# ManageEngine を使用して Windows に Aikido Device Protection をデプロイする

ManageEngine Endpoint Central を使用して、必要な権限を設定した上で、管理対象の Windows デバイス群に Aikido Device Protection をデプロイします。

{% hint style="info" %}
開始する前に、すべてのデバイスが ManageEngine Endpoint Central の Windows 管理に登録されている必要があります。
{% endhint %}

## インストール

{% stepper %}
{% step %}
**必要なもの**

開始する前に、Aikido Device Protection ダッシュボードから以下を用意してください。

* **PowerShell インストールコマンド**（ダッシュボードのユーザーグループセレクターからコピーしたもので、トークンとインストーラーのダウンロードが含まれます）

お持ちでない場合は、[Aikido Device Protection ダッシュボード](https://app.aikido.dev/endpoint-protection/devices)に戻り、**Connect Device** をクリックしてください。
{% endstep %}

{% step %}
**管理対象デバイスでインストールコマンドを実行する**

1. Endpoint Central で、**Configurations** → **Add Configurations** → **Windows** → **Scripts** → **Custom Script** に移動します。
2. スクリプトに名前を付けます（例：「Aikido Device Protection install」）。
3. インストーラーが Program Files への書き込みとサービスの登録を行う権限を持つように、**Run as** を **System User** に設定します。
4. 各対象デバイスでスクリプトが 1 回だけ実行されるように、実行頻度を **Once** に設定します。
5. Aikido Device Protection ダッシュボードからコピーした PowerShell インストールコマンドをスクリプト本文に貼り付けます。
6. **Save and Publish** をクリックし、構成を対象のデバイスまたはデバイスグループに割り当てます。

{% hint style="info" %}
この PowerShell コマンドには Device Protection トークンが含まれており、最新のインストーラーをダウンロードしてサイレントインストールを行います。追加の MSI をアップロードする必要はありません。
{% endhint %}
{% endstep %}

{% step %}
**ロックダウンポリシーを適用する**

Aikido Device Protection アプリケーションのアンインストールをブロックします。

**AppLocker でアンインストールをブロックする**

1. 上記と同じ手順で、新しい Custom Script 構成を作成します。
2. 名前を付けます（例：「Aikido - AppLocker uninstall block」）。
3. 次の PowerShell スクリプトをスクリプト本文に貼り付けます。

```powershell
$tmp = "$env:TEMP\aikido-applocker.xml"
Invoke-WebRequest -Uri "https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml" -OutFile $tmp
Set-AppLockerPolicy -XmlPolicy $tmp -Merge
Remove-Item $tmp -Force
```

4. **Save and Publish** をクリックし、対象のデバイスまたはデバイスグループに割り当てます。
{% endstep %}

{% step %}
**インストール後にデバイスを再起動する**

1. Endpoint Central で、**Tools** → **Shutdown/Restart** に移動します。
2. 一覧から対象の Windows デバイスを選択します。
3. **Restart** を選択し、**Proceed** をクリックします。

エージェントは次回の起動時に完全に有効化されます。
{% endstep %}
{% endstepper %}

## トラブルシューティング


| 問題 | 対処法 |
| ------- | --- |
| スクリプトの実行後、デバイスがダッシュボードに表示されない | デバイスを再起動してください。エージェントは次回の起動時に登録が完了します |
| MDM コンソールでスクリプトがエラーで終了する | テストホスト上でスクリプトを SYSTEM として手動で実行し、エラーの詳細を確認してください。また、デバイスがインストーラーをダウンロードするためにインターネットにアクセスできることを確認してください |
| エージェントサービスが実行されていない | デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください |
| スクリプトが実行ポリシーによってブロックされる | MDM 経由で実行されるスクリプトは SYSTEM として実行されるため、ユーザーレベルの実行ポリシーによる制限を受けません。MDM がスクリプトの実行を制限する追加のポリシーを適用していないことを確認してください |
| インストール後、デバイスが非アクティブと表示される | エージェントを完全に有効化するには再起動が必要です。再起動後にもう一度確認してください |