梳理什么是 Microsoft Defender for Identity、E3/E5 的区别以及本地 AD 保护
关于本文
本文是通过利用生成式 AI 的自动生成流程创建的。已于 2026-09-18 重新确认微软官方信息，并梳理了包含 v3.x 传感器在内的当前要求。验证状态：📘 微软官方信息已确认・真机未验证
Microsoft Defender for Identity (MDI) 是一款安全产品，它从 Active Directory (AD) 等身份基础设施中收集信号，以检测和调查受损身份、可疑身份验证和横向移动等。横向移动（lateral movement）是指攻击者在侵入后移动到其他终端或账户以扩大权限的行为。
在 E3/E5 中的定位
Defender for Identity 不是 Microsoft 365 E3 的标准权益，而是通过 Microsoft 365 E5、EMS E5、适用的 Security SKU 或独立版等提供。在 E3 环境中，请确认需要追加许可的目标用户。
flowchart LR AD[AD / Domain Controller] --> SENSOR[MDI Sensor] SENSOR --> CLOUD[Defender for Identity] CLOUD --> XDR[Microsoft Defender XDR] XDR --> SOC[Incident調査]
注意 2026 年的 v3.x 传感器
微软建议在 Windows Server 2019 及更高版本的域控制器上使用 v3.x 传感器。v3.x 具有一些前提条件，例如 Defender for Endpoint 的 onboarding（上线）以及 2026 年 7 月或之后的累积更新。截至 2026 年 9 月，在 AD FS、AD CS、Entra Connect 等非 DC 服务器上使用 v3.x 仍保留 Preview（预览）要素，因此在部署时请确认 v2.x/v3.x 的兼容性表。
首先尝试：不作更改，观察状态
如果是现有环境，请在 Defender 门户的 Settings > Identities 中确认 Sensor health、受监控的 DC 以及 Health issue。起初不要进行设置更改或警报抑制。
使用 PowerShell 盘点候选受监控 DC
Get-ADDomainController -Filter * | Select-Object HostName, Site, OperatingSystem, IPv4Address
关注点包括 DC 名称、站点和操作系统。成功条件是能够获取候选受监控列表，并能与 MDI 传感器列表进行比对。如果要更改一处，请通过 Site 进行筛选，确认是否存在按分支机构划分的监控遗漏。此命令不会更改 MDI 设置。
普通用户、行政人员和 IT 部门的视角
普通用户会报告突然的多因素身份验证请求或可疑登录。对于行政人员来说，在日常业务中不共享特权 ID 的运营方式至关重要。IT 部门则需要确认传感器部署、健康状况、许可、与 Defender XDR 的关联以及调查权限。
管理员需要确认的事项
Microsoft 365 E5 / EMS E5 / Security SKU / 独立版等的使用权
目标用户的许可
DC 与 AD FS/AD CS/Entra Connect 的配置
v2.x/v3.x 支持的操作系统以及 Preview/GA 状态
v3.x 所需的 Defender for Endpoint onboarding（上线）和更新要求
包含 统一 RBAC (Unified RBAC) 在内的最小权限
传感器 Healthy 状态与监控遗漏
微软官方一手信息
Defender for Identity 是一款将身份视为“攻击路径”而非仅仅是“账户管理”的产品。首先请以只读方式确认许可和传感器健康状况。
