疑難排解 macOS 上 適用於端點的 Microsoft Defender 中的系統擴充功能問題

您可以在裝置上的 macOS 上開啟適用於端點的 適用於端點的 Microsoft Defender，然後流覽至 [協助>傳送意見反應]，以提交意見反應。

另一個選項是透過Microsoft Defender 全面偵測回應提交意見反應，方法是啟動 security.microsoft.com 並選取「提供意見反應」標籤。

本文提供如何針對 macOS 上適用於端點的 Microsoft Defender 安裝的系統延伸模組問題進行疑難排解的資訊。

從 macOS BigSur (11) 開始，Apple 的 macOS 要求所有系統擴展都必須獲得明確批准，然後才能在設備上運行。

徵兆

您會注意到適用於端點的 Microsoft Defender 在防護罩中有一個 x 符號，如下列螢幕快照所示：

如果您選取帶有 x 符號的盾牌，您會獲得如下螢幕截圖所示的選項：

選取 [需要動作]。

畫面隨即出現，如下列螢幕擷取畫面所示：

您也可以執行 mdatp health：它會報告是否啟用了即時保護，但無法使用。 此報告表示系統延伸模組未獲核准在您的裝置上執行。

mdatp health

執行 mdatp 健全狀況 的輸出為：

healthy                            : false
health_issues                    : ["no active event provider", "network event provider not running", "full disk access has not been granted"]
...
real_time_protection_enabled    : unavailable
real_time_protection_available: unavailable
...
full_disk_access_enabled        : false

執行 mdatp 健康情況 時顯示的輸出報告顯示在下列螢幕擷取畫面中：

原因

macOS 要求使用者手動且明確地核准應用程式使用的某些功能，例如系統延伸功能、在背景執行、傳送通知、完整磁碟存取等。 適用於端點的 Microsoft Defender 依賴這些應用程式，而且在收到使用者的所有同意之前，無法正常運作。

如果您在 macOS 上部署/安裝 適用於端點的 Microsoft Defender 期間未核准系統延伸模組，請執行下列步驟：

1. 在終端機中執行下列命令來檢查系統擴充功能：

   systemextensionsctl list
   

   

您會注意到 macOS 延伸模組上的兩個適用於端點的 Microsoft Defender 都處於 [已啟用等候使用者] 狀態。

2. 在終端機中，執行下列命令：

   mdatp health --details system_extensions
   

您會得到下列輸出：

network_extension_enabled                 : false
network_extension_installed                 : true
endpoint_security_extension_ready           : false
endpoint_security_extension_installed        : true

此輸出顯示在下列螢幕擷取畫面中：

如果您透過 Intune、JamF 或其他 MDM 解決方案來管理下列檔案，可能會遺失下列檔案：

若要針對遺失檔案的問題進行疑難排解，讓 macOS 上的適用於端點的 Microsoft Defender 正常運作，請在 macOS 上適用於端點的 Microsoft Defender。

解決方案

本節說明使用管理工具 （即 Intune、JamF、其他 MDM） 以及使用手動部署方法，核准系統延伸模組、背景服務、通知、完整磁碟存取等功能的解決方案。 若要使用這些管理工具執行這些功能，請參閱：

• Intune
• 果醬
• 其他 MDM
• 手動部署

必要條件

在核准系統延伸 (使用任何指定的管理工具) 之前，請確定已滿足下列必要條件：

第 1 步：設定檔是否會降到您的 macOS 上？

如果您使用 Intune，請參閱 在 Intune 中管理 macOS 軟體更新原則。

1. 選取) 三個點 (省略號。

2. 選取 [重新整理裝置]。 畫面隨即出現，如下列螢幕擷取畫面所示：

   

3. 在 Launchpad 中，鍵入 系統偏好設定。

4. 按兩下 設定檔。

   注意事項

   如果你未加入 MDM，你將不會看到 「描述檔 」作為選項。 請聯絡您的 MDM 支援團隊，以了解為什麼「 設定檔 」選項不可見。 您應該能夠看到不同的配置檔，例如 系統延伸模組、 協助工具、 背景服務、 通知、 Microsoft 自動更新等，如上述螢幕擷取畫面所示。

如果您使用 JamF，請使用 sudo jamf 原則。 如需詳細資訊，請參閱 原則管理。

步驟 2：確定已啟用適用於端點的 Microsoft Defender 所需的配置檔

提供啟用適用於端點的 Microsoft Defender 所需配置檔的指引一節，根據您用來在 macOS 上部署適用於端點的 Microsoft Defender 的方法，提供如何解決此問題的指引。

使用建議的命名慣例可讓您確認檢查時正確的設定檔下拉。

在終端機中，輸入下列語法：

curl -O https://URL

例如：

   curl -O https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mobileconfig/profiles/sysext.mobileconfig

提供啟用適用於端點的 Microsoft Defender 所需配置檔的指引一節

1. • 功能： 批准系統擴展
   • 行動配置 (plist) ： https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/sysext.mobileconfig
   • 適用於：
     • Intune：是
     • JamF：是的
     • 其他 MDM：是
     • 手動：必須前往「 安全性偏好設定」或「系統偏好設定 > 」「安全性」&「隱私權 」，然後選取 「允許」來核准擴充功能。
2. • 功能： 網路過濾器
   • 行動配置 (plist) ： https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/netfilter.mobileconfig
   • 適用於：
     • Intune：是
     • JamF：是的
     • 其他 MDM：是
     • 手動：必須前往「 安全性偏好設定」或「系統偏好設定 > 」「安全性」&「隱私權 」，然後選取 「允許」來核准擴充功能。
3. • 功能： 隱私偏好政策控制 (PPPC，又名 TCC (透明度、同意 & 控制) 、全磁盤訪問 (FDA) )
   • 行動配置 (plist) ： https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/fulldisk.mobileconfig
   • 適用於：
     • Intune：是
     • JamF：是的
     • 其他 MDM：是
     • 手動：必須前往 [ 安全性偏好設定] 或 [系統偏好設定] > [安全性] & [隱私權 > ] 隱私權 > [完整磁碟存取 ]，然後選取 [允許]，然後核取下列項目旁邊的方塊，以核准延伸模組：
       • Microsoft Defender
       • Microsoft Defender 安全性延伸模組
4. • 功能：後台運行
   • 行動配置 (plist) ： https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/background_services.mobileconfig
   • 適用於：
     • Intune：是
     • JamF：是的
     • 其他 MDM：是
     • 手冊：不適用
5. • 功能：發送通知
   • 行動配置 (plist) ： https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/notif.mobileconfig
   • 適用於：
     • Intune：是
     • JamF：是的
     • 其他 MDM：是
     • 手冊：不適用
6. • 功能：輔助功能
   • 行動配置 (plist) ： https://github.com/microsoft/mdatp-xplat/blob/master/macos/mobileconfig/profiles/accessibility.mobileconfig
   • 適用於：
     • Intune：是
     • JamF：是的
     • 其他 MDM：是
     • 手冊：不適用

第 3 步：使用 macOS 內建的「設定檔」工具測試已安裝的設定檔。 它將您的個人資料與我們在 GitHub 中發布的內容進行比較，報告不一致的個人資料或完全丟失的個人資料

1. 從 下載 https://github.com/microsoft/mdatp-xplat/tree/master/macos/mdm指令碼。
2. 選取 [原始]。 新 URL 是 https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mdm/analyze_profiles.py。
3. 通過在終端機中運行以下命令，將其保存為下載analyze_profiles.py：

   curl -O https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mdm/analyze_profiles.py

4. 在終端機中執行下列命令，在沒有任何引數的情況下執行設定檔分析器python3指令碼：

   cd /Downloads  
   sudo python3 analyze_profiles.py

OR

5. 執行下列命令，直接從 Web 執行指令碼：

   sudo curl https://raw.githubusercontent.com/microsoft/mdatp-xplat/master/macos/mdm/analyze_profiles.py        
| python3 -

輸出會顯示設定檔的所有潛在問題。

推薦內容

• 使用 Jamf Pro 在 macOS 上部署適用於端點的 Microsoft Defender：瞭解如何使用 Jamf Pro 在 macOS 上部署適用於端點的 Microsoft Defender。
• 在 Jamf Pro 中設定 macOS 原則上的適用於端點的 Microsoft Defender：瞭解如何在 Jamf Pro 中設定 macOS 原則上的適用於端點的 Microsoft Defender。
• 在 Jamf Pro 中設定裝置群組：了解如何在 macOS 上的 Jamf Pro 中設定裝置群組以供 適用於端點的 Microsoft Defender。
• 登入 Jamf Pro