# JumpCloudを使用してWindowsにAikido Device Protectionを展開する

JumpCloudを使用して、必要な権限を設定した状態で、管理対象のWindowsデバイス群全体にAikido Device Protectionを展開します。

{% hint style="info" %}
開始する前に、すべてのデバイスが[JumpCloud Windows MDM](https://jumpcloud.com/support/get-started-windows-mdm)に登録されている必要があります。
{% endhint %}

## インストール

{% stepper %}
{% step %}
**必要なもの**

開始する前に、Aikido Device Protectionダッシュボードから以下を用意してください。

* **PowerShellインストールコマンド**（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

お持ちでない場合は、[Aikido Device Protectionダッシュボード](https://app.aikido.dev/endpoint-protection/devices)に戻り、**Connect Device**をクリックしてください。
{% endstep %}

{% step %}
**管理対象デバイスでインストールコマンドを実行する**

1. JumpCloud Admin Portalで、**Device Management** → **Commands**に移動します。
2. **+ Command**をクリックし、**Command**を選択します。
3. 名前を付けます（例：「Install Aikido Device Protection」）。
4. **Type**を**Windows PowerShell**に設定します。JumpCloudはWindowsコマンドを`LocalSystem`（NT Authority\System）アカウントで実行するため、追加のユーザーコンテキストは不要です。
5. Aikido Device Protectionダッシュボードからコピーした PowerShellインストールコマンドをコマンド本文に貼り付けます。
6. **Launch Type**は**One-Time**のままにします。
7. **Devices**タブを選択し、対象のWindowsデバイスグループにコマンドを割り当てます。
8. **save**をクリックし、**Run Now**でコマンドを実行します。

このコマンドはインストーラーを取得し、ユーザーグループトークンに対してデバイスを登録して、サイレントインストールを行います。
{% endstep %}

{% step %}
**ロックダウンポリシーを適用する**

JumpCloudには、Windowsサービスのロックとアプリのアンインストーラーのブロックを両方行う単一の組み込みポリシーがないため、以下の2つのポリシーを併せて適用してください。

**Aikido Device Protectionアプリのアンインストールをブロックする**

1. JumpCloud Admin Portalで、**Device Management** → **Policy Management**に移動します。
2. **+ Add New**をクリックし、**Device Policy**を選択してから、**Windows**タブを選択します。
3. **Custom MDM (OMA URI) Policy**を検索して選択し、**Configure**をクリックします。
4. ポリシーに名前を付けます（例：「Aikido Device Protection uninstall block」）。
5. **Settings**セクションで、以下の値を入力します。
   * **OMA URI**：`./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/Aikido/MSI/Policy`
   * **Format**：**string**
   * **Value**：[aikido-applocker-deny-mdm.xml](https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml)の内容を貼り付けます（リンクを開き、XMLテキスト全体をコピーしてここに貼り付けます）
6. **Device Groups**タブを選択し、同じWindowsデバイスグループを選択して、**Create Policy**をクリックします。

**ユーザーによるAikidoサービスの停止や無効化を防止する**

Aikido Device Protectionインストーラーは自身のサービスACLを強化するため、管理者以外のユーザーはサービスを停止または無効化できません。追加のJumpCloudポリシーは不要です。

{% hint style="warning" %}
JumpCloudのCustom Registry Keysポリシーでは、`Security\`レジストリパス配下のACLを変更できません。そのため、サービス権限の強化はJumpCloudではなく、Aikidoインストーラー自体によって適用されます。
{% endhint %}
{% endstep %}

{% step %}
**インストール後にデバイスを再起動する**

1. JumpCloud Admin Portalで、**Device Management** → **Policy Management**に移動します。
2. **(+)**アイコンをクリックし、**Windows**タブを選択して**Schedule Restart**を選び、**configure**をクリックします。
3. 頻度を**Single**に設定し、インストールコマンドの実行直後の日時を選択します。
4. **Device Groups**タブを選択し、同じWindowsデバイスグループにポリシーを割り当てます。
5. **save**をクリックします。

単一のデバイスをすぐに一度だけ再起動するには、**Device Management** → **Devices**に移動し、**Actions**列の3つのドットをクリックして**Restart Device**を選択します。

エージェントは次回の起動時に完全に有効化されます。
{% endstep %}
{% endstepper %}

## トラブルシューティング


| 問題 | 対処法 |
| ------- | --- |
| スクリプトの実行後、デバイスがダッシュボードに表示されない | デバイスを再起動してください。エージェントは次回の起動時に登録が完了します |
| MDM コンソールでスクリプトがエラーで終了する | テストホスト上でスクリプトを SYSTEM として手動で実行し、エラーの詳細を確認してください。また、デバイスがインストーラーをダウンロードするためにインターネットにアクセスできることを確認してください |
| エージェントサービスが実行されていない | デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください |
| スクリプトが実行ポリシーによってブロックされる | MDM 経由で実行されるスクリプトは SYSTEM として実行されるため、ユーザーレベルの実行ポリシーによる制限を受けません。MDM がスクリプトの実行を制限する追加のポリシーを適用していないことを確認してください |
| インストール後、デバイスが非アクティブと表示される | エージェントを完全に有効化するには再起動が必要です。再起動後にもう一度確認してください |