Подключение и отключение устройств macOS в решениях для обеспечения соответствия требованиям с помощью Intune для клиентов Microsoft Defender для конечной точки

Статья
08/12/2023

Вы можете использовать Microsoft Intune для подключения устройств macOS к решениям Microsoft Purview.

Важно!

Используйте эту процедуру, если вы уже развернули Microsoft Defender для конечной точки (MDE) на устройствах macOS.

Область применения:

Клиенты, которые MDE развернуты на своих устройствах macOS.
Защита от потери данных в конечной точке
Управление внутренними рисками

Совет

Если вы не являетесь клиентом E5, используйте 90-дневную пробную версию решений Microsoft Purview, чтобы узнать, как дополнительные возможности Purview могут помочь вашей организации управлять безопасностью данных и соответствием требованиям. Начните сейчас, перейдя в центр пробных версий на портале соответствия требованиям Microsoft Purview. Сведения о регистрации и условиях пробной версии.

Подготовка к работе

Убедитесь, что устройства macOS подключены к Intune и зарегистрированы в приложении Корпоративный портал.
Убедитесь, что у вас есть доступ к Центру администрирования Microsoft Intune.
НЕОБЯЗАТЕЛЬНО. Установите браузер Microsoft Edge версии 95+ на устройствах macOS.

Примечание.

Поддерживаются три последних основных выпуска macOS.

Подключение устройств macOS к решениям Microsoft Purview с помощью Microsoft Intune

Если Microsoft Defender для конечных точек (MDE) уже развернута на устройстве macOS, вы по-прежнему можете подключить это устройство к решениям для обеспечения соответствия требованиям. Это многоэтапный процесс:

Create профили конфигурации системы
Обновление существующих профилей конфигурации системы
Обновление параметров MDE

Предварительные условия

Скачайте следующие файлы:

Файл	Описание
accessibility.mobileconfig	Используется для специальных возможностей
fulldisk.mobileconfig	Используется для предоставления полного доступа к диску (FDA).

Примечание.

Чтобы скачать файлы, выполните следующие действия:

Щелкните ссылку правой кнопкой мыши и выберите Сохранить ссылку как....
Выберите папку и сохраните файл.

Create профили конфигурации системы

Откройте Центр администрирования Microsoft Intune и перейдите враздел Профили конфигурацииустройств>.
Выберите: Create профиль.
Выберите следующие значения:
1. Тип профиля = Шаблоны
2. Имя шаблона = Пользовательский
Выберите пункт Создать.
Введите имя профиля, например Разрешение на специальные возможности Microsoft Purview, а затем нажмите кнопку Далее.
Выберите в accessibility.mobileconfig качестве файла профиля конфигурации (скачанный в рамках предварительных требований), а затем нажмите кнопку Далее.
На вкладке Назначения добавьте группу, в которую нужно развернуть эту конфигурацию, и нажмите кнопку Далее.
Просмотрите параметры и выберите Create для развертывания конфигурации.
Откройте устройства и перейдите кпрофилям конфигурацииmacOS>. Отобразятся созданные профили.
На странице Профили конфигурации выберите новый профиль. Затем выберите Состояние устройства , чтобы просмотреть список устройств и состояние развертывания профиля конфигурации.

Обновление существующих профилей конфигурации системы

Профиль конфигурации полного доступа к диску (FDA) должен быть создан и развернут ранее для MDE. (Дополнительные сведения см. в статье Развертывание на основе Intune для Microsoft Defender для конечной точки на Mac. Для защиты от потери данных конечной точки (DLP) требуется дополнительное разрешение FDA для нового приложения (com.microsoft.dlp.daemon).
Обновите существующий профиль конфигурации FDA, указав скачанный fulldisk.mobileconfig файл.

Обновление параметров MDE

Найдите существующий профиль конфигурации параметров MDE. Дополнительные сведения см. в статье Развертывание на основе Intune для Microsoft Defender для конечной точки на Mac.

Добавьте следующий ключ в файл mobileconfig, а затем сохраните файл.

<key>features</key> 
    <dict> 
        <key>dataLossPrevention</key> 
        <string>enabled</string> 
    </dict>

НЕОБЯЗАТЕЛЬНО. Разрешить передачу конфиденциальных данных через запрещенные домены

Microsoft Purview DLP проверяет наличие конфиденциальных данных на всех этапах их перемещения. Таким образом, если конфиденциальные данные публикуются или отправляются в разрешенный домен, но перемещаются через запрещенный домен, они блокируются. Давайте посмотрим поближе.

Предположим, что отправка конфиденциальных данных через Outlook Live (outlook.live.com) разрешена, но конфиденциальные данные не должны подвергаться microsoft.com. Однако при доступе пользователя к Outlook Live данные проходят через microsoft.com в фоновом режиме, как показано ниже.

Снимок экрана: поток данных из источника в URL-адрес назначения.

По умолчанию, так как конфиденциальные данные проходят через microsoft.com на пути к outlook.live.com, защита от потери данных автоматически блокирует общий доступ к данным.

Однако в некоторых случаях вы можете не беспокоиться о доменах, через которые данные проходят на серверной части. Вместо этого вы можете быть обеспокоены только тем, где в конечном итоге попадают данные, о чем свидетельствует URL-адрес, отображаемый в адресной строке. В этом случае outlook.live.com. Чтобы предотвратить блокировку конфиденциальных данных в нашем примере, необходимо специально изменить параметр по умолчанию.

Таким образом, если вы хотите отслеживать только браузер и конечное назначение данных (URL-адрес в адресной строке браузера), можно включить DLP_browser_only_cloud_egress и DLP_ax_only_cloud_egress. Ниже приведено описание процедуры.

Чтобы изменить параметры, чтобы разрешить передачу конфиденциальных данных через запрещенные домены на пути к разрешенному домену, выполните следующие действия:

Откройте файл com.microsoft.wdav.mobileconfig .

В разделе dlp Задайте значение DLP_browser_only_cloud_egressвключено и задайте значение DLP_ax_only_cloud_egressвключено , как показано в следующем примере.

<key>dlp</key>
     <dict>
         <key>features</key>
         <array>
            <dict>
                <key>name</key>
                <string>DLP_browser_only_cloud_egress</string>
                <key>state</key>
                <string>enabled</string>
            </dict>
            <dict>
                <key>name</key>
                <string>DLP_ax_only_cloud_egress</string>
                <key>state</key>
                <string>enabled</string>
            </dict>
         </array>
     </dict>

Отключение устройств macOS с помощью Microsoft Intune

Важно!

Отключение приводит к тому, что устройство перестает отправлять данные датчика на портал. Однако данные, полученные с устройства, включая ссылки на все оповещения, которые у него были, будут храниться в течение шести месяцев.

В Центре администрирования Microsoft Intune откройтепрофили конфигурацииустройств>. Отобразятся созданные профили.
На странице Профили конфигурации выберите профиль параметров MDE.

Удалите следующие параметры:

 <key>features</key>
     <dict>
         <key>dataLossPrevention</key>
         <string>enabled</string>
     </dict>

Выберите Сохранить.

Share via