# FileWaveでDevice Protectionをデプロイする

FileWaveを使用して、必要な権限を設定したうえで、管理対象のWindowsデバイス全体にAikido Device Protectionをデプロイします。

{% hint style="info" %}
開始する前に、すべてのデバイスにFileWaveクライアントがインストールされ、FileWaveサーバーにレポートしている必要があります。
{% endhint %}

## 前提条件

[Aikidoアプリ](https://app.aikido.dev/endpoint-protection/devices)のユーザーグループセレクターから**PowerShellインストールコマンド**をコピーします。このコマンドには、トークンとインストーラーのダウンロードが含まれています。

コマンドがない場合は、[Aikidoアプリ](https://app.aikido.dev/endpoint-protection/devices)に移動して**Connect Device**をクリックします。

## Device Protectionをデプロイする

{% stepper %}
{% step %}
### インストール用filesetを作成する

1. FileWave Centralで**Filesets**に移動し、**New Desktop Fileset** → **Empty**をクリックします。
2. filesetに「Aikido Device Protection」という名前を付けます。
3. filesetを選択し、ツールバーの**Scripts**をクリックします。
4. **Activation**セクションで、`aikido-install.ps1`という名前の新しいスクリプトを作成します。
5. Aikidoアプリからコピーしたインストールコマンドをスクリプトに貼り付けて保存します。

{% hint style="info" %}
FileWaveはfilesetスクリプトをローカルのSYSTEMアカウントで実行するため、インストーラーはProgram Filesへの書き込みやサービスの登録に必要な権限を持っています。個別の実行ユーザー設定はありません。
{% endhint %}
{% endstep %}

{% step %}
### ロックダウンスクリプトを追加する

AppLockerは、ユーザーが実行できるアプリケーションを制御するWindowsの組み込み機能です。このスクリプトは、ユーザーがAikidoのアンインストーラーを起動できないようにするAppLockerルールを追加します。

1. 同じ**Scripts**ダイアログで、`aikido-applocker.ps1`という名前の2つ目の**Activation**スクリプトを作成します。
2. 次のスクリプトを貼り付けて保存します。

```powershell
$tmp = "$env:TEMP\aikido-applocker.xml"
Invoke-WebRequest -Uri "https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml" -OutFile $tmp
Set-AppLockerPolicy -XmlPolicy $tmp -Merge
Remove-Item $tmp -Force
```

3. `aikido-applocker.ps1`が`aikido-install.ps1`の下に表示されていることを確認します。同じセクション内のスクリプトは上から順に実行されるため、必要に応じてドラッグしてこの順序に並べ替えてください。

{% hint style="info" %}
Aikido Device ProtectionのインストーラーはOSレベルで`EndpointProtection`サービスを強化するため、標準ユーザーはサービスを停止または無効化できません。ユーザーがローカル管理者として実行している場合はAppLockerルールを回避できるため、より強力に適用するには、アンインストールのブロックとローカル管理者権限の削除を組み合わせてください。
{% endhint %}
{% endstep %}

{% step %}
### インストール後に再起動を強制する

1. **Aikido Device Protection** filesetを選択し、**Properties**をクリックします。
2. **Force reboot**にチェックを入れて保存します。

FileWaveは、スクリプトの実行から2分後にデバイスを再起動します。エージェントは次回の起動時に完全に有効になります。

代わりに手動でデバイスを再起動するには、FileWave Centralでデバイスを右クリックし、**Restart Windows Devices**を選択します。
{% endstep %}

{% step %}
### デバイスにデプロイする

1. FileWave Centralで**Deployments**に移動し、「Aikido Device Protection」という名前の新しいデプロイメントを作成します。
2. **Clients**の横にある**+**をクリックし、対象のWindowsデバイスまたはグループを選択します。
3. **Filesets**の横にある**+**をクリックし、**Aikido Device Protection** filesetを追加します。
4. **OK**をクリックし、ツールバーの**Update Model**をクリックしてデプロイメントをデバイスに送信します。

まずは1台のテストデバイスから始めてください。そのデバイスの**Client Info** → **Filesets Status**を開いてfilesetが有効化されたことを確認し、再起動後にデバイスが[Aikidoアプリ](https://app.aikido.dev/endpoint-protection/devices)に表示されることを確認します。その後、残りのデバイスをデプロイメントに追加し、もう一度**Update Model**をクリックします。
{% endstep %}
{% endstepper %}

## トラブルシューティング


| 問題 | 対処法 |
| ------- | --- |
| スクリプトの実行後、デバイスがダッシュボードに表示されない | デバイスを再起動してください。エージェントは次回の起動時に登録が完了します |
| MDM コンソールでスクリプトがエラーで終了する | テストホスト上でスクリプトを SYSTEM として手動で実行し、エラーの詳細を確認してください。また、デバイスがインストーラーをダウンロードするためにインターネットにアクセスできることを確認してください |
| エージェントサービスが実行されていない | デバイスを再起動してください。それでもサービスが存在しない場合は、インストールスクリプトを再実行してください |
| スクリプトが実行ポリシーによってブロックされる | MDM 経由で実行されるスクリプトは SYSTEM として実行されるため、ユーザーレベルの実行ポリシーによる制限を受けません。MDM がスクリプトの実行を制限する追加のポリシーを適用していないことを確認してください |
| インストール後、デバイスが非アクティブと表示される | エージェントを完全に有効化するには再起動が必要です。再起動後にもう一度確認してください |