Konfigurera Microsoft Defender för Endpoint Device Control på macOS

Skapa och validera en Device Control-policy, och distribuera den sedan till macOS-enheter med hjälp av Microsoft Intune eller Jamf Pro. Du kan också tillämpa policyn lokalt på en test-Mac innan du distribuerar den till hanterade enheter. För information om Device Control-funktioner, policyinställningar och krav, se Microsoft Defender för Endpoint Device Control for macOS.

Förutsättningar

• Slutförande av Device Control-kraven och förberedelse av slutpunkten.
• Gå igenom vilka behörigheter som krävs för ditt hanteringsverktyg.
• Kraven för din distributionsmetod:

  • Microsoft Intune: Ett Intune-abonnemang och Defender for Endpoint installerat och onboardat med Intune.

    Microsoft Intune är en separat produkt som inte ingår i Defender for Endpoint, och den ingår inte i alla prenumerationer. Om du vill använda Intune behöver du en prenumeration som innehåller den, eller så kan du köpa den separat som en fristående prenumeration eller ett tillägg. Mer information finns i Microsoft Intune licensiering.

  • Jamf Pro: Ett Jamf Pro-abonnemang, Defender for Endpoint installerat och ombordbyggt med Jamf Pro, och full diskåtkomst beviljad via Jamf Pro.

    Jamf Pro är en separat produkt som inte ingår i Defender for Endpoint och ingår inte i Defender for Endpoint-prenumerationerna. För produkt- och prenumerationsinformation, se Jamf Pro.

    Important

    Microsoft tillhandahåller information om Jamf Pro för att stödja integrationsscenarier men erbjuder inte felsökningsstöd för denna tredjepartsprodukt. För frågor specifika för Jamf Pro, kontakta Jamf support.

  • Manuell testning: Defender for Endpoint-versionen 101.23082.0018 eller senare installeras och onboardas manuellt på en test-Mac som inte har en Device Control-policy som hanteras av Mobile Device Management (MDM).

Skapa och validera Device Control-policyn

En Device Control-policy för macOS är ett JSON-objekt som innehåller inställningar, enhetsgrupper och regler. För beskrivningar av policyegenskaperna, se Förstå policyer för Enhetskontroll.

1. Använd blockera flyttbara medier utom Kingston-exemplet eller ett annat exempel på Device Control-princip som utgångspunkt.

2. Validera policystrukturen mot Device Control-policyns JSON-schema.

3. Spara policyn som device-control-policy.json i ~/Downloads mappen på en test-Mac som har Defender for Endpoint installerat.

4. Kör följande kommando i Terminal:

   mdatp device-control policy validate --path ~/Downloads/device-control-policy.json
   

5. Åtgärda eventuella valideringsfel innan du distribuerar eller applicerar policyn.

Distribuera policyn med Microsoft Intune

Använd en anpassad macOS-konfigurationsprofil för att distribuera policyn via Intune.

Skapa Apple-konfigurationsprofilen

1. Ladda ner Device Controls exempelkonfigurationsprofil.

2. I deviceControl ordboken ersätter du JSON-värdet i strängen policy med din validerade Device Control-policy.

3. Behåll inställningarna dlp som aktiverar DC_in_dlp funktionen.

4. Spara filen som device-control.mobileconfig.

Distribuera konfigurationsprofilen

Skapa en anpassad macOS-konfigurationsprofil i Intune. För detaljerade instruktioner, se Lägg till anpassade inställningar på Apple-enheter i Microsoft Intune (länken öppnas i en ny flik).

1. På fliken Policiesi Enheter | Konfigurationssidan i Microsoft Intune admincenter på https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, välj Create>New policy.

2. Använd följande inställningar:

   • Plattform: Välj macOS.
   • Profiltyp: Välj Mallar.
   • Mallnamn: Välj Anpassad.

3. I guiden Anpassad använder du följande inställningar under fliken Konfigurationsinställningar :

   • Konfigurationsprofilnamn: Ange ett beskrivande namn, såsom Microsoft Defender device control.
   • Distributionskanal: Välj enhetskanal.
   • Konfigurationsprofilfil: Välj filen device-control.mobileconfig du skapade.

Implementera policyn genom att använda Jamf Pro

Använd Defender for Endpoint-preferensschemat för att lägga till Device Control-policyn i en Jamf Pro-datorkonfigurationsprofil.

1. Ladda ner det aktuella Defender for Endpoint-preferensschemat.

2. Följ Jamf-instruktionerna för att distribuera en anpassad datorkonfigurationsprofil.

3. Använd följande Defender-specifika inställningar:

   • Preferensdomän: Ange com.microsoft.wdav.
   • Schema: Ladda upp den nedladdade schema.json filen.
   • Egenskap: Lägg till enhetskontroll, och lägg sedan till enhetskontrollpolicy.
   • Värde: Klistra in den fullständiga JSON-policyn för Device Control.
   • Omfattning: Välj datorgruppen som innehåller de målinriktade macOS-enheterna.

4. Spara och distribuera konfigurationsprofilen.

Testa policyn manuellt

Använd manuell policyutplacering endast i förproduktionsmiljöer. För produktionsmiljöer, distribuera Device Control med Microsoft Intune eller Jamf Pro.

1. Applicera den validerade policyn på test-Macen:

   mdatp config device-control policy set --path ~/Downloads/device-control-policy.json
   

2. För att testa policyändringar, redigera JSON-filen, validera den och kör sedan kommandot igen för att tillämpa den uppdaterade policyn.

Kontrollera enhetsstyrning

Efter att du har distribuerat eller tillämpat policyn, använd följande kommandon i Terminal för att verifiera Device Control på en mål-Mac.

1. Kontrollera status för Enhetskontroll:

   mdatp health --details device_control
   

   Kommandot returnerar utdata liknande följande exempel:

   active                                      : ["v2"]
   v1_configured                               : false
   v1_enforcement_level                        : unavailable
   v2_configured                               : true
   v2_state                                    : "enabled"
   v2_sensor_connection                        : "created_ok"
   v2_full_disk_access                         : "approved"
   

   Granska följande värden:

   • active: Listar de aktiva policyversionerna:
     • []: Enhetskontroll är inte konfigurerad.
     • ["v1"]: Version 1 är aktiv. Version 1 är föråldrad och täcks inte i denna dokumentation.
     • ["v2"]: Version 2 är aktiv.
     • ["v1", "v2"]: Båda versionerna är aktiva. Ta bort version 1-konfigurationen.
   • v1_configured: Anger om en version 1-konfiguration tillämpas.
   • v1_enforcement_level: Visar tillsynsnivån när version 1 är aktiverad.
   • v2_configured: Anger om en version 2-konfiguration tillämpas. En fungerande konfiguration rapporterar true.
   • v2_state: Visar version 2-tillståndet. En fungerande konfiguration rapporterar enabled.
   • v2_sensor_connection: Visar anslutningen till systemtillägget. En fungerande anslutning rapporterar created_ok.
   • v2_full_disk_access: Visar om Full Disk Access är godkänd. Om värdet inte approvedär , kanske Device Control inte förhindrar vissa eller alla operationer.

2. Se de giltiga enhetskontrollinställningarna:

   mdatp device-control policy preferences list
   

   Kommandot returnerar utdata liknande följande exempel:

   .Preferences
   |-o UX
   | |-o Navigation Target: "https://www.microsoft.com"
   |-o Features
   | |-o Removable Media
   |   |-o Disable: false
   |-o Global
     |-o Default Enforcement: "allow"
   

   Granska värdet Default Enforcement i utdata.

3. Se de distribuerade reglerna:

   mdatp device-control policy rules list
   

4. Se de grupper som refereras till i policyn:

   mdatp device-control policy groups list
   

5. Testa de skyddade operationer som policyn tillåter, nekar eller reviderar.

Ta bort en manuellt applicerad policy

Ta bort den lokala policyn från test-Macen när du är klar med testningen:

mdatp config device-control policy reset

Relaterat innehåll

• Microsoft Defender för Endpoint Device Control för macOS
• Installera Microsoft Defender för Endpoint på macOS genom att använda Microsoft Intune
• Distribuera Microsoft Defender för Endpoint på macOS genom att använda Jamf Pro