安装 Microsoft Defender for Identity 传感器

本文章介绍了如何安装 Microsoft Defender for Identity 传感器，包含独立传感器。 默认推荐使用 UI。 但是：

• 在 Windows Server Core 上安装传感器时，或通过软件部署系统部署传感器时，请按照无提示安装步骤进行操作。

• 如果你使用的是代理，我们建议一起从命令行安装传感器并配置代理。 如果稍后需要更新代理设置，请使用 PowerShell 或 Azure CLI。 有关详细信息，请参阅配置端点代理和 Internet 连接设置。

先决条件

在开始之前，请确保已做好以下准备：

• 所下载的 Defender for Identity 传感器安装包副本以及访问密钥。

• 计算机上已安装 Microsoft .NET Framework 4.7 或更高版本。 如果未安装 Microsoft .NET Framework 4.7 或更高版本，则 Defender for Identity 传感器安装包会安装它。 从安装包安装可能需要重启服务器。

• 相关服务器规范和网络要求。 有关详细信息，请参阅：

  • Microsoft Defender for Identity 先决条件
  • 为 AD FS、AD CS 和 Microsoft Entra Connect 配置传感器
  • Microsoft Defender for Identity 独立传感器先决条件

• 计算机上受信任的根证书。 如果缺少受信任的根 CA 签名证书，则可能会遇到连接错误。

使用 UI 安装传感器

在域控制器、Active Directory 联合身份验证服务 (AD FS) 服务器或 Active Directory 证书服务 (AD CS) 服务器上执行以下步骤。

1. 验证计算机是否已连接到相关 Defender for Identity 云服务终结点。

2. 从 .zip 文件中提取安装文件。 直接从 .zip 文件安装会导致安装失败。

3. 使用提升的权限运行 Azure ATP sensor setup.exe（以管理员身份运行），并按照安装向导进行操作。

4. 在欢迎页上选择你的语言，然后选择下一步。

   

   安装向导将自动检查服务器是域控制器、AD FS 服务器、AD CS 服务器还是专用服务器。 服务器类型确定传感器类型：

   • 如果服务器是域控制器、AD FS 服务器或 AD CS 服务器，则安装 Defender for Identity 传感器。
   • 如果服务器是专用服务器，则安装 Defender for Identity 独立传感器。

   例如，向导会显示以下页面，指示域控制器上安装了 Defender for Identity 传感器。

   

5. 选择下一步。

   如果域控制器、AD FS 服务器、AD CS 或专用服务器不符合安装的最低硬件要求，将向导会发出警告。

   该警告不会阻止你选择下一步并继续安装，这可能仍然是正确的选项。 例如，在安装小型实验室测试环境时，只需要较少的数据存储空间。

   对于生产环境，我们强烈建议使用 Defender for Identity 大小调整工具，以确保域控制器或专用服务器符合容量要求。

6. 在配置传感器页上，输入安装包的以下信息：

   • 安装路径：Defender for Identity 传感器的安装位置。 默认情况下，路径为 %programfiles%\Azure Advanced Threat Protection sensor。 保留默认值。
   • 访问密钥：已在上一步中从 Microsoft Defender 门户检索得到。

   

7. 选择“安装” 。 以下组件是在安装 Defender for Identity 传感器期间安装和配置的：

   • Defender for Identity 传感器服务和 Defender for Identity 传感器更新程序服务

   • Npcap OEM 版本 1.0

     重要

     如果没有其他版本的 Npcap，则会自动安装 Npcap OEM 版本 1.0。 如果由于其他软件要求或任何其他原因已安装 Npcap，请确保其版本为 1.0 或更高版本，并且它具有 Defender for Identity 所需的设置。

查看传感器版本

自传感器版本 2.176 起，从新软件包安装该传感器时，添加/删除程序下的传感器版本会显示完整版本号，如 2.176.x.y。以前，版本显示为静态的 2.0.0.0。

即使在 Defender for Identity 云服务运行自动更新后，已安装的版本仍会继续显示。

在 Microsoft Defender XDR 传感器设置页面、可执行路径或文件版本中查看传感器的真实版本。

执行 Defender for Identity 无提示安装

传感器的 Defender for Identity 无提示安装配置为在安装结束时自动重启服务器（如有必要）。

仅在维护时段期间安排无提示安装。 由于 Windows Installer 的错误，你无法可靠地使用 norestart 标志来确保服务器不会重启。

要跟踪你的部署进度，请监视 %localappdata%\Temp 中的 Defender for Identity 安装程序日志。

通过部署系统进行无提示安装

通过 System Center Configuration Manager 或其他软件部署系统无提示部署 Defender for Identity 传感器时，我们建议创建两个部署包：

• .NET Framework 4.7 或更高版本，其中可能包含重新启动域控制器
• Defender for Identity 传感器

使 Defender for Identity 传感器包依赖于 .NET Framework 包的部署。 如果需要，请获取 .Net Framework 4.7 离线部署包。

用于运行无提示安装的命令

使用以下命令，使用在上一步骤中拷贝的访问密钥，完全无提示安装 Defender for Identity 传感器。

cmd.exe 语法

"Azure ATP sensor Setup.exe" /quiet NetFrameworkCommandLineArguments="/q" AccessKey="<Access Key>"

PowerShell 语法

.\"Azure ATP sensor Setup.exe" /quiet NetFrameworkCommandLineArguments="/q" AccessKey="<Access Key>"

安装选项

安装参数

示例

使用如下无提示安装 Defender for Identity 传感器：

"Azure ATP sensor Setup.exe" /quiet NetFrameworkCommandLineArguments="/q" AccessKey="<access key value>"

"Azure ATP sensor Setup.exe" /quiet NetFrameworkCommandLineArguments="/q" AccessKeyFile="C:\Path\myAccessKeyFile.txt"

使用代理配置运行无提示安装的命令

使用以下命令将代理与无提示安装一起配置：

"Azure ATP sensor Setup.exe" [/quiet] [/Help] [ProxyUrl="http://proxy.internal.com"] [ProxyUserName="domain\proxyuser"] [ProxyUserPassword="ProxyPassword"]`

安装参数

相关内容

安装传感器后，你可以执行额外的步骤：

• 如果在 AD FS 或 AD CS 服务器上安装了传感器，请参阅安装后步骤（可选）。

• 如果安装了独立传感器，请参阅：

  • 侦听 Defender for Identity 独立传感器上的 SIEM 事件
  • 配置端口镜像
  • 配置转发到 Defender for Identity 独立传感器的 Windows 事件

下一步