# PrimoでWindowsにAikido Device Protectionを展開する

Primoを使用して、必要な権限を設定したうえで、管理対象のWindowsデバイス群にAikido Device Protectionを展開します。

{% hint style="info" %}
開始する前に、すべてのデバイスがPrimoのWindows管理に登録されている必要があります。
{% endhint %}

## インストール

{% stepper %}
{% step %}
**必要なもの**

開始する前に、Aikido Device Protectionダッシュボードから以下を用意してください。

* **PowerShellインストールコマンド**（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

お持ちでない場合は、[Aikido Device Protectionダッシュボード](https://app.aikido.dev/endpoint-protection/devices)に戻り、**Connect Device**をクリックしてください。
{% endstep %}

{% step %}
**管理対象デバイスでインストールコマンドを実行する**

Primoは、Controlsライブラリを通じてWindowsホスト上でPowerShellスクリプトを実行します。ダッシュボードのコマンドを`.ps1`スクリプトとしてアップロードし、対象デバイスに対して実行します。

1. Primo管理コンソールで、**MDM** → **Controls** → **Scripts**に移動します。
2. Aikido Device ProtectionダッシュボードからPowerShellインストールコマンドをコピーします。それを`.ps1`ファイル（例：`aikido-install.ps1`）として保存し、**Add script**をクリックしてファイルをアップロードし、名前（例：「Aikido Device Protection install」）を付けます。
3. Aikido Device Protectionを適用するチームまたはデバイスグループにスクリプトを割り当てます。
4. **Hosts**に移動し、対象のWindowsデバイスで絞り込んで選択し、**Actions**メニューを開いて**Run script**を選択します。Aikidoインストールスクリプトを選択します。
5. 実行が完了するまで待ちます。スクリプトの実行結果を開き、対象のすべてのデバイスが成功を報告していることを確認してから次に進みます。

{% endstep %}

{% step %}
**ロックダウンポリシーを適用する**

エンドユーザーがAikidoサービスを停止したり、Aikido Device Protectionアプリをアンインストールしたりできないようにする必要があります。

**Aikido Device Protectionのアンインストールをブロックする**

AppLockerポリシーをダウンロードして適用するPowerShellスクリプトを実行します。

1. Primo管理コンソールで、**MDM** → **Controls** → **Scripts**に移動します。
2. **Add script**をクリックし、名前（例：「Aikido uninstall block」）を付けて、以下を貼り付けます。

```powershell
$tmp = "$env:TEMP\aikido-applocker.xml"
Invoke-WebRequest -Uri "https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml" -OutFile $tmp
Set-AppLockerPolicy -XmlPolicy $tmp -Merge
Remove-Item $tmp -Force
```

3. 対象のWindowsデバイスグループに適用します。
{% endstep %}

{% step %}
**インストール後にデバイスを再起動する**

インストールスクリプトに再起動ステップを追加します。**MDM** → **Controls** → **Scripts**でAikidoインストールスクリプトを開き（またはフォローアップスクリプトを追加し）、`Restart-Computer -Force`を末尾に追記して、実行の最後にデバイスが再起動するようにします。

エージェントは次回の起動時に完全に有効化されます。
{% endstep %}
{% endstepper %}

## トラブルシューティング


| 問題 | 対処法 |
| ------- | --- |
| スクリプトの実行後、デバイスがダッシュボードに表示されない | デバイスを再起動してください。エージェントは次回の起動時に登録が完了します |
| MDM コンソールでスクリプトがエラーで終了する | テストホスト上でスクリプトを SYSTEM として手動で実行し、エラーの詳細を確認してください。また、デバイスがインストーラーをダウンロードするためにインターネットにアクセスできることを確認してください |
| エージェントサービスが実行されていない | デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください |
| スクリプトが実行ポリシーによってブロックされる | MDM 経由で実行されるスクリプトは SYSTEM として実行されるため、ユーザーレベルの実行ポリシーによる制限を受けません。MDM がスクリプトの実行を制限する追加のポリシーを適用していないことを確認してください |
| インストール後、デバイスが非アクティブと表示される | エージェントを完全に有効化するには再起動が必要です。再起動後にもう一度確認してください |