در حین کار بر روی MDE ، صفحه On -Board / Off به موضوعی مشترک برای گفتگو با تیم تبدیل می شود. این پست برای جمع آوری کلیه منابع و مراحل مرتبط برای این موضوع است. ما امیدواریم که بسیاری از سؤالات شما ممکن است شما را روشن کند.
در سرور ویندوز
1 ابتدا باید وارد سرورهای Azure Arc شوید. در غیر این صورت باید یک اسکریپت را شروع کنید که از صفحه پورتال Defender تولید می شود.
2 برای فعال کردن MDE یک اسکریپت ویژه PowerShell را شروع کنید
اجرای اسکریپت PowerShell برای فعال کردن Defender برای سرورها در سطح گروه منابع. در سطح اشتراک می توانید از Defender برای ابرها برای فعال کردن آن استفاده کنید.
3 ResourceLevelPricingatscale.ps1 را در پوسته ابر خود بارگذاری کنید
برای فعال کردن MDE حتماً از گروه مناسب منابع یا نشانگر استفاده کنید.
توسط PowerShell
wget https://github.com/azure/microsoft-defender-for-cloud/raws/heads/powershell٪20scripts/defender ٪ 20fortpricing٪20on خدمت می کند
s \ sourselevelpericingatscale.ps1
شناسه اشتراک را وارد کنید
یک گروه منبع وارد کنید
استاندارد Defender را برای ابر ابر P1 Server وارد کنید
توجه: ممکن است بتواند از خط مشی لاجورد برای فعال کردن سطح اشتراک استفاده کند و سپس از کسانی که نمی خواهید Defender را برای Cloud for Server P1 اعمال کنید ، رها کنید
در دستگاه های ویندوز
این گردش کار نمونه ای است که با استفاده از ویندوز در هیئت مدیره. اگر از ARC استفاده کنید ، در مرحله 4 متفاوت خواهد بود.
1. خدمات AV نصب شده و کاربردی را روی دستگاه ها بررسی کنید
- درخواست SC Windefend
- SC QC Windefend
- نام میزبان
3. وقایع موجود در پوشه های مربوط به معنی را بررسی کنید
- SC QC حس
- SC با حس درخواست
این سرویس کار نمی کند و هیچ پرونده ثبت نام در پوشه های مربوط به معنی وجود ندارد
4. اسکریپت On -Board را کامل کنید
5. کار خدمات حس را بررسی کنید
Offlod در ویندوز
می توانید Windows Server 2012 R2 ، Windows Server 2016 ، Windows Server (SAC) ، Windows Server 2019 ، Windows Server 2019 Core Edition ، Windows Server 2022 و Windows Server 2025 (از ابتدای فوریه 2025 دستگاه های مشتری ویندوز 10 را خاموش کنید.
پس از خاموش کردن ، می توانید بسته بندی Windows Server 2016 و Windows Server 2012 R2 را حذف نصب کنید.
برای سایر نسخه های ویندوز سرور ، شما دو گزینه برای سرورهای ویندوز خارج از سرویس از سرویس دارید:
- عامل MMA را حذف نصب کنید
- پیکربندی فضای کاری را در نقطه پایان حذف کنید
دو روش مختلف از یک تخته با دستگاه وجود دارد:
- به صورت محلی ، با اجرای دستگاهی برای استفاده از دستگاه (پشتیبانی از MacOS ، Linux و Windows (سرور)).
- از طریق API Offboarding (پشتیبانی شده برای ویندوز 10 و ویندوز سرور 2019).
درک این نکته مهم است که استفاده از دستگاه یک دستگاه موجودی را حذف نمی کند. در عوض ، دستگاه 7 روز پس از خارج از کشور به حالت “غیرفعال” می رود. این بدان معنی است که خارج از تخته یک روش مؤثر برای مدیریت دستگاه های Re -/تنظیم مجدد نیست.
هدف اصلی خارج از تخته ، شکستن اتصال بین مایکروسافت Defender و دستگاه است. این در چندین سناریو مفید است ، از جمله:
- دستگاه با مشکلات سازگاری روبرو می شود زیرا فرآیند اسکن بر عملکرد تأثیر می گذارد و عملکرد استاندارد سرور یا فرآیندهای قانونی مسدود می شود
- شما از Microsoft Defender به راه حل EDR دیگر دور می شوید.
- دستگاه دیگر در محدوده نیست.
آخرین سناریو چیزی است که من به طور مرتب با مشتریان ملاقات می کنم: به طور تصادفی دستگاه های شخصی مشتری در مایکروسافت مدافع برای نقطه پایانی به دلیل پیکربندی اشتباه. با استفاده از API Offoarding ، می توانم دستگاه را از ارسال داده ها به Microsoft 365 Defender با انتقال آن به خارج از محدوده شرکت مسدود کنم. بنابراین دستگاه های خارج از تخته یک مورد استفاده دارند اما این راه حلی برای مدیریت دستگاه های غیرفعال نیست
مقدار OnboardingState را در ثبت نام (HKLM \ Software \ Microsoft \ Windows Advanced Protection Protection \ وضعیت) بررسی کنید. مقدار 0 نشان می دهد که دستگاه خارج از کشور است ، در حالی که 1 نشان می دهد که هنوز به هم وصل شده است.
مراحل:
1 کد Offland را دریافت کنید
2 یک کد برای استفاده از یک دستگاه محلی را تکمیل کنید
نیازی به راه اندازی مجدد نیست
3 بررسی کردن
-
1 ثبت نام را بررسی کنید:
- ویرایشگر ثبت نام باز (Regedit).
- کلید زیر را باز کنید:
HKLM:\Software\Microsoft\Windows Advanced Threat Protection\Statusحرف - پیدا کردن
OnboardingStateارزش اگر تنظیم شده باشد0دستگاه جبران می شود.
-
- به پورتال مدافع مایکروسافت بروید (
https://securance.microsoft.com
).
- به دارایی ها> دستگاه ها بروید.
- دستگاه را در موجودی دستگاه پیدا کنید.
- وضعیت دستگاه را در پانل Flyout که می تواند “غیرفعال” یا “بدون سنسور” را نشان دهد ، بررسی کنید.
- به پورتال مدافع مایکروسافت بروید (
-
3 اجرای بسته Offloring:
- اگر از یک اسکریپت محلی برای ساخت صفحه خاموش دستگاه استفاده کرده اید ، مطمئن شوید که بسته خارج از خانه با موفقیت در دستگاه اجرا شده است.
- می توانید با بررسی اینکه سرویس Sense Service کار می کند ، بررسی کنید که عامل MDE حذف شده است (اگر سرویس کار نکند ، عامل در دسترس نیست).
-
4 دوره احتباس:
- به خاطر داشته باشید که داده های یک دستگاه Offloor ، از جمله سیگنال ها و آسیب پذیری ها ، تا 6 ماه در پورتال ذخیره می شود.
- مایکروسافت می گوید ، مشخصات دستگاه نیز تا 180 روز در موجودی دستگاه باقی خواهد ماند.
استقرار MDE VDI
https://learn.microsoft.com/en-us/defender-endpoint/configure-endpoint-vdi
دستگاه های زیرساخت دسک تاپ مجازی (VDI) در زیرساخت مایکروسافت Microsoft Defender XDR (VDI)
-
بسته پیکربندی VDI را باز کنید (
WindowsDefenderATPOnboardingPackage.zip) که از مشاور هیئت مدیره خارج شده اید. همچنین می توانید بسته را از پورتال Microsoft Defender دریافت کنید.-
در پانل ناوبری ، انتخاب کنید تنظیمات > امتیازات انتهایی > کنترل دستگاه > در هواپیماحرف
-
سیستم عامل را انتخاب کنید.
-
در روش اجرا فیلد ، انتخاب کنید VDI در اسکریپت های شبانه روزی برای نقاط پایانی بی پایانحرف
-
انتخاب کردن بارگیری کردن و پرونده را ذخیره کنید.
-
-
کپی کردن پرونده ها از
WindowsDefenderATPOnboardingPackageپوشه استخراج شده از پوشه زیپ در تصویر طلا/اولیه در زیر جادهC:\WINDOWS\System32\GroupPolicy\Machine\Scripts\StartupS (در صورت عدم ارائه پوشه در سیستم ، پوشه توسط خط مشی گروه محلی از مرحله بعدی تولید می شود)-
اگر چندین رکورد را برای هر دستگاه اجرا می کنید – یکی برای هر جلسه ، کپی کنید
WindowsDefenderATPOnboardingScript.cmdحرف -
اگر برای هر دستگاه یک ورودی اجرا کردید ، هر دو را کپی کنید
Onboard-NonPersistentMachine.ps1وتWindowsDefenderATPOnboardingScript.cmdحرف
-
-
پنجره ویرایشگر سیاست های گروه محلی را باز کنید و به آن بروید پیکربندی رایانه > تنظیمات ویندوز > اسکریپت > راه اندازیحرف
اظهار
خط مشی گروه دامنه همچنین می تواند برای هیئت مدیره دستگاه های VDI متناقض استفاده شود.
-
بسته به روشی که می خواهید اعمال کنید ، مراحل مناسب را دنبال کنید:
روش گام ضبط تک برای هر دستگاه 1. انتخاب کنید اسکریپت های PowerShell بخش ، سپس انتخاب کنید اضافه کردن (Windows Explorer مستقیماً به جاده ای باز می شود که اسکریپت را روی صفحه کپی کرده اید).
2. پیمایش تخته PowerShell را باز کنیدOnboard-NonPersistentMachine.ps1S مشخص نیست که فایل دیگر را به طور خودکار ایجاد کنید.سوابق چندگانه برای هر دستگاه 1. انتخاب کنید اسکریپت بخش ، سپس انتخاب کنید اضافه کردن (Windows Explorer مستقیماً به جاده ای باز می شود که اسکریپت را روی صفحه کپی کرده اید).
2. اسکریپت Bash Board را باز کنیدWindowsDefenderATPOnboardingScript.cmdحرف -
راه حل خود را آزمایش کنید
برای تصویر اصلی VDI در پورتال MDE گنجانده نمی شود. برای جلوگیری از سوار شدن ، به دنبال اسکریپت قبل از شروع اسکریپت راه اندازی VDI ، نام میزبان ماشین ها را بررسی می کنید.
Write-Host "INFO: Checking hostname against a list of known master images... Please wait..."
# Get the current hostname
$CURRENT_HOSTNAME = (hostname)
# Define the target hostnames
$TARGET_HOSTNAMES = @("example1", "example2", "example3", "example4", "MDLT2")
Write-Host "INFO: Current hostname is $CURRENT_HOSTNAME"
Write-Host "INFO: Target hostnames are $($TARGET_HOSTNAMES -join ', ')"
# Initialize a flag to indicate if a match is found
$MATCH_FOUND = $false
# Check if the current hostname matches any of the target hostnames
foreach ($TARGET_HOSTNAME in $TARGET_HOSTNAMES) {
if ($CURRENT_HOSTNAME -eq $TARGET_HOSTNAME) {
$MATCH_FOUND = $true
Write-Host "INFO: Hostname matches one of the target hostnames"
Write-Host "WARNING: This machine is a master image... Exiting..."
exit
}
}
if (-not $MATCH_FOUND) {
Write-Host "INFO: Hostname does not match any of the target hostnames"
$script = $PSScriptRoot+"\Onboard-NonPersistentMachine.ps1"
& $script
}
For
برای ویندوز 2012 R2 و ویندوز 2016 ، اسکریپت تصویر VDI Master با: اصلاح می شود:
cho خاموش
اطلاعات ECHO: نام میزبان را در برابر لیستی از تصاویر اصلی معروف بررسی کنید … لطفا صبر کنید …
for /f “tokens =*” ٪٪ i in (‘hostname’) set instruction_hostname = ٪٪ i
تنظیم شده به Target_HostNames = مثال 1 Exampl2 مثال 3 Exampel4
اطلاعات ECHO: نام میزبان فعلی ٪ current_hostname ٪ است
اطلاعات اکو: نام میزبان هدف ٪ target_hostnames ٪ است
set match_found = false
برای ٪٪ H در (٪ target_hostnames ٪) انجام دهید (
اگر “٪ current_hostname ٪” == “٪٪ H” (()
set match_found = true
اطلاعات اکو: نام نام میزبان همزمان با یکی از نام های هدف میزبان است
هشدار اکو: این دستگاه یک تصویر اصلی است … از … بیرون می آید …
خروج
)
)
ECHO این اسکریپت برای ماشین های شبانه روزی به Microsoft Defender برای خدمات نقطه پایانی ، از جمله محصولات امنیتی و انطباق است.
ECHO پس از اتمام ، دستگاه باید بسته به در دسترس بودن اتصال اینترنت این دستگاه و وضعیت قدرت دستگاه (در مقابل باتری روشن) در مدت 5-30 دقیقه در پورتال روشن شود.
ECHO مهم: این اسکریپت برای صفحه یک دستگاه بهینه شده است و نباید برای اجرای بزرگ در صفحه استفاده شود.
ECHO برای کسب اطلاعات بیشتر در مورد استقرار مقیاس ، لطفاً با سند MDE (پیوندهای موجود در پورتال MDE در صفحه انتهای نقطه) مشورت کنید.
اکو
: user_consent
…
… (از دست رفته)
روی سرورهای لینوکس
1. یک اسکریپت استقرار سرور لینوکس دریافت کنید
2. اسکریپت نصب را از GitHub بارگیری کنید
https://learn.microsoft.com/en-us/defender-endpoint/linux-installer-script
root@netsec-syslog:/tmp# ./mde_installer.sh
--install --onboard ./MicrosoftDefenderATPOnboardingLinuxServer.py --channel prod --min_req
[i] Specify the version to be installed using --mdatp argument. If not provided, latest mde will be installed by default.
--- mde_installer.sh
v0.8.2 ---
[v] minimal requirements met
[v] detected: x86_64 architecture
[v] detected: ubuntu 24.04 noble (debian)
[v] scaled: 24.04
[v] set package manager: apt
[i] Found MDE already installed and onboarded with org_id e94278fa-7cfa-4e5c-8c23-4c2e60281d06 and app_version 101.25032.0010. Either try to upgrade/downgrade your MDE version using --upgrade/--downgrade option or Please verify that the onboarded linux server appears in Microsoft 365 Defender.
[i] MDE already installed (101.25032.0010)
[>] onboarding script: ./MicrosoftDefenderATPOnboardingLinuxServer.py
[i] MDE already onboarded
[v] --- mde_installer.sh
ended. ---
[*] exiting (0)
root@netsec-syslog:/tmp#
وضعیت MDE را در دستگاه لینوکس بررسی کنید
root@netsec-syslog:/tmp# /tmp# mdatp health healthy : true health_issues : [] licensed : true engine_version : "1.1.25040.4000" engine_load_status : "Engine load succeeded" app_version : "101.25032.0010" org_id : "e94278fa-7cfa-4e5c-8c23-4c2e60281d06" log_level : "info" machine_guid : "20510b42-aecd-8449-e6f8-886e6e5d3463" release_ring : "Production" product_expiration : Feb 10, 2026 at 09:16:13 AM cloud_enabled : true [managed] cloud_automatic_sample_submission_consent : "safe" [managed] cloud_diagnostic_enabled : true [managed] cloud_pin_certificate_thumbs : false passive_mode_enabled : false [managed] behavior_monitoring : "enabled" [managed] real_time_protection_enabled : true [managed] real_time_protection_available : true real_time_protection_subsystem : "fanotify" supplementary_events_subsystem : "ebpf" automatic_definition_update_enabled : true [managed] definitions_updated : Jun 23, 2025 at 10:29:11 AM definitions_updated_minutes_ago : 91 definitions_version : "1.431.168.0" definitions_status : "up_to_date" edr_early_preview_enabled : "disabled" edr_device_tags : [{"key":"AzureResourceId","value":"/subscriptions/a5cf0589-e4e7-40f0-b615-94fa4c6d7158/resourceGroups/RG-ARC-PROD-EASTUS-01/providers/Microsoft.HybridCompute/machines/ehq-syslog"},{"key":"SecurityWorkspaceId","value":"a5cf0589-e4e7-40f0-b615-94fa4c6d7158"}] edr_group_ids : "" edr_configuration_version : "30.199999.main.2025.06.21.01-74039ab26fd123826b7084d7fe9a9145bc801d9a
" edr_machine_id : "756b55f088086942a78ad22c356dffb270abd4ca
" managed_by : "MDE" conflicting_applications : [] network_protection_status : "stopped" network_protection_enforcement_level : "disabled"
فیلم
متصل
