Richtlinieneinstellungen für zugewiesenen Zugriff

Artikel
03/16/2024
Gilt für::

✅ Windows 11, ✅ Windows 10

Wenn die Konfiguration für zugewiesenen Zugriff auf ein Gerät angewendet wird, werden bestimmte Richtlinieneinstellungen und AppLocker-Regeln erzwungen, was sich auf die Benutzer auswirkt, die auf das Gerät zugreifen. Die Richtlinieneinstellungen verwenden eine Kombination aus Einstellungen für Konfigurationsdienstanbieter (Configuration Service Provider, CSP) und Gruppenrichtlinien (GPO).

In diesem Referenzartikel werden die Richtlinieneinstellungen und AppLocker-Regeln aufgeführt, die vom zugewiesenen Zugriff angewendet werden.

Hinweis

Es wird nicht empfohlen, richtlinieneinstellungen zu konfigurieren, die durch den zugewiesenen Zugriff auf unterschiedliche Werte mit anderen Kanälen erzwungen werden. Der zugewiesene Zugriff ist optimiert, um eine gesperrte Oberfläche bereitzustellen.

Geräterichtlinieneinstellungen

Die folgenden Richtlinieneinstellungen werden auf Geräteebene angewendet, wenn Sie eine eingeschränkte Benutzeroberfläche bereitstellen. Jeder Benutzer, der auf das Gerät zugreift, unterliegt den Richtlinieneinstellungen, einschließlich Administratorkonten:

Typ	Pfad	Name/Beschreibung
CSP	`./Vendor/MSFT/Policy/Config/Experience/AllowCortana`	Cortana deaktivieren
CSP	`./Vendor/MSFT/Policy/Config/Start/AllowPinnedFolderDocuments`	Symbol "Startdokumente deaktivieren"
CSP	`./Vendor/MSFT/Policy/Config/Start/AllowPinnedFolderDownloads`	Symbol "Downloads starten" deaktivieren
CSP	`./Vendor/MSFT/Policy/Config/Start/AllowPinnedFolderFileExplorer`	Symbol "Datei-Explorer starten" deaktivieren
CSP	`./Vendor/MSFT/Policy/Config/Start/AllowPinnedFolderHomeGroup`	Symbol "Startgruppe starten" deaktivieren
CSP	`./Vendor/MSFT/Policy/Config/Start/AllowPinnedFolderMusic`	Symbol "Musik starten" deaktivieren
CSP	`./Vendor/MSFT/Policy/Config/Start/AllowPinnedFolderNetwork`	Symbol "Netzwerk starten" deaktivieren
CSP	`./Vendor/MSFT/Policy/Config/Start/AllowPinnedFolderPersonalFolder`	Symbol "Persönlichen Ordner starten" deaktivieren
CSP	`./Vendor/MSFT/Policy/Config/Start/AllowPinnedFolderPictures`	Symbol "Bilder starten" deaktivieren
CSP	`./Vendor/MSFT/Policy/Config/Start/AllowPinnedFolderSettings`	Symbol "Starteinstellungen deaktivieren"
CSP	`./Vendor/MSFT/Policy/Config/Start/AllowPinnedFolderVideos`	Symbol "Videos starten" deaktivieren
CSP	`./Vendor/MSFT/Policy/Config/Start/HideChangeAccountSettings`	Ausblenden der Anzeige von Kontoeinstellungen ändern auf der Benutzerkachel
CSP	`./Vendor/MSFT/Policy/Config/Update/SetAutoRestartNotificationDisable`	Blendet alle Updatebenachrichtigungen aus.
CSP	`./Vendor/MSFT/Policy/Config/Update/UpdateNotificationLevel`	Deaktiviert automatische Neustartbenachrichtigungen für Updates
CSP	`./Vendor/MSFT/Policy/Config/WindowsInkWorkspace/AllowWindowsInkWorkspace`	Der Zugriff auf den Freihandarbeitsbereich ist deaktiviert.
CSP	`./Vendor/MSFT/Policy/Config/WindowsLogon/DontDisplayNetworkSelectionUI`	Ausblenden der Benutzeroberfläche für Netzwerke auf dem Anmeldebildschirm sowie auf der Benutzeroberfläche "Sicherheitsoptionen"

Benutzerrichtlinieneinstellungen

Die folgenden Richtlinieneinstellungen werden auf alle Konten ohne Administrator angewendet, wenn Sie eine eingeschränkte Benutzeroberfläche bereitstellen:

Typ	Pfad	Name/Beschreibung
CSP	`./User/Vendor/MSFT/Policy/Config/Start/DisableContextMenus`	Deaktivieren des Kontextmenüs für Startmenü-Apps
CSP	`./User/Vendor/MSFT/Policy/Config/Start/HidePeopleBar`	Ausblenden der Personen Leiste auf der Taskleiste
CSP	`./User/Vendor/MSFT/Policy/Config/Start/HideRecentlyAddedApps`	Zuletzt hinzugefügte Apps ausblenden, die im Startmenü angezeigt werden
CSP	`./User/Vendor/MSFT/Policy/Config/Start/HideRecentJumplists`	Zuletzt verwendete Jumplists ausblenden, die im Startmenü/in der Taskleiste angezeigt werden
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Beim Beenden die Liste der zuletzt geöffneten Dokumente leeren
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Sprechblasenbenachrichtigungen als Popupbenachrichtigungen anzeigen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Anheften von Elementen an Sprunglisten nicht zulassen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Kein Anheften von Programmen an die Taskleiste zulassen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Keine Elemente in Sprunglisten von Remotestandorten anzeigen oder nachverfolgen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Ausblenden und Deaktivieren aller Elemente auf dem Desktop
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Schaltfläche "Vorgangsansicht" ausblenden
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Alle Einstellungen für die Taskleiste sperren
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Taskleiste sperren
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Benutzern das Hinzufügen oder Entfernen von Symbolleisten nicht erlauben
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Benutzer am Anpassen ihrer Startseite hindern
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Verhindern, dass Benutzer die Taskleiste an eine andere Bildschirmdockposition verschieben
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Verhindern, dass Benutzer Symbolleisten neu anordnen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Benutzern das Ändern der Größe der Taskleiste nicht erlauben
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Deinstallieren von Anwendungen aus „Start“ durch Benutzer verhindern
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Zugriff auf die Kontextmenüs für die Taskleiste entfernen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Liste „Alle Programme“ aus dem Startmenü entfernen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Control Center entfernen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Liste häufig verwendeter Programme aus dem Startmenü entfernen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Entfernen von Benachrichtigungen und Info-Center
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Schnelleinstellungen entfernen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Menüeintrag „Ausführen“ aus dem Startmenü entfernen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Das Symbol für Sicherheit und Wartung entfernen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Alle Sprechblasenbenachrichtigungen deaktivieren
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste	Feature-Ankündigung via Sprechblasenbenachrichtigungen deaktivieren
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste\Benachrichtigungen	Popupbenachrichtigungen deaktivieren
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\System\Strgl+Alt+Entf-Optionen	Kennwort ändern entfernen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\System\Strgl+Alt+Entf-Optionen	Entfernen der Abmeldung
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\System\Strgl+Alt+Entf-Optionen	Task-Manager entfernen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Explorer	Netzwerklaufwerk zuordnen und Netzlaufwerk trennen
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Explorer	Entfernen des Standardkontextmenüs Explorer

Die folgenden Richtlinieneinstellungen werden auf das Kioskkonto angewendet, wenn Sie eine Kioskumgebung mit Microsoft Edge konfigurieren:

Typ	Pfad	Name/Beschreibung
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste\Benachrichtigungen	Nur angegebene Windows-Anwendungen ausführen >`msedge.exe`
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\System	Popupbenachrichtigungen deaktivieren
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Anlagen-Manager	Standardrisikostufe für Dateianlagen > Hohes Risiko
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Anlagen-Manager	Einschlussliste für niedrige Dateitypen >`.pdf;.epub`
GRUPPENRICHTLINIENOBJEKT	Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\Explorer	Entfernen des Standardkontextmenüs Explorer

AppLocker-Regeln

Wenn Sie eine Eingeschränkte Benutzeroberfläche mit zugewiesenem Zugriff bereitstellen, werden AppLocker-Regeln generiert, um die in der Konfiguration aufgeführten Apps zuzulassen. Hier sind die vordefinierten AppLocker-Regeln für den zugewiesenen Zugriff aufgeführt:

Universelle Windows-Plattform-App-Regeln (UWP)

Die Standardregel ist, dass alle Benutzer die signierten gepackten Apps starten können.
Die gepackte App-Ablehnungsliste wird zur Laufzeit generiert, wenn sich der Benutzer mit zugewiesenem Zugriff anmeldet:
1. Basierend auf den installierten Apps, die für das Benutzerkonto verfügbar sind, generiert Der zugewiesene Zugriff die Ablehnungsliste. Die Liste schließt die standardmäßig zulässigen Posteingangspaket-Apps aus, die für die Funktion des Systems wichtig sind, und schließt dann die zulässigen Pakete aus, die in der Konfiguration für zugewiesenen Zugriff definiert sind.
2. Wenn mehrere Apps innerhalb desselben Pakets vorhanden sind, werden alle Apps ausgeschlossen.

Die Ablehnungsliste wird verwendet, um zu verhindern, dass der Benutzer auf die Apps zugreifen kann, die derzeit für den Benutzer verfügbar sind, aber nicht in der Liste der zulässigen Apps.

Hinweis

Sie können keine AppLocker-Regeln verwalten, die von der eingeschränkten Benutzeroberfläche in MMC-Snap-Ins generiert werden. Vermeiden Sie das Erstellen von AppLocker-Regeln, die mit von zugewiesenem Zugriff generierten AppLocker-Regeln in Konflikt geraten.

Der zugewiesene Zugriff verhindert nicht, dass die organization oder Benutzer UWP-Apps installieren. Wenn eine neue UWP-App während einer Sitzung mit zugewiesenem Zugriff installiert wird, ist die App nicht in der Ablehnungsliste enthalten. Wenn sich der Benutzer abmeldet und sich erneut anmeldet, wird die installierte App in die Ablehnungsliste aufgenommen. Aktualisieren Sie für zentral bereitgestellte Apps, die Sie zulassen möchten, z. B. Line-of-Biness-Apps, die Konfiguration für zugewiesenen Zugriff, und fügen Sie die Apps in die Liste zugelassener Apps ein.

Desktop-App-Regeln

Die Standardregel besteht darin, allen Benutzern das Starten der Desktopprogramme zu ermöglichen, die mit dem Microsoft-Zertifikat signiert sind, damit das System gestartet und funktioniert. Die Regel ermöglicht ebenfalls der Admin-Benutzergruppe, alle Desktop-Programme zu starten.
Es gibt eine vordefinierte Liste der Posteingangs-Desktop-App-Ablehnungen für das Benutzerkonto für den zugewiesenen Zugriff, die basierend auf der Zulassungsliste der Desktop-App aktualisiert wird, die Sie in der Konfiguration für zugewiesenen Zugriff definiert haben.
Unternehmensdefinierte zulässige Desktop-Apps werden der AppLocker-Zulassungsliste hinzugefügt.