> For the complete documentation index, see [llms.txt](https://help.aikido.dev/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.aikido.dev/docs/docs-ja/pentesuto/configure-a-pentest/pentesting-with-the-broker.md).
# Brokerを使ってペンテストをセットアップする
AikidoのIPアドレスを許可リストに登録できない場合にのみ、Aikido Brokerをペンテストに使用してください。
Aikidoの [ペンテスト用IPアドレス](/docs/docs-ja/pentesuto/prepare-a-pentest/ip-addresses-for-pentest.md) は、ペンテストがアプリケーションに到達できるようにする最も簡単な方法です。それらのIPをファイアウォール、WAF、またはセキュリティグループに追加し、次に従ってください [ペンテストの設定方法](/docs/docs-ja/pentesuto/configure-a-pentest/starting-an-assessment.md)。それによって、ネットワーク内に何もインストールせずに済みます。
アプリケーションがプライベートネットワーク、VPN、またはイントラネット上にあり、パブリックインターネットからの着信トラフィックを受け入れられないため、それらのIPを許可リストに追加できない場合にのみこのページを使用してください。その場合、Aikido Brokerはお使いのインフラ内で実行され、ペンテストのトラフィックを許可した内部URLへ転送します。アプリケーションが公開されていて一部のサービスだけが内部にある場合は、同じアセスメントに両方を追加してください。参照 [Brokerドメインと公開ドメインを組み合わせる](#combine-broker-and-public-domains).
{% hint style="warning" %}
本番ではなく、ステージングまたはQA環境でペンテストを実行してください。エージェントは、検出結果を確認するためにデータを作成、変更、削除する場合があります。 [なぜテスト環境を使うのですか？](/docs/docs-ja/pentesuto/prepare-a-pentest/why-use-a-testing-environment.md)
{% endhint %}
## 必要なもの
* 次の [Aikido Broker](/docs/docs-ja/miscellaneous-info/aikido-broker-for-internal-applications.md) 内部アプリケーションに到達できるホストにインストールされ、ワークスペースと同じAikidoリージョンに接続されている。
* 各内部URLをBrokerリソースとして追加します。Aikidoが到達できるのは、登録したURLだけです。
* **ペンテストを管理** [権限](/docs/docs-ja/hajimeni/automated-user-management/setting-roles-and-permissions.md) および十分な [クレジット](/docs/docs-ja/miscellaneous-info/wallet-and-credits.md).
{% hint style="info" %}
開けない場合は [Broker Clients](https://app.aikido.dev/settings/integrations/broker/clients)、または **ブローカードメインを追加** ペンテストウィザードに表示されない場合は、Aikidoダッシュボードからサポートに連絡してください。Brokerアクセスはワークスペースごとに有効化されます。
{% endhint %}
## トラフィックがアプリケーションに到達する仕組み
1. 内部URLをBrokerリソースとして追加すると、AikidoがそのためのBroker URLを生成します。
2. ペンテストウィザードでそのリソースを選択します。スコープには内部URLが保存され、AikidoはトラフィックをBroker URLに送ります。
3. ネットワーク内で稼働するBrokerが、そのリクエストを内部サービスへ転送します。
Brokerには、リージョンのBrokerホストへのアウトバウンドHTTPSが必要です。アプリケーション側でパブリックインターネットからの接続を受け入れる必要はありません。
アセスメントの間はBrokerを動かし続けてください。停止すると、接続チェック、ログイン事前確認、そしてペンテスト自体がアプリケーションに到達できません。
## アセスメントを設定する
{% stepper %}
{% step %}
### 内部URLを登録する
で [Broker Clients](https://app.aikido.dev/settings/integrations/broker/clients)、Brokerクライアントを開き、ペンテストが到達すべきすべての内部URLごとにリソースを追加してください。これには、アプリケーション本体に加え、エージェントが呼び出しを許可される内部API、認証サービス、依存先が含まれます。
例:
* `https://web.internal.corp.local`
* `https://api.internal.corp.local`
* `http://service-a.internal:8080`
アセスメントを作成する前に、Brokerが接続されていることを確認してください。インストール、リージョン、DNS、証明書の設定については [内部アプリケーション向け Aikido Broker](/docs/docs-ja/miscellaneous-info/aikido-broker-for-internal-applications.md).
{% endstep %}
{% step %}
### Brokerドメインをスコープに追加する
次へ移動します： **ペンテスト**、あなたの **プロジェクト**、次をクリックし **評価を作成**。で **テストスコープを定義する**に戻り、】【t\_f3941c4b":"デバイスを接続","t\_5d4f039e":"管理対象デバイスでインストールコマンドを実行する","t\_831d390e":"Workspace ONE UEM コンソールで、次の場所に移動します：","t\_8edbd69c":"リソース","t\_72eed93f":"→","t\_ba9a6e6d":"スクリプト","t\_d113c2a0":"を選択し、","t\_96cd98c8":"Windows","t\_249d2587":"をドロップダウンから選択します。","t\_43b01c7b":"","t\_36c80f14":"一般","t\_f6ef8739":"タブで、スクリプトに名前を付けます（例：\\"Aikido Device Protection Install\\"）。","t\_c35a5a82":"詳細","t\_0acd71e4":"タブで、次を設定します：","t\_be245649":"言語","t\_1ae764eb":"PowerShell","t\_7640c765":"実行コンテキストと権限","t\_4a0c02ed":"システムコンテキスト","t\_ad9531b5":"Aikido ダッシュボードからコピーした PowerShell インストールコマンドを、スクリプト本文に貼り付けます。","t\_b083cb05":"割り当て","t\_2f2f8b67":"タブで、対象の Windows スマートグループにスクリプトを割り当て、トリガーを次回のサンプル時に実行するよう設定します。","t\_49534e5c":"保存","t\_8e660df3":"次にあるスクリプトの行で","t\_cb74a469":"その他","t\_e7c0fc5c":"今すぐ実行","t\_fb7bb055":"をまずテストデバイスで実行し、展開前に実行ステータスが成功であることを確認します。","t\_2876b474":"スクリプトにはデバイス上の Intelligent Hub が必要です。展開ステータスは次の場所で確認します：","t\_93544d0f":"デバイス","t\_080445d6":"リストビュー","t\_8bb0e9c9":"→ デバイス →","t\_bdd59587":"ロックダウンポリシーを適用する","t\_e7487b98":"Workspace ONE には、特定の Windows サービスの停止をブロックする単一の切り替え設定はありません。以下の 2 つの制御を組み合わせて、エージェントの改ざん耐性を高めます。","t\_0fcb4797":"Workspace ONE プロファイルを 2 つ別々に作成します。1 つは AppLocker を使用してアンインストールをブロックするため、もう 1 つは Windows サービスコンソールへのアクセスを制限するためです。","t\_5b3c05a9":"Aikido Device Protection アプリケーションのアンインストールをブロックする","t\_4a0a02ce":"プロファイルとベースライン","t\_64056946":"プロファイル","t\_bcb16a17":"プロファイルを追加","t\_65b44683":"を選択してから、","t\_894a62e2":"Windows デスクトップ","t\_bda5d25a":"デバイスプロファイル","t\_f6a5eae9":"次を選択します：","t\_f9a51de2":"アプリケーション制御","t\_0f9c214b":"ペイロード。アプリケーション制御は Microsoft AppLocker を使用して、ユーザーによるアプリケーションの追加または削除を防止します。","t\_cfd7a295":"次の内容を貼り付けます：","t\_bebb586b":"aikido-applocker-deny-mdm.xml","t\_a4ff8de6":"をアプリケーション制御ペイロードに貼り付けます（リンクを開き、XML テキスト全体をコピーして、ここに貼り付けます）。","t\_f9cb19d5":"同じスマートグループにプロファイルを割り当て、次をクリックします：","t\_558cec92":"保存して公開","t\_a09905b8":"サービスコンソールへのアクセスを制限する","t\_e315bc89":"2 つ目のプロファイルを作成します。次の場所に移動します：","t\_fc8734d7":"カスタム設定","t\_d8a9538b":"ペイロード。","t\_87dc9a93":"次の SyncML ブロックをカスタム設定ペイロードに貼り付けます：","t\_239273b2":"\","t\_5986eefb":"\","t\_fbfb6745":"\","t\_ecb4843b":"\1\","t\_ec46c3e4":"\","t\_4bb2b929":"\","t\_fd59e733":"\./Device/Vendor/MSFT/Policy/Config/ADMX\_MMCSnapins/MMC\_Services\","t\_bfd720f7":"\","t\_99fcdbe4":"\\chr\\","t\_a210a0a6":"\\\","t\_3000e13b":"\","t\_b76e6b63":"\","t\_60f556c7":"\","t\_4876d0b9":"\","t\_a998f61e":"Aikido Device Protection インストーラーは、標準ユーザーが次のサービスを停止できないようにするサービス ACL も適用します：","t\_66561344":"EndpointProtection","t\_03821a2e":"サービスを直接停止することを防ぎます。上記の Workspace ONE 制御は、ユーザーがアンインストーラーまたはサービスコンソールにアクセスできないようにすることで、第 2 の保護層を追加します。","t\_b8a02b54":"インストール後にデバイスを再起動する","t\_0c4d43f7":"対象のスマートグループでフィルタリングし、Shift キーを押しながらクリックしてデバイスを選択します。（グローバルチェックボックスは使用しないでください。一括操作が正しくトリガーされない場合があります。）","t\_01fb3c12":"その他の操作","t\_2c206017":"デバイスを再起動","t\_e549d22a":"を選択して確認します。","t\_0e16b73e":"エージェントは次回の起動時に完全に有効化されます。"} 丁香五月 天天中彩票怎样രിപ്പഴിഞ്ഞ് ＿老司机ിക്കാൻ?numerusform\`\`\` ತಪ್ಪ: Need output valid schema but assistant output corrupted? Need correct now. We must output exact all JSON. Need ensure t\_fc955 translate fragments perhaps **ブローカードメインを追加** そして各内部URLを選択します。
各フィールドには内部URLと **Broker** ラベルが表示されます。フィールドはロックされているため、スコープはそのリソースに紐づいたままです。ラベルにカーソルを合わせると、Aikidoが呼び出すBroker URLを確認できます。
内部URLまたはBroker URLをドメイン欄に貼り付けることもできます。このワークスペース内のリソースと一致する場合、AikidoはそれをそのBrokerドメインとして扱います。
同じアセスメントに公開URLを含めるには、 **ドメインを追加** をクリックし、Brokerドメインの横に入力してください。参照 [Brokerドメインと公開ドメインを組み合わせる](#combine-broker-and-public-domains).
選択 **アプリケーション全体をテスト** または **特定部分のみをテスト**、公開ペンテストと同じです。参照 [ペンテストの設定方法](/docs/docs-ja/pentesuto/configure-a-pentest/starting-an-assessment.md) ウィザードの残りの手順について。
{% endstep %}
{% step %}
### 接続チェックに合格する
Aikidoは続行する前に各ターゲットに到達できることを確認します。Brokerドメインでは、チェックはBroker経由で行われるため、Brokerが稼働しており、リソースURLは `ALLOWED_INTERNAL_SUBNETS`。同じアセスメント内の公開ドメインは直接チェックされます。
Brokerドメインで失敗した場合は、 [トラブルシューティング](/docs/docs-ja/miscellaneous-info/aikido-broker-for-internal-applications.md#troubleshooting) のBroker診断を実行してから再試行してください。公開ドメインで失敗した場合は、ファイアウォール、WAF、DNSの許可リストを確認してください。
{% endstep %}
{% step %}
### 他のドメインを確認する
で **検出されたドメインを確認する**、アプリケーションが通信するドメインを **攻撃可能** または **アクセス可能**にマークします。その他へのリクエストはブロックされます。
内部依存先は、それ自体もBrokerリソースでない限り到達できません。まずBroker Clientsに追加し、この手順で内部URLまたはBroker URLを貼り付けてください。Aikidoは一致を **Broker** ラベルで示します。
アプリが呼び出す公開ドメイン（IDプロバイダー、CDN、サードパーティAPI）は通常の許可リストエントリのままです。公開ペンテストと同じようにそれらを許可リストに追加してください。
{% endstep %}
{% step %}
### 認証して開始する
で **テストユーザー**、ログイン手順ではBroker URLではなく内部URLを使用します。ネットワーク内の人がログインする方法に合わせて手順を書いてください。
完了 **コードとドキュメント**, **安全**、および **料金**を入力してから **アセスメントを実行する**。アセスメントが完了するまでBrokerを動かしたままにしてください。
{% endstep %}
{% endstepper %}
## Brokerドメインと公開ドメインを組み合わせる
1つのアセスメントに公開URLと内部URLを含めることができます。アプリケーションはインターネットから到達できるが、APIや別のサービスがプライベートネットワークにしか存在しない場合に使います。
* **公開URL。** それらを **ドメインを追加**で追加し [ドメイン検証](/docs/docs-ja/pentesuto/configure-a-pentest/domain-verification.md) 、許可リストに追加 [ペンテスト用IPアドレス](/docs/docs-ja/pentesuto/prepare-a-pentest/ip-addresses-for-pentest.md)、公開ペンテストと同じように。
* **内部URL。** Brokerリソースとして登録し、その後 **ブローカードメインを追加**で追加します。着信許可リストは必要ありません。
* **接続チェック。** Aikidoは各ターゲットをそれぞれの経路でチェックします。公開ホストでの失敗は、ファイアウォール、WAF、またはDNSの問題です。Brokerホストでの失敗は、Broker、 `ALLOWED_INTERNAL_SUBNETS`またはネットワーク内のDNSの問題です。
* **Brokerを使うタイミング。** ホスト名をBroker経由で送るのは、パブリックインターネットから到達できない場合のみです。
アプリケーションが呼び出す公開ドメイン（IDプロバイダー、CDN、サードパーティAPIなど）は、許可リスト項目のままです **検出されたドメインを確認する**で **攻撃可能** ペンテストの対象にすべき場合のみ、1つをマークします。
## 公開ペンテストとの違い
* **Broker対象には着信許可リストは不要です。** 内部URLへのトラフィックはBrokerのアウトバウンド接続経由で入ります。 [ペンテストIP](/docs/docs-ja/pentesuto/prepare-a-pentest/ip-addresses-for-pentest.md) を許可リストに追加してもそのURLには役立たず、また必要でもありません。同じアセスメント内の公開URLには引き続き許可リストが必要です。
* **内部ホストに対する公開ポートスキャンはありません。** Aikidoは、ネットワーク内にのみ存在するアドレスのポートをスキャンしません。WebおよびAPIのテストは引き続きBroker経由で実行されます。
* **登録済みのURLのみ。** エージェントは、それらのURLをBrokerリソースとして追加しスコープに含めるまで、他の内部ホストへのリンクをたどることはできません。
## トラブルシューティング
**Brokerドメインを追加するが表示されません。** ワークスペースにBrokerアクセスがないか、Brokerにまだリソースがありません。少なくとも1つのリソースを追加してウィザードを再読み込みし、ボタンがまだ表示されない場合はサポートに連絡してください。
**接続チェックまたはログイン事前確認に失敗します。** BrokerコンテナまたはPodが稼働していることを確認し、 `BROKER_TARGET_URL` がワークスペースのリージョンと一致し、ターゲットIPが内部にあることを確認してください `ALLOWED_INTERNAL_SUBNETS`。内部ホスト名には `DNS_SERVERS` パブリックDNSで解決できない場合は必要です。プライベートCAには `NODE_EXTRA_CA_CERTS`.
**アセスメントは開始されますが、その後リクエストが失敗します。** Brokerが停止したか、リソースが削除されました。Brokerとリソースを復元してから再テストしてください。Broker停止中に進行中のリクエストは失敗します。
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://help.aikido.dev/docs/docs-ja/pentesuto/configure-a-pentest/pentesting-with-the-broker.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
