什么是指定访问权限?

指定访问权限是一项 Windows 功能,可用于将设备配置为展台或为设备配置受限的用户体验。

配置展台体验时,可以在锁屏界面上全屏执行单个通用 Windows 平台 (UWP) 应用程序或 Microsoft Edge。 用户只能使用该应用程序。 如果展台应用已关闭,该应用会自动重启。 实际示例包括:

  • 公共浏览
  • 交互式数字标牌

配置受限用户体验后,用户只能使用定制的“开始”菜单和任务栏执行一系列限定的应用程序。 通过强制实施不同的策略设置和 AppLocker 规则,创建锁定体验。 这样可以让用户访问熟悉的 Windows 桌面,同时限制其访问权限、减少干扰和无意使用的可能性。 非常适合共享设备,你可以为不同的用户创建不同的配置。 实际示例包括:

  • 一线员工设备
  • 学生设备
  • 实验室设备

注意

配置受限用户体验时,设备将应用不同的策略设置。 某些策略设置仅适用于标准用户,某些也适用于管理员帐户。 有关详细信息,请参阅指定访问权限策略设置

要求

下面是指定访问权限的要求:

  • 若要使用展台体验,必须启用用户帐户控制 (UAC)
  • 若要使用展台体验,必须从控制台登录。 不支持通过远程桌面连接使用展台体验

Windows 版本要求

下表列出了支持指定访问权限的 Windows 版本:

版次 支持指定访问权限
教育
企业
企业版 LTSC
IoT 企业版
IoT 企业版 LTSC
专业教育版
专业版

配置展台体验

配置展台体验有多个选项。 如果需要使用本地帐户配置单个设备,可以使用:

  • PowerShell:可以运行 Set-AssignedAccess PowerShell cmdlet 使用本地标准帐户配置展台体验
  • 设置:在需要通过一个简单的方法来使用本地标准用户帐户配置单个设备时,请使用此选项

对于高级自定义,可以使用指定访问权限 CSP 来配置展台体验。 通过 CSP 可以配置展台应用、用户帐户和展台应用的行为。 使用 CSP 时,必须创建一个指定展台应用和用户帐户的 XML 配置文件。 XML 文件使用以下选项之一应用于设备:

  • 移动设备管理 (MDM) 解决方案,如 Microsoft Intune
  • 预配程序包
  • 使用 MDM Bridge WMI 提供程序的 PowerShell

若要了解如何配置 Shell Launcher XML 文件,请参阅创建指定访问权限配置文件

以下说明提供了有关如何配置设备的详细信息。 选择最适合需要的选项。

可以将自定义策略AssignedAccess CSP 配合使用来配置设备。

  • 设置:./Vendor/MSFT/AssignedAccess/Configuration
  • 值:XML 配置文件的内容

将策略分配给包含要配置的设备成员的组。

提示

有关实际示例,请参阅快速入门:使用指定访问权限配置展台

配置受限用户体验

若要使用指定访问权限配置受限用户体验,必须使用所需体验的设置创建 XML 配置文件。 XML 文件通过指定访问权限 CSP 应用到设备,并使用以下选项之一:

  • 移动设备管理 (MDM) 解决方案,如 Microsoft Intune
  • 预配程序包
  • 使用 MDM Bridge WMI 提供程序的 PowerShell

若要了解如何配置指定访问权限 XML 文件,请参阅创建指定访问权限配置文件

以下说明提供了有关如何配置设备的详细信息。 选择最适合需要的选项。

可以将自定义策略AssignedAccess CSP 配合使用来配置设备。

  • 设置:./Vendor/MSFT/AssignedAccess/ShellLauncher
  • 值:XML 配置文件的内容

将策略分配给包含要配置的设备成员的组。

用户体验

若要验证展台或受限用户体验,请使用在配置文件中指定的用户帐户登录。

指定访问权限配置在目标用户下次登录时生效。 如果该用户帐户在你应用配置时已登录,请注销并重新登录以验证体验。

注意

从 Windows 11 开始,受限用户体验支持使用多个监视器。

自动触发触摸键盘

如果需要输入,并且物理键盘未连接到支持触摸的设备,则将自动触发触摸键盘。 你无需配置任何其他设置即可强制执行此行为。

提示

仅在点击文本框时才触发触摸键盘。 点击鼠标不会触发触摸键盘。 如果要测试此功能,请使用物理设备而不是虚拟机 (VM),因为 VM 上不会触发触摸键盘。

注销分配的访问权限

默认情况下,若要退出展台体验,请按 Ctrl + Alt + Del。展台应用会自动退出。 如果以指定访问权限帐户的身份重新登录或者等待登录屏幕超时,展台应用将重启。 默认超时为 30 秒,但可以使用注册表项更改超时:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI

若要更改指定访问权限恢复的默认时间,请添加 IdleTimeOut (DWORD),并输入十六进制形式的值数据(以毫秒为单位)。

注意

IdleTimeOut 不适用于 Microsoft Edge 展台模式。

中断序列 Ctrl + Alt + Del 是默认值,但此序列可以配置为其他按键序列。 中断序列使用“修饰键 + 按键”格式。 一个示例中断序列是 CTRL + ALT + A,其中 CTRL + ALT 是修饰键, A 是按键值。 若要了解详细信息,请参阅创建指定访问权限配置 XML 文件

删除指定访问权限

删除受限用户体验会删除与用户关联的策略设置,但无法还原所有配置。 例如,维护“开始”菜单配置。

后续步骤

在部署指定访问权限之前,请查看建议:

指定访问权限建议