NinjaOne で Device Protection をデプロイする

NinjaOneを使用して、必要な権限を設定したうえで、管理下のWindows端末群にAikido Device Protectionをデプロイします。

インストール

1. 必要なもの

開始する前に、Aikido Device Protectionダッシュボードから以下を用意してください。

PowerShellインストールコマンド（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含む）

お手元にない場合は、Aikido Device Protectionダッシュボードに戻り、**「Connect Device」**をクリックしてください。

2. 管理対象端末でインストールコマンドを実行する

NinjaOne管理ポータルで、Administration → Library → Automationに移動します。
「Add automation」 → **「Add new script」**をクリックします。
スクリプトを設定します。
- Name: Aikido Device Protection installer
- Language: PowerShell
- Operating System: Windows
- Architecture: All
- Run as: System
Aikido Device ProtectionダッシュボードのPowerShellインストールコマンドをエディタに貼り付け、**「Save」**をクリックします。
左側のナビゲーションでDevicesに移動し、OSでフィルタしてWindows端末のみを表示します。
対象の端末を選択し、ツールバーの**「Run」をクリックして「Script」を選び、「Aikido Device Protection installer」**を選択します。
Run AsがSystemに設定されていることを確認し、**「Run」**をクリックします。

3. ロックダウンポリシーを適用する

NinjaOneのポリシー条件を使用して、Aikidoサービスを改ざんから保護します。アンインストール防止には、NinjaOne外でAppLockerを使用します。

NinjaOne管理ポータルで、Administration → Policiesに移動します。
対象端末に割り当てられているWindowsポリシーを選択（または作成）します。
Conditionsタブを開き、**「Add a condition」**をクリックします。
**「Windows Service (Windows)」**を選択し、以下を設定します。
- Service: EndpointProtection
- State: Stopped
条件のAutomationで、EndpointProtectionを再起動するスクリプトアクションを追加します（例: Run as: Systemに設定したPowerShellワンライナーStart-Service EndpointProtection）。
ポリシーを保存します。

Aikido Device Protectionアプリのアンインストールをブロックする

PowerShell経由でAppLockerポリシーを適用するNinjaOneオートメーションスクリプトを作成します。

NinjaOne管理ポータルで、Administration → Library → Automationに移動し、「Add automation」 → **「Add new script」**をクリックします。
LanguageをPowerShellに、Operating SystemをWindowsに、Run asをSystemに設定します。
以下のスクリプトを貼り付け、**「Save」**をクリックします。

$tmp = "$env:TEMP\aikido-applocker.xml"
Invoke-WebRequest -Uri "https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml" -OutFile $tmp
Set-AppLockerPolicy -XmlPolicy $tmp -Merge
Remove-Item $tmp -Force

Devicesタブから対象のWindows端末に対してスクリプトを実行します。

4. インストール後に端末を再起動する

NinjaOne管理ポータルでDevicesを開き、対象のWindows端末を選択します。
ツールバーの**「Run」をクリックし、「Reboot」を選択します。再起動をスケジュールする場合は「Later」を、即座に再起動する場合は「Now」**を選択します。
日時とタイムゾーンを選択し、**「Set」**をクリックします。

エージェントは次回起動時に完全に有効化されます。

トラブルシューティング

問題	対処法
スクリプト実行後もダッシュボードに端末が表示されない	端末を再起動してください。エージェントは次回起動時に完全に登録されます
MDMコンソールでスクリプトがエラー終了する	テストホスト上でSYSTEMとして手動でスクリプトを実行し、詳細なエラーを確認してください。また、端末がインストーラーをダウンロードできるインターネット接続を持っているか確認してください
エージェントサービスが実行されていない	端末を再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください
スクリプトが実行ポリシーによってブロックされる	MDM経由で実行されるスクリプトはSYSTEMとして実行され、ユーザーレベルの実行ポリシー制限を回避します。MDMがスクリプト実行を制限する追加のポリシーを適用していないか確認してください
インストール後に端末が非アクティブと表示される	エージェントを完全に有効化するには再起動が必要です。再起動後に再度確認してください