O que é o Acesso Atribuído?

• Aplica-se a:

  ✅ Windows 11, ✅ Windows 10

O Acesso Atribuído é uma funcionalidade do Windows que pode utilizar para configurar um dispositivo como um quiosque ou com uma experiência de utilizador restrita.

Quando configura uma experiência de quiosque, uma única aplicação Plataforma Universal do Windows (UWP) ou Microsoft Edge é executada em ecrã inteiro, acima do ecrã de bloqueio. Os utilizadores só podem utilizar essa aplicação. Se a aplicação de quiosque estiver fechada, será reiniciada automaticamente. Exemplos práticos incluem:

• Navegação pública
• Sinalização digital interativa

Quando configura uma experiência de utilizador restrita, os utilizadores só podem executar uma lista definida de aplicações, com um menu Iniciar personalizado e a Barra de Tarefas. São impostas diferentes definições de política e regras do AppLocker, criando uma experiência bloqueada. Os utilizadores podem aceder a um ambiente de trabalho familiar do Windows, ao mesmo tempo que limitam o acesso, reduzem as distrações e o potencial para utilizações inadvertidas. Ideal para dispositivos partilhados, pode criar configurações diferentes para diferentes utilizadores. Exemplos práticos incluem:

• Dispositivos de trabalho de primeira linha
• Dispositivos de estudantes
• Dispositivos de laboratório

Observação

Quando configura uma experiência de utilizador restrita, são aplicadas diferentes definições de política ao dispositivo. Algumas definições de política aplicam-se apenas a utilizadores padrão e algumas a contas de administrador. Para obter mais informações, veja Definições de política de Acesso Atribuído.

Requisitos

Eis os requisitos para o Acesso Atribuído:

• Para utilizar uma experiência de quiosque, o Controlo de conta de utilizador (UAC) tem de estar ativado
• Para utilizar uma experiência de quiosque, tem de iniciar sessão a partir da consola do . A experiência de quiosque não é suportada através de uma ligação de ambiente de trabalho remoto

Requisitos de edição do Windows

A tabela seguinte lista as edições do Windows que suportam o Acesso Atribuído:

Edição	Suporte de Acesso Atribuído
Education	✅
Enterprise	✅
Enterprise LTSC	✅
IoT Enterprise	✅
IoT Enterprise LTSC	✅
Pro Education	✅
Pro	✅

Configurar uma experiência de quiosque

Existem várias opções para configurar uma experiência de quiosque. Se precisar de configurar um único dispositivo com uma conta local, pode utilizar:

• PowerShell: pode utilizar o cmdlet do Set-AssignedAccess PowerShell para configurar uma experiência de quiosque com uma conta padrão local
• Definições: utilize esta opção quando precisar de um método simples para configurar um único dispositivo com uma conta de utilizador padrão local

Para personalizações avançadas, pode utilizar o CSP de Acesso Atribuído para configurar a experiência de quiosque. O CSP permite-lhe configurar a aplicação de quiosque, a conta de utilizador e o comportamento da aplicação de quiosque. Quando utiliza o CSP, tem de criar um ficheiro de configuração XML que especifique a aplicação de quiosque e a conta de utilizador. O ficheiro XML é aplicado ao dispositivo através de uma das seguintes opções:

• Uma solução de Gerenciamento de Dispositivos Móvel (MDM), como Microsoft Intune
• Pacotes de provisionamento
• PowerShell, com o Fornecedor mdm Bridge WMI

Para saber como configurar o ficheiro XML do Iniciador de Shell, veja Criar um ficheiro de configuração de Acesso Atribuído.

As instruções seguintes fornecem detalhes sobre como configurar os seus dispositivos. Selecione a opção mais adequada às suas necessidades.

Intune/CSP

Pode configurar dispositivos com uma política personalizada com o CSP AssignedAccess.

• Definição:./Vendor/MSFT/AssignedAccess/Configuration
• Valor: conteúdo do ficheiro de configuração XML

Atribua a política a um grupo que contém como membros os dispositivos que pretende configurar.

PPKG

Utilize as seguintes definições para criar um pacote de aprovisionamento:

• Caminho:AssignedAccess/AssignedAccessSettings
• Valor: Introduza a conta e a aplicação que pretende utilizar para Acesso atribuído, utilizando o AUMID da aplicação. Exemplo:
  • {"Account":"domain\user", "AUMID":"Microsoft.WindowsCalculator_8wekyb3d8bbwe!App"}

Aplique o pacote de aprovisionamento aos dispositivos que pretende configurar.

Windows PowerShell

Para configurar um dispositivo com Windows PowerShell:

1. Iniciar sessão como administrador

2. Criar a conta de utilizador para Acesso Atribuído

3. Iniciar sessão como a conta de utilizador do Acesso Atribuído

4. Instalar a aplicação UWP necessária

5. Terminar sessão como a conta de utilizador acesso atribuído

6. Inicie sessão como administrador e, a partir de uma linha de comandos elevada do PowerShell, utilize um dos seguintes comandos:

   #Configure Assigned Access by AppUserModelID and user name
   Set-AssignedAccess -AppUserModelId <AUMID> -UserName <username>
   
   #Configure Assigned Access by AppUserModelID and user SID
   Set-AssignedAccess -AppUserModelId <AUMID> -UserSID <usersid>
   
   #Configure Assigned Access by app name and user name
   Set-AssignedAccess -AppName <CustomApp> -UserName <username>
   
   #Configure Assigned Access by app name and user SID**:
   Set-AssignedAccess -AppName <CustomApp> -UserSID <usersid>
   
   

Observação

Para configurar o Acesso Atribuído com -AppNameo , a conta de utilizador que introduzir para Acesso Atribuído tem de ter sessão iniciada pelo menos uma vez.

Para saber mais:

• Localizar a ID do Modelo de usuário de aplicativo de um app instalado
• Set-AssignedAccess

Para remover o acesso atribuído, com o PowerShell, execute o seguinte cmdlet:

Clear-AssignedAccess

Para personalizações avançadas que utilizam o ficheiro de configuração XML, pode utilizar scripts do PowerShell através do Fornecedor de WMI de Ponte MDM.

Importante

Para todas as definições do dispositivo, o cliente da Ponte WMI tem de ser executado como conta SYSTEM (LocalSystem).

Para testar o script do PowerShell, pode:

1. Transferir a ferramenta psexec
2. Abra uma linha de comandos elevada e execute: psexec.exe -i -s powershell.exe
3. Executar o script na sessão do PowerShell

$shellLauncherConfiguration = @"

# content of the XML configuration file

"@

$namespaceName="root\cimv2\mdm\dmmap"
$className="MDM_AssignedAccess"
$obj = Get-CimInstance -Namespace $namespaceName -ClassName $className
$obj.ShellLauncher = [System.Net.WebUtility]::HtmlEncode($shellLauncherConfiguration)
$obj = Set-CimInstance -CimInstance $obj -ErrorVariable cimSetError -ErrorAction SilentlyContinue
if($cimSetError) {
    Write-Output "An ERROR occurred. Displaying error record and attempting to retrieve error logs...`n"
    Write-Error -ErrorRecord $cimSetError[0]

    $timeout = New-TimeSpan -Seconds 30
    $stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    do{
        $events = Get-WinEvent -FilterHashtable $eventLogFilterHashTable -ErrorAction Ignore
    } until ($events.Count -or $stopwatch.Elapsed -gt $timeout) # wait for the log to be available

    if($events.Count) {
        $events | ForEach-Object {
            Write-Output "$($_.TimeCreated) [$($_.LevelDisplayName.ToUpper())] $($_.Message -replace "`n|`r")"
        }
    } else {
        Write-Warning "Timed-out attempting to retrieve event logs..."
    }

    Exit 1
}

Write-Output "Successfully applied Shell Launcher configuration"

Para obter mais informações, veja Utilizar scripting do PowerShell com o Fornecedor de Bridge WMI.

Configurações

Eis os passos para configurar um quiosque com a aplicação Definições:

1. Abra a aplicação Definições para ver e configurar um dispositivo como um quiosque. Aceda a Contas > de Definições > Outros Utilizadores ou utilize o seguinte atalho:

   Outros Utilizadores

2. Em Configurar um quiosque, selecione Introdução

3. Na caixa de diálogo Criar uma conta , introduza o nome da conta e selecione Seguinte

   Observação

   Se já existirem contas de utilizador padrão locais, a caixa de diálogo Criar uma conta oferece a opção para Escolher uma conta existente

4. Escolha a aplicação a executar quando a conta de quiosque iniciar sessão. Apenas as aplicações que podem ser executadas acima do ecrã de bloqueio estão disponíveis na lista de aplicações à escolha. Se selecionar o Microsoft Edge como a aplicação de quiosque, configure as seguintes opções:

   • Se o Microsoft Edge deve apresentar o seu site em ecrã inteiro (sinal digital) ou com alguns controlos do browser disponíveis (browser público)
   • Que URL deve ser aberto quando as contas de quiosque iniciam sessão
   • Quando o Microsoft Edge deve ser reiniciado após um período de inatividade (se optar por executar como um browser público)

5. Selecione Fechar

Quando o dispositivo não está associado a um domínio ou Microsoft Entra ID do Active Directory, o início de sessão automático da conta de quiosque é configurado automaticamente:

• Se quiser que a conta de quiosque inicie sessão automaticamente e a aplicação de quiosque seja iniciada quando o dispositivo é reiniciado, não precisa de fazer nada
• Se não quiser que a conta de quiosque inicie sessão automaticamente quando o dispositivo é reiniciado, tem de alterar a predefinição antes de configurar o dispositivo como um quiosque. Inicie sessão com a conta que pretende utilizar como conta de quiosque. Abra asopções de Início de Sessão deContas> de Definições>. Defina a definição Utilizar as minhas informações de início de sessão para concluir automaticamente a configuração do meu dispositivo após uma atualização ou reinício para Desativado. Depois de alterar a definição, pode aplicar a configuração do quiosque ao dispositivo

Dica

Para obter exemplos práticos, veja Início Rápido: Configurar um quiosque com Acesso Atribuído.

Configurar uma experiência de utilizador restrita

Para configurar uma experiência de utilizador restrita com o Acesso Atribuído, tem de criar um ficheiro de configuração XML com as definições para a experiência pretendida. O ficheiro XML é aplicado ao dispositivo através do CSP de Acesso Atribuído, utilizando uma das seguintes opções:

• Uma solução de Gerenciamento de Dispositivos Móvel (MDM), como Microsoft Intune
• Pacotes de provisionamento
• PowerShell, com o Fornecedor mdm Bridge WMI

Para saber como configurar o ficheiro XML de Acesso Atribuído, veja Criar um ficheiro de configuração de Acesso Atribuído.

As instruções seguintes fornecem detalhes sobre como configurar os seus dispositivos. Selecione a opção mais adequada às suas necessidades.

Intune/CSP

Pode configurar dispositivos com uma política personalizada com o CSP AssignedAccess.

• Definição:./Vendor/MSFT/AssignedAccess/ShellLauncher
• Valor: conteúdo do ficheiro de configuração XML

Atribua a política a um grupo que contém como membros os dispositivos que pretende configurar.

PPKG

Utilize as seguintes definições para criar um pacote de aprovisionamento:

• Caminho:AssignedAccess/MultiAppAssignedAccessSettings
• Valor: conteúdo do ficheiro de configuração XML

Aplique o pacote de aprovisionamento aos dispositivos que pretende configurar.

Windows PowerShell

Configure os seus dispositivos com scripts do PowerShell através do Fornecedor de WMI de Bridge mdm.

Importante

Para todas as definições do dispositivo, o cliente da Ponte WMI tem de ser executado como conta SYSTEM (LocalSystem).

Para testar o script do PowerShell, pode:

1. Transferir a ferramenta psexec
2. Abra uma linha de comandos elevada e execute: psexec.exe -i -s powershell.exe
3. Executar o script na sessão do PowerShell

$assignedAccessConfiguration = @"

# content of the XML configuration file

"@

$namespaceName="root\cimv2\mdm\dmmap"
$className="MDM_AssignedAccess"
$obj = Get-CimInstance -Namespace $namespaceName -ClassName $className
$obj.Configuration = [System.Net.WebUtility]::HtmlEncode($assignedAccessConfiguration)
$obj = Set-CimInstance -CimInstance $obj -ErrorVariable cimSetError -ErrorAction SilentlyContinue
if($cimSetError) {
    Write-Output "An ERROR occurred. Displaying error record and attempting to retrieve error logs...`n"
    Write-Error -ErrorRecord $cimSetError[0]

    $timeout = New-TimeSpan -Seconds 30
    $stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    do{
        $events = Get-WinEvent -FilterHashtable $eventLogFilterHashTable -ErrorAction Ignore
    } until ($events.Count -or $stopwatch.Elapsed -gt $timeout) # wait for the log to be available

    if($events.Count) {
        $events | ForEach-Object {
            Write-Output "$($_.TimeCreated) [$($_.LevelDisplayName.ToUpper())] $($_.Message -replace "`n|`r")"
        }
    } else {
        Write-Warning "Timed-out attempting to retrieve event logs..."
    }

    Exit 1
}

Write-Output "Successfully applied Assigned Access configuration"

Para obter mais informações, veja Utilizar scripting do PowerShell com o Fornecedor de Bridge WMI.

Configurações

Esta opção não está disponível através das Definições.

Dica

Para obter exemplos práticos, veja o Início Rápido: Configurar uma experiência de utilizador restrita com o Acesso Atribuído

Experiência do usuário

Para validar o quiosque ou a experiência de utilizador restrita, inicie sessão com a conta de utilizador que especificou no ficheiro de configuração.

A configuração acesso atribuído entra em vigor da próxima vez que o utilizador visado iniciar sessão. Se essa conta de utilizador tiver sessão iniciada quando aplicar a configuração, termine sessão e volte a iniciar sessão para validar a experiência.

Observação

A partir de Windows 11, uma experiência de utilizador restrita suporta a utilização de vários monitores.

Teclado tátil do autotrigger

O teclado tátil é acionado automaticamente quando é necessária uma entrada e não é ligado nenhum teclado físico em dispositivos táteis. Não precisa de configurar nenhuma outra definição para impor este comportamento.

Dica

O teclado tátil só é acionado ao tocar numa caixa de texto. Os cliques do rato não acionam o teclado tátil. Se estiver a testar esta funcionalidade, utilize um dispositivo físico em vez de uma máquina virtual (VM), uma vez que o teclado tátil não é acionado em VMs.

Sair do acesso atribuído

Por predefinição, para sair da experiência de quiosque, prima Ctrl + Alt + Del. A aplicação de quiosque sai automaticamente. Se iniciar sessão novamente como a conta de Acesso Atribuído ou aguardar o tempo limite do ecrã de início de sessão, a aplicação de quiosque recomeça. O tempo limite predefinido é de 30 segundos, mas pode alterar o tempo limite com a chave do registo:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI

Para alterar a hora predefinida para o Acesso Atribuído retomar, adicione IdleTimeOut (DWORD) e introduza os dados do valor como milissegundos em hexadecimal.

Observação

IdleTimeOut não se aplica ao modo de quiosque do Microsoft Edge.

A Sequência simultânea de Ctrl + Alt + Del é a predefinição, mas esta sequência pode ser configurada para ser uma sequência diferente de chaves. A sequência simultânea utiliza as teclas + modificadores de formato. Uma sequência simultânea de exemplo é CTRL + ALT + A, em que CTRL + ALT são os modificadores e A é o valor da chave. Para saber mais, veja Criar um ficheiro XML de configuração de Acesso Atribuído.

Remover Acesso Atribuído

Eliminar a experiência de utilizador restrita remove as definições de política associadas aos utilizadores, mas não pode reverter todas as configurações. Por exemplo, a configuração do menu Iniciar é mantida.

Próximas etapas

Reveja as recomendações antes de implementar o Acesso Atribuído:

Recomendações de Acesso Atribuído