# HexnodeでWindowsにAikido Device Protectionを展開する

Hexnode UEMを使用して、必要な権限を設定したうえで、管理対象のWindowsデバイス群にAikido Device Protectionを展開します。

{% hint style="info" %}
開始する前に、すべてのデバイスがHexnodeのWindows管理に登録されている必要があります。
{% endhint %}

## インストール

{% stepper %}
{% step %}
**必要なもの**

開始する前に、Aikido Device Protectionダッシュボードから以下を入手していることを確認してください。

* **PowerShellインストールコマンド**（ダッシュボードのユーザーグループセレクターからコピー）

お持ちでない場合は、[Aikido Device Protectionダッシュボード](https://app.aikido.dev/endpoint-protection/devices)に戻り、**Connect Device**をクリックしてください。
{% endstep %}

{% step %}
**管理対象デバイスでインストールコマンドを実行する**

HexnodeのExecute Custom Scriptアクションを使用して、AikidoダッシュボードのPowerShellコマンドをWindowsデバイス群にプッシュします。

1. Hexnodeポータルで、**Manage** → **Devices** に移動し、対象のWindowsデバイスを選択するか、デバイスグループを開きます。
2. **Actions** → **Others** → **Execute Custom Script** を開きます。
3. プラットフォームとして **Windows** を選択します。
4. スクリプトの種類として **PowerShell script** を選択します。
5. Aikido Device Protectionダッシュボードからコピーしたインストールコマンドをスクリプト本文に貼り付けます。
6. インストーラーのダウンロードに十分な時間を確保するため、タイムアウトを **30分** 以上に設定します。
7. **Execute** をクリックしてコマンドをプッシュします。HexnodeはWindows上のカスタムスクリプトをデフォルトでデバイス（SYSTEM）コンテキストで実行します。これはAikidoインストーラーが必要とするコンテキストです。

各デバイスの実行ステータスは、**Manage** → **Action History** で確認できます。
{% endstep %}

{% step %}
**ロックダウンポリシーを適用する**

Custom Configurationポリシーを使用して、Aikido Device Protectionアプリのアンインストールをブロックします。

1. Hexnodeポータルで、**Policies** に移動し、Windows用の新しい空のポリシーを作成します。
2. **Windows** タブで **Configurations** に移動し、**Deploy Custom Configuration** の横にある **Configure** をクリックします。
3. **Add Payload** をクリックし、以下を入力します。
   * **Name**: `Block Aikido uninstall`
   * **OMA-URI**: `./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/Aikido/MSI/Policy`

   * **Data Type**: `String`
   * **Value**: [aikido-applocker-deny-mdm.xml](https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml) の内容を貼り付けます（リンクを開き、XMLテキスト全体をコピーしてここに貼り付けます）
4. **Policy Targets** に移動し、同じ対象デバイスまたはデバイスグループにポリシーを割り当てて保存します。

第2の保護層として、Aikido Device Protectionインストーラーを **Mandatory Apps** に追加すると、削除された場合にHexnodeが自動的に再インストールします。

1. Hexnodeポータルで、**Policies** に移動し、同じWindowsポリシーを編集します。
2. **Windows** タブで **App Management** に移動し、**Mandatory Apps** の横にある **Configure** をクリックします。
3. Aikido Device Protectionアプリ（Hexnodeのエンタープライズアプリカタログにアップロード済みのもの）を追加して保存します。

{% hint style="warning" %}
Aikido Device Protectionサービスは、ユーザーによる改ざんに耐えられるよう、インストーラーによってOSレベルで強化されています。サービスの保護のために追加のHexnodeポリシーは必要ありません。
{% endhint %}
{% endstep %}

{% step %}
**インストール後にデバイスを再起動する**

1. Hexnodeポータルで、**Manage** → **Devices** に移動し、対象のWindowsデバイスを選択するか、デバイスグループを開きます。
2. **Actions** → **Device Control** → **Restart Device** を選択します。
3. 確認ダイアログで **Restart** をクリックします。

エージェントは次回の起動時に完全に有効化されます。
{% endstep %}
{% endstepper %}

## トラブルシューティング


| 問題 | 対処法 |
| ------- | --- |
| スクリプトの実行後、デバイスがダッシュボードに表示されない | デバイスを再起動してください。エージェントは次回の起動時に登録が完了します |
| MDM コンソールでスクリプトがエラーで終了する | テストホスト上でスクリプトを SYSTEM として手動で実行し、エラーの詳細を確認してください。また、デバイスがインストーラーをダウンロードするためにインターネットにアクセスできることを確認してください |
| エージェントサービスが実行されていない | デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください |
| スクリプトが実行ポリシーによってブロックされる | MDM 経由で実行されるスクリプトは SYSTEM として実行されるため、ユーザーレベルの実行ポリシーによる制限を受けません。MDM がスクリプトの実行を制限する追加のポリシーを適用していないことを確認してください |
| インストール後、デバイスが非アクティブと表示される | エージェントを完全に有効化するには再起動が必要です。再起動後にもう一度確認してください |