# Windows で Miradore を使用して Aikido Device Protection を展開する

Miradore を使用して、必要な権限を設定したうえで、管理対象の Windows デバイス全体に Aikido Device Protection を展開します。

{% hint style="info" %}
すべてのデバイスは、**Full enrollment** 方式で Miradore の Windows 管理に登録されている必要があります。Windows 10/11 Home では、ソフトウェアの展開とリモート再起動はサポートされていません。
{% endhint %}

## インストール

{% stepper %}
{% step %}
**必要なもの**

開始する前に、Aikido Device Protection ダッシュボードから以下を用意してください。

* **PowerShell インストールコマンド**（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

お持ちでない場合は、[Aikido Device Protection ダッシュボード](https://app.aikido.dev/endpoint-protection/devices)に戻り、**Connect Device** をクリックしてください。
{% endstep %}

{% step %}
**管理対象デバイスでインストールコマンドを実行する**

ダッシュボードのコマンドを `.ps1` ファイルにまとめ、Business Policy を介して Windows アプリケーションとして展開します。

1. ダッシュボードの PowerShell コマンドを `install-aikido.ps1` という名前のファイルとして保存します。
2. Miradore 管理コンソールで、**Management** → **Applications** に移動します。
3. **Add** → **Windows application** → **Advanced (file upload)** → **Next** をクリックします。
4. 必須フィールドを入力します。
   * **Application name**（例: "Aikido Device Protection installer"）
   * **File**: `install-aikido.ps1` を選択
   * **Command type**: **Execute PowerShell**
   * **Install command**: `powershell.exe -ExecutionPolicy Bypass -File .\install-aikido.ps1`
5. **Create** をクリックし、続いて **Close** をクリックします。
6. **Management** → **Business policies** に移動し、**Add** をクリックします。
7. ポリシーに名前を付け、作成した Windows アプリケーションを追加し、タグを使用して対象デバイスを割り当て、ステータスを **Enabled** に設定します。

Miradore Client は、対象となる各デバイスが次回チェックインした際にスクリプトを実行します。Miradore Client は SYSTEM アカウントで Windows サービスとして実行されるため、インストーラーにはエージェントの登録とトークンの書き込みに必要な権限があります。
{% endstep %}

{% step %}
**ロックダウンポリシーを適用する**

AppLocker の OMA-URI を使用した Custom Policy を展開し、Aikido Device Protection のアンインストールをブロックします。

1. **Management** → **Configuration profiles** に移動し、**Add** → **Windows** → **Custom policy** をクリックします。
2. 以下の値でペイロードを追加します。
   * **OMA-URI**: `./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/Aikido/MSI/Policy`
   * **Data type**: String
   * **Value**: [aikido-applocker-deny-mdm.xml](https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml) の内容を貼り付けます（リンクを開き、XML テキスト全体をコピーしてここに貼り付けてください）
3. **Add** をクリックし、インストーラーに使用したものと同じ Business Policy にプロファイルを追加します。

補助的な制御として、MDM の登録解除をブロックすることもできます。**OMA-URI** `./Vendor/MSFT/Policy/Config/Experience/AllowManualMDMUnenrollment`、**Data type** Integer、**Value** `0` の 2 つ目のペイロードを追加してください。

{% hint style="warning" %}
Aikido Device Protection インストーラーは OS レベルで EndpointProtection サービスの ACL を強化するため、標準ユーザーはサービスを停止または無効化できません。ユーザーがローカル管理者として実行している場合は、より強力に制御するために、上記の AppLocker によるアンインストールのブロックとローカル管理者権限の削除を組み合わせてください。
{% endhint %}

{% hint style="info" %}
管理対象デバイスでローカル管理者権限を制限するには、既存の Windows グループポリシーまたは Active Directory の構成を使用してください。Miradore はアカウント権限の制限を直接適用しません。
{% endhint %}
{% endstep %}

{% step %}
**インストール後にデバイスを再起動する**

インストーラーが成功を報告した後、Miradore 管理コンソールから各対象デバイスの再起動を実行します。

1. **Management** → **Devices** に移動し、対象デバイスを開きます。
2. ページのツールバーから **Actions** → **Reboot device** をクリックします。
3. ウィザードで **Reboot** をクリックして確定します。
4. 管理対象の各デバイスに対して繰り返します。

デバイスは、アクションが届いてから約 5 分後に再起動します。エージェントは次回の起動時に完全に有効化されます。
{% endstep %}
{% endstepper %}

## トラブルシューティング


| 問題 | 対処法 |
| ------- | --- |
| スクリプトの実行後、デバイスがダッシュボードに表示されない | デバイスを再起動してください。エージェントは次回の起動時に登録が完了します |
| MDM コンソールでスクリプトがエラーで終了する | テストホスト上でスクリプトを SYSTEM として手動で実行し、エラーの詳細を確認してください。また、デバイスがインストーラーをダウンロードするためにインターネットにアクセスできることを確認してください |
| エージェントサービスが実行されていない | デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください |
| スクリプトが実行ポリシーによってブロックされる | MDM 経由で実行されるスクリプトは SYSTEM として実行されるため、ユーザーレベルの実行ポリシーによる制限を受けません。MDM がスクリプトの実行を制限する追加のポリシーを適用していないことを確認してください |
| インストール後、デバイスが非アクティブと表示される | エージェントを完全に有効化するには再起動が必要です。再起動後にもう一度確認してください |