Jamf Pro で macOS ポリシーでMicrosoft Defender for Endpointを設定する

適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

この記事では、macOS でのMicrosoft Defender for Endpointの展開と管理に必要な Jamf Pro 構成プロファイルとポリシーを作成する手順について説明します。この手順では、オンボード、ウイルス対策と EDR の設定、通知、Microsoft AutoUpdate、フルディスクアクセス、システム拡張機能、ネットワーク拡張機能、バックグラウンドサービス、Bluetoothアクセス許可、パッケージの展開について説明します。 Jamf Pro を使用して macOS デバイスを管理する IT 管理者は、次の手順に従って、エンドポイントのDefenderが完全に構成され、保護されていることを確認する必要があります。

手順 1: Microsoft Defender for Endpoint オンボードパッケージを取得する

重要

デバイスを表示、管理、オンボードするには、適切なロールが割り当てられている必要があります。詳細については、「Microsoft Entra のグローバルロールを使用して Microsoft Defender XDR へのアクセスを管理する」を参照してください。

Microsoft Defender Portal で、Settings>Endpoints>Onboarding に移動します。
オペレーティングシステムとして [macOS] を選択し、展開方法として [Mobile デバイス管理/Microsoft Intune] を選択します。
[ オンボードパッケージのダウンロード (WindowsDefenderATPOnboardingPackage.zip)] を選択します。
WindowsDefenderATPOnboardingPackage.zipを抽出します。
ファイルを任意の場所にコピーします。たとえば、「 C:\Users\JaneDoe_or_JohnDoe.contoso\Downloads\WindowsDefenderATPOnboardingPackage_macOS_MDM_contoso\Jamf\WindowsDefenderATPOnboarding.plist 」のように入力します。

手順 2: オンボードパッケージを使用して Jamf Pro で構成プロファイルを作成する

手順 1 で抽出した WindowsDefenderATPOnboarding.plist ファイルを見つけます。
Jamf Pro にサインインし、[ コンピューター>構成プロファイル] に移動し、[新規] を選択 します。
[ 全般 ] タブで、次の詳細を指定します。
- 名前: MDE onboarding for macOS
- 説明: MDE EDR onboarding for macOS
- カテゴリ: None
- 配布方法: Install Automatically
- レベル: Computer Level
[ アプリケーション & カスタム設定] ページに移動し、[ アップロード] を選択し、[ 追加] を選択します。
[ ファイルのアップロード (PLIST ファイル)] を選択し、[ 基本設定ドメイン] に「 com.microsoft.wdav.atp」と入力します。
[ 開く ] を選択し、オンボードファイルを選択します。
[アップロード] を選択します。
[ スコープ ] タブを選択します。
ターゲットコンピューターを選択します。
[保存] を選択します。
[完了] を選択します。

手順 3: Microsoft Defender for Endpoint設定を構成する

この手順を使用して、Microsoft Defender ポータルまたは Jamf を使用してマルウェア対策ポリシーと EDR ポリシーを構成します。

重要

Microsoft Defender for Endpoint のセキュリティ設定管理ポリシーは、Jamf で設定されたポリシー（およびその他のサードパーティ製 MDM で設定されたポリシー）よりも優先されます。

3a。 Microsoft Defender ポータルを使用してポリシーを設定する

Microsoft Defender ポータルを使用して、macOS セキュリティポリシーを作成し、デバイスに割り当てます。

開始する前に、「Intune でのMicrosoft Defender for Endpointの構成」で説明されているセットアップを完了します。

Microsoft Defender ポータルで、構成管理>Endpoint セキュリティポリシー>Mac ポリシー>新しいポリシーの作成に移動します。
[ プラットフォームの選択] で、[ macOS] を選択します。
[ テンプレートの選択] でテンプレートを選択し、[ ポリシーの作成] を選択します。
ポリシーの名前と説明を指定し、[ 次へ] を選択します。
[ 割り当て ] タブで、macOS デバイスやユーザーが配置されているグループ、または すべてのユーザー と すべてのデバイスにプロファイルを割り当てます。

セキュリティ設定の管理の詳細については、次の記事を参照してください。
- Microsoft Intuneを使用してデバイスのMicrosoft Defender for Endpointを管理する
- Defender for Endpoint で Windows、macOS、Linuxのセキュリティ設定をネイティブに管理する

3b。 Jamf を使用してポリシーを設定する

Jamf Pro GUI を使用して、Microsoft Defender for Endpoint構成の個々の設定を編集するか、テキストエディターで構成 Plist を作成して Jamf Pro にアップロードすることで、レガシメソッドを使用できます。

Preference Domainとして正確にcom.microsoft.wdavを使用する必要があります。 Microsoft Defender for Endpointでは、この名前とcom.microsoft.wdav.extのみを使用して管理設定を読み込みます。 ( com.microsoft.wdav.ext バージョンは、まれに GUI メソッドを使用する場合に使用できますが、スキーマにまだ追加されていない設定を構成する必要もあります)。

Jamf Pro GUI を使用してDefender設定を構成する

このメソッドを使用して、Defenderの JSON スキーマを Jamf Pro にインポートし、GUI を使用して設定を構成します。

DefenderのGitHub リポジトリからMicrosoft Defender for Endpoint schema.json ファイルをダウンロードし、ローカルに保存します。 Jamf Pro では、このスキーマを使用して、GUI で使用可能な構成設定を設定します。
```
curl -o ~/Documents/schema.json https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/schema/schema.json
```
新しい構成プロファイルを作成します。 [ コンピューター] の [ 構成プロファイル] に移動し、[ 全般 ] タブで次の詳細を指定します。
- 名前: MDATP MDAV configuration settings
- 説明: <blank\>
- カテゴリ: None (default)
- レベル: Computer Level (default)
- 配布方法: Install Automatically (default)
[ アプリケーション & カスタム設定 ] タブまで下にスクロールし、[ 外部アプリケーション] を選択し、[ 追加] を選択し、基本設定ドメインのソースとして カスタムスキーマ を使用します。
基本設定ドメインのcom.microsoft.wdavを入力し、[スキーマの追加] を選択し、前にDefenderのGitHub リポジトリからダウンロードしたschema.json ファイルをアップロードします。 [保存] を選択します。
[基本設定ドメインのプロパティ] で、サポートされているすべてのMicrosoft Defender for Endpoint構成設定を確認できます。 [ プロパティの追加と削除 ] を選択して管理する設定を選択し、[ OK] を 選択して変更を保存します。 (選択されていない設定はマネージド構成には含まれません。エンドユーザーは、それらの設定を自分のマシンで構成できます)。
設定の値を目的の値に変更します。 [ 詳細情報 ] を選択すると、特定の設定のドキュメントを取得できます。 ( Plist プレビュー を選択して、構成 plist を調べることができます。 [フォームエディター] を選択してビジュアルエディターに戻ります)。
[ スコープ ] タブを選択します。
[Contoso のコンピューターグループ] を選択します。 [ 追加] を選択し、[保存] を選択 します。
[完了] を選択します。新しい 構成プロファイルが表示されます。

Microsoft Defender for Endpointは、時間の経過に伴って新しい設定を追加します。エンドポイント設定の新しいDefenderがスキーマに追加され、新しいバージョンがGitHubに発行されます。更新プログラムを取得するには、更新されたスキーマをダウンロードし、既存の構成プロファイルを編集します。 [ アプリケーション & カスタム設定 ] タブで、[ スキーマの編集] を選択します。

従来の方法を使用してDefender設定を構成する

従来の方法を使用して、テキストエディターで構成 plist を手動で作成し、Jamf Pro にアップロードします。

次のMicrosoft Defender for Endpoint構成設定を使用します。

enableRealTimeProtection
passiveMode (この設定は既定ではオンになっていません。Mac で Microsoft 以外のウイルス対策ソフトウェアを実行する予定の場合は、 trueに設定します)。
exclusions
excludedPath
excludedFileExtension
excludedFileName
exclusionsMergePolicy
allowedThreats (EICAR はサンプルにあります。概念実証を行う場合は、EICAR をテストする場合は特に削除してください)。
disallowedThreatActions
potentially_unwanted_application
archive_bomb
cloudService
automaticSampleSubmission
tags
hideStatusMenuIcon

詳細については、「 Jamf の完全な構成プロファイルのプロパティリスト」を参照してください。

  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>antivirusEngine</key>
      <dict>
          <key>enableRealTimeProtection</key>
          <true/>
          <key>passiveMode</key>
          <false/>
          <key>exclusions</key>
          <array>
              <dict>
                  <key>$type</key>
                  <string>excludedPath</string>
                  <key>isDirectory</key>
                  <false/>
                  <key>path</key>
                  <string>/var/log/system.log</string>
              </dict>
              <dict>
                  <key>$type</key>
                  <string>excludedPath</string>
                  <key>isDirectory</key>
                  <true/>
                  <key>path</key>
                  <string>/home</string>
              </dict>
              <dict>
                  <key>$type</key>
                  <string>excludedFileExtension</string>
                  <key>extension</key>
                  <string>pdf</string>
              </dict>
              <dict>
                  <key>$type</key>
                  <string>excludedFileName</string>
                  <key>name</key>
                  <string>cat</string>
              </dict>
          </array>
          <key>exclusionsMergePolicy</key>
          <string>merge</string>
          <key>allowedThreats</key>
          <array>
              <string>EICAR-Test-File (not a virus)</string>
          </array>
          <key>disallowedThreatActions</key>
          <array>
              <string>allow</string>
              <string>restore</string>
          </array>
          <key>threatTypeSettings</key>
          <array>
              <dict>
                  <key>key</key>
                  <string>potentially_unwanted_application</string>
                  <key>value</key>
                  <string>block</string>
              </dict>
              <dict>
                  <key>key</key>
                  <string>archive_bomb</string>
                  <key>value</key>
                  <string>audit</string>
              </dict>
          </array>
          <key>threatTypeSettingsMergePolicy</key>
          <string>merge</string>
      </dict>
      <key>cloudService</key>
      <dict>
          <key>enabled</key>
          <true/>
          <key>diagnosticLevel</key>
          <string>optional</string>
          <key>automaticSampleSubmission</key>
          <true/>
      </dict>
      <key>edr</key>
      <dict>
          <key>tags</key>
          <array>
              <dict>
                  <key>key</key>
                  <string>GROUP</string>
                  <key>value</key>
                  <string>ExampleTag</string>
              </dict>
          </array>
      </dict>
      <key>userInterface</key>
      <dict>
          <key>hideStatusMenuIcon</key>
          <false/>
      </dict>
  </dict>
  </plist>

ファイルを MDATP_MDAV_configuration_settings.plistとして保存します。
Jamf Pro ダッシュボードで、 コンピューターとその 構成プロファイルを開きます。 [ 新規 ] を選択し、[ 全般 ] タブに切り替えます。
[ 全般 ] タブで、次の詳細を指定します。
- 名前: MDATP MDAV configuration settings
- 説明: <blank>
- カテゴリ: None (default)
- 配布方法: Install Automatically (default)
- レベル: Computer Level (default)
[ アプリケーション & カスタム設定] で、[構成] を選択 します。
[ ファイルのアップロード (PLIST ファイル)] を選択します。
[ 基本設定ドメイン] に「 com.microsoft.wdav」と入力し、[ PLIST ファイルのアップロード] を選択します。
[ファイルの選択] を選択します。
MDATP_MDAV_configuration_settings.plist を選択し、[開く] を選択します。
[アップロード] を選択します。

注:

Intune ファイルをアップロードすると、次のエラーが発生します。
[保存] を選択します。
ファイルがアップロードされます。
[ スコープ ] タブを選択します。
[Contoso のコンピューターグループ] を選択します。 [ 追加] を選択し、[保存] を選択 します。
[完了] を選択します。新しい 構成プロファイルが表示されます。

手順 4: 通知設定を構成する

注:

これらの手順は、macOS 11 (Big Sur) 以降で適用できます。 Jamf は macOS バージョン 10.15 以降で通知をサポートしていますが、macOS 上の Defender for Endpoint には macOS 11 以降が必要です。

Jamf Proダッシュボードで、コンピュータ、次に構成プロファイルを選択します。
[ 新規] を選択し、[ 全般 ] タブの [ オプション] に次の詳細を指定します。
- 名前: MDATP MDAV Notification settings
- 説明: macOS 11 (Big Sur) or later
- カテゴリ: None *(default)*
- 配布方法: Install Automatically *(default)*
- レベル: Computer Level *(default)*
[通知] タブで [ 追加] を選択し、次の値を指定します。
- バンドル ID: com.microsoft.wdav.tray
- 重大なアラート: [無効] を選択します
- 通知: [有効にする] を選択します
- バナーアラートの種類: [含める] と [一時](既定値) を選択します
- ロック画面の通知: [非表示] を選択します
- 通知センターの通知: [表示] を選択します
- バッジアプリアイコン: [表示] を選択します
[通知] タブで、[もう 1 回追加 ] を選択し、[ 新しい通知設定] まで下にスクロールします。
- バンドル ID: com.microsoft.autoupdate.fba
残りの設定には、前の手順と同じ値を使用します。

通知エントリが 2 つあります。1 つは Bundle ID: com.microsoft.wdav.tray 用で、もう 1 つは Bundle ID: com.microsoft.autoupdate.fba 用です。ニーズに合わせてアラート設定を調整できます。ただし、両方のバンドル ID がここに示されている値と正確に一致している必要があり、通知の [含める] スイッチがオンになっている必要があります。
[ スコープ ] タブを選択し、[ 追加] を選択します。
[Contoso のコンピューターグループ] を選択します。 [ 追加] を選択し、[保存] を選択 します。
[完了] を選択します。新しい 構成プロファイルが表示されます。

手順 5: Microsoft AutoUpdate (MAU) を構成する

Microsoft AutoUpdate (MAU) では、Microsoft Defender for Endpointを含め、Microsoftアプリケーションを macOS 上で最新の状態に保ちます。更新プログラムをデバイスに配信する方法を管理するには、次の設定を構成します。

次のMicrosoft Defender for Endpoint構成設定を使用します。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
 <key>ChannelName</key>
 <string>Current</string>
 <key>HowToCheck</key>
 <string>AutomaticDownload</string>
 <key>EnableCheckForUpdatesButton</key>
 <true/>
 <key>DisableInsiderCheckbox</key>
 <false/>
 <key>SendAllTelemetryEnabled</key>
 <true/>
</dict>
</plist>

MDATP_MDAV_MAU_settings.plistとして保存します。
Jamf Pro ダッシュボードで、[全般] を選択 します。
[ 全般 ] タブで、次の詳細を指定します。
- 名前: MDATP MDAV MAU settings
- 説明: Microsoft AutoUpdate settings for MDATP for macOS
- カテゴリ: None (default)
- 配布方法: Install Automatically (default)
- レベル: Computer Level (default)
[ アプリケーション & カスタム設定] で、[ 構成] を選択 します。
[ ファイルのアップロード (PLIST ファイル)] を選択します。
[ 基本設定ドメイン] に「 com.microsoft.autoupdate2」と入力し、[ PLIST ファイルのアップロード] を選択します。
[ファイルの選択] を選択します。
[MDATP_MDAV_MAU_settings.plist] を選択します。
[アップロード] を選択します。
[保存] を選択します。
[ スコープ ] タブを選択します。
[追加] を選択します。
[完了] を選択します。

手順 6: Microsoft Defender for Endpointへのフルディスクアクセスを許可する

Jamf Pro 構成プロファイルを使用して、Microsoft Defender for Endpointへのフルディスクアクセスを許可するには、次の手順を実行します。

Jamf Pro ダッシュボードで、[ 構成プロファイル] を選択します。
[ + 新規] を選択します。
[ 全般 ] タブで、次の詳細を指定します。
- 名前: MDATP MDAV - grant Full Disk Access to EDR and AV
- 説明: On macOS 11 (Big Sur) or later, the new Privacy Preferences Policy Control
- カテゴリ: None
- 配布方法: Install Automatically
- レベル: Computer level
[ プライバシー設定ポリシー制御の構成 ] で、[構成] を選択 します。
[ プライバシー設定ポリシー制御] に、次の詳細を入力します。
- 識別子: com.microsoft.wdav
- 識別子の種類: Bundle ID
- コード要件: identifier "com.microsoft.wdav" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9
[+ 追加] を選択します。
- [ アプリまたはサービス] で、[ SystemPolicyAllFiles] を選択します。
- アクセス で、許可を選択します。
保存を選択します（右下にあるものではありません）。
App Accessの横にある+記号を選択して、新しいエントリを追加します。
次の詳細を入力します:
- 識別子: com.microsoft.wdav.epsext
- 識別子の種類: Bundle ID
- コード要件: identifier "com.microsoft.wdav.epsext" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9
[+ 追加] を選択します。
- [ アプリまたはサービス] で、[ SystemPolicyAllFiles] を選択します。
- アクセス で、許可を選択します。
保存を選択します（右下にあるものではありません）。
[ スコープ ] タブを選択します。
[+ 追加] を選択します。
[ コンピューターグループ] を選択し、[ グループ名] で [Contoso の MachineGroup] を選択します。
[追加] を選択します。その後、[保存] を選択します。
[完了] を選択します。

または、fulldisk.mobileconfig をダウンロードし、Jamf Pro を使用したカスタム構成プロファイルのデプロイ|方法 2: 構成プロファイルを Jamf Pro にアップロードで説明されているように、Jamf Configuration Profiles にアップロードできます。

注:

Apple MDM 構成プロファイルを介して付与された完全なディスクアクセスは、システム設定 => プライバシー & セキュリティ => フルディスクアクセスには反映されません。

手順 7: Microsoft Defender for Endpointのシステム拡張機能を承認する

Jamf Pro でMicrosoft Defender for Endpointシステム拡張機能を承認するには、次の手順を実行します。

[構成プロファイル] で、[+ 新規] を選択します。
[ 全般 ] タブで、次の詳細を指定します。
- 名前: MDATP MDAV System Extensions
- 説明: MDATP system extensions
- カテゴリ: None
- 配布方法: Install Automatically
- レベル: Computer Level
[ システム拡張機能] で 、[構成] を選択 します。
[ システム拡張機能] に、次の詳細を入力します。
- 表示名: Microsoft Corp. System Extensions
- システム拡張機能の種類: Allowed System Extensions
- チーム識別子: UBF8T346G9
- 許可されるシステム拡張機能:
  - com.microsoft.wdav.epsext
  - com.microsoft.wdav.netext
[ スコープ ] タブを選択します。
[+ 追加] を選択します。
[グループ名]> の下で、[コンピューターグループ]> を選択し、Contoso のマシングループを選択します。
[+ 追加] を選択します。
[保存] を選択します。
[完了] を選択します。

手順 8: ネットワーク拡張機能を構成する

エンドポイント検出および応答機能の一部として、macOS のMicrosoft Defender for Endpointはソケットトラフィックを検査し、この情報をMicrosoft Defender ポータルに報告します。

注:

Jamf Proダッシュボードで、コンピュータ、次に構成プロファイルを選択します。
[ 新規] を選択し、[オプション] に次の詳細を入力 します。
[ 全般 ] タブで、次の値を指定します。
- 名前: Microsoft Defender Network Extension
- 説明: macOS 11 (Big Sur) or later
- カテゴリ: None *(default)*
- 配布方法: Install Automatically *(default)*
- レベル: Computer Level *(default)*
[ コンテンツフィルター] タブで 、次の値を指定します。
- フィルター名: Microsoft Defender Content Filter
- 識別子: com.microsoft.wdav
- サービスアドレス、組織、ユーザー名、パスワード、証明書を空白のままにします ([含める] が選択されていません*
- フィルター順序: Inspector
- ソケットフィルター: com.microsoft.wdav.netext
- ソケットフィルター指定要件: identifier "com.microsoft.wdav.netext" and anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] /* exists */ and certificate leaf[field.1.2.840.113635.100.6.1.13] /* exists */ and certificate leaf[subject.OU] = UBF8T346G9
- [ネットワークフィルター] フィールドは空白のままにします ([含める] が選択されていません*
識別子が com.microsoft.wdav に設定され、ソケットフィルターが com.microsoft.wdav.netext に設定され、ソケットフィルター指定要件が前の一覧に示したコード署名要件と一致することを確認します。
[ スコープ ] タブを選択します。
[+ 追加] を選択します。 [ コンピューターグループ] を選択し、[ グループ名] で [Contoso のコンピューターグループ] を選択します。次に、[ + 追加] を選択します。
[保存] を選択します。
[完了] を選択します。

または、「Jamf Pro を使用したカスタム構成プロファイルの展開」の説明に従って、netfilter.mobileconfig をダウンロードして Jamf 構成プロファイルにアップロードすることもできます。

手順 9: バックグラウンドサービスを構成する

注意

macOS 13 (ベンチュラ) は、新しいプライバシーコントロールを追加します。アプリは、ユーザーの同意なしにバックグラウンドで実行できなくなりました。 Microsoft Defender for Endpointは、デーモンプロセスをバックグラウンドで実行する必要があります。

この構成プロファイルは、バックグラウンドサービスのアクセス許可をMicrosoft Defender for Endpointに付与します。以前に Jamf を使用してMicrosoft Defender for Endpointを構成した場合は、この構成プロファイルを使用してデプロイを更新することをお勧めします。

Microsoft Defender for Endpoint macOS mobileconfig プロファイルリポジトリから background_services.mobileconfig をダウンロードします。

Jamf Pro を使用したカスタム構成プロファイルのデプロイに関するページの説明に従って、ダウンロードした mobileconfig を Jamf 構成プロファイルにアップロードする|方法 2: 構成プロファイルを Jamf Pro にアップロードします。

手順 10: Bluetoothアクセス許可を付与する

注意

macOS 14 (Sonoma) には、新しいプライバシーの強化が含まれています。このバージョン以降、既定では、アプリケーションは明示的な同意なしにBluetoothにアクセスできません。 Microsoft Defender for Endpointデバイス制御のBluetoothポリシーを構成する場合に使用されます。

Microsoft Defender for Endpoint macOS mobileconfig プロファイルリポジトリから bluetooth.mobileconfig をダウンロードします。

警告

現在のバージョンの Jamf Pro では、この種類のペイロードはまだサポートされていません。この mobileconfig をそのままアップロードすると、Jamf Pro はサポートされていないペイロードを削除し、クライアントマシンへの適用に失敗します。最初にダウンロードした mobileconfig に署名する必要があります。その後、Jamf Pro はそれを "封印" と見なし、改ざんしません。以下の手順を参照してください。

KeyChain には少なくとも 1 つの署名証明書がインストールされている必要があります。自己署名証明書でも機能します。構成プロファイルに署名する必要がある証明書名を見つけるには、使用可能なコード署名 ID を一覧表示します。

> /usr/bin/security find-identity -p codesigning -v

  1) 70E46A47F552EA8D58521DAC1E7F5144BA3012BC "DevCert"
  2) 67FC43F3FAB77662BB7688C114585BAA37CA8175 "Mac Developer: John Doe (1234XX234)"
  3) E142DFD879E5EB60FA249FB5B24CEAE3B370394A "Apple Development: Jane Doe 7XX7778888)"
  4) 21DE31645BBF1D9F5C46E82E87A6968111E41C75 "Apple Development: me@example.com (8745XX123)"
     4 valid identities found

一覧表示されている署名 ID のいずれかを選択し、 -N パラメーターとして引用符で囲まれた証明書名を指定します。

/usr/bin/security cms -S -N "DevCert" -i bluetooth.mobileconfig -o bluetooth-signed.mobileconfig

これで、生成された Bluetooth 署名をアップロードできます。 Jamf Pro を使用したカスタム構成プロファイルのデプロイ|方法 2: 構成プロファイルを Jamf Pro にアップロードに記載されているように、mobileconfig を Jamf Pro にアップロードします。

注:

Apple MDM 構成プロファイルを使用して付与されたBluetoothは、システム設定 => プライバシー & セキュリティ => Bluetoothには反映されません。

手順 11: macOS でMicrosoft Defender for Endpointを使用してスキャンをスケジュールする

「macOS でMicrosoft Defender for Endpointを使用してスキャンをスケジュールする」の手順に従います。

手順 12: macOS にMicrosoft Defender for Endpointをデプロイする

Microsoft Defender for Endpoint パッケージを Jamf Pro にアップロードし、展開ポリシーを作成して macOS デバイスに配布します。

注:

次の手順では、 .pkg ファイルの名前と 表示名 の値を例に示します。これらの例では、200329はパッケージとポリシーが作成された日付 (yymmdd形式) を表し、v100.86.92は展開されているMicrosoft Defender アプリケーションのバージョンを表します。これらの値は、パッケージとポリシーの環境で使用する名前付け規則に準拠するように更新する必要があります。

wdav.pkgを保存した場所に移動します。
名前を wdav_MDM_Contoso_200329.pkg に変更します。
Jamf Pro ダッシュボードを開きます。
コンピューターを選択し、上部にある歯車アイコンを選択し、[ コンピューターの管理] を選択します。
Packages で、+ New を選択します。
[ 全般] タブの [ 新しいパッケージ] で、次の詳細を指定します。
- 表示名: 今のところ空白のままにします。 pkg を選択するとリセットされるためです。
- カテゴリ: None (default)
- ファイル名: Choose File
ファイルを開き、 wdav.pkg または wdav_MDM_Contoso_200329.pkgにポイントします。
[開く]を選択します。 表示名 を Microsoft Defender 高度な脅威保護 and Microsoft Defender Antivirus に設定します。
- マニフェストファイル は必要ありません。 Microsoft Defender for Endpointマニフェストファイルなしで動作します。
- [オプション] タブ: 既定値をそのまま使用します。
- [制限事項] タブ: 既定値をそのまま使用します。
[保存] を選択します。パッケージは Jamf Pro にアップロードされます。

パッケージがデプロイに使用できるようになるまで数分かかる場合があります。
[ ポリシー] ページに 移動します。
[ + 新規] を選択して、新しいポリシーを作成します。
[ 全般] の [表示名] には、 MDATP Onboarding Contoso 200329 v100.86.92 or laterを使用します。
[ 定期的なチェックイン] を選択します。
[保存] を選択します。次に、Packages を選択し、次に構成を選択します。
Microsoft Defender 高度な脅威保護と Microsoft Defender Antivirus の横にある追加ボタンを選択します。
[保存] を選択します。

Microsoft Defender プロファイルを持つマシンのスマートグループを作成します。

ユーザーエクスペリエンスを向上させるには、Microsoft Defenderのパッケージの前に、登録済みマシンの構成プロファイルをインストールする必要があります。ほとんどの場合、JamF Pro は構成プロファイルをすぐにプッシュし、それらのポリシーはしばらくしてから実行されます (つまり、チェックイン中)。ただし、場合によっては、構成プロファイルのデプロイを大幅な遅延でデプロイできます (つまり、ユーザーのマシンがロックされている場合)。

Jamf Pro には、正しい順序を確保する方法が用意されています。既にMicrosoft Defenderの構成プロファイルを受け取ったマシン用のスマートグループを作成し、Microsoft Defenderのパッケージをそれらのマシンにのみインストールできます (このプロファイルを受け取るとすぐにインストールできます)。

スマートグループを作成し、パッケージポリシーのスコープを設定するには、次の手順に従います。

スマートグループを作成します。新しいブラウザーウィンドウで、[ スマートコンピューターグループ] を開きます。
[ 新規] を選択し、グループに名前を付けます。
[ 抽出条件 ] タブで、[ 追加] を選択し、[ 詳細な条件の表示] を選択します。
条件として [プロファイル名] を選択し、以前に作成した構成プロファイルの名前を値として使用します。
[保存] を選択します。
パッケージポリシーを構成するウィンドウに戻るします。
[ スコープ ] タブを選択します。
ターゲットコンピューターを選択します。
スコープ で、追加を選択します。
[ コンピューターグループ ] タブに切り替えます。作成したスマートグループを見つけて、[ 追加] を選択します。
ユーザーが自発的に (またはオンデマンドで) Defender for Endpoint をインストールする場合は、[ セルフサービス] を選択します。
[完了] を選択します。

すべてのDefender プロファイルの構成プロファイルスコープを確認する

Jamf では、構成プロファイルごとに一連のマシンを定義する必要があります。 Defender パッケージを取得するすべてのマシンが、次のすべてのプロファイルも取得することを確認します。

オンボード (手順 2)
Defender for Endpoint の設定 (手順 3)
通知 (手順 4)
Microsoft AutoUpdate (手順 5)
フルディスクアクセス (手順 6)
システム拡張機能 (手順 7)
ネットワーク拡張機能 (手順 8)
バックグラウンドサービス (手順 9)
Bluetoothアクセス許可 (手順 10)

警告

Jamf では、動的に評価された特定の条件に一致するすべてのマシンへの構成プロファイルやポリシーなどの展開を許可するスマートコンピューターグループがサポートされています。これは、構成プロファイルの配布に広く使用される強力な概念です。

ただし、スマートコンピューターグループの条件には、コンピューター上のDefenderの存在を含めることはできません。 Defenderの存在に基づく条件を使用すると論理的に聞こえるかもしれませんが、診断が困難な問題が発生します。

Defenderは、インストール時に必要なすべての構成プロファイルに依存します。

構成プロファイルが存在Defenderに依存している場合、プロファイルの展開は遅れます。これにより、プロダクトが正常でない状態になったり、通常であればプロファイルによって自動承認されるアクセス許可をユーザーに手動で承認するよう求めたりする可能性があります。すべての構成プロファイルが配置された後、Microsoft Defender パッケージを展開します。これにより、パッケージのインストール前に必要なすべての設定が適用されるため、最適なエクスペリエンスが保証されます。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-29