SCCM を使用して Device Protection を展開

install コマンドを実行する Microsoft Configuration Manager (SCCM) パッケージを使用して、管理対象の Windows デバイスに Aikido Device Protection をデプロイします。

Microsoft Configuration Manager (SCCM) を使用して、必要な権限を設定した状態で、管理対象の Windows デバイス群全体に Aikido Device Protection をデプロイします。

インストール

1. 1

   パッケージソースを準備する

   1. Aikido アプリから PowerShell インストールコマンドをコピーします(Connect Device をクリック)。
   2. サイトサーバーが読み取れるネットワーク共有上のフォルダー(例: \\<server>\<share>\Aikido)に、aikido-install.ps1 として保存します。
   3. 同じフォルダーに、次のスクリプトを aikido-applocker.ps1 として保存します。このスクリプトは、AppLocker がルールを適用するために必要な Application Identity サービスを有効にし、ユーザーが Aikido アンインストーラーを起動できないようにする AppLocker ルールを追加します。

   sc.exe config appidsvc start= auto
   Start-Service -Name AppIDSvc
   $tmp = "$env:TEMP\aikido-applocker.xml"
   Invoke-WebRequest -Uri "https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny.xml" -OutFile $tmp
   Set-AppLockerPolicy -XmlPolicy $tmp -Merge
   Remove-Item $tmp -Force

2. 2

   パッケージとインストールプログラムを作成する

   1. Configuration Manager コンソールで、Software Library → Application Management → Packages に移動し、Create Package をクリックします。
   2. 名前(例: "Aikido Device Protection")を入力し、This package contains source files を選択して、フォルダーの UNC パスを参照し、Next をクリックします。
   3. Standard program を選択し、Next をクリックします。
   4. 次のように設定して、ウィザードを完了します。
      • Name: Install
      • Command line: %windir%\Sysnative\WindowsPowerShell\v1.0\powershell.exe -NoProfile -ExecutionPolicy Bypass -File aikido-install.ps1
      • Run: Hidden
      • Program can run: Whether or not a user is logged on(SYSTEM として実行)
3. 3

   ロックダウンプログラムを追加する

   1. Aikido Device Protection パッケージを選択し、Programs タブを開いて Create Program をクリックします。
   2. Standard program を選択し、次のように設定します。
      • Name: Block uninstall
      • Command line: %windir%\Sysnative\WindowsPowerShell\v1.0\powershell.exe -NoProfile -ExecutionPolicy Bypass -File aikido-applocker.ps1
      • Run: Hidden
      • Program can run: Whether or not a user is logged on
   3. Requirements ページで Run another program first をオンにし、Aikido Device Protection パッケージと Install プログラムを選択して、ウィザードを完了します。
   4. Programs タブで Block uninstall を右クリックし、Properties を選択します。
   5. General で After running を Configuration Manager restarts computer に設定し、OK をクリックします。

   エージェントは次回の起動時に完全に有効化されるため、このプログラム実行後の再起動によってインストールが完了します。

   エンドユーザーがローカル管理者である場合、AppLocker ルールは回避される可能性があります。より強力に適用するには、このポリシーを App Control for Business (WDAC) と組み合わせ、ローカル管理者権限を削除してください。

4. 4

   パッケージを配布してデプロイする

   1. Aikido Device Protection パッケージを選択し、Distribute Content をクリックして、配布ポイントを追加します。
   2. Block uninstall プログラムを選択し、Deploy をクリックします。Configuration Manager は最初に Install を実行します。
   3. General で、対象のデバイスコレクションを選択します。
   4. Deployment Settings で、Purpose を Required に設定します。
   5. Scheduling で、As soon as possible の割り当てスケジュールを追加し、ウィザードを完了します。

   クライアントは、次回のマシンポリシーのポーリング間隔(デフォルトでは 60 分)で新しいデプロイを取得します。テストデバイスでより早く実行させるには、コンソールでそのデバイスを右クリックし、Client Notification → Download Computer Policy を選択します。

トラブルシューティング