Was ist der zugewiesene Zugriff?

• Gilt für::

  ✅ Windows 11, ✅ Windows 10

Zugewiesener Zugriff ist eine Windows-Funktion, mit der Sie ein Gerät als Kiosk oder mit eingeschränkter Benutzerfreundlichkeit konfigurieren können.

Wenn Sie ein Kiosk-Erlebnis konfigurieren, wird eine einzelne Universelle Windows-Plattform(UWP)-Anwendung oder Microsoft Edge im Vollbildmodus oberhalb des Sperrbildschirms ausgeführt. Die Benutzer können nur diese Anwendung verwenden. Wenn die Kiosk-App geschlossen wird, startet sie automatisch neu. Praktische Beispiele sind:

• Öffentliches Surfen
• Interaktive digitale Beschilderung

Wenn Sie eine eingeschränkte Benutzererfahrung konfigurieren, können Benutzer nur eine bestimmte Liste von Anwendungen mit einem angepassten Startmenü und einer Taskleiste ausführen. Verschiedene Richtlinieneinstellungen und AppLocker-Regeln werden durchgesetzt und sorgen für ein abgeschottetes Erlebnis. Die Benutzer können auf einen vertrauten Windows-Desktop zugreifen, während ihr Zugriff eingeschränkt wird, wodurch Ablenkungen und die Gefahr einer ungewollten Nutzung verringert werden. Ideal für gemeinsam genutzte Geräte, da Sie verschiedene Konfigurationen für verschiedene Benutzer erstellen können. Praktische Beispiele sind:

• Geräte für Frontline-Mitarbeiter
• Studentische Geräte
• Laborgeräte

Hinweis

Wenn Sie eine eingeschränkte Benutzererfahrung konfigurieren, werden verschiedene Richtlinieneinstellungen auf das Gerät angewendet. Einige Richtlinieneinstellungen gelten nur für Standardbenutzer, andere auch für Administratorkonten. Weitere Informationen finden Sie unter Richtlinieneinstellungen für zugewiesenen Zugriff.

Anforderungen

Hier sind die Voraussetzungen für den zugewiesenen Zugriff:

• Um ein Kiosk-Erlebnis zu nutzen, muss die Benutzerkontensteuerung (UAC) aktiviert sein
• Um ein Kiosk-Erlebnis zu nutzen, müssen Sie sich über die Konsole anmelden. Das Kiosk-Erlebnis wird über eine Remote-Desktop-Verbindung nicht unterstützt

Anforderungen an die Windows-Edition

In der folgenden Tabelle sind die Windows-Editionen aufgeführt, die zugewiesenen Zugriff unterstützen:

Edition	Unterstützung für zugewiesenen Zugriff
Bildung	✅
Unternehmen	✅
Enterprise LTSC	✅
IoT Enterprise	✅
IoT Enterprise LTSC	✅
Pro Education	✅
Pro	✅

Konfigurieren Sie ein Kiosk-Erlebnis

Es gibt mehrere Möglichkeiten, einen Kiosk zu konfigurieren. Wenn Sie ein einzelnes Gerät mit einem lokalen Konto konfigurieren müssen, können Sie dies tun:

• PowerShell: Sie können das Set-AssignedAccess PowerShell-Cmdlet verwenden, um ein Kiosk-Erlebnis unter Verwendung eines lokalen Standardkontos zu konfigurieren
• Einstellungen: Verwenden Sie diese Option, wenn Sie eine einfache Methode zur Konfiguration eines einzelnen Geräts mit einem lokalen Standardbenutzerkonto benötigen

Für fortgeschrittene Anpassungen können Sie den Zugewiesener-Zugriff-CSP verwenden, um das Kiosk-Erlebnis zu konfigurieren. Mit dem CSP können Sie die Kiosk-App, das Benutzerkonto und das Verhalten der Kiosk-App konfigurieren. Wenn Sie den CSP verwenden, müssen Sie eine XML-Konfigurationsdatei erstellen, in der die Kiosk-App und das Benutzerkonto angegeben sind. Die XML-Datei wird mit einer der folgenden Optionen auf das Gerät angewendet:

• Eine Mobile Device Management (MDM)-Lösung, wie Microsoft Intune
• Bereitstellungspakete
• PowerShell, mit dem MDM Bridge WMI Provider

Wie Sie die Shell Launcher-XML-Datei konfigurieren können, erfahren Sie unter Erstellen einer Konfigurationsdatei für zugewiesenen Zugriff.

Die folgenden Anweisungen enthalten Details zum Konfigurieren Ihrer Geräte. Wählen Sie die Option, die Ihren Bedürfnissen am besten entspricht.

Intune/CSP

Sie können Geräte mit einer benutzerdefinierten Richtlinie mit dem AssignedAccess CSP konfigurieren.

• Einstellung:./Vendor/MSFT/AssignedAccess/Configuration
• Wert: Inhalt der XML-Konfigurationsdatei

Weisen Sie die Richtlinie einer Gruppe zu, die die zu konfigurierenden Geräte als Mitglieder enthält.

PPKG

Verwenden Sie die folgenden Einstellungen, um ein Provisioning-Paket zu erstellen:

• Pfad:AssignedAccess/AssignedAccessSettings
• Wert: Geben Sie das Konto und die Anwendung ein, die Sie für den zugewiesenen Zugriff verwenden möchten, indem Sie die AUMID der Anwendung verwenden. Beispiel:
  • {"Account":"domain\user", "AUMID":"Microsoft.WindowsCalculator_8wekyb3d8bbwe!App"}

Wenden Sie das Bereitstellungspaket auf die Geräte an, die Sie konfigurieren möchten.

PowerShell

So konfigurieren Sie ein Gerät mit Windows PowerShell:

1. Als Administrator anmelden

2. Benutzerkonto für zugewiesenen Zugriff erstellen

3. Melden Sie sich als Benutzerkonto mit zugewiesenem Zugriff an

4. Installieren Sie die erforderliche UWP-Anwendung

5. Als Benutzerkonto für den zugewiesenen Zugriff abmelden

6. Melden Sie sich als Administrator an und verwenden Sie an einer erweiterten PowerShell-Eingabeaufforderung einen der folgenden Befehle:

   #Configure Assigned Access by AppUserModelID and user name
   Set-AssignedAccess -AppUserModelId <AUMID> -UserName <username>
   
   #Configure Assigned Access by AppUserModelID and user SID
   Set-AssignedAccess -AppUserModelId <AUMID> -UserSID <usersid>
   
   #Configure Assigned Access by app name and user name
   Set-AssignedAccess -AppName <CustomApp> -UserName <username>
   
   #Configure Assigned Access by app name and user SID**:
   Set-AssignedAccess -AppName <CustomApp> -UserSID <usersid>
   
   

Hinweis

Um den zugewiesenen Zugriff mit -AppName einzurichten, muss sich das Benutzerkonto, das Sie für den zugewiesenen Zugriff eingeben, mindestens einmal angemeldet haben.

Weitere Informationen finden Sie unter:

• Suchen der AUMID (Anwendungsbenutzermodell-ID) einer installierten App
• Set-AssignedAccess

Führen Sie zum Entfernen des zugewiesenen Zugriffs mit PowerShell das folgende Cmdlet aus:

Clear-AssignedAccess

Für erweiterte Anpassungen, die die XML-Konfigurationsdatei verwenden, können Sie PowerShell-Skripts über den MDM Bridge WMI Provider verwenden.

Wichtig

Für alle Geräteeinstellungen muss der WMI Bridge-Client als SYSTEM (LocalSystem)-Konto ausgeführt werden.

Um das PowerShell-Skript zu testen, können Sie:

1. Laden Sie das Tool psexec herunter
2. Öffnen Sie eine erweiterte Eingabeaufforderung und führen Sie sie aus: psexec.exe -i -s powershell.exe
3. Führen Sie das Skript in der PowerShell-Sitzung aus

$shellLauncherConfiguration = @"

# content of the XML configuration file

"@

$namespaceName="root\cimv2\mdm\dmmap"
$className="MDM_AssignedAccess"
$obj = Get-CimInstance -Namespace $namespaceName -ClassName $className
$obj.ShellLauncher = [System.Net.WebUtility]::HtmlEncode($shellLauncherConfiguration)
$obj = Set-CimInstance -CimInstance $obj -ErrorVariable cimSetError -ErrorAction SilentlyContinue
if($cimSetError) {
    Write-Output "An ERROR occurred. Displaying error record and attempting to retrieve error logs...`n"
    Write-Error -ErrorRecord $cimSetError[0]

    $timeout = New-TimeSpan -Seconds 30
    $stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    do{
        $events = Get-WinEvent -FilterHashtable $eventLogFilterHashTable -ErrorAction Ignore
    } until ($events.Count -or $stopwatch.Elapsed -gt $timeout) # wait for the log to be available

    if($events.Count) {
        $events | ForEach-Object {
            Write-Output "$($_.TimeCreated) [$($_.LevelDisplayName.ToUpper())] $($_.Message -replace "`n|`r")"
        }
    } else {
        Write-Warning "Timed-out attempting to retrieve event logs..."
    }

    Exit 1
}

Write-Output "Successfully applied Shell Launcher configuration"

Weitere Informationen finden Sie unter Verwenden von PowerShell-Skripten mit dem WMI Bridge Provider.

Einstellungen

Im Folgenden werden die Schritte zur Konfiguration eines Kiosks über die App Einstellungen beschrieben:

1. Öffnen Sie die App Einstellungen, um ein Gerät als Kiosk anzuzeigen und zu konfigurieren. Gehen Sie zu Einstellungen > Konten > Andere Benutzer, oder verwenden Sie die folgende Abkürzung:

   Andere Benutzer

2. Wählen Sie unter Kiosk einrichten die Option Starten

3. Geben Sie im Dialogfeld Konto erstellen den Kontonamen ein, und wählen Sie Weiter

   Hinweis

   Wenn es bereits lokale Standardbenutzerkonten gibt, bietet das Dialogfeld Konto erstellen die Möglichkeit, ein bestehendes Konto auszuwählen

4. Wählen Sie die Anwendung, die ausgeführt werden soll, wenn sich das Kioskkonto anmeldet. Nur Apps, die über dem Sperrbildschirm ausgeführt werden können, stehen in der Liste der Apps zur Auswahl. Wenn Sie Microsoft Edge als Kiosk-App wählen, konfigurieren Sie die folgenden Optionen:

   • Ob Microsoft Edge Ihre Website im Vollbildmodus (digitales Zeichen) oder mit einigen verfügbaren Browsersteuerungen (öffentlicher Browser) anzeigen soll
   • Welche URL soll geöffnet sein, wenn sich der Kioskkunde anmeldet?
   • Wann Microsoft Edge nach einem Zeitraum der Inaktivität neu gestartet werden soll (wenn Sie die Ausführung als öffentlicher Browser auswählen)

5. Wählen Sie Schließen

Wenn das Gerät nicht mit einer Active Directory-Domäne oder Microsoft Entra ID verbunden ist, wird die automatische Anmeldung des Kioskkontos automatisch konfiguriert:

• Wenn Sie möchten, dass sich das Kiosk-Konto automatisch anmeldet und die Kiosk-App beim Neustart des Geräts gestartet wird, müssen Sie nichts weiter tun
• Wenn Sie nicht möchten, dass sich das Kioskkonto beim Neustart des Geräts automatisch anmeldet, müssen Sie die Standardeinstellung ändern, bevor Sie das Gerät als Kiosk konfigurieren. Melden Sie sich mit dem Konto an, das Sie als Kioskkonto verwenden möchten. Öffnen Sie Einstellungen>Konten>Anmeldeoptionen. Setzen Sie die Einstellung Meine Anmeldeinformationen verwenden, um die Einrichtung meines Geräts nach einem Update oder Neustart automatisch abzuschließen auf Aus. Nachdem Sie die Einstellung geändert haben, können Sie die Kioskkonfiguration auf das Gerät anwenden

Tipp

Praktische Beispiele finden Sie im Schnellstart: Konfigurieren eines Kiosks mit zugewiesenem Zugriff.

Konfigurieren Sie eine eingeschränkte Benutzererfahrung

Um eine eingeschränkte Benutzererfahrung mit zugewiesenem Zugriff zu konfigurieren, müssen Sie eine XML-Konfigurationsdatei mit den Einstellungen für die gewünschte Erfahrung erstellen. Die XML-Datei wird über den Zugewiesener-Zugriff-CSP auf das Gerät angewendet, wobei eine der folgenden Optionen verwendet wird:

• Eine Mobile Device Management (MDM)-Lösung, wie Microsoft Intune
• Bereitstellungspakete
• PowerShell, mit dem MDM Bridge WMI Provider

Wie Sie die XML-Datei für den zugewiesenen Zugriff konfigurieren können, erfahren Sie unter Erstellen einer Konfigurationsdatei für den zugewiesenen Zugriff.

Die folgenden Anweisungen enthalten Details zum Konfigurieren Ihrer Geräte. Wählen Sie die Option, die Ihren Bedürfnissen am besten entspricht.

Intune/CSP

Sie können Geräte mit einer benutzerdefinierten Richtlinie mit dem AssignedAccess CSP konfigurieren.

• Einstellung:./Vendor/MSFT/AssignedAccess/ShellLauncher
• Wert: Inhalt der XML-Konfigurationsdatei

Weisen Sie die Richtlinie einer Gruppe zu, die die zu konfigurierenden Geräte als Mitglieder enthält.

PPKG

Verwenden Sie die folgenden Einstellungen, um ein Provisioning-Paket zu erstellen:

• Pfad:AssignedAccess/MultiAppAssignedAccessSettings
• Wert: Inhalt der XML-Konfigurationsdatei

Wenden Sie das Bereitstellungspaket auf die Geräte an, die Sie konfigurieren möchten.

PowerShell

Konfigurieren Sie Ihre Geräte mit PowerShell-Skripten über den MDM Bridge WMI Provider.

Wichtig

Für alle Geräteeinstellungen muss der WMI Bridge-Client als SYSTEM (LocalSystem)-Konto ausgeführt werden.

Um das PowerShell-Skript zu testen, können Sie:

1. Laden Sie das Tool psexec herunter
2. Öffnen Sie eine erweiterte Eingabeaufforderung und führen Sie sie aus: psexec.exe -i -s powershell.exe
3. Führen Sie das Skript in der PowerShell-Sitzung aus

$assignedAccessConfiguration = @"

# content of the XML configuration file

"@

$namespaceName="root\cimv2\mdm\dmmap"
$className="MDM_AssignedAccess"
$obj = Get-CimInstance -Namespace $namespaceName -ClassName $className
$obj.Configuration = [System.Net.WebUtility]::HtmlEncode($assignedAccessConfiguration)
$obj = Set-CimInstance -CimInstance $obj -ErrorVariable cimSetError -ErrorAction SilentlyContinue
if($cimSetError) {
    Write-Output "An ERROR occurred. Displaying error record and attempting to retrieve error logs...`n"
    Write-Error -ErrorRecord $cimSetError[0]

    $timeout = New-TimeSpan -Seconds 30
    $stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    do{
        $events = Get-WinEvent -FilterHashtable $eventLogFilterHashTable -ErrorAction Ignore
    } until ($events.Count -or $stopwatch.Elapsed -gt $timeout) # wait for the log to be available

    if($events.Count) {
        $events | ForEach-Object {
            Write-Output "$($_.TimeCreated) [$($_.LevelDisplayName.ToUpper())] $($_.Message -replace "`n|`r")"
        }
    } else {
        Write-Warning "Timed-out attempting to retrieve event logs..."
    }

    Exit 1
}

Write-Output "Successfully applied Assigned Access configuration"

Weitere Informationen finden Sie unter Verwenden von PowerShell-Skripten mit dem WMI Bridge Provider.

Einstellungen

Diese Option ist in den Einstellungen nicht verfügbar.

Tipp

Praktische Beispiele finden Sie im Schnellstart: Konfigurieren einer eingeschränkten Benutzererfahrung mit zugewiesenem Zugriff

Benutzerfreundlichkeit

Um die Kiosk- oder eingeschränkte Benutzererfahrung zu validieren, melden Sie sich mit dem Benutzerkonto an, das Sie in der Konfigurationsdatei angegeben haben.

Die Konfiguration des zugewiesenen Zugriffs wird wirksam, wenn sich der betreffende Benutzer das nächste Mal anmeldet. Wenn dieses Benutzerkonto angemeldet ist, wenn Sie die Konfiguration anwenden, melden Sie sich ab und wieder an, um die Erfahrung zu bestätigen.

Hinweis

Ab Windows 11 unterstützt ein eingeschränktes Benutzererlebnis die Verwendung mehrerer Monitore.

Autotrigger-Touch-Tastatur

Die Touch-Tastatur wird automatisch ausgelöst, wenn eine Eingabe erforderlich ist und auf Touch-fähigen Geräten keine physische Tastatur angebracht ist. Sie müssen keine weiteren Einstellungen vornehmen, um dieses Verhalten zu erzwingen.

Tipp

Die Touch-Tastatur wird nur ausgelöst, wenn Sie auf ein Textfeld tippen. Mausklicks lösen die Touch-Tastatur nicht aus. Wenn Sie diese Funktion testen, verwenden Sie ein physisches Gerät anstelle einer virtuellen Maschine (VM), da die Touch-Tastatur auf VMs nicht ausgelöst wird.

Abmelden vom zugewiesenen Zugriff

Um die Kiosk-Anwendung zu beenden, drücken Sie standardmäßig Strg + Alt + Entf. Die Kiosk-App wird automatisch beendet. Wenn Sie sich erneut mit dem zugewiesenen Zugriffskonto anmelden oder die Zeitüberschreitung des Anmeldebildschirms abwarten, wird die Kiosk-App erneut gestartet. Die Standardzeitüberschreitung beträgt 30 Sekunden, aber Sie können die Zeitüberschreitung mit dem Registrierungsschlüssel ändern:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI

Um die Standardzeit für die Wiederaufnahme des zugewiesenen Zugriffs zu ändern, fügen Sie IdleTimeOut (DWORD) hinzu und geben Sie den Wert als Millisekunden in hexadezimaler Form ein.

Hinweis

IdleTimeOut gilt nicht für den Kioskmodus von Microsoft Edge.

Die Breakout-Sequenz Strg + Alt + Entf ist die Standardeinstellung, aber diese Sequenz kann auf eine andere Tastenfolge konfiguriert werden. Die Breakout-Sequenz verwendet das Format Modifikatoren + Tasten. Ein Beispiel für eine Breakout-Sequenz ist CTRL + ALT + A, wobei CTRL + ALT die Modifikatoren sind und A der Schlüsselwert ist. Weitere Informationen finden Sie unter Erstellen einer XML-Konfigurationsdatei für zugewiesenen Zugriff.

Zugewiesenen Zugriff entfernen

Durch das Löschen der eingeschränkten Benutzererfahrung werden die mit den Benutzern verknüpften Richtlinieneinstellungen entfernt, aber es können nicht alle Konfigurationen rückgängig gemacht werden. So wird beispielsweise die Konfiguration des Startmenüs beibehalten.

Nächste Schritte

Lesen Sie die Empfehlungen, bevor Sie zugewiesenen Zugriff einsetzen:

Empfehlungen für zugewiesenen Zugriff