan Perlindungan Web tanpa memerlukan VPN lokal di perangkat. Konfigurasi ini melindungi pengguna dari phishing dan ancaman berbasis web lainnya.

Konfigurasikan perangkat yang diawasi dengan kebijakan konfigurasi aplikasi dan profil konfigurasi perangkat.

Konfigurasi mode diawasi menggunakan Microsoft Intune

Konfigurasikan mode supervised untuk aplikasi Microsoft Defender melalui kebijakan konfigurasi aplikasi dan profil konfigurasi perangkat.

Kebijakan konfigurasi aplikasi

Note

Kebijakan konfigurasi aplikasi ini untuk perangkat yang diawasi hanya berlaku untuk perangkat yang dikelola. Sebagai praktik terbaik, tetapkan kebijakan ke Semua Perangkat.

Buat kebijakan konfigurasi aplikasi Managed devices . Untuk petunjuk rinci, lihat Buat kebijakan konfigurasi aplikasi (tautan terbuka di tab baru di dokumentasi Intune).

Pada halaman Aplikasi | Konfigurasi di pusat admin Microsoft Intune pada https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/configuration, pilih Buat>perangkat yang Dikelola.

Di wizard Buat kebijakan konfigurasi aplikasi , konfigurasikan pengaturan berikut:

• Tab Dasar-dasar :

  • Platform: Pilih iOS/iPadOS.
  • Aplikasi yang ditargetkan: Pilih Pilih aplikasi, temukan dan pilih Microsoft Defender: Security, lalu pilih OK.

• Tab Pengaturan:

  • Format pengaturan konfigurasi: Pilih Gunakan perancang konfigurasi.
  • Kunci konfigurasi: Masukkan issupervised.
  • Jenis nilai: Pilih String.
  • Nilai konfigurasi: Masukkan {{issupervised}}.

  

• Tab Penugasan : Sebagai praktik terbaik untuk skenario ini, tetapkan kebijakan ke Semua Perangkat. Jika Anda menetapkan kebijakan ke grup pengguna, pengguna harus masuk ke perangkat mereka sebelum kebijakan berlaku. Untuk informasi lebih lanjut, lihat Tetapkan profil pengguna dan perangkat.

Profil konfigurasi perangkat (Filter Kontrol)

Note

Pada perangkat iOS/iPadOS yang diawasi, profil ControlFilter.mobileconfig khusus mengaktifkan Perlindungan Web tanpa mengatur VPN loopback lokal di perangkat. Konfigurasi ini melindungi pengguna dari phishing dan serangan berbasis web lainnya tanpa memerlukan VPN lokal.

Namun, profil ControlFilter tidak berfungsi dengan Always-On VPN (AOVPN) karena pembatasan platform.

Terapkan salah satu profil berikut:

• Filter Kontrol Zero Touch (Silent): Profil ini memungkinkan pengguna melakukan onboarding tanpa interaksi. Unduh profil konfigurasi dari ControlFilterZeroTouch.

• Control Filter: Unduh profil konfigurasi dari ControlFilter.

Setelah Anda mengunduh profil yang dipilih, buat profil konfigurasi perangkat khusus. Untuk petunjuk rinci, lihat Tambahkan pengaturan khusus ke perangkat Apple di Microsoft Intune (tautan terbuka di tab baru di dokumentasi Intune).

Saat Anda membuat kebijakan pada tab Kebijakan pada halaman Devices | Konfigurasi di pusat admin Microsoft Intune di , https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configurationdengan memilih Buat>kebijakan Baru, gunakan pengaturan khusus berikut:

• Platform: Pilih iOS/iPadOS.
• Jenis profil: Pilih Templat.
• Nama template: Pilih Kustom.

Di wizard Kustom, konfigurasikan pengaturan berikut:

• Tab pengaturan konfigurasi : Untuk file profil Konfigurasi, cari dan pilih file yang .mobileconfig telah Anda unduh.
• Tab Penugasan : Sebagai praktik terbaik untuk skenario ini, tetapkan profil ke semua perangkat iOS yang dikelola.

Atur onboarding otomatis untuk perangkat tanpa pengawasan

Otomatiskan onboarding ke Defender for Endpoint dengan menggunakan onboarding tanpa sentuhan atau onboarding otomatis pada profil VPN.

Siapkan orientasi awal tanpa intervensi manual

Note

Zero-touch tidak dapat dikonfigurasi pada perangkat iOS yang terdaftar tanpa afinitas pengguna, seperti perangkat tanpa pengguna atau perangkat bersama.

Siapkan Microsoft Defender untuk Titik Akhir untuk penyebaran senyap dan aktivasi dengan membuat profil penyebaran. Pengguna menerima notifikasi instalasi, dan Defender for Endpoint menginstal tanpa perlu membuka aplikasi.

Buat profil konfigurasi perangkat VPN. Untuk petunjuk rinci, lihat Buat profil konfigurasi perangkat (tautan terbuka di tab baru di dokumentasi Intune). Untuk informasi tentang pengaturan VPN yang tersedia, lihat Konfigurasikan pengaturan VPN untuk perangkat Apple di Microsoft Intune.

Saat Anda membuat kebijakan pada tab Kebijakan pada halaman Devices | Konfigurasi di pusat admin Microsoft Intune di , https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configurationdengan memilih Buat>kebijakan Baru, gunakan pengaturan khusus berikut:

• Platform: Pilih iOS/iPadOS.
• Jenis profil: Pilih Templat.
• Nama template: Pilih VPN.

Di wizard VPN , gunakan pengaturan spesifik berikut pada tab Pengaturan Konfigurasi :

• Jenis koneksi: Pilih VPN Kustom.
• Bagian Base VPN:
  • Nama koneksi: Masukkan Microsoft Defender untuk Titik Akhir.
  • Alamat server VPN: Masukkan 127.0.0.1.
  • Metode autentikasi: Pilih Username dan password.
  • Split tunneling: Pastikan Nonaktifkan dipilih.
  • Pengidentifikasi VPN: Masukkan com.microsoft.scmx.
  • Masukkan pasangan kunci dan nilai untuk atribut VPN kustom:
    • Kunci: Masukkan SilentOnboard.
    • Nilai: Masukkan True.
    • Secara default, pengguna tidak dapat mengubah tombol dari dalam aplikasi. Untuk memungkinkan pengguna mengubah toggle VPN dari dalam aplikasi, tambahkan pasangan kunci-nilai berikut:
      • Kunci: Masukkan EnableVPNToggleInApp.
      • Nilai: Masukkan True.
• Bagian VPN otomatis :
  • Jenis VPN otomatis: Pilih VPN Sesuai Permintaan.
    • Aturan sesuai permintaan: Pilih Tambah, pilih Saya ingin melakukan hal berikut>Tetapkan VPN, lalu pilih Saya ingin membatasi ke>Semua domain.
  • Blokir pengguna menonaktifkan VPN otomatis: Pilih Ya untuk mencegah pengguna menonaktifkan VPN. Secara default, pengaturan ini tidak dikonfigurasi, dan pengguna hanya dapat menonaktifkan VPN di Pengaturan.

Setelah Intune menyinkronkan profil ke perangkat iOS yang ditargetkan:

• Defender for Endpoint telah diterapkan dan didaftarkan secara senyap. Perangkat terlihat di portal Microsoft Defender setelah di-onboarding.
• Pemberitahuan provisi dikirim ke perangkat pengguna.
• Perlindungan Web dan fitur lainnya diaktifkan.

Dalam beberapa kasus, seperti setelah perubahan kata sandi atau permintaan autentikasi multifaktor, onboarding tanpa sentuhan mungkin mengharuskan pengguna masuk secara manual ke aplikasi Microsoft Defender.

• Untuk proses orientasi awal: Pengguna menerima notifikasi senyap.

  

  Pengguna melakukan langkah-langkah berikut:

  1. Buka aplikasi Microsoft Defender atau ketuk notifikasi.
  2. Pilih akun perusahaan yang terdaftar dari layar pemilih akun.
  3. Masuk.

  Perangkat di-onboarding dan mulai melaporkan ke portal Microsoft Defender.

• Untuk perangkat yang sudah dionboarding sebelumnya: Pengguna menerima notifikasi diam.

  

  Untuk melanjutkan pelaporan ke portal Microsoft Defender:

  1. Buka aplikasi Microsoft Defender, atau ketuk pemberitahuan.
  2. Saat diminta oleh aplikasi Microsoft Defender, masuk.

  Perangkat mulai melapor kembali ke portal Microsoft Defender.

  Note

  • Pengaturan tanpa sentuhan dapat memakan waktu hingga 5 menit untuk diselesaikan di latar belakang.
  • Untuk perangkat yang diawasi, atur onboarding tanpa sentuhan dengan profil ZeroTouch Control Filter. Dalam kasus ini, profil VPN Defender for Endpoint tidak terpasang di perangkat, dan profil Control Filter menyediakan Perlindungan Web.

Siapkan proses orientasi otomatis untuk profil VPN

Note

Opsi ini memudahkan onboarding dengan mengatur profil VPN. Jika Anda menggunakan onboarding tanpa sentuh, jangan konfigurasikan opsi ini.

Untuk perangkat tanpa pengawasan, VPN loopback lokal menyediakan Perlindungan Web. VPN tidak mengirim lalu lintas ke luar perangkat.

Konfigurasikan pengaturan otomatis profil VPN Defender for Endpoint sehingga pengguna tidak perlu mengatur profil saat onboarding.

Buat profil konfigurasi perangkat VPN. Untuk petunjuk rinci, lihat Buat profil konfigurasi perangkat (tautan terbuka di tab baru di dokumentasi Intune). Untuk informasi tentang pengaturan VPN yang tersedia, lihat Konfigurasikan pengaturan VPN untuk perangkat Apple di Microsoft Intune.

Saat Anda membuat kebijakan pada tab Kebijakan pada halaman Devices | Konfigurasi di pusat admin Microsoft Intune di , https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configurationdengan memilih Buat>kebijakan Baru, gunakan pengaturan khusus berikut:

• Platform: Pilih iOS/iPadOS.
• Jenis profil: Pilih Templat.
• Nama template: Pilih VPN.

Di wizard VPN , gunakan pengaturan spesifik berikut pada tab Pengaturan Konfigurasi :

• Jenis koneksi: Pilih VPN Kustom.
• Bagian Base VPN:
  • Nama koneksi: Masukkan Microsoft Defender untuk Titik Akhir.
  • Alamat server VPN: Masukkan 127.0.0.1.
  • Metode autentikasi: Pilih Username dan password.
  • Split tunneling: Pastikan Nonaktifkan dipilih.
  • Pengidentifikasi VPN: Masukkan com.microsoft.scmx.
  • Masukkan pasangan kunci dan nilai untuk atribut VPN kustom:
    • Kunci: Masukkan AutoOnboard.
    • Nilai: Masukkan True.
    • Secara default, pengguna tidak dapat mengubah tombol dari dalam aplikasi. Untuk memungkinkan pengguna mengubah toggle VPN dari dalam aplikasi, tambahkan pasangan kunci-nilai berikut:
      • Kunci: Masukkan EnableVPNToggleInApp.
      • Nilai: Masukkan True.
• Bagian VPN otomatis :
  • Jenis VPN otomatis: Pilih VPN Sesuai Permintaan.
  • Aturan sesuai permintaan: Pilih Tambah, pilih Saya ingin melakukan hal berikut>Tetapkan VPN, lalu pilih Saya ingin membatasi ke>Semua domain.
  • Blokir pengguna menonaktifkan VPN otomatis: Pilih Ya untuk mencegah pengguna menonaktifkan VPN. Secara default, pengaturan ini tidak dikonfigurasi, dan pengguna hanya dapat menonaktifkan VPN di Pengaturan.

Atur Pendaftaran Pengguna Intune

Gunakan langkah-langkah berikut untuk menerapkan aplikasi Microsoft Defender ke perangkat iOS yang menggunakan Intune User Enrollment.

Pengaturan administrator

Untuk mengonfigurasi Pendaftaran Pengguna Intune untuk Defender untuk Endpoint:

1. Buat profil Pendaftaran Pengguna Apple di Intune. Untuk pendaftaran baru, gunakan Apple User Enrollment berbasis akun. Pendaftaran Pengguna dengan Company Portal hanya tersedia untuk perangkat yang sudah menggunakan tipe profil ini.

   • Menyiapkan Pendaftaran Pengguna Apple berbasis akun
   • Siapkan Pendaftaran Pengguna dengan Company Portal untuk perangkat yang sudah ada
   • Bandingkan metode Pendaftaran Pengguna Apple

2. Siapkan plug-in Microsoft Enterprise untuk masuk sekali (SSO). Aplikasi Microsoft Authenticator, yang menyediakan ekstensi SSO, diperlukan untuk Pendaftaran Pengguna di perangkat iOS.

   Buat profil konfigurasi perangkat di Intune. Untuk informasi selengkapnya, lihat Plug-in SSO Microsoft Enterprise untuk perangkat Apple. Tambahkan pengaturan berikut ke profil:

   • ID bundel aplikasi: Tambahkan ID bundel aplikasi Microsoft Defender, com.microsoft.scmx.
   • Konfigurasi lain: Tambahkan kunci device_registration, pilih tipe String , dan masukkan {{DEVICEREGISTRATION}} sebagai nilainya.

3. Atur kunci konfigurasi aplikasi untuk Pendaftaran Pengguna.

   Buat kebijakan konfigurasi aplikasi Managed devices . Untuk petunjuk rinci, lihat Buat kebijakan konfigurasi aplikasi (tautan terbuka di tab baru di dokumentasi Intune).

   Pada halaman Aplikasi | Konfigurasi di pusat admin Microsoft Intune pada https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/configuration, pilih Buat>perangkat yang Dikelola.

   Di wizard Buat kebijakan konfigurasi aplikasi , konfigurasikan pengaturan spesifik berikut:

   • Tab Dasar-dasar :

     • Platform: Pilih iOS/iPadOS.
     • Aplikasi yang ditargetkan: Pilih Pilih aplikasi, temukan dan pilih Microsoft Defender: Security, lalu pilih OK.

   • Tab Pengaturan:

     • Format pengaturan konfigurasi: Pilih Gunakan perancang konfigurasi.
     • Kunci konfigurasi: Masukkan UserEnrolmentEnabled.
     • Jenis nilai: Pilih String.
     • Nilai konfigurasi: Masukkan True.

4. Sebarkan aplikasi Microsoft Defender dari Intune sebagai aplikasi wajib, aplikasi pembelian volume berlisensi pengguna.

Orientasi pengguna

Setelah aplikasi Microsoft Defender diinstal di perangkat pengguna, setiap pengguna masuk dan menyelesaikan proses onboarding. Setelah perangkat di-onboard, perangkat akan muncul di halaman inventaris perangkat di portal Microsoft Defender.

Fitur dan batasan yang didukung

• Kemampuan Defender for Endpoint di iOS meliputi Perlindungan Web, Perlindungan Jaringan, deteksi jailbreak, manajemen kerentanan untuk sistem operasi dan aplikasi, serta peringatan di portal Microsoft Defender.
• Penerapan tanpa interaksi dan onboarding otomatis untuk profil VPN tidak didukung untuk Pendaftaran Pengguna karena administrator tidak dapat menerapkan profil VPN tingkat perangkat untuk jenis pendaftaran ini.
• Untuk manajemen kerentanan aplikasi, hanya aplikasi dalam volume managed Apple File System (APFS) yang terlihat.
• Perangkat yang baru di-onboarding mungkin membutuhkan waktu hingga 10 menit untuk menunjukkan patuh ketika ditargetkan oleh kebijakan kepatuhan.

Untuk informasi lebih lanjut, lihat Batasan Pendaftaran Pengguna Apple dan kemampuan yang tidak didukung.

Selesaikan proses orientasi dan periksa statusnya

Untuk menyelesaikan onboarding dan memverifikasi status perangkat:

1. Setelah Intune menginstal Defender for Endpoint di perangkat iOS, ikon aplikasi akan muncul.

   

2. Ketuk ikon aplikasi Defender for Endpoint, dan ikuti petunjuk di layar untuk menyelesaikan onboarding. Pengguna menerima izin iOS yang diperlukan oleh aplikasi Microsoft Defender.

   Note

   Lewati langkah ini jika Anda mengonfigurasi onboarding tanpa sentuh. Anda tidak perlu membuka aplikasi secara manual saat onboarding tanpa sentuhan dikonfigurasi.

3. Setelah proses onboarding selesai, pastikan perangkat muncul di daftar inventaris Perangkat di portal Microsoft Defender.

   

Konten terkait

• Mengonfigurasi kebijakan perlindungan aplikasi untuk menyertakan Defender untuk sinyal risiko Titik Akhir (MAM)
• Mengonfigurasi fitur Defender for Endpoint di iOS