Este artículo contiene recomendaciones para dispositivos configurados con acceso asignado y iniciador de shell. La mayoría de las recomendaciones incluyen la configuración de directiva de grupo (GPO) y proveedor de servicios de configuración (CSP) para ayudarle a configurar los dispositivos de pantalla completa.
Cuenta de usuario de pantalla completa
En el caso de los dispositivos de pantalla completa ubicados en entornos orientados al público, configure como una cuenta de pantalla completa una cuenta de usuario con los privilegios mínimos, como una cuenta de usuario estándar local. El uso de un usuario de Active Directory o un usuario de Microsoft Entra podría permitir que un atacante obtenga acceso a recursos de dominio accesibles para cualquier cuenta de dominio. Cuando use cuentas de dominio con acceso asignado, tenga cuidado. Tenga en cuenta los recursos de dominio potencialmente expuestos mediante una cuenta de dominio.
Inicio de sesión automático
Considere la posibilidad de habilitar el inicio de sesión automático para el dispositivo de pantalla completa. Cuando se reinicia el dispositivo, desde una actualización o una interrupción de energía, puede configurar el dispositivo para que inicie sesión automáticamente con la cuenta de acceso asignado. Asegúrese de que la configuración de directiva aplicada al dispositivo no impide que el inicio de sesión automático funcione según lo esperado. Por ejemplo, la configuración de directiva PreferredAadTenantDomainName impide que el inicio de sesión automático funcione.
Puede configurar los archivos XML de acceso asignado y iniciador de shell con una cuenta para que inicien sesión automáticamente. Para obtener más información, consulte los artículos:
Configure los dispositivos de pantalla completa para que estén siempre actualizados, sin interrumpir la experiencia del usuario. Estas son algunas opciones de directiva que se deben tener en cuenta para configurar Windows Update para los dispositivos de pantalla completa:
Valor entero. Establézcalo 2en : desactive todas las notificaciones, incluidas las advertencias de reinicio.
GPO
Configuración del equipo\Plantillas administrativas\Componentes de Windows\Windows Update\Administrar la experiencia del usuario final
Mostrar opciones para notificaciones de > actualización Establezca el valor en 2: desactivar todas las notificaciones, incluidas las advertencias de reinicio.
GPO
Configuración del equipo\Plantillas administrativas\Componentes de Windows\Windows Update\Administrar la experiencia del usuario final\Configurar actualizaciones automáticas
4 - Descarga automática y programación de la instalación> especificar un tiempo de instalación que está fuera de las horas activas
GPO
Configuración del equipo\Plantillas administrativas\Componentes de Windows\Windows Update\Administrar la experiencia del usuario final\Desactivar inicio automático para actualizaciones durante las horas activas
Configurar las horas activas de inicio y finalización, durante las cuales el dispositivo de pantalla completa no se puede reiniciar debido a Windows Update
Configuración de energía
Es posible que quiera evitar que el dispositivo de pantalla completa entre en suspensión o impedir que los usuarios apaguen o reinicien el quiosco. Estas son algunas opciones a tener en cuenta:
Cuerda. Establecer en <Enabled/><Data ID="EnterACStandbyTimeOut" value="0"/>
GPO
Configuración del equipo\Plantillas administrativas\Menú Inicio y barra de tareas\Quitar e impedir el acceso a los comandos Apagar, Reiniciar, Suspender e Hibernar
Habilitar
GPO
Configuración del equipo\Plantillas administrativas\Sistema\Administración de energía\Configuración de botón\Seleccionar la acción de botón De encendido
Seleccionar la acción: No realizar ninguna acción
GPO
Configuración del equipo\Plantillas administrativas\Sistema\Administración de energía\Configuración de botones\Seleccionar la acción de botón De suspensión
Seleccionar la acción: No realizar ninguna acción
GPO
Configuración del equipo\Plantillas administrativas\Sistema\Administración de energía\Especificar el tiempo de espera de suspensión del sistema
Establezca el valor en 0 segundos.
GPO
Configuración del equipo\Plantillas administrativas\Sistema\Administración de energía\Configuración de vídeo y visualización\Desactivar la pantalla
Establezca el valor en 0 segundos.
GPO
Configuración del equipo\Configuración de Windows\Configuración de seguridad\Directivas locales\Opciones de seguridad\Apagado: permitir que el sistema se apague sin tener que iniciar sesión
Deshabilitado
GPO
Configuración del equipo\Configuración de Windows\Configuración de seguridad\Directivas locales\Asignación de derechos de usuario\Apagar el sistema
Quite los usuarios o grupos de esta directiva. Para evitar que esta directiva afecte a un miembro del grupo Administradores, asegúrese de mantener el grupo Administradores.
Oharra
También puede deshabilitar el botón de encendido en la pantalla de opciones de seguridad mediante una característica denominada Inicio de sesión personalizado. Para obtener más información sobre cómo quitar el botón de encendido o deshabilitar el botón de encendido físico, vea Inicio de sesión personalizado.
Métodos abreviados de teclado
Los siguientes métodos abreviados de teclado no se bloquean para ninguna cuenta de usuario configurada con una experiencia de usuario restringida:
Alt + F4
Alt + Pestaña
Alt + Turno + Pestaña
Ctrl + Alt + Borrar
Puede usar filtro de teclado para bloquear las combinaciones de teclas. La configuración del filtro de teclado se aplica a otras cuentas estándar.
Accesos directos de accesibilidad
El acceso asignado no cambia la configuración de accesibilidad. Use Filtro de teclado para bloquear las siguientes combinaciones de teclas que abren las características de accesibilidad:
Combinación de teclas
Comportamiento bloqueado
Alt + izquierdoDesplazamiento a la + izquierdaPantalla de impresión
Cuadro de diálogo Abrir contraste alto
Alt + izquierdoDesplazamiento a la + izquierdaBloqueo num
Cuadro de diálogo Abrir teclas del mouse
GANAR + U
Abra el panel de accesibilidad de la aplicación Configuración.
Oharra
Si filtro de teclado está activado, algunas combinaciones de teclas se bloquean automáticamente sin tener que bloquearlas explícitamente. Para obtener más información, vea Filtro de teclado.
También puede deshabilitar las características de accesibilidad y otras opciones en la pantalla de bloqueo con Inicio de sesión personalizado. Por ejemplo, para quitar la opción Accesibilidad, use la siguiente clave del Registro:
Elección de una aplicación para una experiencia de pantalla completa
Para crear una experiencia de pantalla completa con Acceso asignado, puedes elegir aplicaciones para UWP o Microsoft Edge. Sin embargo, es posible que algunas aplicaciones no proporcionen una buena experiencia de usuario cuando se usan como pantalla completa.
Las siguientes directrices le ayudarán a elegir una aplicación de Windows adecuada para una experiencia de pantalla completa:
Las aplicaciones de Windows deben aprovisionarse o instalarse para la cuenta de acceso asignado antes de que se puedan seleccionar como la aplicación De acceso asignado.
Aprenda a aprovisionar e instalar aplicaciones
A veces, las actualizaciones de aplicaciones para UWP pueden cambiar el identificador de modelo de usuario de la aplicación (AUMID) de la aplicación. En este escenario, debe actualizar la configuración de Acceso asignado para ejecutar la aplicación actualizada, ya que Acceso asignado usa el AUMID para determinar la aplicación que se va a iniciar.
La aplicación debe poder ejecutarse encima de la pantalla de bloqueo. Si la aplicación no se puede ejecutar por encima de la pantalla de bloqueo, no se puede usar como una aplicación de pantalla completa.
Algunas aplicaciones pueden iniciar otras aplicaciones. El acceso asignado en modo de pantalla completa impide que las aplicaciones de Windows inicien otras aplicaciones. Evite seleccionar aplicaciones de Windows diseñadas para iniciar otras aplicaciones como parte de su funcionalidad principal.
No seleccione aplicaciones de Windows que puedan exponer información que no quiera mostrar en la pantalla completa, ya que el quiosco multimedia suele significar acceso anónimo y se localiza en una configuración pública. Por ejemplo, una aplicación que tiene un selector de archivos permite al usuario obtener acceso a archivos y carpetas en el sistema del usuario, evitar seleccionar estos tipos de aplicaciones si proporcionan acceso a datos innecesarios.
Algunas aplicaciones pueden requerir más configuraciones antes de que se puedan usar correctamente en Acceso asignado. Por ejemplo, Microsoft OneNote requiere que configure una cuenta Microsoft para la cuenta de usuario de Acceso asignado antes de que se abra OneNote.
El perfil de quiosco está diseñado para dispositivos de pantalla completa orientados al público. Use una cuenta local no administradora. Si el dispositivo está conectado a la red de la organización, el uso de un dominio o una cuenta de Microsoft Entra podría poner en peligro la información confidencial.
Al planear la implementación de una pantalla completa o una experiencia de usuario restringida, tenga en cuenta las siguientes recomendaciones:
Evalúe todas las aplicaciones que los usuarios deben usar. Si las aplicaciones requieren autenticación de usuario, no use una cuenta de usuario local o genérica. En su lugar, tenga como destino el grupo de usuarios dentro del archivo de configuración de acceso asignado.
Un quiosco de varias aplicaciones es adecuado para dispositivos compartidos por varias personas. Al configurar una pantalla completa de varias aplicaciones, determinadas opciones de directiva que afectan a todos los usuarios no administradores del dispositivo. Para obtener una lista de estas directivas, consulte Configuración de directivas de acceso asignado.
Cuando se produce un error de detención, Windows muestra una pantalla azul con un código de error de detención. Puede reemplazar la pantalla estándar por una pantalla en blanco para errores del sistema operativo. Para obtener más información, consulte Configuración de opciones de recuperación y errores del sistema.
Notificaciones de pantalla de bloqueo
Considere la posibilidad de quitar notificaciones de la pantalla de bloqueo para evitar que los usuarios vean notificaciones cuando el dispositivo está bloqueado. Estas son algunas opciones a tener en cuenta:
Configuración del equipo\Plantillas administrativas\Sistema\Inicio de sesión\Desactivar notificaciones de aplicación en la pantalla de bloqueo
Habilitado
Solución de problemas y registros
Al probar el acceso asignado, puede ser útil habilitar el registro para ayudarle a solucionar problemas. Los registros pueden ayudarle a identificar problemas de configuración y tiempo de ejecución. Puede habilitar el siguiente registro: Registros de aplicaciones y servicios>Microsoft>Windows>AssignedAccess>Operational.
Las siguientes claves del Registro contienen las configuraciones de acceso asignado:
El escritorio virtual proporciona a los usuarios acceso fácil y sin problemas a sus máquinas virtuales asignadas, a menudo con una solución de inicio de sesión único.
Muestre las características de Microsoft Entra ID para modernizar las soluciones de identidad, implementar soluciones híbridas e implementar la gobernanza de identidades.
Obtenga información sobre cómo configurar una experiencia de pantalla completa con acceso asignado mediante el proveedor de servicios de configuración de acceso asignado (CSP), Microsoft Intune, PowerShell o la directiva de grupo (GPO).
Obtenga información sobre cómo configurar una experiencia de usuario restringida con acceso asignado mediante el proveedor de servicios de configuración de acceso asignado (CSP), Microsoft Intune, PowerShell o la directiva de grupo (GPO).
Aprenda a solucionar problemas de configuración de pantalla completa de aplicación única y de varias aplicaciones, así como problemas comunes, como problemas de inicio de sesión.