Erstellen einer XML-Konfigurationsdatei für den zugewiesenen Zugriff

Zum Konfigurieren des zugewiesenen Zugriffs müssen Sie eine XML-Konfigurationsdatei erstellen und auf Ihre Geräte anwenden. Die Konfigurationsdatei muss einem Schema entsprechen, das in Der XML-Schemadefinition für den zugewiesenen Zugriff (Assigned Access XML Schema Definition, XSD) definiert ist.

In diesem Artikel wird beschrieben, wie Sie eine Konfigurationsdatei für den zugewiesenen Zugriff konfigurieren, einschließlich praktischer Beispiele.

Betrachten wir zunächst die grundlegende Struktur der XML-Datei. Eine Konfigurationsdatei für zugewiesenen Zugriff enthält Folgendes:

• Eine oder mehrere profiles. Jede profile definiert eine Reihe von Anwendungen, die ausgeführt werden dürfen.
• Eine oder mehrere configs. Jede config ordnet einem ein Benutzerkonto oder eine Gruppe zu profile

Hier sehen Sie ein einfaches Beispiel für eine Konfigurationsdatei für zugewiesenen Zugriff mit einem Profil und einer Konfiguration:

<?xml version="1.0" encoding="utf-8" ?>
<AssignedAccessConfiguration xmlns="http://schemas.microsoft.com/AssignedAccess/2017/config">
    <Profiles>
        <Profile Id="{GUID}">
            <!-- Add configuration here as needed -->
        </Profile>
    </Profiles>
    <Configs>
        <Config>
            <!-- Add configuration here as needed -->
        </Config>
    </Configs>
</AssignedAccessConfiguration>

Versionsverwaltung

Die XML-Konfigurations-XML für den zugewiesenen Zugriff ist versioniert. Die Version wird im XML-Stammelement definiert und verwendet, um zu bestimmen, welches Schema zum Überprüfen der XML-Datei verwendet werden soll. Die Version wird auch verwendet, um zu bestimmen, welche Features für die Konfiguration verfügbar sind. Hier ist eine Tabelle der Versionen, Aliase, die in den Dokumentationsbeispielen verwendet werden, und Namespaces:

Um ein kompatibles Konfigurations-XML zu autorisieren, das versionsspezifische Elemente und Attribute enthält, schließen Sie immer den Namespace der Add-On-Schemas ein, und ergänzen Sie die Attribute und Elemente entsprechend mit dem Namespacealias. Um beispielsweise das StartPins Feature zu konfigurieren, das in Windows 11 Version 22H2 hinzugefügt wurde, verwenden Sie das folgende Beispiel. Beachten Sie den Alias v5 , der dem http://schemas.microsoft.com/AssignedAccess/2022/config Namespace für 22H2-Release zugeordnet ist, und der Alias ist inline gekennzeichnet StartPins .

<?xml version="1.0" encoding="utf-8" ?>
<AssignedAccessConfiguration xmlns="http://schemas.microsoft.com/AssignedAccess/2017/config"
    xmlns:v5="http://schemas.microsoft.com/AssignedAccess/2022/config">
    <Profiles>
        <Profile Id="{GUID}">
            <!-- Add configuration here as needed -->
            <v5:StartPins>
              <!-- Add StartPins configuration here -->
            </v5:StartPins>
        </Profile>
    </Profiles>
    <Configs>
        <Config>
            <!-- Add configuration here as needed -->
        </Config>
    </Configs>
</AssignedAccessConfiguration>

Hier finden Sie die XML-Schemadefinitionen für zugewiesenen Zugriff: Xml-Schemadefinition für zugewiesenen Zugriff (Assigned Access XML Schema Definition, XSD).

Profile

Eine Konfigurationsdatei kann ein oder mehrere Profile enthalten. Jedes Profil wird durch einen eindeutigen Bezeichner Profile Id und optional durch einen Nameidentifiziert. Zum Beispiel:

<Profiles>
  <Profile Id="{EDB3036B-780D-487D-A375-69369D8A8F78}" Name="Microsoft Learn example">
    <!-- Add configuration here as needed -->
  </Profile>
</Profiles>

Ein Profil kann einen von zwei Typen aufweisen:

• KioskModeApp: wird verwendet, um eine Kioskumgebung zu konfigurieren. Benutzer, denen dieses Profil zugewiesen ist, greifen nicht auf den Desktop zu, sondern nur auf die anwendung Universelle Windows-Plattform (UWP) oder Microsoft Edge, die im Vollbildmodus über dem Sperrbildschirm ausgeführt wird.
• AllAppList wird verwendet, um eine eingeschränkte Benutzeroberfläche zu konfigurieren. Benutzer, denen dieses Profil zugewiesen ist, greifen im Startmenü mit den spezifischen Apps auf den Desktop zu.

KioskModeApp

Die Eigenschaften eines KioskModeApp Profils sind:

Standardmäßig können Sie die STRG+ALT-ENTF-Sequenz+ verwenden, um den Kioskmodus zu beenden. Sie können ein BreakoutSequence -Element definieren, um die Standardsequenz zu ändern. Das Key Attribut ist eine Zeichenfolge, die die Tastenkombination darstellt.

Beispiel für zwei Profile, eine Desktop-App und eine UWP-App:

<Profile Id="{EDB3036B-780D-487D-A375-69369D8A8F78}">
  <KioskModeApp v4:ClassicAppPath="%ProgramFiles(x86)%\Microsoft\Edge\Application\msedge.exe" v4:ClassicAppArguments="--kiosk https://www.contoso.com/ --edge-kiosk-type=fullscreen --kiosk-idle-timeout-minutes=2" />
  <v4:BreakoutSequence Key="Ctrl+A"/>
</Profile>
<Profile Id="{EDB3036B-780D-487D-A375-69369D8A8F79}">
  <KioskModeApp AppUserModelId="Microsoft.BingWeather_8wekyb3d8bbwe!App" />
</Profile>

AllAppList

Definieren Sie die Liste der Anwendungen, die ausgeführt werden dürfen basierend auf dem Zweck des Kioskgeräts. Diese Liste kann sowohl UWP-Apps als auch Desktop-Apps enthalten. Wenn die Multi-App-Kioskkonfiguration auf ein Gerät angewendet wird, werden AppLocker-Regeln generiert, um die in der Konfiguration aufgeführten Apps zuzulassen.

Definieren Sie innerhalb des AllAppList Knotens eine Liste der Anwendungen, die ausgeführt werden dürfen. Jedes App Element verfügt über die folgenden Eigenschaften:

Beispiel:

<AllAppsList>
  <AllowedApps>
    <App AppUserModelId="Microsoft.WindowsCalculator_8wekyb3d8bbwe!App" />
    <App DesktopAppPath="C:\Windows\system32\cmd.exe" />
    <App DesktopAppPath="%windir%\explorer.exe" />
    <App AppUserModelId="%ProgramFiles(x86)%\Microsoft\Edge\Application\msedge.exe" />
    <App DesktopAppPath="C:\Windows\System32\notepad.exe" rs5:AutoLaunch="true" rs5:AutoLaunchArguments="%windir%\setuperr.log" />
  </AllowedApps>
</AllAppsList>

<Profiles>
    <Profile Id="{EDB3036B-780D-487D-A375-69369D8A8F78}" Name="Microsoft Learn example">
        <AllAppsList>
            <AllowedApps>
                <!-- Add configuration here as needed -->
            </AllowedApps>
        </AllAppsList>
        <rs5:FileExplorerNamespaceRestrictions>
            <!-- Add configuration here as needed -->
        </rs5:FileExplorerNamespaceRestrictions>
        <!-- Add configuration here as needed -->
    </Profile>
</Profiles>

<rs5:FileExplorerNamespaceRestrictions>
</rs5:FileExplorerNamespaceRestrictions>

<rs5:FileExplorerNamespaceRestrictions>
    <rs5:AllowedNamespace Name="Downloads"/>
</rs5:FileExplorerNamespaceRestrictions>

<rs5:FileExplorerNamespaceRestrictions>
    <v3:AllowRemovableDrives />
</rs5:FileExplorerNamespaceRestrictions>

<rs5:FileExplorerNamespaceRestrictions>
    <rs5:AllowedNamespace Name="Downloads"/>
    <v3:AllowRemovableDrives/>
</rs5:FileExplorerNamespaceRestrictions>

<rs5:FileExplorerNamespaceRestrictions>
    <v3:NoRestriction />
</rs5:FileExplorerNamespaceRestrictions>

Anpassungen des Startmenüs

Für ein eingeschränktes Benutzeroberflächenprofil (AllAppList) müssen Sie das Startlayout definieren. Das Startlayout enthält eine Liste von Anwendungen, die an das Startmenü angeheftet sind. Sie können alle zulässigen Anwendungen an das Startmenü oder eine Teilmenge anheften. Die einfachste Möglichkeit zum Erstellen eines angepassten Startlayouts besteht darin, das Startmenü auf einem Testgerät zu konfigurieren und dann das Layout zu exportieren.

Informationen zum Anpassen und Exportieren einer Startmenükonfiguration finden Sie unter Anpassen des Startmenüs.

<StartLayout>
  <![CDATA[
    <!-- Add your exported Start menu XML configuration file here -->
  ]]>
</StartLayout>

<StartLayout>
  <![CDATA[
    <LayoutModificationTemplate xmlns:defaultlayout="http://schemas.microsoft.com/Start/2014/FullDefaultLayout"
    xmlns:start="http://schemas.microsoft.com/Start/2014/StartLayout" Version="1"
    xmlns="http://schemas.microsoft.com/Start/2014/LayoutModification">
      <LayoutOptions StartTileGroupCellWidth="6" />
      <DefaultLayoutOverride>
        <StartLayoutCollection>
          <defaultlayout:StartLayout GroupCellWidth="6">
            <start:Group Name="Group1">
              <start:Tile Size="4x4" Column="0" Row="0" AppUserModelID="Microsoft.  ZuneMusic_8wekyb3d8bbwe!Microsoft.ZuneMusic" />
              <start:Tile Size="2x2" Column="4" Row="2" AppUserModelID="Microsoft.  ZuneVideo_8wekyb3d8bbwe!Microsoft.ZuneVideo" />
            </start:Group>
            <start:Group Name="Group2">
              <start:DesktopApplicationTile Size="2x2" Column="2" Row="0"   DesktopApplicationLinkPath="%ALLUSERSPROFILE%\Microsoft\Windows\Start   Menu\Programs\Accessories\Paint.lnk" />
              <start:DesktopApplicationTile Size="2x2" Column="0" Row="0"   DesktopApplicationLinkPath="%APPDATA%\Microsoft\Windows\Start Menu\Programs\Accessories\Notepad.  lnk" />
            </start:Group>
          </defaultlayout:StartLayout>
        </StartLayoutCollection>
      </DefaultLayoutOverride>
    </LayoutModificationTemplate>
  ]]>
</StartLayout>

<v5:StartPins>
  <![CDATA[
      <!-- Add your exported Start menu JSON configuration file here -->
  ]]>
</v5:StartPins>

Anpassungen der Taskleiste

<Taskbar ShowTaskbar="true"/>

<Taskbar ShowTaskbar="false"/>

<Taskbar ShowTaskbar="true" />
<v5:TaskbarLayout><![CDATA[
  <!-- Add your exported Taskbar XML configuration file here -->
  ]]>
</v5:TaskbarLayout>

<Taskbar ShowTaskbar="true" />
<v5:TaskbarLayout><![CDATA[
  <?xml version="1.0" encoding="utf-8"?>
  <LayoutModificationTemplate
      xmlns="http://schemas.microsoft.com/Start/2014/LayoutModification"
      xmlns:defaultlayout="http://schemas.microsoft.com/Start/2014/FullDefaultLayout"
      xmlns:start="http://schemas.microsoft.com/Start/2014/StartLayout"
      xmlns:taskbar="http://schemas.microsoft.com/Start/2014/TaskbarLayout"
      Version="1">
  <CustomTaskbarLayoutCollection>
    <defaultlayout:TaskbarLayout>
    <taskbar:TaskbarPinList>
        <taskbar:DesktopApp DesktopApplicationID="Microsoft.Windows.Explorer" />
        <taskbar:DesktopApp DesktopApplicationID="windows.immersivecontrolpanel_cw5n1h2txyewy!microsoft.windows.immersivecontrolpanel" />
        <taskbar:DesktopApp DesktopApplicationLinkPath="%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Microsoft Edge.lnk"/>
    </taskbar:TaskbarPinList>
    </defaultlayout:TaskbarLayout>
  </CustomTaskbarLayoutCollection>
  </LayoutModificationTemplate>
  ]]>
</v5:TaskbarLayout>

Configs

Definieren Sie unter Configsein oder mehrere Benutzerkonten oder Gruppen und deren Zuordnung zu einem Profil.

Wenn sich das Benutzerkonto anmeldet, wird das zugeordnete Profil für den zugewiesenen Zugriff zusammen mit Richtlinieneinstellungen erzwungen, die Teil der eingeschränkten Benutzeroberfläche sind.

Sie können Folgendes zuweisen:

• Ein Standardbenutzerkonto, das lokal, domäne oder Microsoft Entra ID
• Ein Gruppenkonto, das lokal, Active Directory (Domäne) oder Microsoft Entra ID

Einschränkungen:

• Konfigurationen, die Gruppenkonten angeben, können kein Kioskprofil verwenden, nur ein eingeschränktes Benutzerfreundlichkeitsprofil
• Wenden Sie die eingeschränkte Benutzeroberfläche nur auf Standardbenutzer an. Das Zuordnen eines Administratorbenutzers zu einem Profil für zugewiesenen Zugriff wird nicht unterstützt.
• Wenden Sie das Profil nicht auf Benutzer oder Gruppen an, für die Richtlinien für bedingten Zugriff gelten, die eine Benutzerinteraktion erfordern. Beispiel: Mehrstufige Authentifizierung (Multi-Factor Authentication, MFA) oder Nutzungsbedingungen (ToU). Weitere Informationen finden Sie unter Benutzer können sich nicht bei Windows anmelden, wenn ein Kioskprofil mit mehreren Apps zugewiesen ist.

AutoLogon-Konto

Mit <AutoLogonAccount>wird mit zugewiesenem Zugriff ein Benutzerkonto erstellt und verwaltet, das sich nach dem Neustart eines Geräts automatisch anmeldet. Das Konto ist ein lokaler Standardbenutzer.

Das folgende Beispiel zeigt, wie Sie ein Konto für die automatische Anmeldung und den optionalen Anzeigenamen für das Konto auf dem Anmeldebildschirm angeben:

<Configs>
  <Config>
    <AutoLogonAccount rs5:DisplayName="Microsoft Learn example"/>
    <DefaultProfile Id="{GUID}"/>
  </Config>
</Configs>

Globales Profil

Mit GlobalProfilekönnen Sie ein Profil für zugewiesenen Zugriff definieren, das auf jedes Nicht-Administratorkonto angewendet wird, das sich anmeldet. GlobalProfile ist nützlich in Szenarien wie Mitarbeitern in Service und Studenten, in denen Sie sicherstellen möchten, dass jeder Benutzer eine konsistente Erfahrung hat.

<Configs>
  <v3:GlobalProfile Id="{GUID}"/>
</Configs>

Benutzerkonten

Einzelne Konten werden mithilfe von <Account>angegeben.

Lokaler Benutzer

Das lokale Konto kann als devicename\user, .\useroder einfach userals eingegeben werden.

<Config>
  <Account>user</Account>
  <DefaultProfile Id="{GUID}"/>
</Config>

Active Directory-Benutzer

Domänenkonten müssen im Format domain\samAccountNameeingegeben werden.

<Config>
  <Account>contoso\user</Account>
  <DefaultProfile Id="{GUID}"/>
</Config>

Microsoft Entra Benutzer

Microsoft Entra Konten müssen im folgenden Format angegeben werden: AzureAD\{UPN}. AzureADmuss unverändert bereitgestellt werden, und folgen Sie dann mit dem Microsoft Entra Benutzerprinzipalnamen (UPN).

<Config>
  <Account>AzureAD\user@contoso.onmicrosoft.com</Account>
  <DefaultProfile Id="{GUID}"/>
</Config>

Gruppenkonten

Gruppenkonten werden mit <UserGroup>angegeben. Geschachtelte Gruppen werden nicht unterstützt. Wenn z. B. Benutzer A Mitglied von Gruppe A ist, Gruppe A Mitglied von Gruppe B ist und Gruppe B in <Config/>verwendet wird, verfügt Benutzer A nicht über die Kioskerfahrung.

Lokale Gruppe

Geben Sie den Gruppentyp als LocalGroup an, und fügen Sie den Gruppennamen im Name Attribut hinzu.

<Config>
  <UserGroup Type="LocalGroup" Name="groupname" />
  <DefaultProfile Id="{GUID}"/>
</Config>

Active Directory-Gruppe

Sowohl Sicherheits- als auch Verteilergruppen werden unterstützt. Geben Sie den Gruppentyp als an ActiveDirectoryGroup. Verwenden Sie den Domänennamen als Präfix im Attribut name.

<Config>
  <UserGroup Type="ActiveDirectoryGroup" Name="contoso\groupname" />
  <DefaultProfile Id="{GUID}"/>
</Config>

Microsoft Entra Gruppe

Verwenden Sie die Objekt-ID der Microsoft Entra Gruppe. Sie finden die Objekt-ID auf der Übersichtsseite für die Gruppe, indem Sie sich beim Microsoft Entra Admin Center anmelden und zu Identitätsgruppen>>Alle Gruppen navigieren. Geben Sie den Gruppentyp als an AzureActiveDirectoryGroup. Das Kioskgerät muss über eine Internetverbindung verfügen, wenn sich Benutzer, die der Gruppe angehören, anmelden.

<Config>
  <UserGroup Type="AzureActiveDirectoryGroup" Name="Group_GUID" />
  <DefaultProfile Id="{GUID}"/>
</Config>

Nächste Schritte