Создание XML-файла конфигурации назначенного доступа

Чтобы настроить назначенный доступ, необходимо создать и применить XML-файл конфигурации к устройствам. Файл конфигурации должен соответствовать схеме, как определено в разделе Определение схемы XML для назначенного доступа (XSD).

В этой статье описывается настройка файла конфигурации назначенного доступа, включая практические примеры.

Начнем с рассмотрения базовой структуры XML-файла. Файл конфигурации назначенного доступа содержит:

• Один или несколько profiles. Каждый из них profile определяет набор приложений, которые разрешено запускать.
• Один или несколько configs. Каждый из них config связывает учетную запись пользователя или группу с profile

Ниже приведен базовый пример файла конфигурации назначенного доступа с одним профилем и одной конфигурацией:

<?xml version="1.0" encoding="utf-8" ?>
<AssignedAccessConfiguration xmlns="http://schemas.microsoft.com/AssignedAccess/2017/config">
    <Profiles>
        <Profile Id="{GUID}">
            <!-- Add configuration here as needed -->
        </Profile>
    </Profiles>
    <Configs>
        <Config>
            <!-- Add configuration here as needed -->
        </Config>
    </Configs>
</AssignedAccessConfiguration>

Управление версиями

XML-код конфигурации назначенного доступа имеет версию. Версия определяется в корневом xml-элементе и используется для определения схемы, используемой для проверки XML-файла. Версия также используется для определения доступных функций для конфигурации. Ниже приведена таблица версий, псевдонимов, используемых в примерах документации, и пространств имен:

Чтобы авторизовать совместимый XML-файл конфигурации, включающий элементы и атрибуты, относящиеся к конкретной версии, всегда включите пространство имен схем надстроек и декорируйте атрибуты и элементы соответствующим образом псевдонимом пространства имен. Например, чтобы настроить функциюStartPins, добавленную в Windows 11 версии 22H2, используйте приведенный ниже пример. Обратите внимание на псевдоним, v5 связанный с пространством http://schemas.microsoft.com/AssignedAccess/2022/config имен для выпуска 22H2, и псевдоним помечен StartPins как встроенный.

<?xml version="1.0" encoding="utf-8" ?>
<AssignedAccessConfiguration xmlns="http://schemas.microsoft.com/AssignedAccess/2017/config"
    xmlns:v5="http://schemas.microsoft.com/AssignedAccess/2022/config">
    <Profiles>
        <Profile Id="{GUID}">
            <!-- Add configuration here as needed -->
            <v5:StartPins>
              <!-- Add StartPins configuration here -->
            </v5:StartPins>
        </Profile>
    </Profiles>
    <Configs>
        <Config>
            <!-- Add configuration here as needed -->
        </Config>
    </Configs>
</AssignedAccessConfiguration>

Здесь вы можете найти определения XML-схемы назначенного доступа: Определение xml-схемы назначенного доступа (XSD).

Профили

Файл конфигурации может содержать один или несколько профилей. Каждый профиль идентифицируется уникальным идентификатором Profile Id и, при необходимости, .Name Пример:

<Profiles>
  <Profile Id="{EDB3036B-780D-487D-A375-69369D8A8F78}" Name="Microsoft Learn example">
    <!-- Add configuration here as needed -->
  </Profile>
</Profiles>

Профиль может быть одного из двух типов:

• KioskModeApp: используется для настройки интерфейса киоска. Пользователи, назначенные этому профилю, не получают доступ к рабочему столу, но только к приложению универсальная платформа Windows (UWP) или Microsoft Edge, работающему в полноэкранном режиме над экраном блокировки
• AllAppList используется для настройки ограниченного взаимодействия с пользователем. Пользователи, назначенные этому профилю, получают доступ к рабочему столу с определенными приложениями в меню "Пуск"

KioskModeApp

KioskModeApp Свойства профиля:

По умолчанию для выхода из режима киоска можно использовать последовательность CTRL+ALT+DEL . Вы можете определить BreakoutSequence элемент для изменения последовательности по умолчанию. Атрибут Key представляет собой строку, представляющую сочетание клавиш.

Пример двух профилей: классическое приложение и приложение UWP:

<Profile Id="{EDB3036B-780D-487D-A375-69369D8A8F78}">
  <KioskModeApp v4:ClassicAppPath="%ProgramFiles(x86)%\Microsoft\Edge\Application\msedge.exe" v4:ClassicAppArguments="--kiosk https://www.contoso.com/ --edge-kiosk-type=fullscreen --kiosk-idle-timeout-minutes=2" />
  <v4:BreakoutSequence Key="Ctrl+A"/>
</Profile>
<Profile Id="{EDB3036B-780D-487D-A375-69369D8A8F79}">
  <KioskModeApp AppUserModelId="Microsoft.BingWeather_8wekyb3d8bbwe!App" />
</Profile>

AllAppList

В зависимости от назначения устройства в режиме терминала, задайте список приложений, разрешенных для запуска. Этот список может содержать приложения UWP и классические приложения. При применении конфигурации терминала mult-app к устройству создаются правила AppLocker, разрешающие приложения, перечисленные в конфигурации.

В узле определите AllAppList список приложений, которые разрешено выполнять. Каждый App элемент имеет следующие свойства:

Пример.

<AllAppsList>
  <AllowedApps>
    <App AppUserModelId="Microsoft.WindowsCalculator_8wekyb3d8bbwe!App" />
    <App DesktopAppPath="C:\Windows\system32\cmd.exe" />
    <App DesktopAppPath="%windir%\explorer.exe" />
    <App AppUserModelId="%ProgramFiles(x86)%\Microsoft\Edge\Application\msedge.exe" />
    <App DesktopAppPath="C:\Windows\System32\notepad.exe" rs5:AutoLaunch="true" rs5:AutoLaunchArguments="%windir%\setuperr.log" />
  </AllowedApps>
</AllAppsList>

<Profiles>
    <Profile Id="{EDB3036B-780D-487D-A375-69369D8A8F78}" Name="Microsoft Learn example">
        <AllAppsList>
            <AllowedApps>
                <!-- Add configuration here as needed -->
            </AllowedApps>
        </AllAppsList>
        <rs5:FileExplorerNamespaceRestrictions>
            <!-- Add configuration here as needed -->
        </rs5:FileExplorerNamespaceRestrictions>
        <!-- Add configuration here as needed -->
    </Profile>
</Profiles>

<rs5:FileExplorerNamespaceRestrictions>
</rs5:FileExplorerNamespaceRestrictions>

<rs5:FileExplorerNamespaceRestrictions>
    <rs5:AllowedNamespace Name="Downloads"/>
</rs5:FileExplorerNamespaceRestrictions>

<rs5:FileExplorerNamespaceRestrictions>
    <v3:AllowRemovableDrives />
</rs5:FileExplorerNamespaceRestrictions>

<rs5:FileExplorerNamespaceRestrictions>
    <rs5:AllowedNamespace Name="Downloads"/>
    <v3:AllowRemovableDrives/>
</rs5:FileExplorerNamespaceRestrictions>

<rs5:FileExplorerNamespaceRestrictions>
    <v3:NoRestriction />
</rs5:FileExplorerNamespaceRestrictions>

Настройки меню "Пуск"

Для ограниченного профиля взаимодействия с пользователем (AllAppList) необходимо определить макет начального экрана. Макет "Пуск" содержит список приложений, закрепленных в меню "Пуск". Вы можете закрепить все разрешенные приложения в меню Пуск или в подмножестве. Самый простой способ создать настраиваемый макет "Пуск" — настроить меню "Пуск" на тестовом устройстве, а затем экспортировать макет.

Сведения о настройке и экспорте конфигурации меню "Пуск" см . в статье Настройка меню "Пуск".

<StartLayout>
  <![CDATA[
    <!-- Add your exported Start menu XML configuration file here -->
  ]]>
</StartLayout>

<StartLayout>
  <![CDATA[
    <LayoutModificationTemplate xmlns:defaultlayout="http://schemas.microsoft.com/Start/2014/FullDefaultLayout"
    xmlns:start="http://schemas.microsoft.com/Start/2014/StartLayout" Version="1"
    xmlns="http://schemas.microsoft.com/Start/2014/LayoutModification">
      <LayoutOptions StartTileGroupCellWidth="6" />
      <DefaultLayoutOverride>
        <StartLayoutCollection>
          <defaultlayout:StartLayout GroupCellWidth="6">
            <start:Group Name="Group1">
              <start:Tile Size="4x4" Column="0" Row="0" AppUserModelID="Microsoft.  ZuneMusic_8wekyb3d8bbwe!Microsoft.ZuneMusic" />
              <start:Tile Size="2x2" Column="4" Row="2" AppUserModelID="Microsoft.  ZuneVideo_8wekyb3d8bbwe!Microsoft.ZuneVideo" />
            </start:Group>
            <start:Group Name="Group2">
              <start:DesktopApplicationTile Size="2x2" Column="2" Row="0"   DesktopApplicationLinkPath="%ALLUSERSPROFILE%\Microsoft\Windows\Start   Menu\Programs\Accessories\Paint.lnk" />
              <start:DesktopApplicationTile Size="2x2" Column="0" Row="0"   DesktopApplicationLinkPath="%APPDATA%\Microsoft\Windows\Start Menu\Programs\Accessories\Notepad.  lnk" />
            </start:Group>
          </defaultlayout:StartLayout>
        </StartLayoutCollection>
      </DefaultLayoutOverride>
    </LayoutModificationTemplate>
  ]]>
</StartLayout>

<v5:StartPins>
  <![CDATA[
      <!-- Add your exported Start menu JSON configuration file here -->
  ]]>
</v5:StartPins>

Настройки панели задач

<Taskbar ShowTaskbar="true"/>

<Taskbar ShowTaskbar="false"/>

<Taskbar ShowTaskbar="true" />
<v5:TaskbarLayout><![CDATA[
  <!-- Add your exported Taskbar XML configuration file here -->
  ]]>
</v5:TaskbarLayout>

<Taskbar ShowTaskbar="true" />
<v5:TaskbarLayout><![CDATA[
  <?xml version="1.0" encoding="utf-8"?>
  <LayoutModificationTemplate
      xmlns="http://schemas.microsoft.com/Start/2014/LayoutModification"
      xmlns:defaultlayout="http://schemas.microsoft.com/Start/2014/FullDefaultLayout"
      xmlns:start="http://schemas.microsoft.com/Start/2014/StartLayout"
      xmlns:taskbar="http://schemas.microsoft.com/Start/2014/TaskbarLayout"
      Version="1">
  <CustomTaskbarLayoutCollection>
    <defaultlayout:TaskbarLayout>
    <taskbar:TaskbarPinList>
        <taskbar:DesktopApp DesktopApplicationID="Microsoft.Windows.Explorer" />
        <taskbar:DesktopApp DesktopApplicationID="windows.immersivecontrolpanel_cw5n1h2txyewy!microsoft.windows.immersivecontrolpanel" />
        <taskbar:DesktopApp DesktopApplicationLinkPath="%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Microsoft Edge.lnk"/>
    </taskbar:TaskbarPinList>
    </defaultlayout:TaskbarLayout>
  </CustomTaskbarLayoutCollection>
  </LayoutModificationTemplate>
  ]]>
</v5:TaskbarLayout>

Configs

В разделе Configsопределите одну или несколько учетных записей пользователей или группы и их связь с профилем.

При входе учетной записи пользователя применяется связанный профиль назначенного доступа вместе с параметрами политики, которые являются частью ограниченного взаимодействия с пользователем.

Вы можете назначить:

• Учетная запись стандартного пользователя, которая может быть локальной, доменной или Microsoft Entra ID
• Учетная запись группы, которая может быть локальной, Active Directory (домен) или Microsoft Entra ID

Ограничения:

• Конфигурации, указывающие учетные записи групп, не могут использовать профиль киоска, только ограниченный профиль взаимодействия с пользователем.
• Применять ограниченный пользовательский интерфейс только к стандартным пользователям. Не поддерживается связывание администратора с профилем назначенного доступа.
• Не применяйте профиль к пользователям или группам, на которые нацелены политики условного доступа, требующие взаимодействия с пользователем. Например, многофакторная проверка подлинности (MFA) или Условия использования (TOU). Дополнительные сведения см. в статье Пользователи не могут войти в Windows, если назначен профиль киоска с несколькими приложениями.

Учетная запись autoLogon

С помощью <AutoLogonAccount>назначенного доступа создает учетную запись пользователя и управляет ею для автоматического входа после перезапуска устройства. Учетная запись является локальным стандартным пользователем.

В следующем примере показано, как указать учетную запись для автоматического входа и необязательное отображаемое имя учетной записи на экране входа.

<Configs>
  <Config>
    <AutoLogonAccount rs5:DisplayName="Microsoft Learn example"/>
    <DefaultProfile Id="{GUID}"/>
  </Config>
</Configs>

Глобальный профиль

С помощью GlobalProfileможно определить профиль назначенного доступа, который применяется к каждой учетной записи без прав администратора, которая входит в систему. GlobalProfile полезен в таких сценариях, как сотрудники первой линии или устройства учащихся, где требуется обеспечить согласованность взаимодействия с каждым пользователем.

<Configs>
  <v3:GlobalProfile Id="{GUID}"/>
</Configs>

Учетные записи пользователей

Отдельные учетные записи задаются с помощью <Account>.

Локальный пользователь

Локальную учетную запись можно ввести как devicename\user, .\userили просто user.

<Config>
  <Account>user</Account>
  <DefaultProfile Id="{GUID}"/>
</Config>

Пользователь Active Directory

Учетные записи домена должны вводиться в формате domain\samAccountName.

<Config>
  <Account>contoso\user</Account>
  <DefaultProfile Id="{GUID}"/>
</Config>

Microsoft Entra пользователя

Microsoft Entra учетные записи должны быть указаны в формате : AzureAD\{UPN}. AzureADдолжен быть указан как есть, а затем следуйте указаниям Microsoft Entra имени субъекта-пользователя (UPN).

<Config>
  <Account>AzureAD\[email protected]</Account>
  <DefaultProfile Id="{GUID}"/>
</Config>

Учетные записи групп

Учетные записи групп задаются с помощью <UserGroup>. Вложенные группы не поддерживаются. Например, если пользователь A входит в группу A, группа A — член группы B, а группа Б используется в <Config/>, пользователь A не имеет возможности киоска.

Локальная группа

Укажите тип группы как LocalGroup и добавьте имя группы в Name атрибут .

<Config>
  <UserGroup Type="LocalGroup" Name="groupname" />
  <DefaultProfile Id="{GUID}"/>
</Config>

Группа Active Directory

Поддерживаются как группы безопасности, так и группы рассылки. Укажите тип группы как ActiveDirectoryGroup. Используйте доменное имя в качестве префикса в атрибуте name.

<Config>
  <UserGroup Type="ActiveDirectoryGroup" Name="contoso\groupname" />
  <DefaultProfile Id="{GUID}"/>
</Config>

группа Microsoft Entra

Используйте идентификатор объекта группы Microsoft Entra. Идентификатор объекта можно найти на странице обзора группы, войдя в Центр администрирования Microsoft Entra и перейдя в разделГруппы>удостоверений>Все группы. Укажите тип группы как AzureActiveDirectoryGroup. Устройство киоска должно иметь подключение к Интернету, когда пользователи, принадлежащие к группе, входят в систему.

<Config>
  <UserGroup Type="AzureActiveDirectoryGroup" Name="Group_GUID" />
  <DefaultProfile Id="{GUID}"/>
</Config>

Дальнейшие действия