適用於 macOS 的裝置控制項

需求

macOS 的裝置控制可在 macOS 上適用於端點的 Defender 檔的 系統需求 一節中列出的版本上使用。

概觀

macOS 上適用於端點的 Defender 中的裝置控制可讓您：

• 稽核、允許或防止讀取、寫入或執行存取抽取式儲存體;和
• 管理 iOS 和可攜式裝置，以及 Apple APFS 加密裝置和藍牙媒體，無論是否排除。

準備您的端點

• 部署完整磁碟存取：您可能已為其他 MDE 功能建立並部署此專案 https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/fulldisk.mobileconfig 。 您需要授予新應用程式的完整磁碟存取權限： com.microsoft.dlp.daemon。

• 在適用於端點的 Defender 喜好設定上啟用裝置控制：

  • 資料外洩防護 (DLP) /特點

  • 針對 特徵名稱，輸入 DC_in_dlp

  • 針對 [狀態]，指定 enabled

範例 1：使用 schema.json 的 JAMF。

範例 2： demo.mobileconfig

<key>dlp</key>
<dict> 
  <key>features</key>
  <array> 
    <dict> 
      <key>name</key>
      <string>DC_in_dlp</string>
      <key>state</key>
      <string>enabled</string>
    </dict>
  </array>
</dict>

• 最低產品版本：101.91.92 或更高版本

• 透過終端機執行 mdatp version ，以查看用戶端電腦上的產品版本：

  

了解政策

原則會決定 macOS 的裝置控制行為。 原則是透過 Intune 或 JAMF 以計算機或使用者集合為目標。

macOS 原則的裝置控制包括設定、群組和規則：

• 稱為「設定」的全域設定可讓您定義全域環境。
• 群組 called groups 可讓您建立媒體群組。 例如，授權的 USB 群組或加密的 USB 群組。
• 稱為「規則」的存取原則規則可讓您建立原則來限制每個群組。 例如，只允許授權使用者寫入存取授權的 USB 群組。

最佳做法

macOS 的裝置控制功能與 Windows 的裝置控制功能類似，但 macOS 和 Windows 提供不同的基礎功能來管理裝置，因此有一些重要的差異：

• macOS 沒有集中式裝置管理員或裝置檢視。 將存取權授與/拒絕給與裝置互動的應用程式。 這就是為什麼在 macOS 上有一組更豐富的 存取類型。 例如，原則 portableDevice 可以拒絕或允許 download_photos_from_device。

• 為了與 Windows 保持一致，有 generic_read、 generic_write和 generic_execute 存取類型。 如果未來新增更具體的存取類型，則不需要變更具有一般存取類型的原則。 最佳做法是使用泛型存取類型，除非有特定需求拒絕/允許更具體的作業。

• 使用一般存取類型建立原則是 deny 嘗試完全封鎖該類型裝置 (（例如 Android 手機) ） 的所有作業的最佳方式，但如果使用 macOS 裝置控制不支援的應用程式執行作業，則可能仍會有間距。

設定

以下是您在 macOS 的裝置控制原則中建立群組、規則和設定時可以使用的屬性。

Group

查詢

裝置控制項支援兩種查詢：

查詢類型 1 如下：

查詢類型 2 如下：

條

子句屬性

支援的子句

存取原則規則

下表列出您可以在項目中使用的屬性：

下表列出您可以在項目中使用的屬性：

強制

強制執行屬性名稱

強制執行類型

存取類型

使用者體驗

一旦發生拒絕，並在策略中啟用通知，終端使用者會看到一個對話方塊：

狀態

用於 mdatp health --details device_control 檢查裝置控制狀態：

active                                      : ["v2"]
v1_configured                               : false
v1_enforcement_level                        : unavailable
v2_configured                               : true
v2_state                                    : "enabled"
v2_sensor_connection                        : "created_ok"
v2_full_disk_access                         : "approved"

• active - 功能版本，您應該會看到 [“v2”]。 (裝置控制已啟用，但未設定 )
  • [] - 此電腦上未設定裝置控制。
  • [“v1”] - 您使用的是裝置控制的預覽版。 使用本指南移轉至第 2 版。 v1 被視為過時，本文件中未說明。
  • [“v1，” “v2”] - 您已同時啟用 v1 和 v2。 從 v1 脫離。
• v1_configured - 已套用 v1 組態
• v1_enforcement_level - 啟用 V1 時
• v2_configured - 已套用 v2 組態
• v2_state - v2 狀態 （ enabled 如果完全運作）
• v2_sensor_connection - 如果 ，則 created_ok裝置控制已建立與系統延伸的連線
• v2_full_disk_access - 如果不是 approved，則裝置控制無法阻止部分或全部作業

報告

您可以在進階搜捕和裝置控制報告上看到原則事件。 如需詳細資訊，請參閱 使用裝置控制項保護組織的資料。

案例

以下是一些常見案例，可協助您熟悉適用於端點的 Microsoft Defender 和適用於端點的 Microsoft Defender 裝置控制。

案例 1：拒絕任何卸除式媒體，但允許特定 USB

在此案例中，您必須建立兩個群組：一個群組用於任何卸除式媒體，另一個群組用於已核准的 USB 群組。 您也需要建立存取原則規則。

步驟 1：設定：啟用裝置控制並設定預設強制執行

"settings": { 

    "features": { 

        "removableMedia": { 

            "disable": false 

        } 

    }, 

    "global": { 

        "defaultEnforcement": "allow" 

    }, 

    "ux": { 

        "navigationTarget": "http://www.deskhelp.com" 

    } 

} 

步驟 2：群組：建立任何抽取式媒體群組和核准的 USB 群組

1. 建立群組以涵蓋任何卸除式媒體裝置。
2. 為已核准的 USB 建立群組。
3. 將這些群組合併為一個 groups。

"groups": [ 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e211", 

            "name": "All Removable Media Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "primaryId", 

                        "value": "removable_media_devices" 

                    } 

                ] 

            } 

        }, 

        { 

            "type": "device", 

            "id": "3f082cd3-f701-4c21-9a6a-ed115c28e212", 

            "name": "Kingston Devices", 

            "query": { 

                "$type": "all", 

                "clauses": [ 

                    { 

                        "$type": "vendorId", 

                        "value": "0951" 

                    } 

                ] 

            } 

        } 

    ] 

步驟 3：規則：為不允許的 USB 建立拒絕原則

建立存取原則規則並放入 rules：

"rules": [ 

    { 

        "id": "772cef80-229f-48b4-bd17-a69130092981", 

        "name": "Deny RWX to all Removable Media Devices except Kingston", 

        "includeGroups": [ 

            "3f082cd3-f701-4c21-9a6a-ed115c28e211" 

        ], 

        "excludeGroups": [ 

            "3f082cd3-f701-4c21-9a6a-ed115c28e212" 

        ], 

        "entries": [ 

            { 

                "$type": "removableMedia", 

                "id": "A7CEE2F8-CE34-4B34-9CFE-4133F0361035", 

                "enforcement": { 

                    "$type": "deny" 

                }, 

                "access": [ 

                    "read", 

                    "write", 

                    "execute" 

                ] 

            }, 

            { 

                "$type": "removableMedia", 

                "id": "18BA3DD5-4C9A-458B-A756-F1499FE94FB4", 

                "enforcement": { 

                    "$type": "auditDeny", 

                    "options": [ 

                        "send_event", 

                        "show_notification" 

                    ] 

                }, 

                "access": [ 

                    "read", 

                    "write", 

                    "execute" 

                ] 

            } 

        ] 

    } 

] 

在此情況下，只有一個存取規則原則，但如果您有多個，請務必將所有原則新增至 rules。

已知問題

另請參閱

• 使用 Intune 部署裝置控制
• 使用 JAMF 部署裝置控制
• 手動部署裝置控制項
• macOS 裝置控制常見問題 (常見問題)