Assigned access windows 10 что это

Режим киоска терминала Windows 10 — ограниченный доступ к компьютеру kiosk mode

Осеннее накопительное обновление October 2018 Update для Windows 10 Версия 1809 пополнило штат системы новыми возможностями, в числе которых — появившийся в параметрах учётных записей режим киоска.

Видео video How to Make a Windows 10 PC into Kiosk Mode With Assigned Access https://www.youtube.com/watch?v=B-AEZUJx9Bg
https://technet.microsoft.com/ru-ru/library/mt219051(v=vs.85).aspx
https://blogs.technet.microsoft.com/askpfeplat/2013/10/27/how-to-setup-assigned-access-in-windows-8-1-kiosk-mode/

Режим киоска – это ранее существовавшая в системе настройка ограниченного доступа для отдельных *ЛОКАЛЬНЫХ учётных записей в виде возможности запуска всего лишь одного приложения из числа UWP. Универсальная платформа Windows (англ. Universal Windows Platform)
Идея существования пользовательской учётной записи, ограниченной запуском только одного приложения. Публичный компьютер
Пользователю должно быть доступно только одно приложение в полноэкранном режиме и ничего иного кроме этого.
Единственная оговорка — режим киоска Windows 10 работает только с плиточными приложениями приложения из магазина. С традиционными настольными приложениями он работать не умеет!

Режим киоска, как и ранняя его реализация в виде настройки ограниченного доступа для отдельных учётных записей, недоступна в Windows 10 Home Домашняя. Доступна только в редакциях, начиная с Pro редакций профессиональная, корпоративная и для образовательных учреждений..

1)Настраивается киоск в Параметры Windows (клавиши Win+I) \ параметрах учётных записей семьи и других пользователей. Здесь добавился новый пункт «Настроить киоск». Кликаем этот пункт. (В открывшемся окне Вам будет предложено ввести адрес электронной почты пользователя, имеющего учётную запись Майкрософт или его телефон. Мы же кликаем на ссылку «У меня нет данных для входа этого человека». Нажимаем на кнопку «Далее».)

2)И для создания киоска жмём «Начало работы»

3)Вводим имя, это может быть имя пользователя, который будет работать в рамках ограниченной учётной записи. Жмём «Далее».
(В следующем окне кликаем на ссылку «Добавить пользователя без учетной записи Майкрософт».)

5.1)Как цифровой знак или интерактивный дисплей — только одни URL адрес к примеру http://5house.win и его отображение по типу веб-приложения на весь экран F11 полноэкранный режим;
5.2)Как общедоступный браузер
Microsoft Edge будет иметь ограниченный набор функций можно вводить любой URL адрес сайта

6)Готово выход из режима киоска осуществляется клавишами Ctrl+Alt+Del.

7)Для удаления киоска в его настройках кликаем имя пользователя и жмём «Удалить киоск».

8)Если вы хотите установить эти настройки на нескольких компьютерах или просто любите Windows Powershell, эту конфигурацию также можно выполнить с помощью
If you want to set this up on multiple machines or simply love Windows Powershell, this configuration can also be scripted using Set-AssignedAccess
A typical command would be
ps

10)gpedit.msc Отключите съемные носители.
Перейдите в меню Редактор групповой политики > Конфигурация компьютера > Административные шаблоны\Система\Установка устройств\Ограничения на установку устройств. Проверьте параметры политики, отображаемые в разделе Ограничения на установку устройств, чтобы найти параметры, подходящие для вашей ситуации.

11)Браузер Google Chrome режим информационного киоска:

12)Если компьютер в домене то используя GPO Управление групповой политикой (команда gpedit.msc)

Cisco Port Security — это функция канального уровня, которая создана для предотвращения несанкционированной смены MAC адреса сетевого подключения. Также, данная функция ограждает коммутатор от атак, которые могут быть направлены на переполнение таблицы MAC адресов.
С помощью Port Security можно ограничить (на канальном уровне) количество подключений (MAC адресов) на интерфейсе, а так же, при необходимости, ввести безопасные MAC адреса вручную (статические MAC адреса).
Пример настройки Port Security на интерфейсе коммутатора cisco:

Пример распространенное подключение устройств в больших организациях. Как правило к порту подключаются два устройства: IP телефон и компьютер пользователя. Пример конфига интерфейса коммутатора с использованием Port Security:

На выше приведенном конфиге видно, что 10 влан настроен для компьютеров, 2 влан используется для IP телефонии. Далее, по фукнциям Port Security:
— «switchport port-security» означает, что мы включили Port Security на данном интерфейсе;
— «switchport port-security maximum 2» говорит о том, что только 2 MAC адреса, могут «светиться» на интерфейсе одновременно (MAC адрес телефона и компьютера);
— «switchport port-security violation restrict» указывает режим реагирование на нарушение. Таким образом, если на данном интерфейсе одновременно «засветится» третий (неизвестный) MAC адрес, то все пакеты с этого адреса будут отбрасываться, при этом отправляется оповещение – syslog, SNMP trap, увеличивается счетчик нарушений (violetion counter).
Немного расскажу о режимах реагирования на нарушение безопасности. Существует три способа реагирование на нарушение безопасности:

Команду «switchport port-security violation restrict» я описал выше.
Вторая команда — «switchport port-security violation shutdown» при выявлении нарушений переводит интерфейс в состояние error-disabled и выключает его. При этом отправляется оповещение SNMP trap, сообщение syslog и увеличивается счетчик нарушений (violation counter). Кстати, если интерфейс находится в состоянии error-disabled, то самым легким путем разблокировать его, является выключить и включить интерфейс (ввести в настройках интерфейса команду — «shutdown», а потом — «no shundown»).
Если же на интерфейсе введена команда — «switchport port-security violation protect», то при нарушениях, от неизвестного MAC адреса пакеты отбрасываются, но при этом никаких сообщений об ошибках не генерируется.
Какой именно способ выбрать дело каждого, но как мне кажется, «switchport port-security violation restrict» является оптимальной для большинства случаев.
Идем дальше. Если необходимо, то можно статически ввести MAC адреса, тогда конфиг будет иметь вид:

Источник

Поставщик служб конфигурации AssignedAccess

Поставщик служб конфигурации AssignedAccess (CSP) используется для настройки устройства для работы в режиме киоска. После выполнения CSP следующий вход пользователя, связанный с режимом киоска, помещает устройство в режим киоска с приложением, указанным в конфигурации CSP.

Пошаговую руководство по настройке устройств, которые будут работать в режиме киоска, см. в руководстве Настройка киоска на Windows 10 Pro, Enterprise или образовании.

В Windows 10 версии 1709 Поставщик служб конфигурации (CSP) для AssignedAccess был расширен, чтобы администраторы могли создавать терминалы, на которых запускается более одного приложения. С помощью пакета подготовки можно настроить киоск, поддерживающий запуск нескольких приложений. Пошаговую руководство см. в руководстве Create a Windows 10 с несколькими приложениями.

Назначить отдельной учетной записи пользователя на устройстве можно только один профиль киоска приложений. Один профиль приложения не поддерживает группы доменов.

Если приложение вызывает KeyCredentialManager.IsSupportedAsync, когда оно работает в назначенном режиме доступа и возвращает ложный при первом запуске, вызывите экран параметров и выберите удобный ПИН-код для использования с Windows Hello. Это экран параметров, скрытый приложением, работающим в назначенном режиме доступа. Вы можете использовать Windows Hello только в том случае, если сначала вы оставите назначенный режим доступа, выберите пин-код удобства и снова перейдите в назначенном режиме доступа.

CSP AssignedAccess поддерживается в Windows 10 Корпоративная и Windows 10 для образовательных учреждений. Начиная с Windows 10 версии 1709 она также поддерживается в Windows 10 Pro и Windows 10 S. Начиная с Windows 10 версии 1803, она также поддерживается в Windows Holographic for Business выпуске.

Ниже показан поставщик служб конфигурации AssignedAccess в формате дерева

./Device/Vendor/MSFT/AssignedAccess Корневой узел для CSP.

./Device/Vendor/MSFT/AssignedAccess/KioskModeApp Строка JSON, которая содержит имя учетной записи пользователя и ID модели пользователя приложения (AUMID) приложения режима киоска. Дополнительные сведения о том, как получить AUMID, см. в примере Find the Application User Model ID установленного приложения.

Пошаговую руководство по настройке устройств, которые будут работать в режиме киоска, см. в руководстве Настройка киоска на Windows 10 Pro, Enterprise или образовании.

В Windows 10 версии 1803 узел Configuration вводит единый профиль киоска приложений для замены узла CSP KioskModeApp. Узел KioskModeApp в ближайшее время будет обесценен, поэтому для настройки единого киоска приложений следует использовать единый профиль киоска приложений в config xml для узла Configuration.

Начиная с Windows 10 версии 1803 узел KioskModeApp становится No-Op, если узел Configuration настроен на устройстве. Эта команда Add/Replace/Delete в узле KioskModeApp всегда возвращает SUCCESS на сервер MDM, если задан узел конфигурации, но данные KioskModeApp не будут действовать на устройстве. Получить команду в KioskModeApp вернет настроенную строку JSON, даже если она не эффективна.

Нельзя одновременно устанавливать на устройстве и KioskModeApp, и ShellLauncher.

Начиная с Windows 10 версии 1607 можно использовать предварительное приложение для настройки режима киоска. Дополнительные сведения о удаленном предоставлении приложения см. в Enterprise управления приложениями.

В этом примере требуется двойной \\ из-за того, что он в JSON и JSON убегает \ в \\. Если на сервере MDM используется JSON parser\composer, следует попросить пользователей ввести только один \, который будет \\ в JSON. Если пользователь типа \\, он станет \\\\ в JSON, что приведет к ошибочным результатам. По той же причине домен\учетная запись, используемая в конфигурации xml, не нужна \\ но только одна \, так как xml не должен (нужно) убежать \.

Это относится как к домену\учетной записи, AzureAD\someone@contoso.onmicrosoft.com, то есть до тех пор, пока \используется в строке JSON.

При настройке приложения режима киоска имя учетной записи будет использоваться для поиска целевого пользователя. Имя учетной записи включает доменное имя и имя пользователя.

Доменное имя может быть необязательным, если имя пользователя является уникальным по всей системе.

Для локальной учетной записи доменное имя должно быть именем устройства. Когда Get выполняется на этом узле, доменное имя всегда возвращается в выходе.

Поддерживаемые операции : Добавить, Удалить, Получить и заменить. Если конфигурация не существует, методы Get and Delete сбой. Когда уже есть конфигурация для приложения режима киоска, метод Add не работает. Шаблон данных для Добавить и Заменить тот же.

./Device/Vendor/MSFT/AssignedAccess/Configuration Добавлена Windows 10 версии 1709. Указывает параметры, которые можно настроить в киоске или устройстве. Этот узел принимает xml AssignedAccessConfiguration в качестве ввода для настройки работы устройства. Дополнительные сведения о параметрах конфигурации в XML см. в Windows 10 киоске с несколькими приложениями. Вот схема для AssignedAccessConfiguration.

В Windows 10 версии 1803 узел Configuration вводит единый профиль киоска приложений для замены узла CSP KioskModeApp. Узел KioskModeApp в ближайшее время будет обесценен, поэтому для настройки единого киоска приложений следует использовать единый профиль киоска приложений в config xml для узла Configuration.

Начиная с Windows 10 версии 1803 узел KioskModeApp становится No-Op, если узел Configuration настроен на устройстве. Эта команда Add/Replace/Delete в узле KioskModeApp всегда возвращает SUCCESS на сервер MDM, если задан узел конфигурации, но данные KioskModeApp не будут действовать на устройстве. Получить команду в KioskModeApp вернет настроенную строку JSON, даже если она не эффективна.

Предприятия могут использовать это для легкой настройки и управления опытом блокировки с помощью куратора.

Поддерживаемые операции : Добавить, Получить, Удалить и Заменить.

Удаление конфигурации нескольких приложений удаляет связанные с пользователями задатки для блокировки доступа, но не может вернуть все принудительно примененные политики (например, пусковая компоновка).

./Device/Vendor/MSFT/AssignedAccess/Status Добавлена Windows 10 версии 1803. Этот узел только для чтения позволяет серверу MDM запрашивать текущий KioskModeAppRuntimeStatus до тех пор, пока узел StatusConfiguration задан в «On» или «OnWithAlerts». Если statusConfiguration является «Off», узел, не найденный ошибка, будет отчитаться на сервере MDM. Щелкните ссылку, чтобы увидеть пример SyncML. Вот схема полезной нагрузки Status.

В Windows 10 версии 1803 состояние назначенного времени запуска доступа поддерживает мониторинг только одного режима киоска приложений. Вот возможный статус, доступный для одного режима киоска приложений.

Коды состояния, доступные в полезной нагрузке Status, соответствуют определенному kioskModeAppRuntimeStatus.

Кроме того, полезной нагрузкой состояния является profileId, который может использоваться MDM-сервером для сопоставления того, какое приложение киоска вызвало ошибку.

В Windows 10, версия 1809 состояние назначенного времени запуска доступа поддерживает мониторинг киоска одного приложения и режимов нескольких приложений. Вот возможные коды состояния.

Коды состояния, доступные в полезной нагрузке Status, соответствуют определенному AssignedAccessRuntimeStatus.

Кроме того, полезной нагрузкой Status являются следующие поля:

Поддерживаемая операция — Get.

./Device/Vendor/MSFT/AssignedAccess/ShellLauncher Добавлено Windows 10 версии 1803. Этот узел принимает xml ShellLauncherConfiguration в качестве ввода. Щелкните ссылку, чтобы увидеть схему. Shell Launcher V2 представлена в Windows 10 версии 1903 для поддержки приложений UWP и Win32 в качестве настраиваемой оболочки. Дополнительные сведения см. в выпуске Shell Launcher.

Нельзя одновременно устанавливать на устройстве и ShellLauncher, и KioskModeApp.

Настройка запуска оболочки с помощью узла ShellLauncher автоматически включает функцию запуска shell, если она доступна в SKU. I. Для запуска shell Launcher как функции и узла ShellLauncher требуется Windows Enterprise или Windows образования.

Узел ShellLauncher не поддерживается в Windows 10 Pro.

./Device/Vendor/MSFT/AssignedAccess/StatusConfiguration Добавлена Windows 10 версии 1803. Этот узел принимает xml StatusConfiguration в качестве ввода для настройки мониторинга состояния приложения-киоска. Существует три возможных значения для узла StatusEnabled внутри xml StatusConfiguration: On, OnWithAlerts и Off. Щелкните ссылку, чтобы увидеть схему StatusConfiguration.

По умолчанию узел StatusConfiguration не существует, и это означает, что эта функция отключена. После включения с помощью CSP присвоенный доступ проверяет состояние приложения-киоска и ждет, когда сервер MDM запрашивает последний статус из узла Status.

Необязательный вариант: MDM-сервер может выполнить вход в оповещение MDM, чтобы при смене состояния времени запуска MDM сразу же было сгенерировано и отправлено на сервер MDM. Это оповещение MDM будет содержать полезное состояние, доступное через узел Status.

Этот загон оповещений MDM определяется следующим образом:

Предупреждение MDM будет отправлено только из-за ошибок.

Примеры KioskModeApp

Добавление в KioskModeApp

AssignedAccessConfiguration XSD

Ниже схема для конфигурации AssignedAccess до Windows 10 выпуска 1803.

Вот схема новых функций, представленная в Windows 10 1809 г.

Схема для Windows 10 предварительной подготовки

Чтобы разрешить совместимую конфигурацию XML, которая включает элементы и атрибуты 1809 или prerelease, всегда включайте пространство имен этих надстроек и украсьте атрибуты и элементы соответствующим псевдонимом пространства имен. Например, чтобы настроить функцию автоматического запуска, добавленную в выпуск 1809 г., используйте ниже пример, обратите внимание, что псевдоним r1809 присваивается пространству имен 201810 для выпуска 1809 г., а псевдоним помечен в inline AutoLaunch и AutoLaunchArguments.

Пример XML AssignedAccessConfiguration

Примеры конфигурации

Кодирование XML (сбежавшего) и CDATA XML в узле Данных гарантируют, что клиент DM может правильно интерпретировать SyncML и отправлять xml конфигурации в виде строки (в исходном формате, неизрасходоваемой) в CSP AssignedAccesss для обработки.

Кроме того, xml StartLayout внутри xml конфигурации использует тот же формат, xml внутри xml, как строка. В примере Конфигурация xml, представленная выше, CDATA используется для вложения xml StartLayout. Если вы используете CDATA для встраивания xml конфигурации в SyncML, вы будете вложены CDATA, поэтому обратите внимание на то, как CDATA используется в предоставленной cdATA-примере. При этом при построении XML конфигурации MDM-сервер может либо избежать старта макета xml, либо поместить xml startlayout в CDATA, когда MDM-сервер помещает xml конфигурации внутри SyncML, MDM-сервер может также избежать его или обернуть CDATA.

Escape и CDATA — это механизмы обработки xml в xml. Считайте, что это транспортный канал для отправки xml конфигурации в качестве полезной нагрузки от сервера к клиенту. Она прозрачна как для конечных пользователей, которые настраивают CSP, так и для нашего CSP. И клиент на стороне сервера, и наш CSP должны видеть только оригинальную конфигурацию XML.

В этом примере показан сбежавшие XML узла Data.

В этом примере показан сбежавшие XML узла Data.

В этом примере используются CData для XML.

Пример команды Get, возвращаемой конфигурации на устройстве.

Источник

Рекомендации по выбору приложения для использования в режиме терминала (ограниченного доступа)

Относится к

Вы можете настроить устройство для работы в режиме терминала, чтобы пользователи в компании могли пользоваться только одним приложением для Windows. Администраторы могут ограничить доступ к приложениям для Windows в выбранной учетной записи. Вы можете выбрать практически любое приложение для Windows для использования ограниченного доступа, однако некоторые приложения могут не обеспечить хорошего взаимодействия с пользователем.

Приведенные ниже рекомендации помогут вам выбрать подходящее приложение для Windows для использования функции ограниченного доступа.

Общие рекомендации

Чтобы выбрать приложение для запуска в режиме терминала, его сначала необходимо подготовить или установить для учетной записи. Узнайте, как подготавливать и устанавливать приложения.

Иногда обновление приложения может привести к изменению идентификатора пользовательской модели. В этом случае для запуска обновленного приложения необходимо обновить параметры ограниченного доступа.

Приложения, создаваемые с помощью Desktop App Converter (мост для классических приложений) нельзя использовать в качестве приложений киоска.

Рекомендации в отношении приложений для Windows, которые запускают другие приложения

Некоторые приложения для Windows могут запускать другие приложения. При ограниченном доступе приложения для Windows не могут запускать другие приложения.

Не выбирайте приложения, базовой функцией которых является запуск других приложений.

Рекомендации для веб-браузеров

Начиная с Windows 10 версии 1809 браузер Microsoft Edge поддерживает режим терминала. Узнайте, как развернуть режим терминала Microsoft Edge.

В клиенте Windows вы можете установить приложение Kiosk Browser от Майкрософт, чтобы использовать его в качестве приложения для терминала. Для сценариев цифровых вывесок вы можете настроить Kiosk Browser для переходов по URL-адресу и показа только содержимого: без кнопок навигации, адресной строки и т. д. Для сценариев терминала можно настроить дополнительные параметры, например разрешенные и заблокированные URL-адреса, кнопки навигации и кнопки окончания сеанса. Например, можно настроить терминал для показа интернет-каталога вашего магазина, где клиенты могут переходить между отделами и элементами, но не могут перейти на веб-сайт конкурента.

Kiosk Browser поддерживает одну вкладку. Если на веб-сайте есть ссылки, открывающие новую вкладку, эти ссылки не будут работать в Kiosk Browser. Kiosk Browser не поддерживает файлы PDF.

Kiosk Browser не может получить доступ к веб-сайтам интрасети.

Kiosk Browser требуется скачать для автономного лицензирования с помощью Microsoft Store для бизнеса. Вы можете развернуть Kiosk Browser на устройствах с Windows 10 версии 1803 (Pro, для бизнеса, Корпоративная и для образовательных учреждений) и Windows 11.

Если вы настраиваете терминал с помощью пакета подготовки, примените пакет подготовки после завершения запуска при первом включении устройства (OOBE).

Параметры Kiosk Browser

Если вы хотите ограничить доступ людей определенным сайтом, добавьте https://* в список заблокированных URL-адресов и укажите разрешенный сайт в списке исключений из заблокированных URL-адресов.URL-адрес по умолчаниюУказание URL-адреса, с помощью которого будет открываться Kiosk Browser. Совет! Заблокированные URL-адреса не должны включать URL-адрес по умолчанию.Включить кнопку «Завершение сеанса»Отображение кнопки в Kiosk Browser, которую можно использовать для сброса браузера. При завершении сеанса будут очищены все данные браузера и выполняется переход к URL-адресу по умолчанию.Включить кнопку «Главная»Отображение кнопки «Главная» в Kiosk Browser. Кнопка «Главная» возвращает браузер на URL-адрес по умолчанию.Включить кнопки навигацииОтображение кнопок «Вперед» и «Назад» в Kiosk Browser.Перезапуск во время простояУказание, когда Kiosk Browser должен перезапускаться в новое состояние после определенного времени простоя с момента последнего взаимодействия с пользователем.

Чтобы настроить несколько URL-адресов для исключений из заблокированных URL-адресов или заблокированных URL-адресов в конструкторе конфигураций Windows:

Чтобы включить кнопку Завершение сеанса для Kiosk Browser в Intune, создайте настраиваемую политику OMA-URI со следующими сведениями.

Правила URL-адресов в параметрах Kiosk Browser

Правила фильтрации Kiosk Browser основаны на проекте Chromium.

URL-адреса могут включать:

Дополнительные рекомендации для URL-адресов:

Примеры заблокированных URL-адресов и исключений

В следующей таблице описаны результаты для различных сочетаний заблокированных URL-адресов и исключений из заблокированных URL-адресов.

В следующей таблице приводятся примеры заблокированных URL-адресов.

Другие браузеры

Вы можете создать собственный браузер для Windows, используя класс WebView. Дополнительные сведения о разработке собственного браузера:

Защита информации

Не выбирайте приложения, в которых третьи лица смогут увидеть непредназначенные для них сведения, так как терминал обычно расположен в общественном месте (например, торговом центре) и используется анонимно. Например, приложение с выбором файлов позволяет пользователю получать доступ к файлам и папкам в системе пользователя, избегая выбора этих типов приложений, если они предоставляют ненужный доступ к данным.

Настройка приложений

Перед началом работы в режиме ограниченного доступа некоторые приложения нужно настроить. Например, перед запуском Microsoft OneNote нужно настроить учетную запись Майкрософт.

Просмотрите рекомендации для выбранного приложения и настройте его соответствующим образом.

Разработка приложения для терминала

Режим ограниченного доступа в клиенте Windows использует новую платформу блокировки. Когда пользователь с ограниченным доступом входит в систему, выбранное приложение для терминала запускается на экране блокировки. Приложение для терминала работает как приложение на экране блокировки.

Проверка режима ограниченного доступа

Приведенные выше рекомендации помогут вам выбрать или разработать подходящее приложение для использования в режиме ограниченного доступа. После выбора приложения рекомендуем тщательно протестировать режим ограниченного доступа, чтобы убедиться, что устройство удобно использовать.

Источник