Omnissa Workspace ONE で Device Protection を展開する

Omnissa Workspace ONE を使用して、必要な権限を設定した状態で、管理対象の Windows デバイス群全体に Aikido Device Protection を展開します。

インストール

1. 1

   必要なもの

   開始する前に、Aikido Device Protection ダッシュボードから以下を用意してください。

   • PowerShell インストールコマンド（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

   お持ちでない場合は、Aikido Device Protection ダッシュボードに戻り、Connect Device をクリックしてください。

2. 2

   管理対象デバイスでインストールコマンドを実行する

   1. Workspace ONE UEM コンソールで、Resources → Scripts に移動します。
   2. Add をクリックし、ドロップダウンから Windows を選択します。
   3. General タブで、スクリプトに名前を付けます（例：「Aikido Device Protection Install」）。
   4. Details タブで、Language を PowerShell に、Execution Context and Privileges を System Context に設定します。
   5. Aikido ダッシュボードからコピーした PowerShell インストールコマンドをスクリプト本文に貼り付けます。
   6. Assignment タブで、対象の Windows スマートグループにスクリプトを割り当て、次回のサンプル時に実行されるようトリガーを設定します。
   7. Save をクリックします。
   8. Scripts のスクリプトの行から、まずテストデバイスで More → Run Now をクリックし、展開前に実行ステータスが成功であることを確認します。

   スクリプトの実行には、デバイスに Intelligent Hub が必要です。展開ステータスは Devices → List View → デバイス → More → Scripts で確認できます。

3. 3

   ロックダウンポリシーを適用する

   Workspace ONE には、特定の Windows サービスの停止をブロックする単一の切り替え設定はありません。以下の 2 つの制御を組み合わせて、エージェントの改ざん耐性を強化してください。

   Workspace ONE プロファイルを 2 つ別々に作成します。1 つは AppLocker を使用してアンインストールをブロックするもの、もう 1 つは Windows サービスコンソールへのアクセスを制限するものです。

   Aikido Device Protection アプリケーションのアンインストールをブロックする

   1. Workspace ONE UEM コンソールで、Resources → Profiles & Baselines → Profiles に移動します。
   2. Add → Add Profile をクリックし、Windows → Windows Desktop → Device Profile を選択します。
   3. Application Control ペイロードを選択します。Application Control は Microsoft AppLocker を使用して、ユーザーによるアプリケーションの追加や削除を防止します。
   4. aikido-applocker-deny-mdm.xml の内容を Application Control ペイロードに貼り付けます（リンクを開き、XML テキスト全体をコピーしてここに貼り付けます）。
   5. 同じスマートグループにプロファイルを割り当て、Save & Publish をクリックします。

   サービスコンソールへのアクセスを制限する

   1. 2 つ目のプロファイルを作成します。Resources → Profiles & Baselines → Profiles に移動し、Add → Add Profile をクリックして、Windows → Windows Desktop → Device Profile を選択します。

   2. Custom Settings ペイロードを選択します。

   3. 次の SyncML ブロックを Custom Settings ペイロードに貼り付けます。

      <SyncML>
        <SyncBody>
          <Replace>
            <CmdID>1</CmdID>
            <Item>
              <Target>
                <LocURI>./Device/Vendor/MSFT/Policy/Config/ADMX_MMCSnapins/MMC_Services</LocURI>
              </Target>
              <Meta><Format xmlns="syncml:metinf">chr</Format></Meta>
              <Data><disabled/></Data>
            </Item>
          </Replace>
        </SyncBody>
      </SyncML>

   4. 同じスマートグループにプロファイルを割り当て、Save & Publish をクリックします。

   Aikido Device Protection インストーラーは、標準ユーザーが EndpointProtection サービスを直接停止できないようにするサービス ACL も適用します。上記の Workspace ONE の制御は、ユーザーがアンインストーラーやサービスコンソールにアクセスできないようにすることで、2 層目の保護を追加します。

4. 4

   インストール後にデバイスを再起動する

   1. Workspace ONE UEM コンソールで、Devices → List View に移動します。
   2. 対象のスマートグループで絞り込み、Shift キーを押しながらクリックしてデバイスを選択します。（全体選択のチェックボックスは使用しないでください。一括操作が正しくトリガーされない場合があります。）
   3. More Actions → Restart Device をクリックし、確定します。

   エージェントは次回の起動時に完全に有効化されます。

トラブルシューティング