クラウドネイティブPCを試してみよう⑤　～構築編その２　エンドポイントセキュリティの設定～

# エンドポイント保護
Intune で管理された Windows 10 や Mac を Microsoft Defender ATP に登録し、高度な脅威からの保護を有効にしましょう。

[1. MDATP テナントの準備](#1-mdatp-テナントの準備)
[2. Windows 10 のオンボード](#2-windows-10-のオンボード)
[3. macOS のオンボード](#3-macos-のオンボード)

## 1. MDATP テナントの準備
1) [MDATP 管理ダッシュボード](https://securitycenter.windows.com) に全体管理者でサインインします
2) Welcome ページで [Next] をクリックします
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/a4344e95-0064-aa60-7102-ca22664dec7f.png)

3) 下記を入力して [Next] をクリックします  
* データ保存先: US (アメリカ) / UK (イギリス) / Europe (ヨーロッパ)  
* データ保存期間 (最大 180 日)  
* 企業規模  
* プレビュー機能 ON/OFF  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/15c4bd32-fb44-2844-a38e-c8bf874730eb.png)

4) 後からデータ保存場所を変更できないことを示す警告が表示されたら [Continue] をクリックします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/3bd5f487-c4ab-7a86-1d4f-fadb56a9211a.png)

5) Defender ATP テナントの作成が開始されます  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/d51a4abe-9a42-dd39-c949-54847ada17b5.png)

6) [Start using Microsoft Defender ATP] をクリックします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/bf986520-459e-3638-4f4e-63445d67df7b.png)

7) 管理対象のコンピューターが 1 台もオンボードされていないことを示す警告が表示されたら [Proceed anyway] をクリックします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/e78395fe-25b0-0ebd-b7b9-3c54ddde0aee.png)

8) MDATP テナントが作成されました  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/e0ae6a47-7ead-106c-2937-cdf43c26e731.png)

このまま MDATP と他の MTP 機能との連携設定をしてしまいましょう！  

9) 左下の [Settings] (画車のアイコン) をクリックし、"General" 配下の [Advanced features] をクリックします  
10) すべてのトグル ボタンを ON に設定し、[Save preferences] をクリックします
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/e6bf18a4-94dd-47b5-6880-41c7f3aace37.png)


## 2. Windows 10 のオンボード  
Intune MDM を使用して MDATP に Windows 10 をオンボードします。  

### Defender ATP 用のベースラインポリシーの作成
1) [Microsoft Endpoint Manager admin center](https://endpoint.microsoft.com) に全体管理者でサインインします  
2) [エンドポイント セキュリティ ] - [セキュリティのベースライン] - [Windows Defender ATP ベースライン] の順にクリックします
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/9c56204a-3f90-c16f-049b-77d0038cd7f2.png)

3) [プロファイルの作成] をクリックします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/31810bfe-6e6b-9908-8d98-07e20e1f7f60.png)

4) プロファイルの名前 (説明は任意) を入力します  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/f8c68059-4bb2-01dd-d85b-0d5d7543760d.png)

5) [次へ] をクリックします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/6d51292c-dd9b-fa12-07fc-ca1465d7348c.png)

6) [次へ] をクリックします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/533556f6-c991-6a15-8d05-5585c7c4db83.png)

7) "割り当て先" を [選択したグループ] に設定し、"含めるグループの選択" で POC グループを選択します
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/07605e39-a68f-4f5c-618b-7e7ed7d35673.png)

8) [作成] をクリックしてプロファイルの作成を完了します
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/2965e912-80bd-b9f5-76d3-806256b7d1c7.png)


### Defender ATP のオンボードポリシーの作成
1) [デバイス構成] - [プロファイル] - [プロファイルの作成] の順にクリックします
2) 下記を入力して [次へ] をクリックします  
* プラットフォーム: Windows 10 以降  
* プロファイル: Microsoft Defender ATP (Windows 10 デスクトップ)  
3) プロファイルの名前 (説明は任意) を入力します  
4) "すべてのファイルのサンプル共有" および "テレメトリの報告頻度を早める" を [有効にする] に設定し [OK] をクリックします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/db118b03-d4d5-9d37-04c3-844b4b426288.png)

5) [OK] - [作成] の順にクリックしてプロファイルの作成を完了します
6) 作成したプロファイルが選択された状態で [割り当て] をクリックします
7) "割り当て先" を [選択したグループ] に設定し、"含めるグループの選択" で POC グループを選択します  
8) [保存] をクリックします  

上記設定後しばらくすると自動的に MDATP にオンボードされますが、すぐに設定を反映させたい場合は下記の手順を実施します。

9) Windowsのスタートメニューから [設定] を開き、検索ボックスに「職場または学校へのアクセス」と入力し、表示された候補をクリックします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/0943165f-48cc-7e5b-42ba-7c44459c4093.png)

10) "XXXXX への Azure AD に接続済み" (XXXXX は組織名) と表示されているメニューを展開し、[情報] をクリックします
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/260d9161-db16-80a7-2e0f-c7f46447861a.png)

11) "デバイスの同期状態" 配下の [同期] をクリックします
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/76779e77-5647-0b05-2488-412d1f9131c3.png)

> **補足**  
> 正常に MDATP にオンボードされたかどうかは下記のように確認できます。
> 
> 管理者のビュー:  
> [MDATP ダッシュボード](https://securitycenter.windows.com/machines) にオンボード対象のコンピューターが表示されているかを確認します  
> ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/a4fb1a99-1f34-6090-a7d1-1b9fb465544b.png)
> 
> ユーザーのビュー:  
> オンボード対象のコンピューター上でプロセス "MsSense.exe" が実行中であることを確認します
> ![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/7cb63041-cd1c-9774-bdf6-48e59f00111b.png)

## 3. macOS のオンボード
Intune MDM を使用して MDATP に macOS デバイスをオンボードします。
MDATP を macOS デバイスに配布するために、本手順の一部は macOS デバイス上で実行する必要があります。  
  
MDATP のインストール パッケージとオンボード パッケージをダウンロードします。  

1) [MDATP 管理ダッシュボード](https://securitycenter.windows.com) に全体管理者でサインインします
2) [Settings] (左下の歯車アイコン) をクリックします  
3) "Machine management" 配下の [Onboarding] をクリックします
4) "Select operating system to start onboarding process:" で [macOS] を選択します
5) "Deployment method" で [Mobile Device Management / Microsoft Intune] を選択します
6) [Download installation package] と [Download onboarding package] のそれぞれをクリックして任意の場所にダウンロードします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/36ced7a2-d913-8811-8f9a-a1ff2ff17b85.png)

7) Intune ラッピング ツールを公開している [GitHub ページ](https://github.com/msintuneappsdk/intune-app-wrapping-tool-mac) に Mac のブラウザでアクセスします  
8) [Clone or download] - [Download ZIP] の順にクリックし、ラッピング ツールを任意の場所にダウンロードします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/32d4df98-59ca-f632-8e29-eca55892e55e.png)

※本手順では Download フォルダにダウンロードしました  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/d7b1c8df-b397-e63e-b0ac-b0e94151fef8.png) 

9) Mac でターミナルを起動し、ラッピング ツールのダウンロード先に移動します  

```
cd Downloads/intune-app-wrapping-tool-mac-master/
```

10) 下記コマンドを実行して IntuneAppUtil を実行形式のファイルに変換します  

```
chmod +x IntuneAppUtil
```

11) 下記コマンドを実行して MDATP アプリを Intune が配布できる形式に変換します  

```
./IntuneAppUtil -c <adav.pkg のパス> -o <出力先フォルダのパス>  

例:
./IntuneAppUtil -c Users/username/Downloads/wdav.pkg -o Users/username/Downloads
```

コマンドが成功すると IntuneAppUtil successfully processed "adav.pkg" と表示されます  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/d52429b6-a579-e74f-8ac6-63507b2859f8.png)

出力先フォルダに "wdav.pkg.intunemac" が出力されます  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/56955c99-4c1a-c71b-45b7-dd151f63ce11.png)

次に、macOS に配布する Intune のカスタム プロファイルを 4 つ作成します。  
* カーネル拡張  
* MDATP の構成情報  
* MDATP へのフル ディスク アクセスの許可  
* MDATP 通知の構成情報  

### カーネル拡張
12) [Intune 管理ダッシュボード](https://portal.azure.com/#blade/Microsoft_Intune_DeviceSettings/ExtensionLandingBlade) で [デバイス構成] - [プロファイル] - [プロファイルの作成] の順にクリックします  
13) "プラットフォーム" で [macOS] を選択し、"プロファイル" で [カスタム] を選択して [作成] をクリックします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/31dfe326-5bb7-d28f-5423-e557fa980839.png)

14) 任意のプロファイルの名前 (例: macOS - MDATP kext) を入力します  
15) 任意のカスタム構成プロファイルの名前 (例: macOS - MDATP kext) を入力します  
16) 構成プロファイルとして指定するファイルに手順 6. [Download onboarding package] でダウンロードした "WindowsDefenderATPOnboardingPackage\intune\kext.xml" を指定します  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/bff7091c-bb29-eeee-af29-4a633a22a8c7.png)

17) [OK] - [作成] の順にクリックします  
18) [割り当て] をクリックし、割当先として PoC ユーザー グループを指定し [保存] をクリックします  
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/626626/0815dbd4-0ca8-6807-6548-1982878d1f3e.png)

上記の 12. から 18. の手順を残りの 3 つのカスタム プロファイルにも実施します。  

### MDATP の構成情報  
プロファイルの名前 (例): macOS - MDATP omboarding  
構成ファイル: 手順 6. [Download onboarding package] でダウンロードした "WindowsDefenderATPOnboardingPackage\intune\WindowsDefenderATPOnboarding.xml"  

### MDATP へのフル ディスク アクセスの許可  
プロファイルの名前 (例): macOS - MDATP tcc  
構成ファイル: [tcc.xml](files/tcc.xml)  

### MDATP 通知の構成情報  
プロファイルの名前 (例): macOS - MDATP notifications  
構成ファイル: [notifications.mobileconfig](files/notifications.mobileconfig)  

続いて、インストール パッケージを Intune で配布します。

19) [Intune 管理ダッシュボード](https://portal.azure.com/#blade/Microsoft_Intune_DeviceSettings/ExtensionLandingBlade) で [クライアント アプリ] - [アプリ] - [追加] の順にクリックします  
20) [基幹業務アプリ] を選択して [追加] をクリックします  
21) [アプリ パッケージ ファイルの選択] をクリックし、手順 11. でラッピングした wdav.pkg.intunemac を指定して [OK] をクリックします
22) 

## 参考 URL  
Microsoft Defender ATP for Mac 用 Intune ベースの展開  
https://docs.microsoft.com/ja-jp/windows/security/threat-protection/microsoft-defender-atp/mac-install-with-intune