分配的访问权限建议
本文包含有关配置了分配访问权限和 Shell 启动器的设备的建议。 大多数建议包括组策略 (GPO) 和配置服务提供程序 (CSP) 设置，以帮助你配置展台设备。
展台用户帐户
对于位于面向公众的环境中的展台设备，请将具有最低特权的用户帐户配置为展台帐户，例如本地标准用户帐户。 使用 Active Directory 用户或 Microsoft Entra 用户可能允许攻击者访问任何域帐户可访问的域资源。 使用具有已分配访问权限的域帐户时，请谨慎继续操作。 请考虑使用域帐户可能公开的域资源。
自动登录
请考虑为展台设备启用 自动登录 。 当设备重新启动时，由于更新或停电，你可以将设备配置为使用“分配的访问权限”帐户自动登录。 确保应用于设备的策略设置不会阻止自动登录按预期工作。 例如， 策略设置 PreferredAadTenantDomainName 会阻止自动登录正常工作。
可以使用帐户配置分配的访问权限和 Shell 启动器 XML 文件，以便自动登录。 有关详细信息，请查看以下文章：
或者，可以编辑注册表以让帐户自动登录：
| 路径 | 名称 | 类型 | 值 |
|---|---|---|---|
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon |
AutoAdminLogon |
REG_DWORD | 1 |
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon |
DefaultUserName |
字符串 | 将值设置为要登录的帐户。 |
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon |
DefaultPassword |
字符串 | 将值设置为帐户的密码。 |
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon |
DefaultDomainName |
字符串 | 为域设置值，仅适用于域帐户。 对于本地帐户，请勿添加此密钥。 |
配置自动登录后，重启设备。 帐户将自动登录。
注意
如果使用已启用的自定义登录HideAutoLogonUI，则用户帐户密码过期时可能会遇到黑屏。 请考虑 将密码设置为永不过期。
Windows 更新
配置展台设备，使其始终处于最新状态，而不会中断用户体验。 下面是为展台设备配置 Windows 更新时要考虑的一些策略设置：
| 类型 | 路径 | 名称/说明 |
|---|---|---|
| CSP |
./Device/Vendor/MSFT/Policy/Config/Update/
ActiveHoursEnd |
表示活动小时数结束的整数值。 例如， 22 表示晚上 10 点 |
| CSP |
./Device/Vendor/MSFT/Policy/Config/Update/
ActiveHoursStart |
表示活动时段开始的整数值。 例如， 7 表示 7AM |
| CSP |
./Device/Vendor/MSFT/Policy/Config/Update/
AllowAutoUpdate |
整数值。 设置为 3 - 自动下载并计划安装 |
| CSP |
./Device/Vendor/MSFT/Policy/Config/Update/
ScheduledInstallTime |
整数值。 指定设备安装更新的时间。 例如， 23 表示晚上 11 点 |
| CSP |
./Device/Vendor/MSFT/Policy/Config/Update/
UpdateNotificationLevel |
整数值。 设置为 2：关闭所有通知，包括重启警告 |
| GPO | 计算机配置\管理模板\Windows 组件\Windows 更新\管理最终用户体验 | 更新通知的 > 显示选项 将值设置为 2 - 关闭所有通知，包括重启警告 |
| GPO | 计算机配置\管理模板\Windows 组件\Windows 更新\管理最终用户体验\配置自动更新 | 4 - 自动下载并计划安装> 指定超出活动时段的安装时间 |
| GPO | 计算机配置\管理模板\Windows 组件\Windows 更新\管理最终用户体验\在活动时段关闭自动重启更新 | 配置开始和结束活动时间，在此期间，展台设备因 Windows 更新而无法重启 |
电源设置
你可能想要阻止展台设备进入睡眠状态，或者阻止用户关闭或重启展台。 下面是一些需要考虑的选项：
| 类型 | 路径 | 名称/说明 |
|---|---|---|
| CSP |
./Device/Vendor/MSFT/Policy/Config/ADMX_StartMenu/
HidePowerOptions |
字符串。 设置为 <Enabled/> |
| CSP | ./Device/Vendor/MSFT/Policy/Config/LocalPoliciesSecurityOptions/Shutdown_AllowSystemToBeShutDownWithoutHavingToLogOn |
整数值。 设置为 0 |
| CSP |
./Device/Vendor/MSFT/Policy/Config/Power/
DisplayOffTimeoutPluggedIn |
字符串。 设置为 <Enabled/><Data ID="EnterVideoACPowerDownTimeOut" value="0"/> |
| CSP |
./Device/Vendor/MSFT/Policy/Config/Power/
SelectPowerButtonActionPluggedIn |
整数。 设置为 0 |
| CSP |
./Device/Vendor/MSFT/Policy/Config/Power/
SelectSleepButtonActionPluggedIn |
整数。 设置为 0 |
| CSP |
./Device/Vendor/MSFT/Policy/Config/Power/
StandbyTimeoutPluggedIn |
字符串。 设置为 <Enabled/><Data ID="EnterACStandbyTimeOut" value="0"/> |
| GPO | 计算机配置\管理模板\“开始”菜单和任务栏\删除并阻止访问“关机”、“重启”、“睡眠”和“休眠”命令 | Enable |
| GPO | 计算机配置\管理模板\System\电源管理\按钮设置\选择电源按钮操作 | 选择操作： 不执行任何操作 |
| GPO | 计算机配置\管理模板\System\电源管理\按钮设置\选择睡眠按钮操作 | 选择操作： 不执行任何操作 |
| GPO | 计算机配置\管理模板\系统\电源管理\指定系统睡眠超时 | 将值设置为 0 秒。 |
| GPO | 计算机配置\管理模板\System\电源管理\视频和显示设置\关闭显示器 | 将值设置为 0 秒。 |
| GPO | 计算机配置\Windows 设置\安全设置\本地策略\安全选项\关闭：允许系统关闭而无需登录 | 禁用 |
| GPO | 计算机配置\Windows 设置\安全设置\本地策略\用户权限分配\关闭系统 | 从此策略中删除用户或组。 若要防止此策略影响 Administrators 组的成员，请务必保留 Administrators 组。 |
注意
还可以使用名为 “自定义登录”的功能从安全选项屏幕禁用电源按钮。 有关删除电源按钮或禁用物理电源按钮的详细信息，请参阅 自定义登录。
键盘快捷方式
对于配置了受限用户体验的任何用户帐户，不会阻止以下键盘快捷方式：
- Alt + F4
- Alt + 标签
- Alt + 转变 + 标签
- Ctrl + Alt + 删除
可以使用 键盘筛选器 来阻止组合键。 键盘筛选器设置适用于其他标准帐户。
辅助功能快捷方式
分配的访问权限不会更改辅助功能设置。 使用 键盘筛选器 阻止以下打开辅助功能的组合键：
| 组合键 | 阻止的行为 |
|---|---|
| 左 Alt + 左移 + 打印屏幕 | 打开“高对比度”对话框 |
| 左 Alt + 左移 + Num Lock | “打开鼠标键”对话框 |
| 赢 + U | 打开“设置”应用辅助功能面板 |
注意
如果键盘筛选器已打开，则某些组合键将自动被阻止，而无需显式阻止它们。 有关详细信息，请参阅 键盘筛选器。
还可以使用 自定义登录在锁屏界面上禁用辅助功能和其他选项。 例如，若要删除辅助功能选项，请使用以下注册表项：
| 路径 | 名称 | 类型 | 值 |
|---|---|---|---|
HKLM\Software\Microsoft\Windows Embedded\EmbeddedLogon\BrandingNeutral |
BrandingNeutral |
REG_DWORD | 8 |
Microsoft Edge 快捷方式
若要禁用某些 Microsoft Edge 默认快捷方式，可以使用 ConfigureKeyboardShortcuts 策略。
为展台体验选择应用
若要使用分配的访问权限创建展台体验，可以选择 UWP 应用或Microsoft Edge。 但是，当用作展台时，某些应用程序可能无法提供良好的用户体验。
以下指南可帮助你为展台体验选择合适的 Windows 应用：
- 必须先为“分配的访问权限”帐户预配或安装 Windows 应用，然后才能将其选为“分配的访问权限”应用。 了解如何预配和安装应用
- UWP 应用更新有时可以更改应用) 的 AUMID (应用程序用户模型 ID。 在这种情况下，必须更新分配的访问权限设置才能执行更新的应用，因为分配的访问权限使用 AUMID 来确定要启动的应用
- 应用必须能够在锁屏界面上方运行。 如果应用无法在锁屏界面上运行，则它不能用作展台应用
- 某些应用可以启动其他应用。 在展台模式下分配的访问权限会阻止 Windows 应用启动其他应用。 避免选择旨在启动其他应用作为其核心功能的一部分的 Windows 应用
- Microsoft Edge 包括对展台模式的支持。 若要了解详细信息，请参阅 Microsoft Edge 展台模式
- 不要选择可能公开你不希望在展台中显示的信息的 Windows 应用，因为展台通常意味着匿名访问，并在公共设置中定位。 例如，具有文件选取器的应用允许用户访问用户系统上的文件和文件夹，如果应用提供不必要的数据访问，则避免选择这些类型的应用
- 某些应用可能需要更多配置才能在分配的访问权限中正确使用它们。 例如，Microsoft OneNote 要求在 OneNote 打开之前为分配的访问权限用户帐户设置Microsoft帐户
- 展台配置文件专为面向公众的展台设备而设计。 使用本地非管理员帐户。 如果设备已连接到组织网络，则使用域或Microsoft Entra 帐户可能会泄露机密信息
计划部署展台或受限用户体验时，请考虑以下建议：
- 评估用户应使用的所有应用程序。 如果应用程序需要用户身份验证，请不要使用本地或通用用户帐户。 而是面向“分配的访问权限”配置文件中的用户组
- 多应用展台适用于多人共享的设备。 配置多应用展台时，某些策略设置会影响设备上的所有非管理员用户。 有关这些策略的列表，请参阅 分配的访问权限策略设置
开发网亭应用
分配的访问权限使用 Lock 框架。 当分配的访问权限用户登录时，所选展台应用将在锁屏界面上方启动。 展台应用作为 上面的锁 屏应用运行。 若要了解详细信息，请参阅 开发用于分配访问权限的展台应用的最佳做法指南。
停止错误和恢复选项
发生停止错误时，Windows 将显示一个蓝屏，其中包含停止错误代码。 对于 OS 错误，可以将标准屏幕替换为空白屏幕。 有关详细信息，请参阅 配置系统故障和恢复选项。
锁屏界面通知
请考虑从锁屏界面中删除通知，以防止用户在设备锁定时看到通知。 下面是一些需要考虑的选项：
| 类型 | 路径 | 名称/说明 |
|---|---|---|
| CSP |
./Device/Vendor/MSFT/Policy/Config/AboveLock/
AllowToasts |
整数。 设置为 0 |
| GPO | 计算机配置\管理模板\System\Logon\关闭锁屏界面上的应用通知 | Enabled |
故障排除和日志
测试分配的访问权限时，启用日志记录来帮助解决问题可能很有用。 日志有助于确定配置和运行时问题。 可以启用以下日志： 应用程序和服务日志>Microsoft>Windows>AssignedAccess>Operational。
以下注册表项包含“分配的访问权限”配置：
HKLM\Software\Microsoft\Windows\AssignedAccessConfigurationHKLM\Software\Microsoft\Windows\AssignedAccessCsp
以下注册表项包含具有分配访问权限策略的每个用户的配置：
HKCU\SOFTWARE\Microsoft\Windows\AssignedAccessConfiguration
有关排查展台问题的详细信息，请参阅 排查展台模式问题。
后续步骤
了解如何创建 XML 文件来配置分配的访问权限：