Развертывание Microsoft Defender для конечной точки в iOS с помощью Microsoft Intune

Область применения:

• Microsoft Defender для конечной точки (план 1)
• Microsoft Defender для конечной точки (план 2)
• Microsoft Defender XDR

Хотите попробовать Defender для конечной точки? Зарегистрироваться для бесплатной пробной версии.

В этом разделе описывается развертывание Defender для конечной точки в iOS на зарегистрированных устройствах Корпоративного портала Microsoft Intune. Дополнительные сведения о регистрации устройств Microsoft Intune см. в статье Регистрация устройств iOS/iPadOS в Intune.

Подготовка к работе

• Убедитесь, что у вас есть доступ к Центру администрирования Microsoft Intune.

• Убедитесь, что регистрация iOS выполнена для пользователей. Чтобы использовать Defender для конечной точки в iOS, пользователям должна быть назначена лицензия Defender для конечной точки. Инструкции по назначению лицензий см. в статье Назначение лицензий пользователям .

• Убедитесь, что у конечных пользователей установлено приложение корпоративного портала, выполнен вход и регистрация завершена.

Содержание раздела:

1. Шаги развертывания (применимы как для защищенных , так и для неконтролируемых устройств). Администраторы могут развернуть Defender для конечной точки в iOS с помощью корпоративного портала Microsoft Intune. Этот шаг не требуется для приложений VPP (volume purchase).

2. Полное развертывание (только для защищенных устройств). Администраторы могут развернуть любой из заданных профилей.

   1. Фильтр управления zero touch (silent) — обеспечивает веб-защиту без локального vpn-подключения на себя, а также включает автоматическое подключение для пользователей. Приложение устанавливается и активируется автоматически без необходимости открывать приложение.
   2. Фильтр управления — обеспечивает защиту веб-сайта без локального VPN-подключения на себя.

3. Автоматическая настройка подключения (только для неподконтрольных устройств). Администраторы могут автоматизировать подключение Defender для конечной точки для пользователей двумя разными способами:

   1. Подключение без касания (автоматическое) — приложение устанавливается и активируется автоматически без необходимости открывать приложение.
   2. Автоматическое подключение VPN — профиль VPN Defender для конечной точки настраивается автоматически без необходимости делать это во время подключения. Этот шаг не рекомендуется выполнять в конфигурациях нулевого касания.

4. Настройка регистрации пользователей (только для устройств, зарегистрированных пользователем Intune). Администраторы также могут развертывать и настраивать приложение Defender для конечной точки на устройствах, зарегистрированных пользователем Intune.

5. Полное подключение и проверка состояния . Этот шаг применим ко всем типам регистрации, чтобы убедиться, что приложение установлено на устройстве, подключение завершено и устройство отображается на портале Microsoft Defender. Его можно пропустить для подключения нулевого касания (автоматическое).

Этапы развертывания (применимы для защищенных и неконтролируемых устройств)

Разверните Defender для конечной точки в iOS с помощью корпоративного портала Microsoft Intune.

Добавление приложения магазина iOS

1. В Центре администрирования Microsoft Intune перейдите в раздел Приложения>iOS/iPadOS>Добавить>приложение магазина iOS и нажмите кнопку Выбрать.

   

2. На странице Добавление приложения щелкните Поиск в App Store и введите Microsoft Defender в строке поиска. В разделе результатов поиска щелкните Microsoft Defender и нажмите кнопку Выбрать.

3. Выберите iOS 15.0 в качестве минимальной операционной системы. Просмотрите остальные сведения о приложении и нажмите кнопку Далее.

4. В разделе Назначения перейдите в раздел Обязательный и выберите Добавить группу. Затем можно выбрать группы пользователей, которые вы хотите выбрать для приложения Defender для конечной точки в приложении iOS. Нажмите кнопку Выбрать , а затем — Далее.

   Примечание.

   Выбранная группа пользователей должна состоять из зарегистрированных пользователей Microsoft Intune.

   

5. В разделе Просмотр и создание убедитесь, что все введенные сведения указаны правильно, а затем нажмите кнопку Создать. Через несколько секунд приложение Defender для конечной точки должно быть успешно создано, а в правом верхнем углу страницы должно появиться уведомление.

6. На отображаемой странице сведений о приложении в разделе Монитор выберите Состояние установки устройства , чтобы убедиться, что установка устройства успешно завершена.

   

Полное развертывание для защищенных устройств

Приложение Microsoft Defender для конечной точки в iOS имеет специальные возможности на защищенных устройствах iOS/iPadOS, учитывая расширенные возможности управления, предоставляемые платформой на этих типах устройств. Он также может обеспечить веб-защиту без настройки локального VPN-подключения на устройстве. Это обеспечивает пользователям удобную работу, обеспечивая при этом защиту от фишинга и других веб-атак.

Администраторы могут выполнить следующие действия для настройки защищенных устройств.

Настройка защищенного режима с помощью Microsoft Intune

Настройте защищенный режим для приложения Defender для конечной точки с помощью политики конфигурации приложений и профиля конфигурации устройства.

Политика конфигурации приложений

1. Войдите в Центр администрирования Microsoft Intune и перейдите в раздел Приложения Политики>конфигурации приложений>Добавить. Выберите Управляемые устройства.

   

2. На странице Создание политики конфигурации приложения укажите следующие сведения:

   • Имя политики
   • Платформа: выберите iOS/iPadOS
   • Целевое приложение: выберите Microsoft Defender для конечной точки в списке

   

3. На следующем экране выберите Использовать конструктор конфигураций в качестве формата. Укажите следующие свойства:

   • Ключ конфигурации: issupervised
   • Тип значения: String
   • Значение конфигурации: {{issupervised}}

   

4. Нажмите Далее, чтобы открыть страницу Теги области. Теги области являются необязательными. Нажмите кнопку Далее, чтобы продолжить.

5. На странице Назначения выберите группы, которые получат этот профиль. В этом сценарии рекомендуется ориентироваться на все устройства. Дополнительные сведения о назначении профилей см. в статье Назначение профилей пользователей и устройств.

   При развертывании в группах пользователей пользователь должен войти на устройство перед применением политики.

   Нажмите кнопку Далее.

6. На странице Проверка и создание после завершения нажмите Создать. Новый профиль отобразится в списке профилей конфигурации.

Профиль конфигурации устройства (фильтр управления)

Администраторы развертывают любой из заданных профилей.

1. Фильтр управления zero touch (Silent) — этот профиль обеспечивает автоматическое подключение для пользователей. Скачайте профиль конфигурации из controlFilterZeroTouch

2. Фильтр элемента управления — скачайте профиль конфигурации из ControlFilter.

После скачивания профиля разверните пользовательский профиль. Выполните следующие действия.

1. Перейдите в раздел Устройства>iOS/iPadOS>Профили> конфигурацииСоздать профиль.

2. ВыберитеШаблонытипа> профиля и Имя> шаблонаНастраиваемое.

   

3. Укажите имя профиля. При появлении запроса на импорт файла профиля конфигурации выберите тот, который был скачан на предыдущем шаге.

4. В разделе Назначение выберите группу устройств, к которой вы хотите применить этот профиль. Рекомендуется применять его ко всем управляемым устройствам iOS. Нажмите кнопку Далее.

   Примечание.

   Создание группы устройств поддерживается как в Defender для конечной точки плана 1, так и в плане 2.

5. На странице Проверка и создание после завершения нажмите Создать. Новый профиль отобразится в списке профилей конфигурации.

Автоматическая настройка подключения (только для неконтролируемых устройств)

Администраторы могут автоматизировать подключение Defender для пользователей двумя разными способами с помощью автоматического подключения или автоматического подключения VPN.

Автоматическое подключение Microsoft Defender для конечной точки

Администраторы могут настроить Microsoft Defender для конечной точки для автоматического развертывания и активации. В этом потоке администратор создает профиль развертывания, и пользователь просто уведомляется об установке. Defender для конечной точки устанавливается автоматически без необходимости открытия приложения пользователем. Выполните следующие действия, чтобы настроить автоматическое развертывание Defender для конечной точки на зарегистрированных устройствах iOS:

1. В Центре администрирования Microsoft Intune перейдите в разделПрофили> конфигурации устройств>Создать профиль.

2. Выберите Платформа для iOS/iPadOS, Тип профиля — Шаблоны , а Имя шаблона — VPN. Нажмите Создать.

3. Введите имя профиля и нажмите кнопку Далее.

4. Выберите Настраиваемый VPN для типа подключения и в разделе Базовая VPN введите следующее:

   • Имя подключения = Microsoft Defender для конечной точки
   • Адрес VPN-сервера = 127.0.0.1
   • Метод проверки подлинности = "Имя пользователя и пароль"
   • Разделение туннелирования = отключить
   • Идентификатор VPN = com.microsoft.scmx
   • В парах "ключ—значение" введите ключ SilentOnboard и задайте для параметра значение True.
   • Тип автоматического VPN = VPN по запросу
   • Выберите Добавить для правил по запросу и выберите Я хочу сделать следующее = Подключить VPN, я хочу ограничить до = Все домены.

   

   • Чтобы запретить отключение VPN на устройстве пользователей, администраторы могут выбрать Да в разделе Блокировать автоматическое отключение VPN пользователями. По умолчанию он не настроен, и пользователи могут отключить VPN только в разделе Параметры.
   • Чтобы разрешить пользователям изменять переключатель VPN из приложения, добавьте EnableVPNToggleInApp = TRUE в пары "ключ-значение". По умолчанию пользователи не могут изменить переключатель в приложении.

5. Нажмите кнопку Далее и назначьте профиль целевым пользователям.

6. В разделе Просмотр и создание убедитесь, что все введенные сведения указаны правильно, а затем нажмите кнопку Создать.

После выполнения указанной выше настройки и синхронизации с устройством на целевых устройствах iOS выполняются следующие действия:

• Microsoft Defender для конечной точки будет развернут и автоматически подключен, а устройство будет видно на портале Defender для конечной точки.
• На устройство пользователя будет отправлено предварительное уведомление.
• Будут активированы веб-защита и другие функции.

Автоматическое подключение профиля VPN (упрощенное подключение)

Для неконтролируемых устройств VPN используется для предоставления функции веб-защиты. Это не обычный VPN и локальный или самозацикливный VPN, который не принимает трафик за пределы устройства.

Администраторы могут настроить автоматическую настройку профиля VPN. Это автоматически настроит профиль VPN Defender для конечной точки без необходимости делать это при подключении.

1. В Центре администрирования Microsoft Intune перейдите в разделПрофили> конфигурации устройств>Создать профиль.

2. Выберите Платформа для iOS/iPadOS , а тип профиля — VPN. Щелкните Создать.

3. Введите имя профиля и нажмите кнопку Далее.

4. Выберите Настраиваемый VPN для типа подключения и в разделе Базовая VPN введите следующее:

   • Имя подключения = Microsoft Defender для конечной точки

   • Адрес VPN-сервера = 127.0.0.1

   • Метод проверки подлинности = "Имя пользователя и пароль"

   • Разделение туннелирования = отключить

   • Идентификатор VPN = com.microsoft.scmx

   • В парах "ключ—значение" введите ключ AutoOnboard и задайте для параметра значение True.

   • Тип автоматического VPN = VPN по запросу

   • Выберите Добавить для правил по запросу и выберите Я хочу сделать следующее = Подключить VPN, я хочу ограничить до = Все домены.

     

   • Чтобы запретить отключение VPN на устройстве пользователя, администраторы могут выбрать Да в разделе Блокировать автоматическое отключение VPN пользователями. По умолчанию этот параметр не настроен, и пользователи могут отключить VPN только в разделе Параметры.

   • Чтобы разрешить пользователям изменять переключатель VPN из приложения, добавьте EnableVPNToggleInApp = TRUE в пары "ключ-значение". По умолчанию пользователи не могут изменить переключатель в приложении.

5. Нажмите кнопку Далее и назначьте профиль целевым пользователям.

6. В разделе Просмотр и создание убедитесь, что все введенные сведения указаны правильно, а затем нажмите кнопку Создать.

Настройка регистрации пользователей (только для устройств, зарегистрированных пользователем Intune)

Приложение Microsoft Defender для iOS можно развернуть на устройствах, зарегистрированных пользователем Intune, выполнив следующие действия.

Администратор

1. Настройка профиля регистрации пользователей в Intune. Intune поддерживает регистрацию пользователей Apple на основе учетных записей и регистрацию пользователей Apple на корпоративном портале. Ознакомьтесь с дополнительными сведениями о сравнении двух методов и выберите один.

   • Настройка регистрации пользователей с помощью корпоративного портала
   • Настройка регистрации пользователей под управлением учетной записи

2. Настройка подключаемого модуля единого входа. Приложение Authenticator с расширением единого входа является необходимым условием для регистрации пользователей на устройстве iOS.

   • Создание профиля конфигурации устройства в Intune. Настройка подключаемого модуля единого входа iOS/iPadOS Enterprise с помощью MDM | Microsoft Learn.
   • Убедитесь, что в приведенной выше конфигурации добавьте эти два ключа:
   • Идентификатор пакета приложений: включите идентификатор пакета приложения Defender в этот список com.microsoft.scmx.
   • Дополнительная конфигурация: Key — device_registration ; Type — строка ; Значение— {{DEVICEREGISTRATION}}

3. Настройте ключ MDM для регистрации пользователей.

   • В Intune перейдите к разделу Переход к приложениям > Политики конфигурации приложений > Добавление > управляемых устройств
   • Присвойте политике имя, выберите Платформа > iOS/iPadOS,
   • Выберите Microsoft Defender для конечной точки в качестве целевого приложения.
   • На странице Параметры выберите Использовать конструктор конфигураций и добавьте UserEnrolmentEnabled в качестве ключа, тип значения — String, значение — True.

4. Администратор может отправить Defender в качестве обязательного приложения VPP из Intune.

Конечный пользователь

Приложение Defender устанавливается на устройство пользователя. Пользователь входит в систему и завершает подключение. После успешного подключения устройство будет отображаться на портале безопасности Defender в разделе Инвентаризация устройств.

Поддерживаемые функции и ограничения

1. Поддерживает все текущие возможности Defender для конечной точки iOS, такие как веб-защита, защита сети, обнаружение джейлбрейка, уязвимости в ОС и приложениях, оповещение на портале безопасности Defender и политики соответствия требованиям.
2. Нулевое (автоматическое) развертывание и автоматическое подключение VPN не поддерживаются при регистрации пользователей, так как администраторы не могут отправить профиль VPN на уровне устройства с регистрацией пользователей.
3. Для управления уязвимостями приложений будут отображаться только приложения в рабочем профиле.
4. Чтобы новые подключенные устройства стали совместимыми с политиками соответствия требованиям, может потребоваться до 10 минут.
5. Дополнительные сведения см . в разделе Об ограничениях и возможностях регистрации пользователей.

Завершение подключения и проверка состояния

1. После установки Defender для конечной точки в iOS на устройстве вы увидите значок приложения.

   

2. Коснитесь значка приложения Defender для конечной точки (MSDefender) и следуйте инструкциям на экране, чтобы выполнить шаги по подключению. Эти сведения включают принятие конечным пользователем разрешений iOS, необходимых для Defender для конечной точки в iOS.

3. После успешного подключения устройство будет отображаться в списке Устройства на портале Microsoft Defender.

   

Дальнейшие действия

• Настройка политики защиты приложений для включения сигналов риска Defender для конечной точки (MAM)
• Настройка функций Defender для конечной точки в iOS