JumpCloudでデバイス保護を展開

必要な権限を設定した上で、JumpCloud を使用して管理対象の Windows フリート全体に Aikido Device Protection を展開します。

すべてのデバイスは JumpCloud Windows MDM に登録されている必要があります。

インストール

1

必要なもの

開始する前に、Aikido Device Protection ダッシュボードから次のものを用意してください：

• お使いの PowerShell インストール コマンド （ダッシュボードのユーザー グループ セレクターからコピー。トークンとインストーラーのダウンロードが含まれます）

見つからない場合は、次に戻ってください： Aikido Device Protection ダッシュボード、次をクリックします： Connect Device.

2

管理対象デバイスでインストール コマンドを実行する

1. JumpCloud 管理ポータルで、 デバイス管理 → コマンド.
2. クリック + コマンド をクリックして、次を選択します： コマンド.
3. 名前を付けます（例: "Install Aikido Device Protection"）。
4. 設定します： 種類 を Windows PowerShell。JumpCloud は Windows コマンドを次の LocalSystem （NT Authority\System）アカウントのため、追加のユーザー コンテキストは不要です。
5. Aikido Device Protection ダッシュボードからコピーした PowerShell インストール コマンドをコマンド本文に貼り付けます。
6. そのままにしておき 起動タイプ として 1回のみ.
7. 次を選択します： デバイス タブで、コマンドを対象の Windows デバイス グループに割り当てます。
8. クリック 保存、その後、次を使用してコマンドを実行します 今すぐ実行.

コマンドはインストーラーを取得し、ユーザー グループ トークンに対してデバイスを登録し、サイレントにインストールします。

3

ロックダウン ポリシーを適用する

Windows サービスをロックし、かつアプリのアンインストーラーをブロックする単一の組み込みポリシーは JumpCloud にはないため、この 2 つのポリシーを組み合わせて適用します。

Aikido Device Protection アプリのアンインストールをブロック

1. JumpCloud 管理ポータルで、 デバイス管理 → ポリシー管理.
2. をクリックし、 (+) アイコンをクリックし、次の項目を選択します: Windows タブで、次を選択します: アプリケーション制限ポリシー、クリックします 設定する.
3. ポリシーに名前を付けます（例: "Aikido Device Protection lockdown"）。
4. 次の項目の下で ファイル パス ルール、実行をブロックするために Aikido Device Protection のアンインストーラー実行ファイルのフル パスを追加します: %ProgramFiles%\Aikido Device Protection\unins000.exe.
5. 次を選択します： デバイスグループ タブで、同じ Windows デバイス グループにポリシーを割り当てます。
6. クリック 保存.

このポリシーは AppLocker ルールを使用してアンインストーラーの実行をブロックします。アプリケーション制限ポリシーは、指定したバイナリの実行をブロックします。アプリを削除したり、ダウンロードを防止したりするものではなく、ここではそれが意図した動作です。

ユーザーが Aikido サービスを停止または無効化するのを防ぐ

Aikido Device Protection インストーラーは独自のサービス ACL を強化するため、管理者でないユーザーは停止または無効化できません。追加の JumpCloud ポリシーは不要です。

JumpCloud のカスタム レジストリ キー ポリシーでは、次の下の ACL を変更できません: Security\ レジストリ パス。したがって、サービス権限の強化は JumpCloud ではなく Aikido インストーラー自体によって適用されます。

4

インストール後にデバイスを再起動する

1. JumpCloud 管理ポータルで、 デバイス管理 → ポリシー管理.
2. をクリックし、 (+) アイコンをクリックし、次の項目を選択します: Windows タブで、次を選択します: 再起動をスケジュール、クリックします 設定する.
3. 頻度を次に設定します 単発 そして、インストール コマンドの実行直後の日時を選択します。
4. 次を選択します： デバイスグループ タブで、同じ Windows デバイス グループにポリシーを割り当てます。
5. クリック 保存.

単一デバイスを今すぐ一度だけ再起動するには、次へ移動します デバイス管理 → デバイス、次の列の 3 つのドットをクリックし、 アクション 列で、次を選択します デバイスを再起動.

エージェントは次回の起動時に完全にアクティブ化されます。

トラブルシューティング

問題	対処
スクリプト実行後、デバイスがダッシュボードに表示されない	デバイスを再起動してください。次回の起動時にエージェントが完全に登録されます
スクリプトが MDM コンソールでエラー終了する	テストホストで SYSTEM としてスクリプトを手動実行し、完全なエラーを確認してください。デバイスがインストーラーをダウンロードできるよう、インターネット接続があることを確認してください
エージェントサービスが実行されていない	デバイスを再起動してください。サービスがまだ存在しない場合は、インストールスクリプトを再実行してください
スクリプトが実行ポリシーによってブロックされている	MDM 経由で実行されるスクリプトは SYSTEM として実行され、ユーザーレベルの実行ポリシー制限を回避します。MDM がスクリプト実行を制限する追加ポリシーを適用していないことを確認してください
インストール後、デバイスが非アクティブとして表示される	エージェントを完全に有効化するには再起動が必要です。再起動後に確認してください