Che cos'è Accesso assegnato?

• Si applica a:

  ✅ Windows 11, ✅ Windows 10

Accesso assegnato è una funzionalità di Windows che è possibile usare per configurare un dispositivo come chiosco multimediale o con un'esperienza utente con restrizioni.

Quando si configura un’esperienza chiosco, viene eseguita una singola applicazione piattaforma UWP (Universal Windows Platform) o Microsoft Edge a schermo intero, sopra la schermata di blocco. Gli utenti possono usare solo tale applicazione. Se l'app chiosco è chiusa, verrà automaticamente riavviata. Esempi pratici includono:

• Esplorazione pubblica
• Segnalazione digitale interattiva

Quando si configura un'esperienza utente con restrizioni, gli utenti possono eseguire solo un elenco definito di applicazioni, con un menu Start e una barra delle applicazioni personalizzati. Vengono applicate diverse impostazioni di criteri e regole AppLocker, creando un'esperienza di blocco. Gli utenti possono accedere a un desktop Windows familiare, pur limitando il loro accesso, riducendo le distrazioni e il potenziale di utilizzo involontario. Ideale per i dispositivi condivisi, è possibile creare configurazioni diverse per i vari utenti. Esempi pratici includono:

• Dispositivi di lavoro in prima linea
• Dispositivi degli studenti.
• Dispositivi di laboratorio

Nota

Quando si configura un'esperienza utente con restrizioni, al dispositivo vengono applicate impostazioni di criteri diverse. Alcune impostazioni dei criteri si applicano solo agli utenti standard e altre anche agli account amministratore. Per ulteriori informazioni, consultare le impostazioni dei criteri Accesso assegnato.

Requisiti

Ecco i requisiti per Accesso assegnato:

• Per utilizzare un'esperienza chiosco, è necessario abilitare il controllo dell'account utente (UAC).
• Per utilizzare un'esperienza chiosco, è necessario effettuare l'accesso dalla console. L'esperienza chiosco non è supportata da una connessione desktop remota

Requisiti dell'edizione di Windows

La tabella seguente elenca le edizioni di Windows che supportano Accesso assegnato:

Edizione	Supporto per l'accesso assegnato
Education	✅
Per le aziende	✅
Enterprise LTSC	✅
IoT Enterprise	✅
IoT Enterprise LTSC	✅
Pro Education	✅
Pro	✅

Configurare un'esperienza chiosco

Sono disponibili diverse opzioni per configurare l'esperienza chiosco. Se è necessario configurare un singolo dispositivo con un account locale, si può utilizzare:

• PowerShell: è possibile utilizzare il cmdlet Set-AssignedAccess PowerShell per configurare un'esperienza chiosco utilizzando un account standard locale.
• Impostazioni: utilizzare questa opzione quando è necessario un metodo semplice per configurare un singolo dispositivo con un account utente standard locale

Per le personalizzazioni avanzate, è possibile utilizzare il CSP Accesso assegnato per configurare l'esperienza chiosco. Il CSP consente di configurare l'applicazione chiosco, l'account utente e il comportamento dell'applicazione chiosco. Quando si utilizza il CSP, è necessario creare un file di configurazione XML che specifichi l'applicazione chiosco e l'account utente. Il file XML viene applicato al dispositivo utilizzando una delle seguenti opzioni:

• Una soluzione di gestione dei dispositivi mobili (MDM), come Microsoft Intune
• Pacchetti di provisioning
• PowerShell, con il provider WMI del bridge MDM

Per informazioni su come configurare il file XML di Shell Launcher, vedi Creazione di un file di configurazione di Accesso assegnato.

Le istruzioni seguenti forniscono informazioni dettagliate su come configurare i dispositivi. Seleziona l'opzione più adatta alle tue esigenze.

Intune/CSP

Puoi configurare i dispositivi utilizzando un criterio personalizzato con il CSP AssignedAccess.

• Impostazioni:./Vendor/MSFT/AssignedAccess/Configuration
• Valore: contenuto del file di configurazione XML

Assegnare il criterio a un gruppo che contenga come membri i dispositivi da configurare.

PPKG

Usare le impostazioni seguenti per creare un pacchetto di provisioning:

• Percorso:AssignedAccess/AssignedAccessSettings
• Valore: immettere l'account e l'applicazione che vuoi utilizzare per l'Accesso assegnato, utilizzando l'AUMID dell'applicazione. Esempio:
  • {"Account":"domain\user", "AUMID":"Microsoft.WindowsCalculator_8wekyb3d8bbwe!App"}

Applicare il pacchetto di provisioning ai dispositivi che vuoi configurare.

PowerShell

Per configurare un dispositivo con Windows PowerShell:

1. Accedi come amministratore

2. Crea l'account utente per l'Accesso assegnato

3. Accedi come account utente dell'Accesso Assegnato

4. Installa l'app UWP necessaria

5. Disconnettiti dall'account utente dell'Accesso Assegnato

6. Accedi come amministratore e da un prompt di PowerShell elevato utilizza uno dei seguenti comandi:

   #Configure Assigned Access by AppUserModelID and user name
   Set-AssignedAccess -AppUserModelId <AUMID> -UserName <username>
   
   #Configure Assigned Access by AppUserModelID and user SID
   Set-AssignedAccess -AppUserModelId <AUMID> -UserSID <usersid>
   
   #Configure Assigned Access by app name and user name
   Set-AssignedAccess -AppName <CustomApp> -UserName <username>
   
   #Configure Assigned Access by app name and user SID**:
   Set-AssignedAccess -AppName <CustomApp> -UserSID <usersid>
   
   

Nota

Per impostare l'Accesso assegnato utilizzando -AppName, l'account utente inserito per l'Accesso assegnato deve aver effettuato l'accesso almeno una volta.

Per ulteriori informazioni:

• Trovare l'ID modello dell'utente dell'applicazione per un'app installata
• Set-AssignedAccess

Per rimuovere l'Accesso assegnato con PowerShell, esegui il cmdlet seguente:

Clear-AssignedAccess

Per le personalizzazioni avanzate che utilizzano il file di configurazione XML, è possibile utilizzare gli script PowerShell tramite il provider WMI di MDM Bridge.

Importante

Per tutte le impostazioni del dispositivo, il client WMI Bridge deve essere eseguito come account SYSTEM (LocalSystem).

Per testare lo script di PowerShell, è possibile:

1. Scaricare lo strumento psexec.
2. Aprire un prompt dei comandi elevato ed eseguire: psexec.exe -i -s powershell.exe
3. Eseguire lo script nella sessione di PowerShell

$shellLauncherConfiguration = @"

# content of the XML configuration file

"@

$namespaceName="root\cimv2\mdm\dmmap"
$className="MDM_AssignedAccess"
$obj = Get-CimInstance -Namespace $namespaceName -ClassName $className
$obj.ShellLauncher = [System.Net.WebUtility]::HtmlEncode($shellLauncherConfiguration)
$obj = Set-CimInstance -CimInstance $obj -ErrorVariable cimSetError -ErrorAction SilentlyContinue
if($cimSetError) {
    Write-Output "An ERROR occurred. Displaying error record and attempting to retrieve error logs...`n"
    Write-Error -ErrorRecord $cimSetError[0]

    $timeout = New-TimeSpan -Seconds 30
    $stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    do{
        $events = Get-WinEvent -FilterHashtable $eventLogFilterHashTable -ErrorAction Ignore
    } until ($events.Count -or $stopwatch.Elapsed -gt $timeout) # wait for the log to be available

    if($events.Count) {
        $events | ForEach-Object {
            Write-Output "$($_.TimeCreated) [$($_.LevelDisplayName.ToUpper())] $($_.Message -replace "`n|`r")"
        }
    } else {
        Write-Warning "Timed-out attempting to retrieve event logs..."
    }

    Exit 1
}

Write-Output "Successfully applied Shell Launcher configuration"

Per ulteriori informazioni, vedi Utilizzo dello scripting PowerShell con il WMI Bridge Provider.

Impostazioni

Ecco i passaggi per configurare un chiosco usando l'app Impostazioni:

1. Aprire l'app Impostazioni per visualizzare e configurare un dispositivo come chiosco. Passa a Impostazioni > Account > Altri utenti o usa il collegamento seguente:

   Altri utenti

2. In Configura un chiosco seleziona Introduzione

3. Nella finestra di dialogo Crea un account immetti il nome dell'account e seleziona Avanti

   Nota

   Se sono già presenti account utente standard locali, la finestra di dialogo Crea un account offre l'opzione Scegliere un account esistente

4. Scegliere l'applicazione da eseguire quando l'account chiosco accede. Solo le app che possono essere eseguite sopra la schermata di blocco sono disponibili nell'elenco delle app tra cui scegliere. Se si seleziona Microsoft Edge come app in modalità chiosco, configura le opzioni seguenti:

   • Se Microsoft Edge deve visualizzare il sito web a schermo intero (segno digitale) o con alcuni controlli del browser disponibili (browser pubblico)
   • Quale URL deve essere aperto quando gli account chiosco effettuano l'accesso
   • Quando Microsoft Edge deve essere riavviato dopo un periodo di inattività (se si seleziona l'esecuzione come browser pubblico)

5. Seleziona Chiudi.

Quando il dispositivo non è collegato a un dominio Active Directory o a Microsoft Entra ID, l'accesso automatico all'account chiosco viene configurato automaticamente:

• Se si desidera che l'account chiosco effettui l'accesso automatico e che l'app chiosco venga avviata al riavvio del dispositivo, non è necessario eseguire alcuna operazione.
• Se non si desidera che l'account chiosco effettui l'accesso automatico al riavvio del dispositivo, è necessario modificare l'impostazione predefinita prima di configurare il dispositivo come chiosco. Accedi con l'account che vuoi usare come account chiosco. Apri Impostazioni>Account>Opzioni di accesso. Imposta l'opzione Usa le mie informazioni di accesso per completare automaticamente la configurazione del dispositivo dopo un aggiornamento o un riavvio su Off. Dopo aver modificato l'impostazione, puoi applicare la configurazione chiosco al dispositivo.

Suggerimento

Per esempi pratici, vedi Guida introduttiva: configurare un chiosco con Accesso assegnato.

Configurare un'esperienza utente con restrizioni

Per configurare un'esperienza utente limitata con Accesso assegnato, è necessario creare un file di configurazione XML con le impostazioni per l'esperienza desiderata. Il file XML viene applicato al dispositivo tramite il CSP Accesso assegnato, utilizzando una delle seguenti opzioni:

• Una soluzione di gestione dei dispositivi mobili (MDM), come Microsoft Intune
• Pacchetti di provisioning
• PowerShell, con il provider WMI del bridge MDM

Per imparare a configurare il file XML di Accesso assegnato, vedi Creazione di un file di configurazione di Accesso assegnato.

Le istruzioni seguenti forniscono informazioni dettagliate su come configurare i dispositivi. Seleziona l'opzione più adatta alle tue esigenze.

Intune/CSP

Puoi configurare i dispositivi utilizzando un criterio personalizzato con il CSP AssignedAccess.

• Impostazioni:./Vendor/MSFT/AssignedAccess/ShellLauncher
• Valore: contenuto del file di configurazione XML

Assegnare il criterio a un gruppo che contenga come membri i dispositivi da configurare.

PPKG

Usare le impostazioni seguenti per creare un pacchetto di provisioning:

• Percorso:AssignedAccess/MultiAppAssignedAccessSettings
• Valore: contenuto del file di configurazione XML

Applicare il pacchetto di provisioning ai dispositivi che vuoi configurare.

PowerShell

Configurare i dispositivi utilizzando script PowerShell tramite il provider MDM Bridge WMI.

Importante

Per tutte le impostazioni del dispositivo, il client WMI Bridge deve essere eseguito come account SYSTEM (LocalSystem).

Per testare lo script di PowerShell, è possibile:

1. Scaricare lo strumento psexec.
2. Aprire un prompt dei comandi elevato ed eseguire: psexec.exe -i -s powershell.exe
3. Eseguire lo script nella sessione di PowerShell

$assignedAccessConfiguration = @"

# content of the XML configuration file

"@

$namespaceName="root\cimv2\mdm\dmmap"
$className="MDM_AssignedAccess"
$obj = Get-CimInstance -Namespace $namespaceName -ClassName $className
$obj.Configuration = [System.Net.WebUtility]::HtmlEncode($assignedAccessConfiguration)
$obj = Set-CimInstance -CimInstance $obj -ErrorVariable cimSetError -ErrorAction SilentlyContinue
if($cimSetError) {
    Write-Output "An ERROR occurred. Displaying error record and attempting to retrieve error logs...`n"
    Write-Error -ErrorRecord $cimSetError[0]

    $timeout = New-TimeSpan -Seconds 30
    $stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    do{
        $events = Get-WinEvent -FilterHashtable $eventLogFilterHashTable -ErrorAction Ignore
    } until ($events.Count -or $stopwatch.Elapsed -gt $timeout) # wait for the log to be available

    if($events.Count) {
        $events | ForEach-Object {
            Write-Output "$($_.TimeCreated) [$($_.LevelDisplayName.ToUpper())] $($_.Message -replace "`n|`r")"
        }
    } else {
        Write-Warning "Timed-out attempting to retrieve event logs..."
    }

    Exit 1
}

Write-Output "Successfully applied Assigned Access configuration"

Per ulteriori informazioni, vedi Utilizzo dello scripting PowerShell con il WMI Bridge Provider.

Impostazioni

Questa opzione non è disponibile usando Impostazioni.

Suggerimento

Per esempi pratici, consulta la Guida introduttiva: Configurazione di un'esperienza utente limitata con Accesso assegnato

Esperienza utente

Per convalidare l'esperienza chiosco o dell'utente con restrizioni, accedi con l'account utente specificato nel file di configurazione.

La configurazione dell'Accesso assegnato diventa effettiva al successivo accesso dell'utente di destinazione. Se l'account utente è connesso quando si applica la configurazione, disconnettersi e accedere di nuovo per convalidare l'esperienza.

Nota

A partire da Windows 11, un'esperienza utente con restrizioni supporta l'uso di più monitor.

Tastiera virtuale con attivazione automatica

La tastiera virtuale viene attivata automaticamente quando è necessario un input e non è necessario collegare una tastiera fisica sui dispositivi abilitati al touch. Non devi configurare nessun'altra impostazione per applicare questo comportamento.

Suggerimento

La tastiera virtuale viene attivata solo quando si tocca una casella di testo. I clic del mouse non attivano la tastiera virtuale. Se stai testando questa funzionalità, usa un dispositivo fisico anziché una macchina virtuale (VM), perché la tastiera virtuale non viene attivata nelle macchine virtuali.

Uscire dall'accesso assegnato

Per impostazione predefinita, per uscire dall'esperienza chiosco, premere CTRL + ALT + CANC. L'applicazione chiosco viene automaticamente chiusa. Se si accede di nuovo come account di Accesso assegnato o si attende il timeout dello schermo di accesso, l'app in modalità chiosco viene riavviata. Il timeout predefinito è di 30 secondi, ma è possibile modificarlo con la chiave di registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI

Per modificare il tempo predefinito per la ripresa dell'Accesso assegnato, aggiungi IdleTimeOut (DWORD) e inserisci il valore in millisecondi in esadecimale.

Nota

IdleTimeOut non si applica alla modalità chiosco di Microsoft Edge.

La sequenza di interruzione di CTRL + ALT + CANC è l'impostazione predefinita, ma questa sequenza può essere configurata in modo che sia una sequenza di tasti diversa. La sequenza di breakout usa i modificatori di formato + i tasti. Una sequenza di breakout di esempio è CTRL + ALT + A, dove CTRL + ALT sono i modificatori e A è il valore del tasto. Per altre informazioni, vedi Creare un file XML di configurazione di Accesso assegnato.

Rimuovere Accesso assegnato

L'eliminazione dell'esperienza utente limitata rimuove le impostazioni del criterio associate agli utenti, ma non può ripristinare tutte le configurazioni. Ad esempio, la configurazione del menu Start viene mantenuta.

Passaggi successivi

Esaminate le raccomandazioni prima di distribuire l'Accesso assegnato:

Raccomandazioni Accesso assegnato