在 macOS 上使用 Jamf Pro 配置適用於端點的 Microsoft Defender

適用於: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

你可以使用 Jamf Pro，一個針對蘋果裝置的第三方行動裝置管理（MDM）平台，在組織擁有的 macOS 裝置上部署和管理適用於端點的 Microsoft Defender。

Jamf Pro 是獨立產品，不包含在 Defender for Endpoint 裡，也不包含在 Defender for Endpoint 的訂閱中。要使用這些程序，您的組織需要另外訂閱 Jamf Pro。有關產品及訂閱資訊，請參見 Jamf Pro。如果您的組織不使用 Jamf Pro，您可以搭配 Microsoft Intune 部署 Defender for Endpoint，或使用其他 MDM 解決方案。

這些程序包括配置入職、防毒及端點偵測與回應（EDR）設定、通知、Microsoft AutoUpdate、全磁碟存取、系統擴充、網路擴充、背景服務、藍牙權限及套件部署。

重要事項

Microsoft 提供有關 Jamf Pro 的資訊以支援整合情境，但並未提供這項第三方產品的故障排除支援。若有 Jamf Pro 相關問題，請聯絡 Jamf 客服。

先決條件

在你在 Jamf Pro 中設定 Defender for Endpoint 政策之前，請確保你符合以下要求：

請檢視 macOS 版 Defender for Endpoint 的前置條件，包括授權、支援的 macOS 版本及網路連線。
確認您的組織是否訂閱了 Jamf Pro，並且您有權限建立設定檔、政策、套件、腳本和智慧電腦群組。
在 Jamf Pro 裡設定 macOS 裝置群組。

步驟 1：取得 Defender for Endpoint 套件

重要事項

您必須指定適當的角色來檢視、管理和安裝裝置。欲了解更多資訊，請參閱「使用 Microsoft Entra 全域角色管理 Microsoft Defender 全面偵測回應的存取」。

要下載入職與安裝套件，請依照以下步驟操作：

在 Microsoft Defender 入口網站https://security.microsoft.com/securitysettings/endpoints/onboarding的入職頁面，請設定以下設定：
- 步驟 1：選擇作業系統開始部署：選擇 macOS。
- 連接類型：選擇「簡化」。 繼續前，請確認裝置與網路是否符合簡化的連接條件。
- 部署方式：選擇 Mobile 裝置管理 / Microsoft Intune。
選擇 下載入職套件，並儲存 GatewayWindowsDefenderATPOnboardingPackage.zip 到一個容易找到的位置。
擷取 GatewayWindowsDefenderATPOnboardingPackage.zip 的內容。在已解壓的封包中，打開 jamf 包含 WindowsDefenderATPOnboarding.plist的資料夾。
選擇下載安裝套件，並在步驟 12：在 macOS 部署適用於端點的 Microsoft Defender 時儲存wdav.pkg使用。

步驟 2：使用 Onboarding 套件在 Jamf Pro 建立設定檔

建立並指派一個包含 Defender for Endpoint 入職資訊的 Jamf Pro 設定檔。關於最新的 Jamf Pro 說明，請參見「使用應用程式與自訂設定有效載荷部署自訂電腦設定檔」。

請使用這些 Defender 專屬數值：

設定檔：在解壓的入門套件中，使用 jamf\WindowsDefenderATPOnboarding.plist.
名稱：輸入描述性名稱，例如 MDE onboarding for macOS。
描述：輸入描述，例如 MDE EDR onboarding for macOS。
類別：選擇組織定義的類別，或將此值設為 None。
分配方式：選擇 Install Automatically。
等級：選擇 Computer Level。
Payload：選擇 應用程式與自訂設定，並上傳屬性清單。
偏好領域：輸入 com.microsoft.wdav.atp。
範圍：選擇包含目標 macOS 裝置的電腦群組。

步驟 3：設定適用於端點的 Microsoft Defender 設定

請在 Microsoft Defender 入口網站或 Jamf Pro 中設定防毒軟體與 EDR 設定。

重要事項

Defender for Endpoint 的安全設定管理政策優先於 Jamf Pro 或其他第三方 MDM 解決方案中設定的衝突設定。

在 Microsoft Defender 入口網站中設定政策

開始前，先完成 Intune 中「配置適用於端點的 Microsoft Defender」中描述的設定。

使用 Microsoft Defender 入口網站為你的裝置建立並指派 macOS 安全政策。

詳細說明請參閱「建立端點安全政策」（連結在新分頁開啟）。

當您在 Defender 入口網站https://security.microsoft.com/policy-inventory?osPlatform=Mac的 Endpoint Security 政策頁面的 macOS 政策標籤建立政策時，請使用以下特定設定：

選擇平台：選擇 macOS。
選擇範本：根據你想設定的設定，選擇以下其中一個值：
- Microsoft Defender 防毒軟體
- 端點偵測及回應

在政策建立精靈中，請使用以下設定：

設定設定 標籤：用這個設定檔設定你想管理的設定。
指派索引標籤：指派群組的限制適用於透過 Defender for Endpoint 的安全性設定管理所管理的裝置。詳情請參閱「指派」步驟。

欲了解更多管理安全設定的資訊，請參閱以下文章：

在 Jamf Pro 中設定政策

使用 Jamf Pro 圖形使用者介面（GUI）來設定個別 Defender for Endpoint 的設定。或者，使用傳統方法在文字編輯器中建立屬性清單.plist（）檔案，並將檔案上傳到 Jamf Pro。

使用精確的數值 com.microsoft.wdav 作為 偏好域。 Defender for Endpoint 使用此領域並com.microsoft.wdav.ext載入受管理設定。
只有在使用 GUI 方法且需要設定 schema 中尚未有的設定時使用 com.microsoft.wdav.ext 。

使用 Jamf Pro 的 GUI 設定 Defender 設定

使用此方法將 Defender 的 JSON 架構匯入 Jamf Pro，並透過圖形介面設定設定。

從 schema.json 下載 Defender for Endpoint 檔案。 Jamf Pro 利用該架構來填充 GUI 中的可用設定：

curl -o ~/Documents/schema.json https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/schema/schema.json

請依照 Jamf 的指示部署自訂電腦設定檔。請使用這些 Defender 專屬數值：
- 名稱：輸入描述性名稱，例如 MDATP MDAV configuration settings。
- 類別：選擇組織定義的類別，或將此值設為 None。
- 等級：選擇 Computer Level。
- 分配方式：選擇 Install Automatically。
- 有效載荷：選擇 應用程式與自訂設定>外部應用程式。
- 來源：選擇 自訂結構，然後上傳 schema.json。
- 偏好領域：輸入 com.microsoft.wdav。
- 偏好網域屬性：選擇你想讓 Jamf Pro 管理的設定。你沒選擇的設定會保留給使用者在本地設定。
- 範圍：選擇包含目標 macOS 裝置的電腦群組。

適用於端點的 Microsoft Defender 會隨時間新增設定。新的 Defender for Endpoint 設定被加入架構，並發布新版本至 GitHub。要獲得更新，請下載更新的架構並編輯你現有的設定檔。在 應用程式 & 自訂設定 標籤中，選擇 編輯結構。

使用舊有方法設定 Defender 設定

用這個傳統方法手動在文字編輯器中建立設定清單，然後上傳到 Jamf Pro。

重要事項

上傳 Jamf Pro 的屬性清單，而不是 Intune 的屬性清單。如果你上傳 Intune 檔案，Jamf Pro 會顯示錯誤。

在屬性列表中包含以下 Defender for Endpoint 設定：

enableRealTimeProtection
passiveMode（此設定預設關閉。如果你打算在 Mac 上執行非 Microsoft 防毒軟體，請設為 true。）
exclusions
excludedPath
excludedFileExtension
excludedFileName
exclusionsMergePolicy
allowedThreats （範例包含 EICAR。若要進行概念驗證，請移除 EICAR 項目，尤其是當您打算使用 EICAR 來驗證防護功能時。）
disallowedThreatActions
potentially_unwanted_application
archive_bomb
cloudService
automaticSampleSubmission
tags
hideStatusMenuIcon

欲了解更多資訊，請參閱 Jamf 完整配置檔的屬性清單。

  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
  <dict>
      <key>antivirusEngine</key>
      <dict>
          <key>enableRealTimeProtection</key>
          <true/>
          <key>passiveMode</key>
          <false/>
          <key>exclusions</key>
          <array>
              <dict>
                  <key>$type</key>
                  <string>excludedPath</string>
                  <key>isDirectory</key>
                  <false/>
                  <key>path</key>
                  <string>/var/log/system.log</string>
              </dict>
              <dict>
                  <key>$type</key>
                  <string>excludedPath</string>
                  <key>isDirectory</key>
                  <true/>
                  <key>path</key>
                  <string>/home</string>
              </dict>
              <dict>
                  <key>$type</key>
                  <string>excludedFileExtension</string>
                  <key>extension</key>
                  <string>pdf</string>
              </dict>
              <dict>
                  <key>$type</key>
                  <string>excludedFileName</string>
                  <key>name</key>
                  <string>cat</string>
              </dict>
          </array>
          <key>exclusionsMergePolicy</key>
          <string>merge</string>
          <key>allowedThreats</key>
          <array>
              <string>EICAR-Test-File (not a virus)</string>
          </array>
          <key>disallowedThreatActions</key>
          <array>
              <string>allow</string>
              <string>restore</string>
          </array>
          <key>threatTypeSettings</key>
          <array>
              <dict>
                  <key>key</key>
                  <string>potentially_unwanted_application</string>
                  <key>value</key>
                  <string>block</string>
              </dict>
              <dict>
                  <key>key</key>
                  <string>archive_bomb</string>
                  <key>value</key>
                  <string>audit</string>
              </dict>
          </array>
          <key>threatTypeSettingsMergePolicy</key>
          <string>merge</string>
      </dict>
      <key>cloudService</key>
      <dict>
          <key>enabled</key>
          <true/>
          <key>diagnosticLevel</key>
          <string>optional</string>
          <key>automaticSampleSubmission</key>
          <true/>
      </dict>
      <key>edr</key>
      <dict>
          <key>tags</key>
          <array>
              <dict>
                  <key>key</key>
                  <string>GROUP</string>
                  <key>value</key>
                  <string>ExampleTag</string>
              </dict>
          </array>
      </dict>
      <key>userInterface</key>
      <dict>
          <key>hideStatusMenuIcon</key>
          <false/>
      </dict>
  </dict>
  </plist>

將檔案儲存為 MDATP_MDAV_configuration_settings.plist。
請依照 Jamf 的指示部署自訂電腦設定檔。請使用這些 Defender 專屬數值：
- 名稱：輸入描述性名稱，例如 MDATP MDAV configuration settings。
- 類別：選擇組織定義的類別，或將此值設為 None。
- 分配方式：選擇 Install Automatically。
- 等級：選擇 Computer Level。
- 承載資料：選擇 應用程式和自訂設定，然後上傳 MDATP_MDAV_configuration_settings.plist。
- 偏好領域：輸入 com.microsoft.wdav。
- 範圍：選擇包含目標 macOS 裝置的電腦群組。

步驟 4：設定通知設定

注意事項

使用支援的 macOS 版本。 Defender for Endpoint 採用 macOS 11（Big Sur）中引入的 macOS 通知設定。

建立一個 Jamf Pro 設定檔，允許接收來自 Defender for Endpoint 和 Microsoft AutoUpdate 的通知。

下載 notif.mobileconfig。
請依照 Jamf 的指示上傳設定檔。
將設定檔的範圍限定為包含目標 macOS 裝置的電腦群組。

該個人檔案啟用橫幅、徽章、音效及通知中心通知。它會在鎖定畫面隱藏通知，並關閉以下組合 ID 的關鍵警示：

com.microsoft.wdav.tray
com.microsoft.autoupdate2

步驟五：設定Microsoft自動更新 (MAU)

Microsoft AutoUpdate（MAU）讓 Microsoft 應用程式在 macOS 上保持最新，包括適用於端點的 Microsoft Defender。請設定以下設定來管理更新如何傳送到你的裝置。

請使用下列適用於端點的 Microsoft Defender 設定：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
 <key>ChannelName</key>
 <string>Current</string>
 <key>HowToCheck</key>
 <string>AutomaticDownload</string>
 <key>EnableCheckForUpdatesButton</key>
 <true/>
 <key>DisableInsiderCheckbox</key>
 <false/>
 <key>SendAllTelemetryEnabled</key>
 <true/>
</dict>
</plist>

儲存屬性清單為 MDATP_MDAV_MAU_settings.plist。
請依照 Jamf 的指示部署自訂電腦設定檔。請使用這些 Defender 專屬數值：
- 名稱：輸入描述性名稱，例如 MDATP MDAV MAU settings。
- 類別：選擇組織定義的類別，或將此值設為 None。
- 分配方式：選擇 Install Automatically。
- 等級：選擇 Computer Level。
- 酬載：選取應用程式&自訂設定 ，然後上傳MDATP_MDAV_MAU_settings.plist。
- 偏好領域：輸入 com.microsoft.autoupdate2。
- 範圍：選擇包含目標 macOS 裝置的電腦群組。

有關可用設定與支援值的說明，請參閱 Microsoft AutoUpdate 偏好設定。

步驟 6：授予適用於端點的 Microsoft Defender 完整磁碟存取權

建立一個 Jamf Pro 設定檔，讓 Defender for Endpoint 擁有完整磁碟存取權。

下載 fulldisk.mobileconfig。
請依照 Jamf 的指示上傳設定檔。
將設定檔的範圍限定為包含目標 macOS 裝置的電腦群組。

該設定檔授予 SystemPolicyAllFiles 以下套件 ID 的存取權：

com.microsoft.wdav
com.microsoft.wdav.epsext
com.microsoft.dlp.daemon

注意事項

透過 Apple MDM 設定檔獲得的完整磁碟存取權限，不會出現在 macOS 系統設定的 「完整磁碟存取 」清單中。

步驟7：批准適用於端點的 Microsoft Defender 的系統擴充

建立一個 Jamf Pro 設定檔，以核准 Defender for Endpoint 系統擴充。

下載 sysext.mobileconfig。
請依照 Jamf 的指示上傳設定檔。
將設定檔的範圍限定為包含目標 macOS 裝置的電腦群組。

該設定檔使用 Microsoft Team ID UBF8T346G9 來核准這些系統擴充：

com.microsoft.wdav.epsext
com.microsoft.wdav.netext

步驟八：設定網路擴展

Defender for Endpoint 網路擴充會檢查網路流量，以支援網路保護、網頁內容過濾及自訂網路指示器。

注意事項

使用支援的 macOS 版本。 Defender for Endpoint 採用了 macOS 11（Big Sur）引入的系統擴充框架。

下載 netfilter.mobileconfig。
請依照 Jamf 的指示上傳設定檔。
將設定檔的範圍限定於包含目標 macOS 裝置的電腦群組。

該設定檔配置了以下 Defender 專屬值：

過濾器名稱： Microsoft Defender Content Filter
識別碼： com.microsoft.wdav
濾波器順序： Inspector
插座濾波器： com.microsoft.wdav.netext
Microsoft 團隊識別碼：UBF8T346G9

步驟 9：設定背景服務

重要事項

macOS 13（Ventura）為背景執行的應用程式引入了隱私控制。 Defender for Endpoint 要求其守護程序必須於背景執行。

此配置檔會授予所需的背景服務權限。如果你在 macOS 13 之前透過 Jamf Pro 設定 Defender for Endpoint，請使用此設定檔更新部署。

從適用於端點的 Microsoft Defender macOS mobileconfig 設定檔庫下載 background_services.mobileconfig。

依照 Jamf 指示上傳設定檔，並將設定檔範圍設定為包含目標 macOS 裝置的電腦群組。

步驟 10：授予藍牙權限

重要事項

macOS 14（Sonoma）引入了應用程式存取藍牙前必須明確同意的要求。 Defender for Endpoint 只有在你設定藍牙控制裝置控制政策時才需要這樣的存取權限。

從適用於端點的 Microsoft Defender macOS mobileconfig 設定描述檔存放庫下載 bluetooth.mobileconfig。

重要事項

在上傳設定檔前，請確認你的 Jamf Pro 版本是否支援藍牙負載。如果 Jamf Pro 移除了不支援的負載，請先簽署下載的設定檔，這樣 Jamf Pro 會將其視為封存，不會修改。

你的 macOS 鑰匙圈至少需要一個簽署憑證。自簽憑證就足夠了。列出可用的代碼簽名身份以查找憑證名稱：

> /usr/bin/security find-identity -p codesigning -v

  1) 70E46A47F552EA8D58521DAC1E7F5144BA3012BC "DevCert"
  2) 67FC43F3FAB77662BB7688C114585BAA37CA8175 "Mac Developer: John Doe (1234XX234)"
  3) E142DFD879E5EB60FA249FB5B24CEAE3B370394A "Apple Development: Jane Doe 7XX7778888)"
  4) 21DE31645BBF1D9F5C46E82E87A6968111E41C75 "Apple Development: me@example.com (8745XX123)"
     4 valid identities found

選擇列出的其中一個簽署識別，並將加上引號的憑證名稱提供為 -N 參數。這個指令會為藍牙設定描述檔簽署，使 Jamf Pro 不會修改其承載資料：

/usr/bin/security cms -S -N "DevCert" -i bluetooth.mobileconfig -o bluetooth-signed.mobileconfig

請依照 Jamf 的指示上傳設定檔。上傳 bluetooth-signed.mobileconfig，並將設定檔的範圍限定於包含目標 macOS 裝置的電腦群組。

注意事項

透過 Apple MDM 設定檔授權的藍牙存取，不會出現在 macOS 系統設定的藍牙清單中。

步驟 11：在 macOS 上使用適用於端點的 Microsoft Defender 排程掃描

要設定定期快速或完整掃描，請參閱 macOS 上的適用於端點的 Microsoft Defender 排程掃描。

步驟 12：在 macOS 上部署適用於端點的 Microsoft Defender

將適用於端點的 Microsoft Defender 套件上傳到 Jamf Pro，並建立部署政策以分發到你的 macOS 裝置。

有關目前的 Jamf Pro 說明，請參見「套件部署」。請使用這些 Defender 專屬數值：

套件：上傳 wdav.pkg 你在第一步下載的檔案。
顯示名稱：輸入描述性名稱，例如 適用於端點的 Microsoft Defender。
清單檔案：此值保持空白。 Defender for Endpoint 不需要清單檔案。
選項與限制：Defender for Endpoint 不要求特定數值。根據貴組織的套件部署需求來配置這些設定。
政策觸發：選擇 定期簽到。
套件承載資料：新增 Defender for Endpoint 套件，並將其設定為安裝。
範圍：選擇「為擁有 Defender 設定檔的裝置建立智慧電腦群組」中描述的智慧電腦群組。
自助服務：可選擇將此原則顯示在「自助服務」中，以便視需要隨選安裝。

為擁有 Defender 設定檔的裝置建立智慧電腦群組

在安裝 Defender for Endpoint 套件之前，先在已註冊的裝置上安裝所需的設定檔。 Jamf Pro 通常會立即推送設定檔，但政策會在裝置簽入時執行。例如，當裝置被鎖定時，配置檔部署可能會被延遲。

為了強制執行正確的部署順序，請為接收 Defender for Endpoint 設定檔的裝置建立智慧電腦群組。將套件政策範圍設在該群組，讓 Jamf Pro 只有在設定檔存在後才安裝 Defender for Endpoint。

關於目前的 Jamf Pro 說明，請參見建立智慧群組。請使用以下 Defender 專屬設定：

為每個必要的 Defender for Endpoint 設定檔新增一個設定檔名稱條件。
將設定檔條件與 AND 結合，讓群組僅包含已接收所有必要設定檔的裝置。
將 Defender for Endpoint 套件原則套用至這個智慧型電腦群組。

確認所有 Defender 組態設定檔的範圍

Jamf Pro 要求每個設定描述檔都必須有指派範圍。確保每台收到 Defender for Endpoint 套件的裝置也都收到所有適用的設定檔：

入職（第二步）
Defender for Endpoint 設定（步驟 3）
通知（步驟4）
Microsoft AutoUpdate（步驟 5）
完整磁碟存取（步驟 6）
系統擴展（步驟7）
網路擴展（步驟 8）
背景調查（第9步）
藍牙權限（步驟 10）

重要事項

Jamf Pro 智慧電腦群組會動態包含符合指定條件的裝置。你可以利用這些群組來部署設定檔和政策。

不要把 Defender for Endpoint 的存在當作智慧電腦群組的標準。這種依賴性可能導致難以診斷的部署問題。

Defender for Endpoint 安裝時需要所有適用的設定檔。

如果設定檔部署取決於 Defender for Endpoint 是否已安裝，這些設定檔的部署就會延後。裝置可能會出現狀態異常，或系統可能會提示使用者核准原本會由描述檔自動核准的權限。只有在所有必要的設定設定檔都設置好後，才部署 Defender for Endpoint 套件。

意見反應

此頁面對您有幫助嗎？

上次更新時間： 2026-09-19

在 macOS 上使用 Jamf Pro 配置 適用於端點的 Microsoft Defender

先決條件

步驟 1：取得 Defender for Endpoint 套件

步驟 2：使用 Onboarding 套件在 Jamf Pro 建立設定檔

步驟 3：設定 適用於端點的 Microsoft Defender 設定

在 Microsoft Defender 入口網站中設定政策

在 Jamf Pro 中設定政策

使用 Jamf Pro 的 GUI 設定 Defender 設定

使用舊有方法設定 Defender 設定

步驟 4：設定通知設定

步驟五：設定Microsoft自動更新 (MAU)

步驟 6：授予 適用於端點的 Microsoft Defender 完整磁碟存取權

步驟7：批准 適用於端點的 Microsoft Defender 的系統擴充

步驟八：設定網路擴展

步驟 9：設定背景服務

步驟 10：授予藍牙權限

步驟 11：在 macOS 上使用 適用於端點的 Microsoft Defender 排程掃描

步驟 12：在 macOS 上部署 適用於端點的 Microsoft Defender

為擁有 Defender 設定檔的裝置建立智慧電腦群組

確認所有 Defender 組態設定檔的範圍

意見反應

其他資源

在 macOS 上使用 Jamf Pro 配置適用於端點的 Microsoft Defender

步驟 3：設定適用於端點的 Microsoft Defender 設定

步驟 6：授予適用於端點的 Microsoft Defender 完整磁碟存取權

步驟7：批准適用於端點的 Microsoft Defender 的系統擴充

步驟 11：在 macOS 上使用適用於端點的 Microsoft Defender 排程掃描

步驟 12：在 macOS 上部署適用於端點的 Microsoft Defender