Windows ServerをMicrosoft Defender for Endpointにグループポリシーでオンボードする場合、結論から言えば「GPOでオンボード用スクリプトを配布するだけ」で終わらせないことが重要です。対象OS、ADMX、実行アカウント、共有フォルダー、Connectivity type、オフボード手順、検出テストまで確認しないと、ポータルに端末が出てこない、センサーが動かない、既存のウイルス対策製品と競合するといったトラブルにつながります。
特にWindows Server 2012 R2／2016、Windows Server 2019以降、Windows Server 2022／2025では確認すべき前提が異なります。Microsoft Learnの該当手順は、Microsoft Defenderポータルから取得したWindowsDefenderATPOnboardingPackage.zipを共有場所に展開し、GPOの即時タスクとしてWindowsDefenderATPOnboardingScript.cmdを実行する流れです。運用担当者は、単なる展開作業ではなく「どのOUに、どの方式で、どのセキュリティ設定と一緒に適用するか」を事前に設計してから展開しましょう。(Microsoft Learn)
Microsoft Defender for EndpointのGPOオンボードで何ができるのか
Microsoft Defender for EndpointのGPOオンボードは、Active Directoryドメイン参加済みのWindows Serverに対して、Defender for Endpointの構成パッケージを一括展開する方法です。IntuneやMicrosoft Configuration Managerを使っていない環境でも、既存のグループポリシー運用に乗せてサーバーをDefender for Endpointへ登録できます。
Microsoft公式手順では、Microsoft DefenderポータルのSettings > Endpoints > Device management > OnboardingからOSと展開方法を選び、展開方法としてGroup policyを指定してパッケージをダウンロードします。展開後は、読み取り専用の共有場所にWindowsDefenderATPOnboardingScript.cmdを配置し、GPOのスケジュールされたタスクからSYSTEM権限で実行します。(Microsoft Learn)
GPOオンボードが向いているのは、次のような環境です。
| 環境 | GPOオンボードが向いている理由 |
|---|---|
| オンプレミスADでWindows Serverを管理している | 既存のOU設計とGPO適用ルールを使って段階展開できる |
| Intune管理対象外のサーバーが多い | MDMなしでもDefender for Endpointへ登録できる |
| サーバー群を部門・用途・重要度で分けている | OU単位で先行展開、本番展開、除外を管理しやすい |
| Configuration Managerの利用範囲が限定的 | 別ツールを増やさずに最低限の展開ができる |
一方で、GPOには「端末側でポリシーが実行されたか」を細かく可視化する仕組みがありません。Microsoft公式情報でも、グループポリシー自体にはデバイス上のポリシー展開を監視するオプションがなく、確認はMicrosoft Defenderポータルや別の展開ツールで行う必要があると説明されています。(Microsoft Learn)
管理者が押さえるべき今回の確認ポイント
今回の公式情報で管理者が重視すべきポイントは、GPOの作成手順そのものよりも、対象サーバーの前提条件と運用設計の確認です。
| 確認項目 | 管理者が見るべきポイント |
|---|---|
| 対象OS | Windows Server 2008 R2以降でGPOによるパッケージ展開が前提。実際のオンボード可否はライセンス、サポート状態、MDE方式も確認する |
| Windows Server 2012 R2／2016 | 新しい統合ソリューションを使う場合、最新ADMX、SSU／LCU、Defender Antivirus機能、更新パッケージを確認する |
| Windows Server 2019以降 | GPO優先設定が作成するXMLで、実行アカウントをNT AUTHORITY\SYSTEMへ置き換える必要がある場合がある |
| ADMX中央ストア | 古いADMXのままだと、必要なDefender for Endpointポリシーが表示されない可能性がある |
| 共有フォルダー | サーバーから到達可能で、読み取り専用に近い権限設計にする |
| 実行権限 | 即時タスクはSYSTEMで実行し、「最高の権限で実行」を有効化する |
| 検証 | GPO適用後、Defenderポータルのデバイスインベントリと検出テストで確認する |
特に見落としやすいのが、Windows Server 2012 R2／2016です。Microsoftのサーバーオンボード手順では、Windows Server 2016／2012 R2について、最新のSSUとLCUの適用、Microsoft Defender Antivirus機能の有効化と更新、最新プラットフォームの適用などが前提として示されています。(Microsoft Learn)
影響範囲：どのサーバーが対象になるのか
GPOオンボードの影響範囲は、基本的にはGPOをリンクしたOUに所属するコンピューターアカウントです。ユーザーではなくコンピューター構成として適用されるため、OU設計を誤ると想定外のサーバーまでオンボードされる可能性があります。
影響範囲を整理する際は、次の単位で棚卸ししてください。
| 分類 | 確認内容 |
|---|---|
| OS別 | Windows Server 2012 R2、2016、2019、2022、2025、Azure Stack HCIなどを分ける |
| 役割別 | ドメインコントローラー、ファイルサーバー、DBサーバー、業務アプリサーバーを分ける |
| 管理方式別 | GPOのみ、Configuration Manager併用、Defender for Cloud連携、手動管理を分ける |
| 既存セキュリティ製品別 | 他社アンチウイルス、SCEP、MMAベース旧構成の有無を確認する |
| ネットワーク別 | インターネット直通、プロキシ経由、閉域寄りネットワークを分ける |
Windows Serverのオンボードでは、Microsoft Defender for Servers Plan 1／Plan 2、Microsoft Defender for Endpoint for servers、Microsoft Defender for Business serversなど、サーバー向けライセンスが必要です。Defender for CloudのDefender for Serversを利用している場合は、自動オンボードやMicrosoft Defenderポータルのデバイスインベントリ表示も選択肢になります。(Microsoft Learn)
そのため、GPO展開を始める前に「技術的にオンボードできるか」だけでなく、「そのサーバーをどのライセンスで保護するのか」も確認しておきましょう。ライセンス確認を後回しにすると、展開は成功しているのに運用上の管理対象として整理できない状態になります。
GPOオンボードの基本手順
Microsoft Defender for Endpointをグループポリシーでオンボードする大まかな流れは、次のとおりです。
| 手順 | 作業内容 | 実務上の注意点 |
|---|---|---|
| 1 | Microsoft DefenderポータルからGPO用オンボードパッケージを取得 | 対象OSとConnectivity typeを間違えない |
| 2 | ZIPを共有フォルダーへ展開 | サーバーからUNCパスで到達できる場所に置く |
| 3 | GPMCで新しいGPOを作成 | いきなり全社・全サーバーOUへリンクしない |
| 4 | コンピューター構成の基本設定で即時タスクを作成 | 実行アカウントはSYSTEM、最高権限で実行 |
| 5 | アクションにWindowsDefenderATPOnboardingScript.cmdのUNCパスを指定 | FQDNを使ったUNCパスにする |
| 6 | 検証用OUへGPOをリンク | まず数台で動作確認する |
| 7 | Defenderポータルと検出テストで確認 | 表示まで数日かかる場合がある |
公式手順では、共有場所に展開したWindowsDefenderATPOnboardingScript.cmdを、GPOの「スケジュールされたタスク」から即時タスクとして実行します。タスクはNT AUTHORITY\SYSTEMで実行し、「ユーザーがログオンしているかどうかに関係なく実行する」「最高の権限で実行する」を設定します。(Microsoft Learn)
実務では、GPO名に対象と目的を入れておくと管理しやすくなります。たとえば、MDE-Onboarding-Server2019-Pilot、MDE-Onboarding-FileServers-Prodのように命名すると、後からGPO一覧を見たときに展開範囲を判断しやすくなります。
変更点として実務上確認したいポイント
今回の情報を受けて、既存環境の管理者が確認すべきポイントは次の5つです。
Defender展開ツールという選択肢も確認する
公式ページでは、WindowsおよびLinuxデバイスにDefenderエンドポイントセキュリティを展開する方法として、軽量で自己更新型のDefender展開ツールにも触れています。GPOだけが唯一の選択肢ではないため、新規展開や混在環境では、GPO、Defender for Cloud、Configuration Manager、ローカルスクリプト、Defender展開ツールのどれが自社に合うかを比較する必要があります。(Microsoft Learn)
判断基準はシンプルです。オンプレAD中心でOU管理が整っているならGPOが使いやすく、Azure／Arc／Defender for Cloudを軸にサーバーを管理しているならDefender for Cloud連携の方が自然です。すでにConfiguration Managerでサーバー更新やアプリ配布を管理している場合は、MECM経由の方が監視や再実行の統制を取りやすくなります。
Windows Server 2012 R2／2016は統合ソリューション前提を確認する
Windows Server 2012 R2／2016では、最新の統合ソリューションを使うか、旧MMAベースの構成が残っているかで移行手順が変わります。Microsoftの移行手順では、Windows Server 2016ではOSとMicrosoft Defender Antivirusを十分に更新し、EDR Sensorコンポーネントの改善と修正を受けるためにKB5005292の適用または承認を確認するよう案内されています。(Microsoft Learn)
古いサーバーほど、「GPOを当てればオンボードできる」と考えるのは危険です。先にOS更新、Defender Antivirus機能、旧SCEPやMMAの有無、他社AVとの関係を確認しましょう。
Connectivity typeの選択をネットワーク担当と合わせる
Windows Server 2019／2022／2025などのオンボードでは、Microsoft Defenderポータル上でConnectivity typeとしてStreamlinedまたはStandardを選択する流れがあります。Streamlined connectivityは、Defender for Endpointの接続先URLやIPの管理を簡素化するための方式ですが、対応OSや前提更新、プロキシ、TLS検査の有無を確認する必要があります。(Microsoft Learn)
特に、プロキシ認証やSSL/TLSインスペクションを使っている企業ネットワークでは注意が必要です。Microsoftの説明では、Defender for Endpointの接続は証明書ピンニングとTLSを使用し、トラフィック検査はサポートされず、ユーザー認証を強制するプロキシは接続を壊す可能性があります。(Microsoft Learn)
ADMX中央ストアを更新する
Windows Server 2012 R2／2016の新しい統合ソリューションを使う場合、中央ストアの最新ADMXファイルを使って、正しいMicrosoft Defender for Endpointポリシーオプションにアクセスする必要があります。公式手順でも、中央ストアを使っている環境ではAtpConfiguration.admxとAtpConfiguration.admlを所定のPolicyDefinitionsフォルダーへ配置する手順が示されています。(Microsoft Learn)
ADMXが古いままだと、管理テンプレートに必要な項目が表示されず、担当者が「ポリシーが存在しない」と誤認することがあります。GPO展開前に、GPMCを開く管理端末と中央ストアの両方を確認してください。
オフボード設計を先に決める
オンボードだけでなく、オフボード手順も事前に決めておく必要があります。公式手順では、オフボード用パッケージはダウンロード日から7日後に期限切れになり、期限切れのパッケージはデバイス側で拒否されます。また、オンボードポリシーとオフボードポリシーを同じデバイスに同時展開してはいけないとされています。(Microsoft Learn)
これは移行や切り戻し時に重要です。検証用OUでオンボードを試した後、同じOUにオフボードGPOを重ねると、想定外の競合が起きる可能性があります。オフボード専用OU、専用GPO、適用期間、対象端末リストを分けて運用しましょう。
推奨されるDefender Antivirus設定
GPOでオンボードしただけでは、Defender for Endpointの保護設定が十分とは限りません。公式手順では、オンボードスクリプトの構成後に、同じグループポリシーへエンドポイント保護の構成を追加することが推奨されています。編集はWindows 10、Windows 11、またはWindows Server 2019以降のシステムから行うことで、必要なMicrosoft Defender Antivirus機能を利用しやすくなります。(Microsoft Learn)
実務で最低限確認したい設定は次のとおりです。
| 項目 | 推奨設定の考え方 |
|---|---|
| リアルタイム保護 | 「リアルタイム保護をオフにする」は無効。動作監視、ダウンロードファイルのスキャン、ファイルとプログラム活動の監視を有効化 |
| PUA保護 | 望ましくない可能性のあるアプリケーションをブロック |
| MAPS／クラウド保護 | Microsoft MAPS、クラウド保護、サンプル送信を運用ポリシーに合わせて設定 |
| 定期スキャン | サーバー負荷を見ながら、週次クイックスキャンなどを検討 |
| ASRルール | いきなりブロックではなく、まず監査モードで影響を確認 |
| Controlled Folder Access | 重要サーバーでは監査モードから開始し、業務アプリへの影響を見る |
攻撃面の縮小、いわゆるASRルールは、値2を指定すると監査専用として設定できます。業務アプリやスクリプトの多いサーバーでいきなりブロックすると、正規処理が止まることがあるため、まず監査モードでイベントを確認し、除外設定を整えてから段階的にブロックへ移行するのが現実的です。(Microsoft Learn)
展開前チェックリスト
GPOオンボードを本番展開する前に、次のチェックリストを使って確認してください。
| チェック | 確認内容 |
|---|---|
| 対象OU | 検証用OU、本番OU、除外OUを分けているか |
| OS | Windows Serverのバージョンとサポート状態を確認したか |
| ライセンス | サーバー向けDefenderライセンスを確認したか |
| 旧エージェント | MMA、SCEP、他社AVの有無を確認したか |
| ADMX | 中央ストアと管理端末のADMXを更新したか |
| ネットワーク | Defenderサービスへの接続、プロキシ、TLS検査の影響を確認したか |
| パッケージ | 対象OSとConnectivity typeに合ったパッケージを取得したか |
| 共有パス | FQDNを使ったUNCパスで到達できるか |
| 権限 | 共有フォルダーを不要に書き換えられない権限にしたか |
| GPO設定 | 即時タスクをSYSTEMかつ最高権限で実行する設定にしたか |
| 検証 | ポータル表示、検出テスト、senseサービス確認を行う計画があるか |
| 切り戻し | オフボードGPOを本番GPOと同時適用しない設計になっているか |
この表で1つでも曖昧な項目がある場合は、全サーバー展開に進まず、検証用OUで止めてください。特にネットワーク接続と旧エージェントの確認不足は、オンボード失敗の原因になりやすいポイントです。
展開後の確認方法
GPO適用後は、Microsoft Defenderポータルのデバイスインベントリに対象サーバーが表示されるかを確認します。ただし、公式情報では、デバイス一覧に表示されるまでに数日かかる場合があり、ポリシー配布、ユーザーログオン、エンドポイントのレポート開始に時間がかかることがあると説明されています。(Microsoft Learn)
サーバー側では、次の観点で確認します。
sc.exe query sensesenseサービスが実行中であれば、Defender for Endpointセンサーの稼働確認になります。Microsoftのサーバーオンボード手順でも、Defender for Endpointが実行されているかを確認するコマンドとしてsc.exe query senseが示されています。(Microsoft Learn)
必要に応じて、検出テストも実行します。Microsoftの検出テスト手順では、新しくオンボードされたデバイスでPowerShellコマンドを実行し、成功するとMicrosoft Defenderポータルに約10分で新しいアラートが表示されると説明されています。テストは本番影響を考慮し、検証用サーバーやメンテナンス時間帯で実施してください。(Microsoft Learn)
失敗しやすいポイントと対処
| よくある問題 | 原因の例 | 対処 |
|---|---|---|
| ポータルにサーバーが表示されない | GPO未適用、スクリプト未実行、ネットワーク接続不可 | gpresult、タスク履歴、senseサービス、プロキシ設定を確認 |
| GPOの設定項目が見つからない | ADMXが古い、中央ストア未更新 | 最新ADMXを中央ストアへ配置し、GPMCを開き直す |
| スクリプトが実行されない | 共有パスにアクセスできない、実行権限不足 | FQDN付きUNCパス、読み取り権限、SYSTEM実行を確認 |
| 他社AVと競合する | Defender Antivirusをアクティブで導入している | パッシブモードや移行手順を確認 |
| オフボードできない | オフボードパッケージの期限切れ | 7日以内の新しいパッケージを取得する |
| 業務アプリが止まる | ASRやControlled Folder Accessを急にブロック適用 | 監査モードで影響を確認してから段階適用 |
他社アンチウイルスを併用する場合、MicrosoftはMicrosoft Defender Antivirusをパッシブモードで実行する必要があると説明しています。また、McAfee Endpoint SecurityやVirusScan Enterpriseを実行しているサーバーでは、Microsoft Defender Antivirusが削除または無効化されないように、McAfee側のプラットフォーム更新が必要になる場合があります。(Microsoft Learn)
開発者・アプリ担当者が確認すべきこと
Microsoft Defender for EndpointのGPOオンボードはインフラ管理者の作業に見えますが、業務アプリを持つ開発者やアプリ担当者にも影響します。
特に確認すべきなのは、次の3点です。
| 確認項目 | 開発者・アプリ担当者への影響 |
|---|---|
| ASRルール | スクリプト実行、Office連携、子プロセス起動などが検知対象になる可能性がある |
| Controlled Folder Access | アプリが特定フォルダーへ書き込む処理に影響する可能性がある |
| サンプル送信 | 社内ファイル、スクリプト、独自バイナリの取り扱いルールを確認する必要がある |
開発・運用チームは、Defender設定を「セキュリティ部門だけの設定」と捉えない方が安全です。アプリのビルド成果物、バッチ、PowerShell、社内ツール、夜間ジョブなどは、監査ログで事前に確認しておくと本番障害を避けやすくなります。
おすすめは、次の順序です。
- 検証用サーバーでオンボードする
- ASRとControlled Folder Accessを監査モードにする
- 業務アプリの通常処理、夜間処理、障害時処理を実行する
- Defenderポータルやイベントログで検知内容を確認する
- 必要な除外やポリシー調整を行う
- 本番OUへ段階展開する
セキュリティを強化する目的で導入した設定が、業務アプリの停止につながっては本末転倒です。監査モードを「弱い設定」と考えるのではなく、本番で安全にブロックへ移行するための準備期間として使いましょう。
まず取るべき対応
Microsoft Defender for EndpointをグループポリシーでWindows Serverへオンボードするなら、最初にやるべきことはGPO作成ではありません。まず、対象サーバーの棚卸し、OS別の前提条件、ライセンス、既存セキュリティ製品、ネットワーク接続、ADMX中央ストアを確認してください。
そのうえで、検証用OUに限定してGPOをリンクし、senseサービス、Microsoft Defenderポータルのデバイスインベントリ、検出テストで確認します。問題がなければ、ファイルサーバー、業務アプリサーバー、重要サーバーのようにリスク別に段階展開するのが安全です。
GPOオンボードは便利ですが、展開状況の可視化や失敗時の再実行はIntuneやConfiguration Managerほど得意ではありません。だからこそ、小さく試し、ログで確認し、OU単位で広げることが成功の近道です。
コメント