Omnissa Workspace ONE を使用した Device Protection の展開

原文（出典）

このページは Aikido 公式ドキュメント「Deploy Device Protection with Omnissa Workspace ONE」の日本語訳です。機械翻訳を含むため、正確な情報は原文をご参照ください。（翻訳更新日: 2026/07/09）

Omnissa Workspace ONE を使用して、必要な権限を設定した上で、管理下のWindows端末群全体にAikido Device Protectionを展開します。

ノート

開始する前に、すべてのデバイスがOmnissa Workspace ONEのWindows管理に登録されている必要があります。

インストール

1. 必要なもの

開始する前に、Aikido Device Protectionダッシュボードから以下を用意してください。

• PowerShell インストールコマンド（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含む）

お持ちでない場合は、Aikido Device Protectionダッシュボードに戻り、Connect Device をクリックしてください。

2. 管理対象デバイスでインストールコマンドを実行する

1. Workspace ONE UEMコンソールで、Resources → Scripts に移動します。
2. Add をクリックし、ドロップダウンから Windows を選択します。
3. General タブで、スクリプトに名前を付けます（例:「Aikido Device Protection Install」）。
4. Details タブで、Language を PowerShell に、Execution Context and Privileges を System Context に設定します。
5. Aikidoダッシュボードからコピーした PowerShell インストールコマンドをスクリプト本文に貼り付けます。
6. Assignment タブで、対象のWindowsスマートグループにスクリプトを割り当て、次回のサンプル時に実行するようトリガーを設定します。
7. Save をクリックします。
8. Scripts のスクリプト行から、まずテストデバイスで More → Run Now をクリックし、展開前に実行ステータスが成功していることを確認します。

ノート

スクリプトの実行にはデバイス上のIntelligent Hubが必要です。展開状況は Devices → List View → デバイス → More → Scripts で確認できます。

3. ロックダウンポリシーを適用する

Workspace ONEには、特定のWindowsサービスの停止をブロックする単一のトグルは用意されていません。以下の2つの制御を組み合わせて、エージェントを改ざんから保護します。

Workspace ONEのプロファイルを2つ作成します。1つはAppLockerを使ってアンインストールをブロックするもの、もう1つはWindows Servicesコンソールへのアクセスを制限するものです。

Aikido Device Protectionアプリケーションのアンインストールをブロックする

1. Workspace ONE UEMコンソールで、Resources → Profiles & Baselines → Profiles に移動します。
2. Add → Add Profile をクリックし、Windows → Windows Desktop → Device Profile を選択します。
3. Application Control ペイロードを選択します。Application Controlは Microsoft AppLocker を使用して、ユーザーによるアプリケーションの追加・削除を防止します。
4. aikido-applocker-deny-mdm.xml の内容をApplication Controlペイロードに貼り付けます（リンクを開き、XMLテキスト全体をコピーしてここに貼り付けます）。
5. 同じスマートグループにプロファイルを割り当て、Save & Publish をクリックします。

Servicesコンソールへのアクセスを制限する

1. 2つ目のプロファイルを作成します。Resources → Profiles & Baselines → Profiles に移動し、Add → Add Profile をクリックして、Windows → Windows Desktop → Device Profile を選択します。

2. Custom Settings ペイロードを選択します。

3. 次のSyncMLブロックをCustom Settingsペイロードに貼り付けます。

   <SyncML>
     <SyncBody>
       <Replace>
         <CmdID>1</CmdID>
         <Item>
           <Target>
             <LocURI>./Device/Vendor/MSFT/Policy/Config/ADMX_MMCSnapins/MMC_Services</LocURI>
           </Target>
           <Meta><Format xmlns="syncml:metinf">chr</Format></Meta>
           <Data><disabled/></Data>
         </Item>
       </Replace>
     </SyncBody>
   </SyncML>

4. 同じスマートグループにプロファイルを割り当て、Save & Publish をクリックします。

ノート

Aikido Device Protectionのインストーラーは、標準ユーザーが EndpointProtection サービスを直接停止できないようにするサービスACLも適用します。上記のWorkspace ONEの制御は、ユーザーがアンインストーラーやServicesコンソールにアクセスできないようにすることで、さらにもう1層の保護を追加します。

4. インストール後にデバイスを再起動する

1. Workspace ONE UEMコンソールで、Devices → List View に移動します。
2. 対象のスマートグループにフィルタし、Shiftクリックでデバイスを選択します。（全体選択チェックボックスは避けてください。一括操作が正しくトリガーされない場合があります。）
3. More Actions → Restart Device をクリックし、確認します。

エージェントは次回起動時に完全に有効化されます。

トラブルシューティング

問題	対処法
スクリプト実行後もデバイスがダッシュボードに表示されない	デバイスを再起動してください。エージェントは次回起動時に完全に登録されます
MDMコンソールでスクリプトがエラー終了する	テストホストでSYSTEMとしてスクリプトを手動実行し、詳細なエラーを確認してください。また、デバイスがインストーラーをダウンロードできるインターネットアクセスを持っているか確認してください
エージェントサービスが実行されていない	デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください
スクリプトが実行ポリシーによってブロックされる	MDM経由で実行されるスクリプトはSYSTEMとして実行され、ユーザーレベルの実行ポリシー制限を回避します。MDMがスクリプトの実行を制限する追加ポリシーを適用していないか確認してください
インストール後にデバイスが非アクティブと表示される	エージェントを完全に有効化するには再起動が必要です。再起動後に再度確認してください