# IntuneでWindowsにAikido Device Protectionをデプロイする

Microsoft Intuneを使用して、必要な権限を設定したうえで、管理対象のWindowsデバイス群全体にAikido Device Protectionをデプロイします。

{% hint style="info" %}
開始する前に、すべてのデバイスがMicrosoft IntuneのWindows管理に登録されている必要があります。
{% endhint %}

## インストール

{% stepper %}
{% step %}
**必要なもの**

開始する前に、Aikido Device Protectionダッシュボードから以下を用意してください。

* **PowerShellインストールコマンド**(ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます)

用意できていない場合は、[Aikido Device Protectionダッシュボード](https://app.aikido.dev/endpoint-protection/devices)に戻り、**Connect Device**をクリックしてください。
{% endstep %}

{% step %}
**管理対象デバイスでインストールコマンドを実行する**

ダッシュボードのコマンドを、システムコンテキストで実行される1回限りのプラットフォームスクリプトとしてデプロイします。

1. Intune管理センターで、**Devices** → **Scripts and remediations** → **Platform scripts** → **Add** → **Windows 10 and later**に移動します。
2. **Basics**タブで名前(例: "Aikido Device Protection install")と任意の説明を入力し、**Next**を選択します。
3. **Script settings**タブで、Aikidoダッシュボードの**PowerShellインストールコマンド**を`.ps1`ファイルとして保存し(ファイルは200 KB未満で、ASCIIで保存する必要があります)、**Script file**の参照ボタンを使用してアップロードします。
4. スクリプトがSYSTEMとして実行されるように、**Run this script using the logged on credentials**を**No**に設定します。
5. **Enforce script signature check**を**No**に設定します。
6. **Run script in 64-bit PowerShell host**を**Yes**に設定します。
7. **Next**を選択し、必要に応じてスコープタグを追加してから、**Next**を選択します。
8. **Assignments**で対象のWindowsデバイスグループを選択し、**Next**を選択します。
9. **Review + add**で**Add**を選択します。

{% hint style="info" %}
Intune Management Extensionは8時間ごと、および再起動のたびにチェックインします。テストデバイスで実行を早めたい場合は、そのデバイスで**Microsoft Intune Management Extension**サービスを再起動してください。
{% endhint %}
{% endstep %}

{% step %}
**ロックダウンポリシーを適用する**

Aikido Device Protectionアプリケーションのアンインストールをブロックします。

**Aikido Device Protectionアプリケーションのアンインストールをブロックする**

Intuneには、特定のWin32アプリケーションの「アンインストール」を単純に非表示にする組み込み設定はありません。アンインストールを防ぐには、Aikidoアンインストーラーの実行を拒否するAppLockerポリシーをデプロイします。

1. Intune管理センターで、**Devices** → **Manage devices** → **Configuration** → **Create** → **New policy**に移動します。
2. **Platform**を**Windows 10 and later**に、**Profile type**を**Templates**に設定し、**Custom**を選択します。**Create**を選択します。
3. プロファイルに名前を付けます(例: "Aikido Device Protection uninstall block")。
4. Aikidoアンインストーラーを拒否するAppLocker XMLポリシーをプッシュするOMA-URI設定を追加します。
   * **Name**: `Aikido AppLocker uninstall block`
   * **OMA-URI**: `./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/Aikido/MSI/Policy`
   * **Data type**: **String**
   * **Value**: [aikido-applocker-deny-mdm.xml](https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml)の内容を貼り付けます(リンクを開き、XMLテキスト全体をコピーしてここに貼り付けます)
5. プロファイルを同じWindowsデバイスグループに割り当てます。

{% hint style="info" %}
エンドユーザーがローカル管理者である場合、AppLockerルールは回避される可能性があります。より強力に適用するには、このポリシーをApp Control for Business(WDAC)およびローカル管理者権限の削除と組み合わせてください。
{% endhint %}
{% endstep %}

{% step %}
**インストール後にデバイスを再起動する**

1. Intune管理センターで、**Devices** → **All devices** → **Bulk device actions**に移動します。
2. **Basics**タブで、**OS**を**Windows**に、**Device action**を**Restart**に設定し、**Next**を選択します。
3. **Devices**タブで対象デバイスを選択し(一括操作あたり最大100台)、**Next**を選択します。より大きなグループの場合は、一括操作をバッチで繰り返すか、代わりに**Endpoint security** → **Device compliance** → **Policies**から、デバイスグループに**Restart**コンプライアンスアクションを割り当てます。
4. **Review + create**で**Create**を選択します。

エージェントは次回の起動時に完全に有効化されます。
{% endstep %}
{% endstepper %}

## トラブルシューティング


| 問題 | 対処法 |
| ------- | --- |
| スクリプトの実行後、デバイスがダッシュボードに表示されない | デバイスを再起動してください。エージェントは次回の起動時に登録が完了します |
| MDM コンソールでスクリプトがエラーで終了する | テストホスト上でスクリプトを SYSTEM として手動で実行し、エラーの詳細を確認してください。また、デバイスがインストーラーをダウンロードするためにインターネットにアクセスできることを確認してください |
| エージェントサービスが実行されていない | デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください |
| スクリプトが実行ポリシーによってブロックされる | MDM 経由で実行されるスクリプトは SYSTEM として実行されるため、ユーザーレベルの実行ポリシーによる制限を受けません。MDM がスクリプトの実行を制限する追加のポリシーを適用していないことを確認してください |
| インストール後、デバイスが非アクティブと表示される | エージェントを完全に有効化するには再起動が必要です。再起動後にもう一度確認してください |