# Omnissa Workspace ONE を使用して Windows に Aikido Device Protection を展開する

Omnissa Workspace ONE を使用して、必要な権限を設定した状態で、管理対象の Windows デバイス群全体に Aikido Device Protection を展開します。

{% hint style="info" %}
開始する前に、すべてのデバイスが Omnissa Workspace ONE の Windows 管理に登録されている必要があります。
{% endhint %}

## インストール

{% stepper %}
{% step %}
**必要なもの**

開始する前に、Aikido Device Protection ダッシュボードから以下を用意してください。

* **PowerShell インストールコマンド**（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

お持ちでない場合は、[Aikido Device Protection ダッシュボード](https://app.aikido.dev/endpoint-protection/devices)に戻り、**Connect Device** をクリックしてください。
{% endstep %}

{% step %}
**管理対象デバイスでインストールコマンドを実行する**

1. Workspace ONE UEM コンソールで、**Resources** → **Scripts** に移動します。
2. **Add** をクリックし、ドロップダウンから **Windows** を選択します。
3. **General** タブで、スクリプトに名前を付けます（例：「Aikido Device Protection Install」）。
4. **Details** タブで、**Language** を **PowerShell** に、**Execution Context and Privileges** を **System Context** に設定します。
5. Aikido ダッシュボードからコピーした PowerShell インストールコマンドをスクリプト本文に貼り付けます。
6. **Assignment** タブで、対象の Windows スマートグループにスクリプトを割り当て、次回のサンプル時に実行されるようトリガーを設定します。
7. **Save** をクリックします。
8. **Scripts** のスクリプトの行から、まずテストデバイスで **More** → **Run Now** をクリックし、展開前に実行ステータスが成功であることを確認します。

{% hint style="info" %}
スクリプトの実行には、デバイスに Intelligent Hub が必要です。展開ステータスは **Devices** → **List View** → デバイス → **More** → **Scripts** で確認できます。
{% endhint %}
{% endstep %}

{% step %}
**ロックダウンポリシーを適用する**

Workspace ONE には、特定の Windows サービスの停止をブロックする単一の切り替え設定はありません。以下の 2 つの制御を組み合わせて、エージェントの改ざん耐性を強化してください。

Workspace ONE プロファイルを 2 つ別々に作成します。1 つは AppLocker を使用してアンインストールをブロックするもの、もう 1 つは Windows サービスコンソールへのアクセスを制限するものです。

**Aikido Device Protection アプリケーションのアンインストールをブロックする**

1. Workspace ONE UEM コンソールで、**Resources** → **Profiles & Baselines** → **Profiles** に移動します。
2. **Add** → **Add Profile** をクリックし、**Windows** → **Windows Desktop** → **Device Profile** を選択します。
3. **Application Control** ペイロードを選択します。Application Control は Microsoft AppLocker を使用して、ユーザーによるアプリケーションの追加や削除を防止します。
4. [aikido-applocker-deny-mdm.xml](https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml) の内容を Application Control ペイロードに貼り付けます（リンクを開き、XML テキスト全体をコピーしてここに貼り付けます）。
5. 同じスマートグループにプロファイルを割り当て、**Save & Publish** をクリックします。

**サービスコンソールへのアクセスを制限する**

1. 2 つ目のプロファイルを作成します。**Resources** → **Profiles & Baselines** → **Profiles** に移動し、**Add** → **Add Profile** をクリックして、**Windows** → **Windows Desktop** → **Device Profile** を選択します。
2. **Custom Settings** ペイロードを選択します。
3. 次の SyncML ブロックを Custom Settings ペイロードに貼り付けます。

   ```xml
   <SyncML>
     <SyncBody>
       <Replace>
         <CmdID>1</CmdID>
         <Item>
           <Target>
             <LocURI>./Device/Vendor/MSFT/Policy/Config/ADMX_MMCSnapins/MMC_Services</LocURI>
           </Target>
           <Meta><Format xmlns="syncml:metinf">chr</Format></Meta>
           <Data><disabled/></Data>
         </Item>
       </Replace>
     </SyncBody>
   </SyncML>
   ```
4. 同じスマートグループにプロファイルを割り当て、**Save & Publish** をクリックします。

{% hint style="info" %}
Aikido Device Protection インストーラーは、標準ユーザーが `EndpointProtection` サービスを直接停止できないようにするサービス ACL も適用します。上記の Workspace ONE の制御は、ユーザーがアンインストーラーやサービスコンソールにアクセスできないようにすることで、2 層目の保護を追加します。
{% endhint %}
{% endstep %}

{% step %}
**インストール後にデバイスを再起動する**

1. Workspace ONE UEM コンソールで、**Devices** → **List View** に移動します。
2. 対象のスマートグループで絞り込み、Shift キーを押しながらクリックしてデバイスを選択します。（全体選択のチェックボックスは使用しないでください。一括操作が正しくトリガーされない場合があります。）
3. **More Actions** → **Restart Device** をクリックし、確定します。

エージェントは次回の起動時に完全に有効化されます。
{% endstep %}
{% endstepper %}

## トラブルシューティング


| 問題 | 対処法 |
| ------- | --- |
| スクリプトの実行後、デバイスがダッシュボードに表示されない | デバイスを再起動してください。エージェントは次回の起動時に登録が完了します |
| MDM コンソールでスクリプトがエラーで終了する | テストホスト上でスクリプトを SYSTEM として手動で実行し、エラーの詳細を確認してください。また、デバイスがインストーラーをダウンロードするためにインターネットにアクセスできることを確認してください |
| エージェントサービスが実行されていない | デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください |
| スクリプトが実行ポリシーによってブロックされる | MDM 経由で実行されるスクリプトは SYSTEM として実行されるため、ユーザーレベルの実行ポリシーによる制限を受けません。MDM がスクリプトの実行を制限する追加のポリシーを適用していないことを確認してください |
| インストール後、デバイスが非アクティブと表示される | エージェントを完全に有効化するには再起動が必要です。再起動後にもう一度確認してください |