Intune で Device Protection を展開する

Microsoft Intuneを使用して、必要な権限を設定したうえで、管理対象のWindowsデバイス群全体にAikido Device Protectionをデプロイします。

インストール

1. 1

   必要なもの

   開始する前に、Aikido Device Protectionダッシュボードから以下を用意してください。

   • PowerShellインストールコマンド(ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます)

   用意できていない場合は、Aikido Device Protectionダッシュボードに戻り、Connect Deviceをクリックしてください。

2. 2

   管理対象デバイスでインストールコマンドを実行する

   ダッシュボードのコマンドを、システムコンテキストで実行される1回限りのプラットフォームスクリプトとしてデプロイします。

   1. Intune管理センターで、Devices → Scripts and remediations → Platform scripts → Add → Windows 10 and laterに移動します。
   2. Basicsタブで名前(例: "Aikido Device Protection install")と任意の説明を入力し、Nextを選択します。
   3. Script settingsタブで、AikidoダッシュボードのPowerShellインストールコマンドを.ps1ファイルとして保存し(ファイルは200 KB未満で、ASCIIで保存する必要があります)、Script fileの参照ボタンを使用してアップロードします。
   4. スクリプトがSYSTEMとして実行されるように、Run this script using the logged on credentialsをNoに設定します。
   5. Enforce script signature checkをNoに設定します。
   6. Run script in 64-bit PowerShell hostをYesに設定します。
   7. Nextを選択し、必要に応じてスコープタグを追加してから、Nextを選択します。
   8. Assignmentsで対象のWindowsデバイスグループを選択し、Nextを選択します。
   9. Review + addでAddを選択します。

   Intune Management Extensionは8時間ごと、および再起動のたびにチェックインします。テストデバイスで実行を早めたい場合は、そのデバイスでMicrosoft Intune Management Extensionサービスを再起動してください。

3. 3

   ロックダウンポリシーを適用する

   Aikido Device Protectionアプリケーションのアンインストールをブロックします。

   Aikido Device Protectionアプリケーションのアンインストールをブロックする

   Intuneには、特定のWin32アプリケーションの「アンインストール」を単純に非表示にする組み込み設定はありません。アンインストールを防ぐには、Aikidoアンインストーラーの実行を拒否するAppLockerポリシーをデプロイします。

   1. Intune管理センターで、Devices → Manage devices → Configuration → Create → New policyに移動します。
   2. PlatformをWindows 10 and laterに、Profile typeをTemplatesに設定し、Customを選択します。Createを選択します。
   3. プロファイルに名前を付けます(例: "Aikido Device Protection uninstall block")。
   4. Aikidoアンインストーラーを拒否するAppLocker XMLポリシーをプッシュするOMA-URI設定を追加します。
      • Name: Aikido AppLocker uninstall block
      • OMA-URI: ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/Aikido/MSI/Policy
      • Data type: String
      • Value: aikido-applocker-deny-mdm.xmlの内容を貼り付けます(リンクを開き、XMLテキスト全体をコピーしてここに貼り付けます)
   5. プロファイルを同じWindowsデバイスグループに割り当てます。

   エンドユーザーがローカル管理者である場合、AppLockerルールは回避される可能性があります。より強力に適用するには、このポリシーをApp Control for Business(WDAC)およびローカル管理者権限の削除と組み合わせてください。

4. 4

   インストール後にデバイスを再起動する

   1. Intune管理センターで、Devices → All devices → Bulk device actionsに移動します。
   2. Basicsタブで、OSをWindowsに、Device actionをRestartに設定し、Nextを選択します。
   3. Devicesタブで対象デバイスを選択し(一括操作あたり最大100台)、Nextを選択します。より大きなグループの場合は、一括操作をバッチで繰り返すか、代わりにEndpoint security → Device compliance → Policiesから、デバイスグループにRestartコンプライアンスアクションを割り当てます。
   4. Review + createでCreateを選択します。

   エージェントは次回の起動時に完全に有効化されます。

トラブルシューティング