Fleet で Device Protection をデプロイする

Fleet を使用して、必要な権限を設定した上で、管理下のWindows端末群全体にAikido Device Protectionをデプロイします。

インストール

1. 必要なもの

開始する前に、Aikido Device Protectionダッシュボードから以下を用意してください。

PowerShellインストールコマンド（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

お手元にない場合は、Aikido Device Protectionダッシュボードに戻り、**「Connect Device」**をクリックしてください。

2. 管理対象端末でインストールコマンドを実行する

システムコンテキストで実行するワンショットスクリプトとして、PowerShellインストールコマンドをデプロイします。Fleetは fleetd を通じて、ローカルのSYSTEMアカウントとしてWindowsホスト上でPowerShellスクリプトを実行します。

Aikido Device Protectionダッシュボードで、対象のユーザーグループ用のPowerShellインストールコマンドをコピーします。
コマンドを .ps1 ファイル（例: aikido-install.ps1）として保存します。
Fleetコンソールで、Controls → Scripts に移動します。
左上のチームドロップダウンから対象チームを選択します。
Uploadをクリックし、aikido-install.ps1 ファイルを追加します。
Fleet全体にデプロイする場合は、fleetctl run-script --script-path aikido-install.ps1 --hosts <hostnames> を実行します（またはラベルを使ってすべてのWindowsホストを対象にします）。個別のホストに対しては、そのホストの詳細ページを開き、Actions → Run script をクリックして aikido-install.ps1 を選択し、Runをクリックします。
各ホストのActivityフィードを確認し、スクリプトが正常終了したことを確認します。

3. ロックダウンポリシーを適用する

Fleetの MDM プロファイル管理を通じて構成プロファイルをプッシュし、アンインストールをブロックします。

AppLockerによるアンインストールのブロック

Add profileを再度クリックし、以下のOMA-URIを持つ2つ目のWindowsプロファイルを作成します。
- OMA-URI: ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/Aikido/MSI/Policy
- Value (String): aikido-applocker-deny-mdm.xml の内容を貼り付けます（リンクを開き、XMLテキスト全体をコピーしてここに貼り付けます）
プロファイルを保存し、Windowsホストにデプロイします。

4. インストール後に端末を再起動する

Fleetには、UI上にチーム全体を対象とした再起動ボタンはありません。fleetctl を通じてWindowsの RebootNow MDMコマンドを使用するか、1行のPowerShell再起動スクリプトをプッシュしてください。

以下を windows-restart-device.xml として保存します。

<Exec>
  <Item>
    <Target>
      <LocURI>./Device/Vendor/MSFT/Reboot/RebootNow</LocURI>
    </Target>
    <Meta>
      <Format xmlns="syncml:metinf">null</Format>
      <Type>text/plain</Type>
    </Meta>
    <Data></Data>
  </Item>
</Exec>

各対象ホストに対して fleetctl mdm run-command --payload=windows-restart-device.xml --hosts=<host1>,<host2> を実行します。
あるいは、Restart-Computer -Force を含む aikido-reboot.ps1 スクリプトを Controls → Scripts からアップロードし、対象ホストに対して実行します。

エージェントは次回の起動時に完全に有効化されます。

トラブルシューティング

問題	対処法
スクリプト実行後もダッシュボードに端末が表示されない	端末を再起動してください。エージェントは次回の起動時に完全に登録されます
MDMコンソールでスクリプトがエラー終了する	テストホスト上でSYSTEMとしてスクリプトを手動実行し、詳細なエラーを確認してください。端末がインストーラーをダウンロードできるインターネット接続を持っているか確認してください
エージェントサービスが実行されていない	端末を再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください
実行ポリシーによってスクリプトがブロックされる	MDM経由で実行されるスクリプトはSYSTEMとして実行され、ユーザーレベルの実行ポリシー制限を回避します。MDMがスクリプト実行を制限する追加ポリシーを適用していないか確認してください
インストール後に端末が非アクティブと表示される	エージェントを完全に有効化するには再起動が必要です。再起動後に改めて確認してください