¿Qué es el acceso asignado?

• Se aplica a:

  ✅ Windows 11, ✅ Windows 10

El acceso asignado es una característica de Windows que puede usar para configurar un dispositivo como quiosco multimedia o con una experiencia de usuario restringida.

Al configurar una experiencia de quiosco, una sola aplicación de la Plataforma universal de Windows (UWP) o Microsoft Edge se ejecuta en quiosco, encima de la pantalla de bloqueo. Los usuarios solo pueden usar esa aplicación. Si se cierra la aplicación de quiosco, se reiniciará automáticamente. Algunos ejemplos prácticos:

• Navegación pública
• Señalización digital interactiva

Al configurar una experiencia de usuario restringida, los usuarios solo pueden ejecutar una lista definida de aplicaciones, con un menú Inicio personalizado y una barra de tareas. Se aplican diferentes configuraciones de directiva y reglas de AppLocker, lo que crea una experiencia bloqueada. Los usuarios pueden acceder a un escritorio de Windows conocido, a la vez que limitan su acceso, reducen las distracciones y pueden usarse involuntariamente. Ideal para dispositivos compartidos, puede crear diferentes configuraciones para distintos usuarios. Algunos ejemplos prácticos:

• Dispositivos de personal de primera línea
• Dispositivos de alumnos
• Dispositivos de laboratorio

Nota

Al configurar una experiencia de usuario restringida, se aplican diferentes opciones de directiva al dispositivo. Algunas configuraciones de directiva solo se aplican a los usuarios estándar y otras a las cuentas de administrador. Para obtener más información, vea configuración de directiva de acceso asignado.

Requisitos

Estos son los requisitos para el acceso asignado:

• Para usar una experiencia de quiosco, el control de cuentas de usuario (UAC) debe estar habilitado
• Para usar una experiencia de quiosco, debes iniciar sesión desde la consola. La experiencia de quiosco no se admite a través de una conexión de escritorio remoto

Requisitos de la edición de Windows

En la tabla siguiente se enumeran las ediciones de Windows que admiten el acceso asignado:

Edición	Compatibilidad con acceso asignado
Educación	✅
Empresa	✅
Enterprise LTSC	✅
IoT Enterprise	✅
IoT Enterprise LTSC	✅
Pro Education	✅
Pro	✅

Configuración de una experiencia de quiosco

Hay varias opciones para configurar una experiencia de quiosco. Si necesita configurar un único dispositivo con una cuenta local, puede usar:

• PowerShell: puede usar el cmdlet Set-AssignedAccess de PowerShell para configurar una experiencia de quiosco mediante una cuenta estándar local.
• Configuración: use esta opción cuando necesite un método sencillo para configurar un único dispositivo con una cuenta de usuario estándar local.

En el caso de las personalizaciones avanzadas, puede usar el CSP de acceso asignado para configurar la experiencia de quiosco. El CSP le permite configurar la aplicación de quiosco, la cuenta de usuario y el comportamiento de la aplicación de quiosco. Al usar el CSP, debe crear un archivo de configuración XML que especifique la aplicación de quiosco y la cuenta de usuario. El archivo XML se aplica al dispositivo mediante una de las siguientes opciones:

• Una solución de Administración de dispositivos móviles (MDM), como Microsoft Intune
• Paquetes de aprovisionamiento
• PowerShell, con el proveedor WMI de puente MDM

Para obtener información sobre cómo configurar el archivo XML del iniciador de shell, consulte Creación de un archivo de configuración de acceso asignado.

En las instrucciones siguientes se proporcionan detalles sobre cómo configurar los dispositivos. Seleccione la opción que mejor se adapte a sus necesidades.

Intune/CSP

Puede configurar dispositivos mediante una directiva personalizada con el CSP de AssignedAccess.

• Configuración:./Vendor/MSFT/AssignedAccess/Configuration
• Valor: contenido del archivo de configuración XML

Asigne la directiva a un grupo que contenga como miembros los dispositivos que desea configurar.

PPKG

Use la siguiente configuración para crear un paquete de aprovisionamiento:

• Ruta de acceso:AssignedAccess/AssignedAccessSettings
• Valor: escriba la cuenta y la aplicación que desea usar para el acceso asignado, mediante el AUMID de la aplicación. Por ejemplo:
  • {"Account":"domain\user", "AUMID":"Microsoft.WindowsCalculator_8wekyb3d8bbwe!App"}

Aplicar el paquete de aprovisionamiento a los dispositivos que desea configurar.

PowerShell

Para configurar un dispositivo mediante Windows PowerShell:

1. Inicie sesión como administrador

2. Cree la cuenta de usuario para el acceso asignado.

3. Iniciar sesión como la cuenta de usuario de acceso asignado

4. Instalación de la aplicación para UWP necesaria

5. Cierre la sesión como cuenta de usuario de acceso asignado.

6. Inicie sesión como administrador y, desde un símbolo del sistema de PowerShell con privilegios elevados, use uno de los siguientes comandos:

   #Configure Assigned Access by AppUserModelID and user name
   Set-AssignedAccess -AppUserModelId <AUMID> -UserName <username>
   
   #Configure Assigned Access by AppUserModelID and user SID
   Set-AssignedAccess -AppUserModelId <AUMID> -UserSID <usersid>
   
   #Configure Assigned Access by app name and user name
   Set-AssignedAccess -AppName <CustomApp> -UserName <username>
   
   #Configure Assigned Access by app name and user SID**:
   Set-AssignedAccess -AppName <CustomApp> -UserSID <usersid>
   
   

Nota

Para configurar el acceso asignado mediante -AppName, la cuenta de usuario que introduzca para el acceso asignado debe haber iniciado sesión al menos una vez.

Para más información:

• Buscar el id. de modelo de usuario de aplicación de una aplicación instalada.
• Set-AssignedAccess

Para eliminar el acceso asignado, mediante PowerShell, ejecute el siguiente cmdlet:

Clear-AssignedAccess

En el caso de las personalizaciones avanzadas que usan el archivo de configuración XML, puede usar scripts de PowerShell a través del proveedor WMI del puente MDM.

Importante

Para toda la configuración del dispositivo, el cliente del puente WMI debe ejecutarse como cuenta SYSTEM (LocalSystem).

Para probar el script de PowerShell, puede hacer lo siguiente:

1. Descargar la herramienta psexec
2. Abrir un símbolo del sistema con privilegios elevados y ejecutar: psexec.exe -i -s powershell.exe
3. Ejecutar el script en la sesión de PowerShell

$shellLauncherConfiguration = @"

# content of the XML configuration file

"@

$namespaceName="root\cimv2\mdm\dmmap"
$className="MDM_AssignedAccess"
$obj = Get-CimInstance -Namespace $namespaceName -ClassName $className
$obj.ShellLauncher = [System.Net.WebUtility]::HtmlEncode($shellLauncherConfiguration)
$obj = Set-CimInstance -CimInstance $obj -ErrorVariable cimSetError -ErrorAction SilentlyContinue
if($cimSetError) {
    Write-Output "An ERROR occurred. Displaying error record and attempting to retrieve error logs...`n"
    Write-Error -ErrorRecord $cimSetError[0]

    $timeout = New-TimeSpan -Seconds 30
    $stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    do{
        $events = Get-WinEvent -FilterHashtable $eventLogFilterHashTable -ErrorAction Ignore
    } until ($events.Count -or $stopwatch.Elapsed -gt $timeout) # wait for the log to be available

    if($events.Count) {
        $events | ForEach-Object {
            Write-Output "$($_.TimeCreated) [$($_.LevelDisplayName.ToUpper())] $($_.Message -replace "`n|`r")"
        }
    } else {
        Write-Warning "Timed-out attempting to retrieve event logs..."
    }

    Exit 1
}

Write-Output "Successfully applied Shell Launcher configuration"

Para obtener más información, consulte Uso de scripts de PowerShell con el proveedor de puentes WMI.

Configuración

Estos son los pasos para configurar un quiosco mediante la aplicación Configuración:

1. Abra la aplicación Configuración para ver y configurar un dispositivo como quiosco. Vaya a Configuración > Cuentas > Otros usuarioso use el siguiente acceso directo:

   Otros usuarios

2. En Configurar un quiosco, seleccione Introducción.

3. En el cuadro de diálogo Crear una cuenta, escriba el nombre de la cuenta y seleccione Siguiente

   Nota

   Si ya hay cuentas de usuario estándar locales, el cuadro de diálogo Crear una cuenta ofrece la opción de Elegir una cuenta existente

4. Elija la aplicación que se ejecutará cuando la cuenta de quiosco inicie sesión. Solo las aplicaciones que pueden ejecutarse por encima de la pantalla de bloqueo estarán disponibles en la lista de aplicaciones entre las que elegir. Si selecciona Microsoft Edge como aplicación de quiosco, configura las siguientes opciones:

   • Si Microsoft Edge debe mostrar su sitio web a pantalla completa (señal digital) o con algunos controles del navegador disponibles (navegador público).
   • Qué dirección URL debe estar abierta cuando las cuentas de quiosco inicien sesión
   • Cuando debe reiniciarse Microsoft Edge tras un periodo de inactividad (si selecciona ejecutarse como navegador público).

5. Seleccione Cerrar

Cuando el dispositivo no está unido a un dominio de Active Directory o Microsoft Entra ID, el inicio de sesión automático de la cuenta de quiosco se configura automáticamente:

• Si desea que la cuenta de quiosco inicie sesión automáticamente y que la aplicación de quiosco se inicie cuando se reinicie el dispositivo, no necesita hacer nada.
• Si no desea que la cuenta de quiosco inicie sesión automáticamente cuando se reinicie el dispositivo, deberá cambiar la configuración predeterminada antes de configurar el dispositivo como quiosco. Inicie sesión con la cuenta que desea usar como cuenta de quiosco multimedia. Abra Configuración>Cuentas>Opciones de inicio de sesión. Establezca la opción Utilizar mi información de inicio de sesión para finalizar automáticamente la configuración del dispositivo tras una actualización o reinicio en Desactivado. Después de cambiar la configuración, puede aplicar la configuración de quiosco multimedia al dispositivo.

Sugerencia

Para obtener ejemplos prácticos, consulte la guía de inicio rápido de : Configuración de un quiosco multimedia con acceso asignado.

Configuración de una experiencia de usuario restringida

Para configurar una experiencia de usuario restringida con acceso asignado, debe crear un archivo de configuración XML con la configuración de la experiencia deseada. El archivo XML se aplica al dispositivo a través del CSP de acceso asignado mediante una de las siguientes opciones:

• Una solución de Administración de dispositivos móviles (MDM), como Microsoft Intune
• Paquetes de aprovisionamiento
• PowerShell, con el proveedor WMI de puente MDM

Para obtener información sobre cómo configurar el archivo XML de acceso asignado, vea Crear un archivo de configuración de acceso asignado.

En las instrucciones siguientes se proporcionan detalles sobre cómo configurar los dispositivos. Seleccione la opción que mejor se adapte a sus necesidades.

Intune/CSP

Puede configurar dispositivos mediante una directiva personalizada con el CSP de AssignedAccess.

• Configuración:./Vendor/MSFT/AssignedAccess/ShellLauncher
• Valor: contenido del archivo de configuración XML

Asigne la directiva a un grupo que contenga como miembros los dispositivos que desea configurar.

PPKG

Use la siguiente configuración para crear un paquete de aprovisionamiento:

• Ruta de acceso:AssignedAccess/MultiAppAssignedAccessSettings
• Valor: contenido del archivo de configuración XML

Aplicar el paquete de aprovisionamiento a los dispositivos que desea configurar.

PowerShell

Configure los dispositivos mediante scripts de PowerShell a través del proveedor WMI del puente MDM.

Importante

Para toda la configuración del dispositivo, el cliente del puente WMI debe ejecutarse como cuenta SYSTEM (LocalSystem).

Para probar el script de PowerShell, puede hacer lo siguiente:

1. Descargar la herramienta psexec
2. Abrir un símbolo del sistema con privilegios elevados y ejecutar: psexec.exe -i -s powershell.exe
3. Ejecutar el script en la sesión de PowerShell

$assignedAccessConfiguration = @"

# content of the XML configuration file

"@

$namespaceName="root\cimv2\mdm\dmmap"
$className="MDM_AssignedAccess"
$obj = Get-CimInstance -Namespace $namespaceName -ClassName $className
$obj.Configuration = [System.Net.WebUtility]::HtmlEncode($assignedAccessConfiguration)
$obj = Set-CimInstance -CimInstance $obj -ErrorVariable cimSetError -ErrorAction SilentlyContinue
if($cimSetError) {
    Write-Output "An ERROR occurred. Displaying error record and attempting to retrieve error logs...`n"
    Write-Error -ErrorRecord $cimSetError[0]

    $timeout = New-TimeSpan -Seconds 30
    $stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    do{
        $events = Get-WinEvent -FilterHashtable $eventLogFilterHashTable -ErrorAction Ignore
    } until ($events.Count -or $stopwatch.Elapsed -gt $timeout) # wait for the log to be available

    if($events.Count) {
        $events | ForEach-Object {
            Write-Output "$($_.TimeCreated) [$($_.LevelDisplayName.ToUpper())] $($_.Message -replace "`n|`r")"
        }
    } else {
        Write-Warning "Timed-out attempting to retrieve event logs..."
    }

    Exit 1
}

Write-Output "Successfully applied Assigned Access configuration"

Para obtener más información, consulte Uso de scripts de PowerShell con el proveedor de puentes WMI.

Configuración

Esta opción no está disponible con Configuración.

Sugerencia

Para obtener ejemplos prácticos, consulte la Guía de inicio rápido: Configuración de una experiencia de usuario restringida con acceso asignado

Experiencia del usuario

Para validar la experiencia de usuario restringida o de quiosco, inicie sesión con la cuenta de usuario que especificó en el archivo de configuración.

La configuración de acceso asignado surtirá efecto la próxima vez que el usuario de destino inicie sesión. Si esa cuenta de usuario ha iniciado sesión al aplicar la configuración, cierre la sesión y vuelva a iniciarla para validar la experiencia.

Nota

A partir de Windows 11, una experiencia de usuario restringida admite el uso de varios monitores.

Teclado táctil de desencadenador automático

El teclado táctil se desencadena automáticamente cuando se necesita una entrada y no se conecta ningún teclado físico en dispositivos táctiles. No tiene que configurar ningún otro valor para aplicar este comportamiento.

Sugerencia

El teclado táctil solo se desencadena al pulsar un cuadro de texto. Los clics del mouse no activan el teclado táctil. Si va a probar esta característica, use un dispositivo físico en lugar de una máquina virtual (VM), ya que el teclado táctil no se desencadena en las máquinas virtuales.

Cerrar la sesión de acceso asignado

De forma predeterminada, para salir de la experiencia de quiosco, presione Ctrl + Alt + Supr. La aplicación de quiosco se cerrará automáticamente. Si vuelve a iniciar sesión con la cuenta de acceso asignada o espera a que se agote el tiempo de espera de la pantalla de inicio de sesión, la aplicación del quiosco se reinicia. El tiempo de espera predeterminado es de 30 segundos, pero puede cambiar el tiempo de espera con la clave del registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI

Para cambiar la hora predeterminada para que se reanude el acceso asignado, agregue IdleTimeOut (DWORD) y escriba los datos del valor como milisegundos en formato hexadecimal.

Nota

IdleTimeOut no se aplica al modo quiosco de Microsoft Edge.

La secuencia de teclas Ctrl + Alt + Supr es la predeterminada, pero esta secuencia puede configurarse para que sea una secuencia de teclas diferente. La secuencia de ruptura utiliza los modificadores de formato + teclas. Una secuencia de desglose de ejemplo es Ctrl + Alt + A, donde Ctrl + Alt son los modificadores y A es el valor de clave. Para obtener más información, consulte Crear un archivo XML de configuración de acceso asignado.

Quitar acceso asignado

La eliminación de la experiencia de usuario restringida quita la configuración de directiva asociada a los usuarios, pero no puede revertir todas las configuraciones. Por ejemplo, se mantiene la configuración del menú Inicio.

Pasos siguientes

Revise las recomendaciones antes de implementar acceso asignado:

Recomendaciones de acceso asignado