JumpCloud で Device Protection を展開する

JumpCloudを使用して、必要な権限を設定した状態で、管理対象のWindowsデバイス群全体にAikido Device Protectionを展開します。

インストール

1. 1

   必要なもの

   開始する前に、Aikido Device Protectionダッシュボードから以下を用意してください。

   • PowerShellインストールコマンド（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

   お持ちでない場合は、Aikido Device Protectionダッシュボードに戻り、Connect Deviceをクリックしてください。

2. 2

   管理対象デバイスでインストールコマンドを実行する

   1. JumpCloud Admin Portalで、Device Management → Commandsに移動します。
   2. + Commandをクリックし、Commandを選択します。
   3. 名前を付けます（例：「Install Aikido Device Protection」）。
   4. TypeをWindows PowerShellに設定します。JumpCloudはWindowsコマンドをLocalSystem（NT Authority\System）アカウントで実行するため、追加のユーザーコンテキストは不要です。
   5. Aikido Device Protectionダッシュボードからコピーした PowerShellインストールコマンドをコマンド本文に貼り付けます。
   6. Launch TypeはOne-Timeのままにします。
   7. Devicesタブを選択し、対象のWindowsデバイスグループにコマンドを割り当てます。
   8. saveをクリックし、Run Nowでコマンドを実行します。

   このコマンドはインストーラーを取得し、ユーザーグループトークンに対してデバイスを登録して、サイレントインストールを行います。

3. 3

   ロックダウンポリシーを適用する

   JumpCloudには、Windowsサービスのロックとアプリのアンインストーラーのブロックを両方行う単一の組み込みポリシーがないため、以下の2つのポリシーを併せて適用してください。

   Aikido Device Protectionアプリのアンインストールをブロックする

   1. JumpCloud Admin Portalで、Device Management → Policy Managementに移動します。
   2. + Add Newをクリックし、Device Policyを選択してから、Windowsタブを選択します。
   3. Custom MDM (OMA URI) Policyを検索して選択し、Configureをクリックします。
   4. ポリシーに名前を付けます（例：「Aikido Device Protection uninstall block」）。
   5. Settingsセクションで、以下の値を入力します。
      • OMA URI：./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/Aikido/MSI/Policy
      • Format：string
      • Value：aikido-applocker-deny-mdm.xmlの内容を貼り付けます（リンクを開き、XMLテキスト全体をコピーしてここに貼り付けます）
   6. Device Groupsタブを選択し、同じWindowsデバイスグループを選択して、Create Policyをクリックします。

   ユーザーによるAikidoサービスの停止や無効化を防止する

   Aikido Device Protectionインストーラーは自身のサービスACLを強化するため、管理者以外のユーザーはサービスを停止または無効化できません。追加のJumpCloudポリシーは不要です。

   JumpCloudのCustom Registry Keysポリシーでは、Security\レジストリパス配下のACLを変更できません。そのため、サービス権限の強化はJumpCloudではなく、Aikidoインストーラー自体によって適用されます。

4. 4

   インストール後にデバイスを再起動する

   1. JumpCloud Admin Portalで、Device Management → Policy Managementに移動します。
   2. (+)アイコンをクリックし、Windowsタブを選択してSchedule Restartを選び、configureをクリックします。
   3. 頻度をSingleに設定し、インストールコマンドの実行直後の日時を選択します。
   4. Device Groupsタブを選択し、同じWindowsデバイスグループにポリシーを割り当てます。
   5. saveをクリックします。

   単一のデバイスをすぐに一度だけ再起動するには、Device Management → Devicesに移動し、Actions列の3つのドットをクリックしてRestart Deviceを選択します。

   エージェントは次回の起動時に完全に有効化されます。

トラブルシューティング