# デバイスの管理 {#managing-devices}

このページでは、組織の管理者が操作できる機能について説明します。[Takumi Agent](/docs/ja/t/endpoint/index.md) の管理コンソールからは、次の操作が可能です。

- 登録キーの発行・失効
- 各デバイスで保護対象となるエコシステムの設定
- エージェントの更新
- デバイスのデコミッション
- 診断情報、改ざんの痕跡の確認

いずれの機能も、左のナビゲーションバーの **Endpoint** から操作します。

このページの操作にはすべて、**オーナー** または **Takumi 管理者** のロールが必要です（[ロールと権限](/docs/ja/c/iam/permission.md)を参照）。

## 登録キーの発行・失効 {#enrollment-keys}

登録キーは、Mac デバイスを組織のデバイスとして登録するために必要です。**Endpoint → 登録キー** から、組織内で発行された登録キーの一覧を確認できます。

発行方法の詳細については[クイックスタート](/docs/ja/t/endpoint/quickstart.md#enroll-key)を参照してください。

各登録キーにはラベル、最大アクティベーション数、有効期間が設定されます。いずれも管理コンソールから確認できますが、登録キーの値そのものが表示されるのは、発行直後の一度きりです。

登録キーを失効させる場合は、登録キーの詳細画面下部にある **失効** をクリックしてください。失効後は、その登録キーによる新規デバイスの登録が拒否されます。

:::info
登録キーを失効しても、その登録キーで既に組織に登録されたデバイスの紐付けには影響しません。

特定のデバイスの組織への登録を無効化するには、デバイスの[デコミッション](#decommission)が必要です。
:::

登録キーの発行モーダル内の **機能** では、発行するキーで組織に紐付けられるデバイスについて、保護対象とするエコシステムを次の中から個別に指定できます。

- **npm インストール保護**
- **PyPI インストール保護**
- **RubyGems インストール保護**
- **Go モジュールインストール保護**
- **Composer インストール保護**

すべてのエコシステムを選択した状態で登録キーを発行した場合、保護機能は制限されず、今後 Takumi Guard に追加されるエコシステムも自動で保護対象となります。保護範囲は管理コンソールの **設定**タブから組織全体に適用することが可能で、組織全体で保護が無効化されているエコシステムは、登録キーの設定画面にて **組織による制限** と表示されます。この状態の登録キーはキー・デバイス単体の設定を通して有効化された場合でも、組織全体で有効化されるまで効果はありません。

登録キーの保護機能設定は登録キーの発行後であっても変更が可能です。発行後に登録キーの保護機能設定を変更した場合、当該登録キーにより登録されたデバイスにも自動で変更が反映されます。デバイスを再登録する必要はありません。

## デバイスごとの保護対象エコシステム {#ecosystem-policy}

デバイス上でエコシステムが保護対象となるのは、次の 3 つの条件が満たされているものです。

1. **組織設定**：**Endpoint → 設定 → 保護機能** にて、エコシステムのトグルが有効化されている
2. **登録キー**：デバイスの登録に使ったキーの設定にてエコシステムのトグルが有効化されている（設定方法は[前述](#enrollment-keys)のとおり）
3. **デバイス単位の上書き**（設定した場合のみ）：管理コンソールにてデバイスの詳細を開き、**保護** セクションの **このデバイス個別に上書き…** をクリックし、**オーバーライドを適用** で確定する。これにより、保護機能セクションにて**オーバーライド** のバッジが表示され、組織および登録キーの設定をオーバーライドされる。**オーバーライドを解除** で元の設定に戻る。

保護機能がオフになっている場合、デバイスの **保護** セクションに、3 つの設定のうちどれによってオフになっているかが表示されます。エグレスロック（対象レジストリへの直接の接続をブロックするネットワークフィルタ）も同じ設定に従い、デバイスで 1 つでもエコシステムが保護対象であれば、エグレスロックが必要になります。一部のエコシステムがオフのデバイスも保護されているものとして扱われ、管理コンソールには **保護中（ポリシーにより N 件無効）** と表示されます（[デバイスの状態](/docs/ja/t/endpoint/features/states.md#off-by-policy)を参照）。

## エージェントの更新 {#updates}

エージェントは自動で更新されます。新しいリリースはバックグラウンドでダウンロード・インストールされ、セットアップウィンドウの表示や新たな承認は求められません。リリースから 1 時間程度で各デバイスに反映されます。デバイスがダウングレードされることはありません。

## デバイスのデコミッション {#decommission}

Mac デバイスを組織の管理下から外したい場合はデコミッションが必要となります。管理コンソールにてデコミッションしたいデバイスの詳細を開き、詳細パネルの最下部にある **デコミッション…** をクリックし、確認のため `decommission` と入力して **デコミッション** をクリックすることで確定されます。

デコミッションしたデバイス上の Takumi Agent は直ちに動作を停止し、その識別情報と発行済みのすべてのトークンが失効されます。この操作は取り消しができず、同じデバイスを組織で管理する場合は、登録キーで再度登録する必要があります。デコミッションしたデバイスは **失効済み** と表示されます（[デバイスの状態](/docs/ja/t/endpoint/features/states.md#revoked)を参照）。

## 診断情報 {#diagnostics}

利用者は、アプリウィンドウの **ヘルプ** ページにある **管理者に送信** から、Mac デバイスの診断情報を送信できます。管理コンソールでは、デバイスの詳細パネルの **診断情報** セクションに、そのデバイスから送信された診断情報が新しい順に表示されます。各項目は **ダウンロード** ボタンからダウンロードできます。診断情報にはデバイスの状態と直近のログが含まれ、トークンと秘密鍵は除外されます。

## 改ざんの痕跡 {#tamper}

Takumi Agent が有効化されたデバイスは、自身のヘルス情報の報告が妨害された痕跡を検知すると、それを報告します。この場合、管理者が承認するまでデバイスは **保護なし** と表示され、詳細パネルには **改ざんの痕跡** の欄が表示されます。この欄には、検知された内容と **最初に検知** の日時が記載されます。対処方法については[トラブルシューティング](/docs/ja/t/endpoint/references/troubleshooting.md#tamper)を参照してください。

### 改ざんの痕跡の承認 {#acknowledge}

Mac デバイスを確認した後、次の手順で改ざんの痕跡を承認します。

1. デバイスを開き、**改ざんの痕跡** の欄にある **改ざんの痕跡を承認…** をクリックする
2. 改ざんの痕跡の背景、承認の理由、確認事項等を入力する
3. **次へ** をクリックし、理由を確認して **承認する** をクリックする

デバイスを承認すると痕跡はその場で解除され、デバイスの詳細には承認者、承認日時、理由が表示されます。

:::info
承認によって行われるのは、承認前に検知された改ざんの痕跡の解除のみです。承認後、デバイスが再び改ざんを報告した場合、そのデバイスは再び**保護なし**と表示されます。

承認後も痕跡が報告され続けるデバイスは、実際に改ざんされています。[デコミッション](#decommission)し、マシンを調査してください。
:::