下载并安装 Microsoft Defender for Identity 传感器 v2.x

在域控制器或非域控制器的 AD FS、AD CS 和 Microsoft Entra Connect 服务器上下载并安装 Defender for Identity 传感器 v2.x。 Defender门户中的“安装 v2.x 传感器”中还介绍了独立传感器安装。 在开始之前，请查看先决条件，包括.NET框架、服务器规范和证书要求。

对于以下用例，建议使用备用安装方法：

• 在 Windows Server Core 上安装传感器时，或者要通过软件部署系统部署传感器时，则请改为按照以下步骤静默安装 Defender for Identity。

• 如果您使用代理，我们建议您通过运行带代理配置的静默安装来安装传感器并同时配置代理。 如果需要稍后更新代理设置，请使用 PowerShell 或 Azure CLI。 有关详细信息，请参阅 配置终结点代理和 Internet 连接设置。

先决条件

在开始之前，请确保：

• Microsoft计算机上安装了 .NET Framework 4.7 或更高版本。 如果未安装 Microsoft .NET Framework 4.7 或更高版本，则 Defender for Identity 传感器安装包将安装它。 从安装包进行安装可能需要重启服务器。

• 相关的服务器规范和网络要求。 有关更多信息，请参阅：

  • Microsoft Defender for Identity 先决条件
  • 为 AD FS、AD CS 和 Microsoft Entra Connect 配置传感器
  • Microsoft Defender for Identity独立传感器先决条件

• 您的计算机上的受信任根证书。 如果缺少受信任的根 CA 签名证书，可能会收到连接错误。 有关详细信息，请参阅 排查代理身份验证连接错误。

下载传感器包

1. 在Microsoft Defender XDR中，转到“系统>设置>标识”。

2. 选择“ 传感器 ”选项卡，其中显示所有 Defender for Identity 传感器。 例如：

   

3. 选择 “添加传感器”。 在“添加新传感器”窗格中，选择“ 继续使用经典传感器”，并在本地保存安装包。 下载的 zip 文件包括以下文件：

   • Defender for Identity 传感器安装程序

   • 配置设置文件，其中包含连接到 Defender for Identity 云服务所需的信息

   • Npcap OEM 版本 1.0，在传感器安装期间自动安装

   

4. 在 “添加新传感器 ”窗格中，复制 Access 密钥 值并将其保存到安全位置。 此访问密钥是部署传感器时使用的一次性密码，之后使用证书进行身份验证和 TLS 加密来执行通信。

   提示

   建议定期使用“重新生成密钥”按钮 重新生成访问密钥 。 它不会影响任何以前部署的传感器，因为它仅用于传感器的初始注册。

5. 将下载的安装包复制到要在其中安装 Defender for Identity 传感器的专用服务器或域控制器。

   注意

   若要在防火墙或代理服务器后下载安装包，请确保允许通过 TCP/443 端口向以下 FQDN 发送网络流量。

   • sensorpackage-prd.mdi.securitycenter.microsoft.com
   • sensorpackage-fm.mdi.securitycenter.microsoft.us
   • sensorpackage-ff.mdi.securitycenter.microsoft.us

在 Defender 门户中安装 v2.x 传感器

在域控制器、Active Directory 联合身份验证服务 (AD FS) 服务器、Active Directory 证书服务 (AD CS) 服务器或 Microsoft Entra Connect 服务器上执行以下步骤。

1. 验证该计算机是否与相关的 Defender for Identity 云服务终结点 具有连通性。

2. 从 .zip 文件中提取安装文件。 直接从 .zip 文件安装失败。

3. 使用提升的权限运行Azure ATP 传感器 setup.exe， (以管理员身份) 运行，然后按照安装向导进行操作。

4. 在 “欢迎 ”页上，选择你的语言，然后选择“ 下一步”。

   

   安装向导会自动检查服务器是域控制器、AD FS 服务器、AD CS 服务器还是专用服务器。 服务器类型确定传感器类型：

   • 如果服务器是域控制器、AD FS 服务器或 AD CS 服务器，则安装 Defender for Identity 传感器。
   • 如果服务器专用，则安装 Defender for Identity 独立传感器。

   例如，向导将显示以下页面，以指示域控制器上安装了 Defender for Identity 传感器。

   

5. 选择 下一步。

   如果域控制器、AD FS 服务器、AD CS 服务器或专用服务器不符合安装的最低硬件要求，则向导会发出警告。

   警告不会阻止你选择“ 下一步 ”并继续安装，这可能仍然是正确的选项。 例如，安装小型实验室测试环境时，需要较少的数据存储空间。

   对于生产环境，强烈建议使用 Defender for Identity 大小调整工具 ，以确保域控制器或专用服务器满足容量要求。

6. 在 “配置传感器 ”页上，输入安装包的以下信息：

   • 安装路径：安装 Defender for Identity 传感器的位置。 默认情况下，路径为 %programfiles%\Azure Advanced Threat Protection sensor。 保留默认值。
   • 访问密钥：下载传感器包时，从“添加新传感器”窗格复制的一次性密钥Microsoft Defender XDR。 有关详细信息，请参阅 下载传感器包。

   

7. 选择“安装”。 在安装 Defender for Identity 传感器期间安装和配置以下组件：

   • Defender for Identity 传感器服务和Defender for Identity 传感器更新程序服务

   • Npcap OEM 版本 1.0

     重要

     如果没有其他 Npcap 版本，将自动安装 Npcap OEM 版本 1.0。 如果由于其他软件要求或任何其他原因而安装了 Npcap，请确保它的版本为 1.0 或更高版本，并且具有 Defender for Identity 所需的设置。

查看传感器版本

从传感器版本 2.176 开始，从新包安装传感器时， “添加/删除程序” 下的版本会显示完整编号，例如 2.176.x.y。以前，版本显示为静态 2.0.0.0。

即使 Defender for Identity 云服务执行自动更新后，添加/删除程序下显示的版本仍会显示。

在“Microsoft Defender XDR传感器设置”页、可执行文件路径或文件版本中查看传感器的实际版本。

执行 Defender for Identity 无提示安装

适用于传感器的 Defender for Identity 静默安装被配置为在必要时于安装结束时自动重启服务器。

仅在维护窗口期间安排静默安装。 由于 Windows Installer 的一个缺陷，你无法可靠地使用 norestart 标志来确保服务器不会重启。

若要跟踪部署进度，请在 %localappdata%\Temp 中监视 Defender for Identity 安装程序日志。

通过部署系统进行无提示安装

通过 System Center Configuration Manager 或其他软件部署系统静默部署 Defender for Identity 传感器时，建议创建两个部署包：

• .NET Framework 4.7 或更高版本，其中可能包括重启域控制器
• Defender for Identity 传感器

使 Defender for Identity 传感器包依赖于 .NET Framework 包的部署。 如有必要，请获取 .NET Framework 4.7 脱机部署包。

用于运行无提示安装的命令

使用以下命令，并使用您在下载传感器包中复制的访问密钥，对 Defender for Identity 传感器执行完全静默安装。

cmd.exe 语法

将以下 cmd.exe 语法用于无提示安装：

"Azure ATP sensor Setup.exe" /quiet NetFrameworkCommandLineArguments="/q" AccessKey="<Access Key>"

PowerShell 语法

对无提示安装使用以下 PowerShell 语法：

.\"Azure ATP sensor Setup.exe" /quiet NetFrameworkCommandLineArguments="/q" AccessKey="<Access Key>"

安装选项

安装参数

示例

使用以下命令静默安装 Defender for Identity 传感器，并将访问密钥直接通过命令行传递：

"Azure ATP sensor Setup.exe" /quiet NetFrameworkCommandLineArguments="/q" AccessKey="<access key value>"

或者，使用以下命令从文本文件读取访问密钥，从而避免在进程历史记录中公开密钥：

"Azure ATP sensor Setup.exe" /quiet NetFrameworkCommandLineArguments="/q" AccessKeyFile="C:\Path\myAccessKeyFile.txt"

通过代理配置运行静默安装的命令

使用以下命令配置代理并执行静默安装：

"Azure ATP sensor Setup.exe" [/quiet] [/Help] [ProxyUrl="http://proxy.internal.com"] [ProxyUserName="domain\proxyuser"] [ProxyUserPassword="ProxyPassword"]`

安装参数

相关内容

安装传感器后，可以执行其他步骤：

• 如果在 AD FS 或 AD CS 服务器上安装了传感器，请参阅 安装后步骤 (可选) 。

• 如果安装了独立传感器，请参阅：

  • 在 Defender for Identity 独立传感器上监听 SIEM 事件
  • 配置端口镜像
  • 配置将 Windows 事件转发至 Defender for Identity 独立传感器

后续步骤