Iru / Kandji で Device Protection を展開する

Iru / Kandji を使用して、必要な権限を設定した状態で、管理対象の Windows デバイス群全体に Aikido Device Protection を展開します。

インストール

1. 1

   必要なもの

   開始する前に、Aikido Device Protection ダッシュボードから以下を用意してください。

   • PowerShell インストールコマンド（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

   お持ちでない場合は、Aikido Device Protection ダッシュボードに戻り、Connect Device をクリックしてください。

   この PowerShell コマンドには Device Protection トークンが含まれており、最新のインストーラーをダウンロードしてサイレントインストールします。macOS での展開とは異なり、アップロードする構成プロファイルやインストーラーパッケージはないため、Windows Custom App の Library Item は必要ありません。

2. 2

   管理対象デバイスでインストールコマンドを実行する

   ダッシュボードのコマンドを Windows Custom Script として展開します。Iru Agent は Windows カスタムスクリプトをデバイスごとに 1 回実行します。

   1. Iru で Library → Add Library Item に移動し、Windows Custom Script を選択します。
   2. Name（例：「Install Aikido Device Protection」）を入力し、ステータスが Active であることを確認します。
   3. Execute in は 64-bit のままにします。
   4. Audit script フィールドに以下を貼り付けます。

   if (Get-Service -Name EndpointProtection -ErrorAction SilentlyContinue) { exit 0 }
   exit 1

   5. Remediation script を追加して、Aikido Device Protection ダッシュボードからコピーした PowerShell インストールコマンドを貼り付け、同じスクリプトの最終行として以下の再起動行を追加します（理由は後述の インストール後にデバイスを再起動する ステップで説明します）。

   # last line of the remediation script, after the install command
   shutdown.exe /r /t 300 /c "Restarting to activate Aikido Device Protection"

   6. Save をクリックし、Assignment Map を使用して、Windows デバイスを対象とする Blueprint に Library Item を割り当てます。

   監査スクリプトは、EndpointProtection サービスが存在しない間はデバイスを非準拠として報告し、これにより修復スクリプトがトリガーされてエージェントがインストールされます。後から登録されたデバイスも、最初のチェックイン時に同じチェックを 1 回実行します。

3. 3

   ロックダウンポリシーを適用する

   Iru には Windows 用のカスタムプロファイルや OMA-URI ペイロードがないため、Aikido のアンインストーラーをブロックする AppLocker ポリシーを 2 つ目の Windows Custom Script として配信します。

   1. Iru で Library → Add Library Item に移動し、Windows Custom Script を選択します。
   2. Name（例：「Block Aikido uninstall」）を入力し、ステータスが Active であることを確認します。
   3. Audit script フィールドに以下を貼り付けます。

   if ((Get-AppLockerPolicy -Local -Xml) -like "*c0a1b2c3-d4e5-46f7-8a9b-0c1d2e3f4a5b*") { exit 0 }
   exit 1

   4. Remediation script を追加して、以下を貼り付けます。

   $tmp = "$env:TEMP\aikido-applocker.xml"
   Invoke-WebRequest -Uri "https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml" -OutFile $tmp
   Set-AppLockerPolicy -XmlPolicy $tmp -Merge
   Remove-Item $tmp -Force

   5. Save をクリックし、Library Item を同じ Blueprint に割り当てます。

   監査スクリプトはローカルの AppLocker ポリシー内で Aikido の拒否ルールを探すため、修復はまだルールが適用されていないデバイスでのみ実行されます。

   Aikido Device Protection インストーラーは OS レベルで EndpointProtection サービスの ACL を強化するため、標準ユーザーはこのサービスを停止または無効化できません。ユーザーがローカル管理者として実行している場合、AppLocker ルールは回避される可能性があるため、より強力に適用するには、上記のアンインストールブロックに加えて App Control for Business（WDAC）を併用し、ローカル管理者権限を削除してください。

4. 4

   インストール後にデバイスを再起動する

   Iru の Windows デバイスアクションには再起動コマンドが含まれていないため、ステップ 2 のインストール用修復スクリプトの最後は次の行になっています。

   shutdown.exe /r /t 300 /c "Restarting to activate Aikido Device Protection"

   修復スクリプトはデバイスごとに 1 回実行されるため、再起動はエージェントをインストールする実行時にのみスケジュールされます。スクリプトからデバイスを再起動したくない場合は、ステップ 2 からこの行を除外し、代わりにユーザーに再起動を依頼してください。

   エージェントは次回の起動時に完全に有効になります。

トラブルシューティング