# ScalefusionでWindowsにAikido Device Protectionをデプロイする

Scalefusionを使用して、必要な権限を設定した状態で、管理対象のWindowsデバイス群全体にAikido Device Protectionをデプロイします。

{% hint style="info" %}
開始する前に、すべてのデバイスがScalefusionのWindows管理に登録されている必要があります。
{% endhint %}

## インストール

{% stepper %}
{% step %}
**必要なもの**

開始する前に、Aikido Device Protectionダッシュボードから以下を用意してください。

* **PowerShellインストールコマンド**（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

お持ちでない場合は、[Aikido Device Protectionダッシュボード](https://app.aikido.dev/endpoint-protection/devices)に戻り、**Connect Device**をクリックしてください。
{% endstep %}

{% step %}
**管理対象デバイスでインストールコマンドを実行する**

ダッシュボードのコマンドを、デバイスレベルで実行されるPowerShellスクリプトとしてデプロイします。

1. Aikidoダッシュボードの**PowerShellインストールコマンド**を`.ps1`ファイルとして保存します。
2. Scalefusion Dashboardで、**Application Management** → **Enterprise Store** → **Upload New App**に移動します。
3. ドロップダウンから**PowerShell (PS1)**を選択し、`.ps1`ファイルをアップロードします。
4. Device Profilesで識別できるようにスクリプト名（例：「Aikido Device Protection install」）を入力し、**Execution Level**を**Device**に設定して、**SAVE**をクリックします。
5. Scalefusionの処理が完了したら、**PUBLISH**をクリックし、スケジュールを**Run Once on Publish**に設定して、対象のWindows Device Profileを選択します。

{% hint style="info" %}
**Execution Level**は**Device**である必要があります。ユーザーレベルのスクリプトには、Aikido Device Protectionサービスの登録に必要な権限がありません。
{% endhint %}
{% endstep %}

{% step %}
**ロックダウンポリシーを適用する**

Aikidoアンインストーラーの実行を拒否するAppLockerポリシーをデプロイして、Aikido Device Protectionアプリケーションのアンインストールをブロックします。

1. Scalefusion Dashboardで、**Device Profiles & Policies** → **Device Profiles**に移動し、対象のWindows Device Profileを編集します。
2. **Settings** → **Advanced Configurations**に移動して、ペイロードエディターを開きます。
3.  Aikidoアンインストーラーを拒否するAppLocker XMLポリシーをプッシュするSyncMLペイロードを入力します。

    ```xml
    <Add>
        <CmdID>1</CmdID>
        <Item>
            <Target>
                <LocURI>./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/Aikido/MSI/Policy</LocURI>
            </Target>
            <Meta>
                <Format xmlns="syncml:metinf">chr</Format>
            </Meta>
            <Data>ESCAPED_APPLOCKER_XML_HERE</Data>
        </Item>
    </Add>
    ```
4. `ESCAPED_APPLOCKER_XML_HERE`を[aikido-applocker-deny-mdm.xml](https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml)の内容（リンクを開いてXMLテキスト全体をコピー）に置き換えます。その際、ポリシーが`<Data>`要素内で有効になるようにXMLの特殊文字をエスケープしてください。すべての`&`を`&amp;`に、すべての`<`を`&lt;`に、すべての`>`を`&gt;`に置き換えます。
5. **VALIDATE**をクリックし、緑色のチェックマークが表示されることを確認します。
6. **SAVE**をクリックして、同じWindows Device Profileにペイロードを適用します。

{% hint style="info" %}
エンドユーザーがローカル管理者である場合、AppLockerルールは回避される可能性があります。より強力に適用するには、このポリシーをApp Control for Business（WDAC）およびローカル管理者権限の削除と組み合わせてください。
{% endhint %}
{% endstep %}

{% step %}
**インストール後にデバイスを再起動する**

1. Scalefusion Dashboardで、**Devices**に移動し、対象の各デバイスを選択します。
2. **Actions**をクリックし、**Restart**を選択します。

エージェントは次回の起動時に完全に有効化されます。
{% endstep %}
{% endstepper %}

## トラブルシューティング


| 問題 | 対処法 |
| ------- | --- |
| スクリプトの実行後、デバイスがダッシュボードに表示されない | デバイスを再起動してください。エージェントは次回の起動時に登録が完了します |
| MDM コンソールでスクリプトがエラーで終了する | テストホスト上でスクリプトを SYSTEM として手動で実行し、エラーの詳細を確認してください。また、デバイスがインストーラーをダウンロードするためにインターネットにアクセスできることを確認してください |
| エージェントサービスが実行されていない | デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください |
| スクリプトが実行ポリシーによってブロックされる | MDM 経由で実行されるスクリプトは SYSTEM として実行されるため、ユーザーレベルの実行ポリシーによる制限を受けません。MDM がスクリプトの実行を制限する追加のポリシーを適用していないことを確認してください |
| インストール後、デバイスが非アクティブと表示される | エージェントを完全に有効化するには再起動が必要です。再起動後にもう一度確認してください |