SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场macos-intune-baseline

macos-intune-baseline

安全与审计

查看项目

更新于 10-16 02:23

技能介绍

macOS Hardening with Microsoft Intune 是一项针对 Microsoft Intune 管理下 macOS 终端加固的指导技能。资料指出，在 Microsoft 技术栈企业中，Mac 设备群通常比 Windows 治理更薄弱；通过正确的配置配置文件、FileVault 托管、Defender for Endpoint 以及基于 Entra ID 的 Platform SSO，可以弥补大部分差距，并提供真正有意义的条件访问合规信号。

用途

用于在 Intune + Entra ID 环境中设计或加固 macOS 终端管理（面向企业设备；通过用户注册的 BYOD 属于另一模型）。不适用于端到端 Intune 管理（intune-device-mgmt）、MDE 策略编写（defender-for-endpoint）或 iOS / iPadOS 管理。

能力地图

资料以分层方式列出工具与配置文件：

  • 预配：Apple Business Manager + Intune 自动设备注册（Automated Device Enrollment）。
  • 身份 / SSO：Platform SSO（Entra ID）、Enterprise SSO 插件。
  • 磁盘加密：启用 FileVault 并将恢复密钥托管到 Intune。
  • 应用控制：Gatekeeper、XProtect（Apple 管理）、通过系统扩展实现公证应用白名单。
  • 终端保护：macOS 上的 Microsoft Defender for Endpoint。
  • 配置：优先使用设置目录（Settings catalog）配置文件，必要时使用旧版模板。
  • 隐私 / 内核：Privacy Preferences Policy Control（PPPC）、系统扩展、通知中心策略。
  • 更新：托管软件更新 / 声明式设备管理（DDM）。
  • 合规：Intune 合规策略 → 条件访问。

实施方法

  1. 通过 ABM + 自动设备注册进行注册。手动注册可用于试点；生产环境需要 ABM，使设备到达时处于受监督状态、用户无法取消注册，并在首次启动时获取策略。

  2. 使用 Entra ID 的 Platform SSO（PSSO）作为现代 macOS SSO。用户使用 Entra 凭据（密码、智能卡或类似通行证的安全隔区）登录 Mac。在登录场景中取代较旧的 Enterprise SSO 插件。需要部署 Microsoft Enterprise SSO 插件包 + PSSO 配置配置文件。

  3. 使用 FileVault 配置文件并将密钥托管到 Intune。IT 可恢复密钥（带审计）。不要在没有托管的情况下部署 FileVault——被锁定的用户会使设备变砖。

  4. 通过 Intune 应用部署 + 载入配置文件在 macOS 上部署 Defender for Endpoint。包括：实时 AV、网络保护、EDR、漏洞评估。载入后通过 mdatp health 验证。

  5. 配置配置文件——从 Microsoft macOS 安全基线（或 CIS macOS 基准）开始并调整。关键设置包括：Gatekeeper 设为 Mac App Store + 已识别开发者；系统扩展白名单（Defender、VPN、DLP 代理所需，没有显式白名单用户会看到提示并可能拒绝）；PPPC 预先批准管理工具（Defender、Intune 管理代理）所需的无障碍 / 完全磁盘访问权限，否则 MDE EDR 覆盖不完整；启用防火墙并开启隐身模式；屏幕锁定 + 密码复杂度 + 密码有效期与策略一致；禁用 root 登录、禁用访客用户、对受管设备禁用 iCloud 密码同步（或按用户组限定范围）；对受限人群阻止 USB 大容量存储（Defender 设备控制）。

  6. 应用管理。App Store 应用通过 VPP（Apple Volume Purchase Program）；非商店应用通过 Intune 以 PKG/DMG 分发；长尾应用使用 shell 脚本。维护“已批准应用”目录。

  7. 补丁：托管软件更新 / DDM。Apple 的现代补丁模型使用声明式设备管理——延迟窗口、目标 OS 版本、强制安装截止时间，取代旧的“延迟天数”模型。建议：主要版本延迟 30 天，目标为受支持的 n-1；次要 / 安全更新延迟 7 天，目标为受支持范围内的最新版本。

  8. 合规策略 → 条件访问。检查项包括：FileVault 开启；系统完整性保护（SIP）启用；OS 版本 ≥ 支持下限；Defender 威胁代理健康 + 实时保护开启；加密 + 屏幕锁定合规。将不合规设备标记，并通过 CA 对 M365 和 Azure 资源强制执行。

  9. 运营。使用 Defender for Endpoint 设备清单 + Mac 漏洞管理优先级；每季度审查系统扩展和 PPPC 白名单（应用会增减）；每月合规趋势。

护栏

  • 没有托管的 FileVault 是帮助台的灾难。先托管，后强制。
  • 系统扩展和 PPPC 白名单必须在需要它们的代理之前部署。否则用户会看到提示并点击拒绝——代理失效。
  • 不要在不了解优先级的情况下同时发布 Enterprise SSO 插件和 Platform SSO。PSSO 是战略方向；需谨慎共存。
  • 不要在没有协调的情况下混合 CIS 和 Microsoft 基线，会产生冲突设置。
  • VPP 应用需要 ABM 关联。没有 ABM，只能使用用户 Apple ID。
  • Mac 上的 MDE 覆盖取决于无障碍 + 完全磁盘访问 PPPC。需验证；否则 EDR 不完整。
  • 托管软件更新需要受监督设备。用户注册的 BYOD 能力不同。
  • 14 天以上的合规宽限期会破坏模型。随着设备群成熟应收紧。
  • 不允许 iCloud Drive 个人账户同步公司数据。通过策略限制，或对这些用户使用 BYOD 级用户注册。

常见反模式

  • “FileVault 已推出，托管在待办清单上”——用户被锁定，IT 无法恢复。
  • “Defender 已安装，没有 PPPC 配置文件”——EDR 看到用户模式事件，但看不到完全磁盘访问事件。
  • “系统扩展提示用户；有些用户批准了 Defender，有些没有”——覆盖碎片化。应通过配置文件白名单。
  • “合规检查跳过了 OS 版本下限”——落后两个主要版本且存在未修补 CVE 的设备被标记为合规。
  • “生产环境手动注册”——用户可以取消注册，策略不被强制执行。
  • “通过个人 Apple ID 使用 App Store 应用”——许可证蔓延，离职时无法移除。
  • “补丁策略 = 信任用户更新”——设备群漂移；CVE 积压增长。
  • “Mac 的条件访问应用‘所有用户 + 所有云应用’”——会造成紧急中断。应像 Windows 推广一样分阶段。

示例提示

  • 为 5,000 台设备的创意团队搭建 macOS 管理：ABM + Intune ADE + PSSO + FileVault 托管 + MDE + 基线。
  • 为 Defender、我们的 VPN 和 DLP 代理构建系统扩展和 PPPC 白名单。
  • 从较旧的 Enterprise SSO 插件迁移到使用 Entra ID 密码 / 智能卡用例的 Platform SSO。
  • 将 macOS 合规策略映射到 M365 和 Azure 门户的条件访问。
  • 使用托管软件更新 / DDM 制定 Sonoma → Sequoia 切换的补丁策略。
  • 比较 Microsoft macOS 基线与 CIS macOS 基准并协调冲突。
  • BYOD 用户注册设计与企业自有 ADE——能力与权衡表。
  • Mac 上的 MDE：通过 PPPC 确认 EDR 覆盖，验证漏洞评估管道。

参考资料（Microsoft Learn）

  • Intune macOS 概述：https://learn.microsoft.com/intune/intune-service/configuration/device-restrictions-macos
  • macOS 注册（ABM / ADE）：https://learn.microsoft.com/intune/intune-service/enrollment/device-enrollment-program-enroll-macos
  • macOS 上 Entra ID 的 Platform SSO：https://learn.microsoft.com/entra/identity-platform/apple-sso-plugin
  • macOS 的 Enterprise SSO 插件：https://learn.microsoft.com/intune/intune-service/configuration/use-enterprise-sso-plug-in-ios-ipados-macos
  • FileVault：https://learn.microsoft.com/intune/intune-service/protect/encrypt-devices-filevault
  • macOS 上的 Defender for Endpoint：https://learn.microsoft.com/defender-endpoint/microsoft-defender-endpoint-mac
  • 系统扩展：https://learn.microsoft.com/intune/intune-service/configuration/device-features-configure#system-extensions
  • Privacy Preferences Policy Control：https://learn.microsoft.com/intune/intune-service/configuration/preference-file-settings-macos
  • 托管软件更新 / DDM：https://learn.microsoft.com/intune/intune-service/protect/managed-software-updates-ios-macos
  • macOS 合规策略：https://learn.microsoft.com/intune/intune-service/protect/compliance-policy-create-mac-os