Assigned access windows 10 что это

Обновлено: 08.07.2024

Что такое Windows 10 Education (Для образовательных учреждений), какие у нее функции? Где скачать и как активировать? Все это в нашем обзоре в данной статье.

Приобрести лицензионный ключ активации для данной версии Вы так же можете на официальном сайте Microsoft.

Редакция Windows 10 Education уже судя по своему названию говорит сама за себя, она была создана для образовательной сферы, а именно для учебных заведений и имеет в себе специфический набор функций, которые в данной сфере могут применить. В основном дополнительные инструменты функционала сосредоточены на групповых политиках, а именно это службы: Direct Access, AppLocker, BranchCache.

По поводу безопасности "Windows 10 Для образовательных учреждений" в сравнении с версией Home и Pro имеют несколько дополнительных функций, таких как:

Credential Guard – защита учетных данных пользователей;

Device Guard – надежная защита подключенных периферийных устройств.

В целом, добавление функций реализовано на функционал поддерживающих коллективное использование.

Список функционала используемого на профессиональном уровне, который поддерживает Windows 10 Education :

- Шифрование устройства
- Присоединение к домену
- Управление групповой политикой
- BitLocker
- Режим ограниченного доступа (Assigned Access)
- Удаленный рабочий стол
- Hyper-V
- Direct Access
- Windows To Go Creator
- AppLocker
- BranchCache
- Управление начальным экраном с помощью групповой политики
- Загрузка неопубликованных бизнес-приложений
- Управление мобильными устройствами
- Присоединение к Azure Active Directory с единым входом в облачные приложения
- Windows Store для организаций
- Детальное управление пользовательским интерфейсом (Granular UX control)
- Обновление с Home до Education
- Microsoft Passport
- Защита корпоративных данных (Enterprise Data Protection)
- Защита учетных данных (Credential Guard)
- Центр обновления Windows для бизнеса
- Current Branch для бизнеса

Из этого списка можно сделать вывод, что функционал Education почти полностью совпадает с функционалом Windows 10 Enterprise.

Можно подвести итог, что Windows 10 Education - это особая версия, которая предполагалась для ее использования в образовательных нуждах (школах, университетах, колледжей и т.п.). Функционал данной версии значительно отличается, более расширенным набором по сравнении с Windows 10 Pro или Home, но в так же очень схожа, можно сказать идентична Windows 10 Enterprise.

Поставщик служб конфигурации AssignedAccess (CSP) используется для настройки устройства для работы в режиме киоска. После выполнения CSP следующий вход пользователя, связанный с режимом киоска, помещает устройство в режим киоска с приложением, указанным в конфигурации CSP.

Пошаговую руководство по настройке устройств, которые будут работать в режиме киоска, см. в руководстве Настройка киоска на Windows 10 Pro, Enterprise или образовании.

В Windows 10 версии 1709 Поставщик служб конфигурации (CSP) для AssignedAccess был расширен, чтобы администраторы могли создавать терминалы, на которых запускается более одного приложения. С помощью пакета подготовки можно настроить киоск, поддерживающий запуск нескольких приложений. Пошаговую руководство см. в руководстве Create a Windows 10 с несколькими приложениями.

Назначить отдельной учетной записи пользователя на устройстве можно только один профиль киоска приложений. Один профиль приложения не поддерживает группы доменов.

Если приложение вызывает KeyCredentialManager.IsSupportedAsync, когда оно работает в назначенном режиме доступа и возвращает ложный при первом запуске, вызывите экран параметров и выберите удобный ПИН-код для использования с Windows Hello. Это экран параметров, скрытый приложением, работающим в назначенном режиме доступа. Вы можете использовать Windows Hello только в том случае, если сначала вы оставите назначенный режим доступа, выберите пин-код удобства и снова перейдите в назначенном режиме доступа.

CSP AssignedAccess поддерживается в Windows 10 Корпоративная и Windows 10 для образовательных учреждений. Начиная с Windows 10 версии 1709 она также поддерживается в Windows 10 Pro и Windows 10 S. Начиная с Windows 10 версии 1803, она также поддерживается в Windows Holographic for Business выпуске.

Ниже показан поставщик служб конфигурации AssignedAccess в формате дерева

./Device/Vendor/MSFT/AssignedAccess Корневой узел для CSP.

./Device/Vendor/MSFT/AssignedAccess/KioskModeApp Строка JSON, которая содержит имя учетной записи пользователя и ID модели пользователя приложения (AUMID) приложения режима киоска. Дополнительные сведения о том, как получить AUMID, см. в примере Find the Application User Model ID установленного приложения.

В Windows 10 версии 1803 узел Configuration вводит единый профиль киоска приложений для замены узла CSP KioskModeApp. Узел KioskModeApp в ближайшее время будет обесценен, поэтому для настройки единого киоска приложений следует использовать единый профиль киоска приложений в config xml для узла Configuration.

Начиная с Windows 10 версии 1803 узел KioskModeApp становится No-Op, если узел Configuration настроен на устройстве. Эта команда Add/Replace/Delete в узле KioskModeApp всегда возвращает SUCCESS на сервер MDM, если задан узел конфигурации, но данные KioskModeApp не будут действовать на устройстве. Получить команду в KioskModeApp вернет настроенную строку JSON, даже если она не эффективна.

Нельзя одновременно устанавливать на устройстве и KioskModeApp, и ShellLauncher.

Начиная с Windows 10 версии 1607 можно использовать предварительное приложение для настройки режима киоска. Дополнительные сведения о удаленном предоставлении приложения см. в Enterprise управления приложениями.

В этом примере требуется двойной \\ из-за того, что он в JSON и JSON убегает \ в \\. Если на сервере MDM используется JSON parser\composer, следует попросить пользователей ввести только один \, который будет \\ в JSON. Если пользователь типа \\, он станет \\\\ в JSON, что приведет к ошибочным результатам. По той же причине домен\учетная запись, используемая в конфигурации xml, не нужна \\ но только одна \, так как xml не должен (нужно) убежать \.

При настройке приложения режима киоска имя учетной записи будет использоваться для поиска целевого пользователя. Имя учетной записи включает доменное имя и имя пользователя.

Доменное имя может быть необязательным, если имя пользователя является уникальным по всей системе.

Для локальной учетной записи доменное имя должно быть именем устройства. Когда Get выполняется на этом узле, доменное имя всегда возвращается в выходе.

Поддерживаемые операции : Добавить, Удалить, Получить и заменить. Если конфигурация не существует, методы Get and Delete сбой. Когда уже есть конфигурация для приложения режима киоска, метод Add не работает. Шаблон данных для Добавить и Заменить тот же.

./Device/Vendor/MSFT/AssignedAccess/Configuration Добавлена Windows 10 версии 1709. Указывает параметры, которые можно настроить в киоске или устройстве. Этот узел принимает xml AssignedAccessConfiguration в качестве ввода для настройки работы устройства. Дополнительные сведения о параметрах конфигурации в XML см. в Windows 10 киоске с несколькими приложениями. Вот схема для AssignedAccessConfiguration.

Предприятия могут использовать это для легкой настройки и управления опытом блокировки с помощью куратора.

Поддерживаемые операции : Добавить, Получить, Удалить и Заменить.

Удаление конфигурации нескольких приложений удаляет связанные с пользователями задатки для блокировки доступа, но не может вернуть все принудительно примененные политики (например, пусковая компоновка).

./Device/Vendor/MSFT/AssignedAccess/Status Добавлена Windows 10 версии 1803. Этот узел только для чтения позволяет серверу MDM запрашивать текущий KioskModeAppRuntimeStatus до тех пор, пока узел StatusConfiguration задан в "On" или "OnWithAlerts". Если statusConfiguration является "Off", узел, не найденный ошибка, будет отчитаться на сервере MDM. Щелкните ссылку, чтобы увидеть пример SyncML. Вот схема полезной нагрузки Status.

В Windows 10 версии 1803 состояние назначенного времени запуска доступа поддерживает мониторинг только одного режима киоска приложений. Вот возможный статус, доступный для одного режима киоска приложений.

Состояние	Описание
KioskModeAppRunning	Это означает, что приложение киоска работает нормально.
KioskModeAppNotFound	Это происходит, когда приложение киоска не развернуто на компьютере.
KioskModeAppActivationFailure	Это происходит, когда назначенный контроллер доступа обнаруживает неожиданно завершаемую процедуру после превышения максимальной повторной обработки.

Коды состояния, доступные в полезной нагрузке Status, соответствуют определенному kioskModeAppRuntimeStatus.

Код состояния	KioskModeAppRuntimeStatus
1	KioskModeAppRunning
2	KioskModeAppNotFound
3	KioskModeAppActivationFailure

Кроме того, полезной нагрузкой состояния является profileId, который может использоваться MDM-сервером для сопоставления того, какое приложение киоска вызвало ошибку.

В Windows 10, версия 1809 состояние назначенного времени запуска доступа поддерживает мониторинг киоска одного приложения и режимов нескольких приложений. Вот возможные коды состояния.

Состояние	Описание
Running	Учетная запись AssignedAccess (киоск или мульти-приложение) работает нормально.
AppNotFound	Приложение киоска не развертывается на компьютере.
ActivationFailed	Учетная запись AssignedAccess (киоск или мульти-приложение) не смогла войти.
AppNoResponse	Приложение киоска запущено успешно, но в настоящее время не работает.

Коды состояния, доступные в полезной нагрузке Status, соответствуют определенному AssignedAccessRuntimeStatus.

Код состояния	AssignedAccessRuntimeStatus
1	Running
2	AppNotFound
3	ActivationFailed
4	AppNoResponse

Кроме того, полезной нагрузкой Status являются следующие поля:

profileId: может использоваться MDM-сервером для сопоставления учетной записи, вызываемой ошибкой.
OperationList: список сбойных операций, которые произошли при применении назначенного CSP доступа, если таковые имеются.

Поддерживаемая операция — Get.

./Device/Vendor/MSFT/AssignedAccess/ShellLauncher Добавлено Windows 10 версии 1803. Этот узел принимает xml ShellLauncherConfiguration в качестве ввода. Щелкните ссылку, чтобы увидеть схему. Shell Launcher V2 представлена в Windows 10 версии 1903 для поддержки приложений UWP и Win32 в качестве настраиваемой оболочки. Дополнительные сведения см. в выпуске Shell Launcher.

Нельзя одновременно устанавливать на устройстве и ShellLauncher, и KioskModeApp.

Настройка запуска оболочки с помощью узла ShellLauncher автоматически включает функцию запуска shell, если она доступна в SKU. I. Для запуска shell Launcher как функции и узла ShellLauncher требуется Windows Enterprise или Windows образования.

Узел ShellLauncher не поддерживается в Windows 10 Pro.

./Device/Vendor/MSFT/AssignedAccess/StatusConfiguration Добавлена Windows 10 версии 1803. Этот узел принимает xml StatusConfiguration в качестве ввода для настройки мониторинга состояния приложения-киоска. Существует три возможных значения для узла StatusEnabled внутри xml StatusConfiguration: On, OnWithAlerts и Off. Щелкните ссылку, чтобы увидеть схему StatusConfiguration.

По умолчанию узел StatusConfiguration не существует, и это означает, что эта функция отключена. После включения с помощью CSP присвоенный доступ проверяет состояние приложения-киоска и ждет, когда сервер MDM запрашивает последний статус из узла Status.

Необязательный вариант: MDM-сервер может выполнить вход в оповещение MDM, чтобы при смене состояния времени запуска MDM сразу же было сгенерировано и отправлено на сервер MDM. Это оповещение MDM будет содержать полезное состояние, доступное через узел Status.

Этот загон оповещений MDM определяется следующим образом:

MDMAlertMark: критически важно
MDMAlertType: "com.microsoft.mdm.assignedaccess.status"
MDMAlertDataType: String
Источник: "./Vendor/MSFT/AssignedAccess"
Цель: N/A

Предупреждение MDM будет отправлено только из-за ошибок.

Примеры KioskModeApp

Добавление в KioskModeApp

AssignedAccessConfiguration XSD

Ниже схема для конфигурации AssignedAccess до Windows 10 выпуска 1803.

Вот схема новых функций, представленная в Windows 10 1809 г.

Схема для Windows 10 предварительной подготовки

Чтобы разрешить совместимую конфигурацию XML, которая включает элементы и атрибуты 1809 или prerelease, всегда включайте пространство имен этих надстроек и украсьте атрибуты и элементы соответствующим псевдонимом пространства имен. Например, чтобы настроить функцию автоматического запуска, добавленную в выпуск 1809 г., используйте ниже пример, обратите внимание, что псевдоним r1809 присваивается пространству имен 201810 для выпуска 1809 г., а псевдоним помечен в inline AutoLaunch и AutoLaunchArguments.

Пример XML AssignedAccessConfiguration

Примеры конфигурации

Кодирование XML (сбежавшего) и CDATA XML в узле Данных гарантируют, что клиент DM может правильно интерпретировать SyncML и отправлять xml конфигурации в виде строки (в исходном формате, неизрасходоваемой) в CSP AssignedAccesss для обработки.

Кроме того, xml StartLayout внутри xml конфигурации использует тот же формат, xml внутри xml, как строка. В примере Конфигурация xml, представленная выше, CDATA используется для вложения xml StartLayout. Если вы используете CDATA для встраивания xml конфигурации в SyncML, вы будете вложены CDATA, поэтому обратите внимание на то, как CDATA используется в предоставленной cdATA-примере. При этом при построении XML конфигурации MDM-сервер может либо избежать старта макета xml, либо поместить xml startlayout в CDATA, когда MDM-сервер помещает xml конфигурации внутри SyncML, MDM-сервер может также избежать его или обернуть CDATA.

Escape и CDATA — это механизмы обработки xml в xml. Считайте, что это транспортный канал для отправки xml конфигурации в качестве полезной нагрузки от сервера к клиенту. Она прозрачна как для конечных пользователей, которые настраивают CSP, так и для нашего CSP. И клиент на стороне сервера, и наш CSP должны видеть только оригинальную конфигурацию XML.

Режим киоска – это ранее существовавшая в системе настройка ограниченного доступа для отдельных *ЛОКАЛЬНЫХ учётных записей в виде возможности запуска всего лишь одного приложения из числа UWP. Универсальная платформа Windows (англ. Universal Windows Platform)
Идея существования пользовательской учётной записи, ограниченной запуском только одного приложения. Публичный компьютер
Пользователю должно быть доступно только одно приложение в полноэкранном режиме и ничего иного кроме этого.
Единственная оговорка — режим киоска Windows 10 работает только с плиточными приложениями приложения из магазина. С традиционными настольными приложениями он работать не умеет!

Режим киоска, как и ранняя его реализация в виде настройки ограниченного доступа для отдельных учётных записей, недоступна в Windows 10 Home Домашняя. Доступна только в редакциях, начиная с Pro редакций профессиональная, корпоративная и для образовательных учреждений..

1)Настраивается киоск в Параметры Windows (клавиши Win+I) \ параметрах учётных записей семьи и других пользователей. Здесь добавился новый пункт «Настроить киоск». Кликаем этот пункт. (В открывшемся окне Вам будет предложено ввести адрес электронной почты пользователя, имеющего учётную запись Майкрософт или его телефон. Мы же кликаем на ссылку «У меня нет данных для входа этого человека». Нажимаем на кнопку «Далее».)

2)И для создания киоска жмём «Начало работы»

3)Вводим имя, это может быть имя пользователя, который будет работать в рамках ограниченной учётной записи. Жмём «Далее».
(В следующем окне кликаем на ссылку «Добавить пользователя без учетной записи Майкрософт».)

4)Теперь выбираем приложение из числа UWP, включая Microsoft Edge . Приложения можно скачать в Microsoft Store Магазин

5)На примере браузера интернет обозревателя Microsoft Edge есть выбор Как будет использоваться этот терминал ?

6)Готово выход из режима киоска осуществляется клавишами Ctrl+Alt+Del.

7)Для удаления киоска в его настройках кликаем имя пользователя и жмём «Удалить киоск».

8)Если вы хотите установить эти настройки на нескольких компьютерах или просто любите Windows Powershell, эту конфигурацию также можно выполнить с помощью
If you want to set this up on multiple machines or simply love Windows Powershell, this configuration can also be scripted using Set-AssignedAccess
A typical command would be
ps

9)Установим пароль на bios uefi , и отключи загрузку с внешних устройств usb/cd/dvd/fdd

10)gpedit.msc Отключите съемные носители.
Перейдите в меню Редактор групповой политики > Конфигурация компьютера > Административные шаблоны\Система\Установка устройств\Ограничения на установку устройств. Проверьте параметры политики, отображаемые в разделе Ограничения на установку устройств, чтобы найти параметры, подходящие для вашей ситуации.

11)Браузер Google Chrome режим информационного киоска:

12)Если компьютер в домене то используя GPO Управление групповой политикой (команда gpedit.msc)

13)Дополнительно на сетевом оборудовании Cisco можно привязать MAC МАК адрес компьютера

Cisco Port Security — это функция канального уровня, которая создана для предотвращения несанкционированной смены MAC адреса сетевого подключения. Также, данная функция ограждает коммутатор от атак, которые могут быть направлены на переполнение таблицы MAC адресов.
С помощью Port Security можно ограничить (на канальном уровне) количество подключений (MAC адресов) на интерфейсе, а так же, при необходимости, ввести безопасные MAC адреса вручную (статические MAC адреса).
Пример настройки Port Security на интерфейсе коммутатора cisco:

Пример распространенное подключение устройств в больших организациях. Как правило к порту подключаются два устройства: IP телефон и компьютер пользователя. Пример конфига интерфейса коммутатора с использованием Port Security:

Основные характеристики Windows Embedded 8.1 Industry Pro Retail

Простейшая настройка
Используйте в Windows Embedded 8.1 Industry Pro Retail знакомые средства и инструменты для установки и развертывания операционной системы на устройстве.

Функции блокировки
Дайте дополнительную безопасность вашему образу встраиваемой системы, используя возможности функций защиты. Windows Embedded 8.1 Industry Pro Retail включает в себя новый Unified Write Filter, сочетающий в себе лучшее из Enchanced Write Filter, File Based Filter и Registry Filter, который также добавляет фильтр USB, позволяющий создавать белые и черные списки USB устройств, которые можно использовать для подключения.

Менеджер встроенных блокировок
Используйте новый менеджер встроенных блокировок, который позволяет администраторам управлять функциями блокировок удаленно. Это может быть сделано как с помощью новой графической консоли управления (MMC), так и с помощью скриптов PowerShell через интерфейс расширенного инструментария управления (WMI). Консоль управления позволяет легко конфигурировать Unified Write Filter, фильтр драйвера клавиатуры (Keyboard Filter Driver), фильтр диалогов (Dialog Filter) и саму оболочку (Shell Launcher).

Modern UI пользовательский интерфейс
В Windows Embedded 8.1 Industry Pro Retail можно также включить новый интерфейс Modern UI, позволяющий работать с устройством с помощью пальцеориентированного ввода. Даже если у вас нет необходимости использовать Modern UI на своих устройствах, можете воспользоваться новой мощнейшей библиотекой WinRT для создания ваших приложений.

Фильтр драйвера клавиатуры
Заблокируйте любые нежелательные последовательности нажатий или комбинации клавиш с помощью Keyboard Filter Driver. Новая версия фильтра поддерживает в том числе и экранную клавиатуру, что позволит максимально защитить устройство от несанкционированного доступа к ОС и ПО.

Локализация
Windows Embedded 8.1 Industry Pro Retail доступна более чем на 30 языках. Вы можете переключать язык прямо на лету.

VHD Boot
Устанавливайте Windows непосредственно в VHD файл (V виртуальный H жесткий D диск) и загружайтесь с него. Это даст вам дополнительный функционал, такой как облегчение технического обслуживания, клонирования и т.д.

POS-терминалы и автоматические кассы станут еще доступнее с более дешевой и легкой ОС Windows 10 IoT Enterprise!

Разработчики POS-устройств и онлайн-касс постоянно совершенствуют конструкцию и возможности своего оборудования. Постепенно оно становится компактнее, мобильнее и дешевле. Обычно от таких устройств не требуется высокая производительность, поэтому они построены на простых процессорах класса Intel Atom или Celeron.

Учитывая это, Microsoft поменяла принцип лицензирования и ценообразования для новой ОС Windows 10 IoT Enterprise. Теперь цена этой операционной системы зависит от используемого в устройстве процессора. Для дешевых CPU новая ОС стоит всего 45 долларов. Но дешево не означает плохо! За эти деньги производители оборудования получают полноценную современную ОС со всеми функциями и безопасностью корпоративного уровня.

Ниже вы можете ознакомиться с описанием этой операционной системы.

Описание Windows 10 IoT Enterprise LTSB 2016

Windows 10 IoT Enterprise LTSB 2016 – универсальная ОС, подходящая для всех специальных устройств независимо от их назначения. Это современная операционная система с полным набором необходимых функций и расширенными возможностями для построения безотказных, защищенных систем. Продукт ориентирован на интернет вещей и ритейл-приложения (POS-терминалы, автоматические кассы, цифровые рекламные панели). В этой ветви Win 10 отсутствуют ненужные для специфических устройств компоненты (браузер Microsoft Edge, голосовой помощник Кортана, приложения Windows Store). Остальной функционал сохранен и даже расширен. Это первая специализированная ОС с поддержкой POS-оборудования (чековых принтеров, карт-ридеров, сканеров штрих-кодов).

Функции и инструменты Windows 10 IoT Enterprise

В этой операционной системе вы найдете как уже знакомые инструменты и функции по настройке, так и новые, улучшенные средства.

Device Guard – средство для защиты операционной системы от запуска на устройстве вредоносных программ. Тем самым повышается уровень безопасности и отказоустойчивости устройства.

Lockdown – набор фильтров, позволяющий поднять уровень оптимизации и защищенности устройства на недостижимый ранее уровень. В набор входят:

фильтр защиты от записи, защищающий выбранные данные на диске от внесения любых изменений,
фильтр USB, дает возможность контролировать и администрировать использование USB-периферии,
фильтр Стартового экрана позволяет производителю создать и настроить свою визуальную оболочку,
AppLocker – улучшенное средство, позволяющее предотвратить установку и запуск нежелательных приложений со стороны пользователя,
Shell Launcher – позволяет сразу запускать Встраиваемое приложение вместо окна операционной системы.Также возможно настроить автоматический запуск разных приложений для разных учетных записей.
Assigned Access – набор функций, позволяющий легко создать специализированные профили для пользователей с возможностью автоматического запуска одного единственного Встроенного приложения, блокировки различных комбинаций клавиш, блокировки управления жестами.

BitLocker – средство шифрования информации на устройстве. Позволяет защитить данные на устройстве в случае его утраты.

Исходя из названия LTSB (Long Term Servicing Branch), это самая стабильная ветвь Windows 10 IoT Enterprise. В нее загружаются лишь исправления и обновления безопасности, проверенные в других сборках. В настройках предусмотрена возможность отложить обновления.

Новый принцип лицензирования Windows 10 IoT Enterprise LTSB 2016

Windows 10 IoT Enterprise для POS-терминалов и онлайн-касс

Покупая Windows 10 IoT Enterprise в редакции Entry, разработчик получает:

Windows 10 IoT Enterprise для процессоров:

Intel Pentium серий N и J; Celeron серий N, J, G, 3000; Atom всех серий кроме C2750, C2730, C2550, C2530, C2350, C3338, S1260, S1240, S1220;
Все процессоры VIA;
AMD E1, E2, E-350, A4, A6, серии G, V10xx-V12xx, Athlon.

Общие характеристики операционных систем для киосков, POS-систем и Digital Signage

Windows 10 IoT Enterprise

Все версии представлены в максимальной редакции Windows 10 IoT Enterprise и технически идентичны!

Формат обновлений: LTSB (Long Term Servicing Branch) позволяет настроить политику так, что обновления системы не будут доставляться без разрешения, чтобы не нарушать текущую работу устройств.

Специальные возможности позволяют встроенными средствами ОС блокировать пользовательские функции, ограничить доступность системы и защитить устройства от нецелевого использования, а также обеспечивают дополнительную защиту и от преднамеренных попыток взлома системы.

Системные требования: Процессор: 1 ГГц или более мощный, ОЗУ: 1 ГБ (для 32-разрядной версии) или 2 ГБ (для 64-разрядной версии), свободное место на жестком диске: 16 ГБ, графическое устройство с поддержкой Microsoft DirectX 9 и драйвером WDDM (Работает на всех устройствах, которые поддерживают Windows 8.1).

Предыдущие версии Windows для устройств фиксированного назначения на основе Windows 8.1, Windows 7 и Windows XP по-прежнему доступны у Embedded-дистрибуторов!

Читайте также: