Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
Defender for Identity sensörü v3.x'i, alan kontrolcüsü olmayan uygun alan kontrolörleri ve AD FS, AD CS veya Microsoft Entra Connect sunucularına dağıtın. Aktivasyondan önce ön koşulları tamamla, ardından denetim ve kimlik ayarlarını yapılandır.
Etkinleştirmeden önce
Algılayıcıyı etkinleştirmeden önce bu denetimleri tamamlayın.
Algılayıcı sürümü sınırlamaları
Microsoft Defender for Identity algılayıcısı v3.x'i etkinleştirmeden önce, v3.x için şunlara dikkat edin:
- VPN entegrasyonunu desteklemez.
- Syslog bildirimlerini desteklemez.
- Azure ExpressRoute ile çalışma sınırlamaları vardır. Daha fazla bilgi için bkz. Microsoft 365 için Azure ExpressRoute.
Sunucu gereksinimleri
Algılayıcıyı etkinleştirdiğiniz sunucunun emin olun:
- Defender for Endpoint'e entegre edildi. Microsoft Defender Virüsten Koruma bileşeni etkin veya pasif modda olabilir. Uygun etki alanı denetleyicileri için, bunun yerine Defender for Endpoint dağıtımı olmadan algılayıcı v3.x eklemeyi kullanabilirsiniz.
- Halihazırda dağıtılmış bir Defender for Identity sensörü v2.x yoktur.
- Windows Server 2019 veya daha yeni bir sürüm çalıştırır.
- Windows Server Eylül 2026 veya daha sonraki toplu güncelleştirmesi yüklü mü (Defender for Identity sensörü sürüm 3.0.10 veya üzeri).
Windows Server sürümünüz için Eylül 2026 kümülatif güncellemesini veya daha sonraki bir kümülatif güncellemeyi kullanın:
| Windows Server sürümü | Eylül 2026 toplu güncelleştirmesi |
|---|---|
| Windows Server 2019 | KB5122876 |
| Windows Server 2022 | KB5122882 |
| Windows Server 2025 | KB5122871 |
Desteklenen sunucu türleri
v3.x sensörü alan kontrolörlerini destekliyor. Ayrıca, alan kontrolcüsü olmayan ve aşağıdaki kimlik rollerini çalıştıran sunucuları destekler:
- Active Directory Federasyon Hizmetleri (AD FS)
- Active Directory Sertifika Hizmetleri (AD CS)
- Microsoft Entra Connect
Note
Defender for Identity sensörü v3.x'in uygun AD FS, AD CS ve Microsoft Entra Connect sunucularında manuel olarak etkinleştirilmesi önizleme aşamasındadır. Bu önizleme yalnızca alan kontrolcüsü olmayan ve mevcut bir Defender for Identity sensörü olmayan sunucular için geçerlidir.
Önemli
Eğer Defender for Identity sensörü v3.x'i sadece AD FS, AD CS veya Microsoft Entra Connect sunucularında dağıtıyorsanız, en az bir v3.x sensörünü bir alan kontrolcüsüne de yüklemeniz gerekir.
Lisans gereksinimleri
Kimlik için Defender'ın dağıtılması için aşağıdaki Microsoft 365 lisanslarından biri gerekir:
- Enterprise Mobility + Security E5 (EMS E5/A5)
- Microsoft 365 E5 (Microsoft E5/A5/G5)
- Microsoft 365 E5/A5/G5/F5* Güvenlik
- Microsoft 365 F5 Güvenlik + Uyumluluk*
Her iki F5 lisansı da Microsoft 365 F1/F3 veya Office 365 F3 ve Enterprise Mobility + Security E3 gerektirir. Microsoft 365 portalında veya Bulut Çözümü İş Ortağı (CSP) lisanslama aracılığıyla lisans satın alın. Daha fazla bilgi için bkz . Lisanslama ve gizlilik hakkında SSS.
Roller ve İzinler
Defender for Identity çalışma alanınızı oluşturmak için bir Microsoft Entra ID kiracınız olmalıdır.
Güvenlik Yöneticisi olmanız veya aşağıdaki Birleşik RBAC izinlerine sahip olmanız gerekir:
System settings (Read and manage)Security settings (All permissions)
Ağ gereksinimleri
Kimlik için Defender algılayıcısı, Uç Nokta için Microsoft Defender ile aynı URI'leri kullanır. Gerekli hizmet uç noktalarının tam listesini bulmak için sisteminizin bağlantısına bağlı olarak Uç Nokta için Defender için aşağıdaki belgeleri gözden geçirin.
Bellek gereksinimleri
Aşağıdaki tabloda, kullandığınız sanallaştırma türüne bağlı olarak Kimlik algılayıcısı için Defender çalıştıran sunucudaki bellek gereksinimleri açıklanmaktadır:
| Üzerinde çalışan VM | Açıklama |
|---|---|
| Hyper-V | Vm için Dinamik Belleği Etkinleştir'in etkinleştirilmediğinden emin olun. |
| Vmware | Yapılandırılan bellek miktarının ve ayrılmış belleğin aynı olduğundan emin olun veya VM ayarlarında Tüm konuk belleğini ayır (Tümü kilitli) seçeneğini belirleyin. |
| Diğer sanallaştırma konağı | Belleğin her zaman VM'lere tamamen ayrıldığından emin olmak için satıcı tarafından sağlanan belgelere bakın. |
Önemli
Sanal makine olarak çalışırken her zaman tüm belleği sanal makineye ayırın.
Identity sensörü v3.x için Defender, CPU kullanımını 30% ve bellek kullanımını 1.5 GB ile sınırlar. Ancak, başka bir hizmet önemli sistem kaynakları kullanırsa, sunucu yine de performans baskısı yaşayabilir. Sensör CPU sınırına ulaşırsa, bazı olay işleme sürecini yavaşlatıyor. Sensör bellek sınırına ulaşırsa, sensör servisi yeniden başlatılabilir.
Defender for Identity boyutlandırma aracı v2.x sensörleri için geçerlidir ve v3.x için zorunlu değildir.
Hizmet hesabı gereksinimleri
Kimlik için Defender algılayıcısı Active Directory ile iki şekilde etkileşim kurar:
- AD verilerini okuma (nesneleri sorgulama, değişiklikleri izleme, varlıkları çözümleme). v2.x'te bu işlem bir Dizin Hizmeti Hesabı (DSA) kullanır. v3.x'te LocalSystem bunu otomatik olarak işler.
- Düzeltme eylemleri gerçekleştirme (hesapları devre dışı bırakma, parolaları sıfırlama). v2.x'te bu işlem bir eylem hesabı kullanır. v3.x'te LocalSystem bunu otomatik olarak işler.
v3.x algılayıcısı her iki amaçla da sunucunun yerel sistem kimliğini kullanır. Dizin Hizmeti Hesapları (DSA) veya grup Yönetilen Hizmet Hesapları (gMSA) kullanmaz. LocalSystem, v3.x için desteklenen tek kimliktir.
Sensor v2.x'ten geçiş yapmadan önce, Microsoft Defender portalında (>>>Manage action accounts) Sensörün yerel sistem hesabını otomatik olarak kullan seçeneğini belirleyin. Geçiş, bu eylem hesabı ayarını otomatik olarak değiştirmez. v3.x algılayıcıları, v2.x algılayıcıları için yapılandırılmış gMSA hesaplarını kullanmaz.
Önemli
Algılayıcılarınızdan herhangi biri v3.x ise Algılayıcının yerel sistem hesabını tüm algılayıcılar için otomatik olarak kullan'ı seçin. v3.x algılayıcıları, gMSA yapılandırmasından bağımsız olarak yerel sistem hesabını kullanır.
DSA ve gMSA sağlık uyarıları hem v2.x hem de v3.x sensörlerinin olduğu ortamlarda
Çalışma alanınızda hâlâ bir Directory Service Account (DSA) veya grup Yönetilen Hizmet Hesabı (gMSA) yapılandırılmışsa çünkü AD FS, AD CS veya Entra Connect sunucularındaki v2.x sensörleri hâlâ bunu gerektiriyorsa, DSA ve gMSA kimlik bilgileri çalışma alanındaki tüm sensörlerde, v3.x sensörleri dahil, doğrulanmaya devam eder. DSA veya gMSA kimlik bilgilerinin doğrulanması başarısız olursa, Dizin hizmetleri kullanıcı kimlik bilgileri yanlış sağlık uyarısı görüntülenir. Tüm algılayıcılarda DSA ve gMSA kimlik bilgilerinin çalışma alanı düzeyinde doğrulanması tasarım gereğidir. Kimlik için Defender, tek tek algılayıcıların bunları denetim veya yanıt eylemleri için kullanıp kullanmadığına bakılmaksızın, bu hesaplar mevcut olduğu sürece tüm algılayıcılar için DSA ve gMSA kimlik bilgilerini çalışma alanı düzeyinde doğrular.
Defender for Identity v3.x sensörleri, denetim ve yanıt işlemleri için DSA ve gMSA'yı görmezden gelir, ancak bunlar yine de çalışma alanı düzeyinde kimlik doğrulamasına dahildir. Göç, çalışma alanı düzeyindeki DSA veya gMSA yapılandırmasını otomatik olarak kaldırmaz. Bu sağlık uyarısını v3.x sensörlerinde almayı durdurmak için, tüm sensörler tamamen v3.x'e taşındıktan ve v2.x sensörlerinin buna ihtiyaç duymaması durumunda yapılandırmayı manuel olarak kaldırın. İş alanı yapılandırmasını kaldırmak, Active Directory'deki gMSA hesabını silmiyor.
Önkoşullarınızı test edin
Ortamınızın gerekli önkoşullara sahip olup olmadığını test etmek için Test-MdiReadiness.ps1 betiğini çalıştırın.
Test-MdiReadiness.ps1 betiği, Microsoft Defender XDR'de, Kimlikler > Araçlar sayfasında da kullanılabilir (Önizleme).
Algılayıcıyı etkinleştirme
Tüm önkoşulları onayladıktan sonra algılayıcıyı Microsoft Defender portalından etkinleştirin.
Etkinleştirme sonrası ayarları yapılandırma
Algılayıcı etkinleştirilip çalıştırıldıktan sonra bu yapılandırma adımlarını tamamlayın.
Windows olay denetimini yapılandırma
Kimlik için Defender, birçok algılama için Windows olay günlüklerine dayanır. v3.x sensörleri için, desteklenen denetim ayarlarını yapılandırmak için otomatik denetimi etkinleştirin . AD FS veya AD CS için, uygun olduğu durumlarda ek adımları tamamlayın.
Otomatik denetim mümkün değilse veya vazgeçtiyseniz, denetimi manuel olarak yapılandırın veya PowerShell kullanarak Windows olay koleksiyonunu yapılandırın.
RPC denetimini yapılandırma
Defender for Identity sensörünün 3.0.10 veya sonraki bir sürümünü yüklemeden ya da bu sürüme yükseltmeden önce Eylül 2026 veya daha sonraki bir Windows Server kümülatif güncelleştirmesini yükleyin. Sensör 3.0.8 sürümünden itibaren, alan kontrolörlerinde RPC denetimi otomatik olarak etkinleştiriliyor, böylece artık RPC yapılandırma etiketi uygulamanıza gerek yok. İlgili sağlık uyarısı, yükseltmeden kısa bir süre sonra ortadan kalkıyor.
Note
Algılayıcı sürüm 3.0.8'i kullanıyorsanız ve Birleşik Algılayıcı RPC Denetimi veya Algılayıcı Genişletilmiş RPC Denetimi etiketini zaten uyguladıysanız ek bir işlem yapmanız gerekmez. Etiketi yerinde bırakabilirsiniz.
Önerilen ayarlar
Kararlı algılayıcı performansını sağlamaya yardımcı olması için aşağıdaki önerilen ayarları kullanın:
- Kimlik için Defender algılayıcısını çalıştıran makinenin Güç SeçeneğiniYüksek Performans olarak ayarlayın.
- Sensörü kurduğunuz sunucularda zamanı, birbirinden beş dakika içinde senkronize edin.