mcpField
M
macos-intune-baseline

macos-intune-baseline

github.com/vinayaklatthe安全17846 次安装19 周前更新
代码仓库

关于 macos-intune-baseline

macos-intune-baseline 是面向 Microsoft Intune 与 Entra ID 环境的 macOS 管理和加固指南，涵盖设备注册、身份、加密、防护、更新与合规，并提示配置依赖和部署风险。

主要功能

  1. 01规划 ABM 与 Intune 注册
  2. 02配置 Entra ID Platform SSO
  3. 03托管 FileVault 恢复密钥
  4. 04管理 Defender 与 macOS 安全配置
  5. 05将合规策略关联到 Conditional Access

适用场景

  1. 01设计企业 Mac 设备群管理
  2. 02将 macOS 登录迁移到 Platform SSO
  3. 03部署 Defender 所需的隐私权限
  4. 04制定用于 Conditional Access 的 macOS 合规规则

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill macos-intune-baseline

安装后在 Claude Code 中输入/macos-intune-baseline确认已加载。

详细介绍

使用 Microsoft Intune 强化 macOS 安全

在使用 Microsoft 产品的企业中，Mac 设备群的管理通常不如 Windows 设备完善。通过合适的配置文件、FileVault 密钥托管、适用于终结点的 Defender，以及与 Entra ID 集成的平台 SSO，可缩小大部分差距，并提供真正有意义的条件访问合规性信号。

适用场景

在 Intune + Entra ID 环境中设计或强化 macOS 终结点管理（员工设备；通过用户注册管理 BYOD 属于另一种模式）。

不要将此技能用于端到端的 Intune 管理（intune-device-mgmt）、MDE 策略编写（defender-for-endpoint），或 iOS / iPadOS 管理。

能力概览

层级工具 / 配置文件
预配Apple Business Manager + Intune 自动设备注册
身份 / SSOPlatform SSO（Entra ID）、企业 SSO 插件
磁盘加密启用 FileVault + 将恢复密钥托管到 Intune
应用控制Gatekeeper、XProtect（由 Apple 管理）、通过系统扩展设置公证应用允许列表
终结点保护适用于 macOS 的 Microsoft Defender for Endpoint
配置设置目录配置文件（首选），必要时使用旧版模板
隐私 / 内核隐私偏好策略控制（PPPC）、系统扩展、通知中心策略
更新托管软件更新 / 声明式设备管理（DDM）
合规性Intune 合规性策略 → 条件访问

方法

  1. 通过 ABM + 自动化设备注册进行注册。 手动注册适用于试点；生产环境需要 ABM，这样设备交付时就处于受监督状态，用户无法取消注册，并且设备首次启动时即可获取策略。

  2. **使用 Entra ID 的平台 SSO（PSSO）**是现代 macOS SSO。用户使用 Entra 凭据（密码、智能卡或类似通行密钥的安全隔区）登录 Mac。它取代了较旧的企业 SSO 插件，用于登录场景。需要部署 Microsoft 企业 SSO 插件包和 PSSO 配置描述文件。

  3. FileVault 配置描述文件需启用密钥托管并托管至 Intune。IT 可以恢复密钥（并留有审计记录）。不要在未启用密钥托管的情况下部署 FileVault——用户一旦被锁在设备外，设备就会无法使用。

  4. 通过 Intune 应用部署 + 上线配置描述文件，在 macOS 上部署 Defender for Endpoint。

    • 实时防病毒。
    • 网络保护。
    • EDR。
    • 漏洞评估。 上线后通过 mdatp health 验证。

  5. 配置描述文件——从 Microsoft macOS 安全基线（或 CIS macOS 基准）开始并根据需要调整。关键设置：

    • Gatekeeper：Mac App Store + 已识别的开发者。
    • 系统扩展允许列表——Defender、VPN、DLP Agent 均需要此设置。若未明确设置允许列表，用户会看到提示，并可能拒绝。
    • 隐私偏好策略控制（PPPC）——预先批准管理工具（Defender、Intune 管理 Agent）所需的辅助功能/完全磁盘访问权限。否则，MDE EDR 覆盖范围不完整。
    • 启用防火墙并开启隐身模式。
    • 屏幕锁定 + 密码复杂度 + 密码有效期与策略保持一致。
    • 禁止以 root 身份登录，禁用访客用户，并为受管理的设备禁用 iCloud 密码同步（或按用户组限定范围）。
    • 为受限用户群组阻止 USB 大容量存储设备（Defender 设备控制）。

  6. 应用管理。 App Store 应用通过 VPP（Apple 批量采购计划）分发；非 App Store 应用通过 Intune 分发 PKG/DMG；长尾应用使用 shell 脚本。维护“已批准应用”目录。

  7. 修补：托管软件更新 / DDM。 Apple 现代化的修补模型使用声明式设备管理——延迟窗口、目标操作系统版本、强制安装期限。它取代了较旧的“延迟天数”模型。部署方式：

    • 主要版本：延迟 30 天，目标版本为受支持版本中落后一代的版本。
    • 次要版本/安全更新：延迟 7 天，目标版本为受支持范围内的最新版本。

  8. 合规策略 → 条件访问。

    • 已启用 FileVault。
    • 已启用系统完整性保护（SIP）。
    • 操作系统版本 ≥ 受支持的最低版本。
    • Defender 威胁 Agent 状态正常 + 已启用实时保护。
    • 加密 + 屏幕锁定符合要求。 将设备标记为不合规，并通过 CA 强制执行对 M365 和 Azure 资源的访问控制。

  9. 运营。

    • 使用 Defender for Endpoint 设备清单 + 漏洞管理，对 Mac 进行优先级排序。
    • 每季度审查系统扩展和 PPPC 允许列表（应用会不断增减）。
    • 每月查看合规趋势。

防护措施

  • 未托管恢复密钥的 FileVault 会造成灾难性的帮助台问题。 先托管恢复密钥，再强制执行。
  • 必须先部署系统扩展和 PPPC 允许列表，再部署需要它们的 Agent。 否则用户会收到提示并点击“拒绝”，导致 Agent 无法发挥作用。
  • 在不了解优先级的情况下，不要同时部署 Enterprise SSO 插件和 Platform SSO。 PSSO 是战略方向；并行使用时务必谨慎。
  • 不要混用 CIS 和 Microsoft 基线而不进行协调。 设置会相互冲突。
  • VPP 应用需要关联 ABM。 没有 ABM，就只能依赖用户的 Apple ID。
  • Mac 上的 MDE 覆盖范围取决于辅助功能和完全磁盘访问权限的 PPPC 设置。 请进行验证，否则 EDR 覆盖不完整。
  • 托管软件更新需要受监督的设备。 用户注册的 BYOD 设备具备不同的功能。
  • 14 天或更长的合规宽限期会削弱整个模型。 随着设备群逐渐成熟，应缩短宽限期。
  • 不允许个人 iCloud Drive 账户同步企业数据。 应通过策略限制，或为这些用户采用适用于 BYOD 的用户注册。

常见反模式

  • “FileVault 已推出，恢复密钥托管列入待办事项” — 用户会被锁在设备外，IT 无法恢复。
  • “已安装 Defender，但没有 PPPC 配置文件” — EDR 能看到用户模式事件，却看不到完全磁盘访问权限事件。
  • “系统扩展提示用户；有些用户批准了 Defender，有些没有” — 覆盖范围不一致。通过配置文件添加允许列表。
  • “合规性检查跳过了最低 OS 版本要求” — 使用落后两个主要版本的设备即使存在未修补的 CVE，仍被标记为合规。
  • “在生产环境中手动注册” — 用户可以取消注册，策略无法强制执行。
  • “通过个人 Apple ID 安装 App Store 应用” — 许可证分散，员工离职后无法移除应用。
  • “修补策略 = 相信用户会更新” — 设备群逐渐偏离标准，CVE 积压不断增加。
  • “将 Mac 的条件访问应用于‘所有用户 + 所有云应用’” — 会导致紧急访问账号无法使用。应像 Windows 推出一样分阶段实施。

示例提示词

  • 为 5,000 台设备的创意团队建立 macOS 管理：ABM + Intune ADE + PSSO + FileVault 恢复密钥托管 + MDE + 基线。
  • 为 Defender、我们的 VPN 和 DLP Agent 构建系统扩展与 PPPC 允许列表。
  • 从旧版 Enterprise SSO 插件迁移到 Platform SSO，适用于 Entra ID 密码 / 智能卡用例。
  • 将 macOS 合规策略映射到 M365 和 Azure 门户的条件访问。
  • 制定包含托管软件更新 / DDM 的修补策略，用于从 Sonoma 切换到 Sequoia。
  • 比较 Microsoft macOS 基线与 CIS macOS 基准，并协调冲突。
  • 对比 BYOD 用户注册与公司所有的 ADE 设计，并列出功能和权衡。
  • Mac 上的 MDE：通过 PPPC 确认 EDR 覆盖范围，并验证漏洞评估流程。

Microsoft Learn

评论

支持 Markdown