Miradore で Device Protection を展開する

Miradore を使用して、必要な権限を設定したうえで、管理対象の Windows デバイス全体に Aikido Device Protection を展開します。

インストール

1. 1

   必要なもの

   開始する前に、Aikido Device Protection ダッシュボードから以下を用意してください。

   • PowerShell インストールコマンド（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

   お持ちでない場合は、Aikido Device Protection ダッシュボードに戻り、Connect Device をクリックしてください。

2. 2

   管理対象デバイスでインストールコマンドを実行する

   ダッシュボードのコマンドを .ps1 ファイルにまとめ、Business Policy を介して Windows アプリケーションとして展開します。

   1. ダッシュボードの PowerShell コマンドを install-aikido.ps1 という名前のファイルとして保存します。
   2. Miradore 管理コンソールで、Management → Applications に移動します。
   3. Add → Windows application → Advanced (file upload) → Next をクリックします。
   4. 必須フィールドを入力します。
      • Application name（例: "Aikido Device Protection installer"）
      • File: install-aikido.ps1 を選択
      • Command type: Execute PowerShell
      • Install command: powershell.exe -ExecutionPolicy Bypass -File .\install-aikido.ps1
   5. Create をクリックし、続いて Close をクリックします。
   6. Management → Business policies に移動し、Add をクリックします。
   7. ポリシーに名前を付け、作成した Windows アプリケーションを追加し、タグを使用して対象デバイスを割り当て、ステータスを Enabled に設定します。

   Miradore Client は、対象となる各デバイスが次回チェックインした際にスクリプトを実行します。Miradore Client は SYSTEM アカウントで Windows サービスとして実行されるため、インストーラーにはエージェントの登録とトークンの書き込みに必要な権限があります。

3. 3

   ロックダウンポリシーを適用する

   AppLocker の OMA-URI を使用した Custom Policy を展開し、Aikido Device Protection のアンインストールをブロックします。

   1. Management → Configuration profiles に移動し、Add → Windows → Custom policy をクリックします。
   2. 以下の値でペイロードを追加します。
      • OMA-URI: ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/Aikido/MSI/Policy
      • Data type: String
      • Value: aikido-applocker-deny-mdm.xml の内容を貼り付けます（リンクを開き、XML テキスト全体をコピーしてここに貼り付けてください）
   3. Add をクリックし、インストーラーに使用したものと同じ Business Policy にプロファイルを追加します。

   補助的な制御として、MDM の登録解除をブロックすることもできます。OMA-URI ./Vendor/MSFT/Policy/Config/Experience/AllowManualMDMUnenrollment、Data type Integer、Value 0 の 2 つ目のペイロードを追加してください。

   Aikido Device Protection インストーラーは OS レベルで EndpointProtection サービスの ACL を強化するため、標準ユーザーはサービスを停止または無効化できません。ユーザーがローカル管理者として実行している場合は、より強力に制御するために、上記の AppLocker によるアンインストールのブロックとローカル管理者権限の削除を組み合わせてください。

   管理対象デバイスでローカル管理者権限を制限するには、既存の Windows グループポリシーまたは Active Directory の構成を使用してください。Miradore はアカウント権限の制限を直接適用しません。

4. 4

   インストール後にデバイスを再起動する

   インストーラーが成功を報告した後、Miradore 管理コンソールから各対象デバイスの再起動を実行します。

   1. Management → Devices に移動し、対象デバイスを開きます。
   2. ページのツールバーから Actions → Reboot device をクリックします。
   3. ウィザードで Reboot をクリックして確定します。
   4. 管理対象の各デバイスに対して繰り返します。

   デバイスは、アクションが届いてから約 5 分後に再起動します。エージェントは次回の起動時に完全に有効化されます。

トラブルシューティング