ManageEngine で Device Protection をデプロイする

ManageEngine Endpoint Central を使用して、必要な権限を設定した上で、管理下の Windows デバイス群全体に Aikido Device Protection をデプロイします。

インストール

1. 事前に準備するもの

開始する前に、Aikido Device Protection ダッシュボードから以下を入手しておいてください。

PowerShell インストールコマンド（ダッシュボードのユーザーグループセレクターからコピーしたもので、トークンとインストーラーのダウンロードを含みます）

見当たらない場合は、Aikido Device Protection ダッシュボードに戻り、Connect Device をクリックしてください。

2. 管理対象デバイスでインストールコマンドを実行する

Endpoint Central で、Configurations → Add Configurations → Windows → Scripts → Custom Script に移動します。
スクリプトに名前を付けます（例: “Aikido Device Protection install”）。
Run as を System User に設定し、インストーラーが Program Files への書き込みとサービスの登録を行える権限を持つようにします。
実行頻度を Once に設定し、各対象デバイスで一度だけスクリプトが実行されるようにします。
Aikido Device Protection ダッシュボードからコピーした PowerShell インストールコマンドをスクリプト本文に貼り付けます。
Save and Publish をクリックし、設定を対象デバイスまたはデバイスグループに割り当てます。

3. ロックダウンポリシーを適用する

Aikido Device Protection アプリケーションのアンインストールをブロックします。

AppLocker によるアンインストールのブロック

上記と同じ手順で、新しい Custom Script 設定を作成します。
名前を付けます（例: “Aikido – AppLocker uninstall block”）。
次の PowerShell スクリプトをスクリプト本文に貼り付けます。

$tmp = "$env:TEMP\aikido-applocker.xml"
Invoke-WebRequest -Uri "https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml" -OutFile $tmp
Set-AppLockerPolicy -XmlPolicy $tmp -Merge
Remove-Item $tmp -Force

Save and Publish をクリックし、対象デバイスまたはデバイスグループに割り当てます。

4. インストール後にデバイスを再起動する

Endpoint Central で、Tools → Shutdown/Restart に移動します。
一覧から対象の Windows デバイスを選択します。
Restart を選択し、Proceed をクリックします。

エージェントは次回の起動時に完全に有効化されます。

トラブルシューティング

問題	対処法
スクリプト実行後もダッシュボードにデバイスが表示されない	デバイスを再起動してください。エージェントは次回の起動時に完全に登録されます
MDM コンソールでスクリプトがエラー終了する	テストホスト上で SYSTEM としてスクリプトを手動実行し、完全なエラーを確認してください。デバイスがインストーラーをダウンロードできるインターネット接続を持っているか確認してください
エージェントサービスが実行されていない	デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください
実行ポリシーによってスクリプトがブロックされる	MDM 経由で実行されるスクリプトは SYSTEM として実行され、ユーザーレベルの実行ポリシー制限を回避します。MDM がスクリプト実行を制限する追加ポリシーを適用していないか確認してください
インストール後にデバイスが非アクティブと表示される	エージェントが完全に有効化されるには再起動が必要です。再起動後に再度確認してください