¿Qué es el acceso asignado?

• Se aplica a:

  ✅ Windows 11, ✅ Windows 10

Acceso asignado es una característica de Windows que puede usar para configurar un dispositivo como quiosco o con una experiencia de usuario restringida.

Al configurar una experiencia de pantalla completa, una sola aplicación de Plataforma universal de Windows (UWP) o Microsoft Edge se ejecuta en pantalla completa, encima de la pantalla de bloqueo. Los usuarios solo pueden usar esa aplicación. Si la aplicación de pantalla completa está cerrada, se reinicia automáticamente. Algunos ejemplos prácticos son:

• Navegación pública
• Señalización digital interactiva

Al configurar una experiencia de usuario restringida, los usuarios solo pueden ejecutar una lista definida de aplicaciones, con un menú Inicio personalizado y una barra de tareas. Se aplican diferentes configuraciones de directiva y reglas de AppLocker, lo que crea una experiencia bloqueada. Los usuarios pueden acceder a un escritorio de Windows conocido, a la vez que limitan su acceso, reducen las distracciones y pueden usarse involuntariamente. Ideal para dispositivos compartidos, puede crear diferentes configuraciones para distintos usuarios. Algunos ejemplos prácticos son:

• Dispositivos de trabajo de primera línea
• Dispositivos de estudiantes
• Dispositivos de laboratorio

Nota

Al configurar una experiencia de usuario restringida, se aplican diferentes opciones de directiva al dispositivo. Algunas opciones de configuración de directiva solo se aplican a los usuarios estándar y otras a las cuentas de administrador. Para obtener más información, consulte Configuración de directivas de acceso asignado.

Requisitos

Estos son los requisitos para el acceso asignado:

• Para usar una experiencia de pantalla completa, se debe habilitar el control de cuentas de usuario (UAC)
• Para usar una experiencia de pantalla completa, debe iniciar sesión desde la consola. La experiencia de pantalla completa no se admite a través de una conexión de escritorio remoto

Requisitos de licencia y de la edición de Windows

En la tabla siguiente se enumeran las ediciones de Windows que admiten el acceso asignado:

Windows Pro	Windows Enterprise	Windows Pro Education/SE	Windows Education
Sí	Sí	Sí	Sí

Los derechos de licencia de acceso asignados se conceden mediante las siguientes licencias:

Windows Pro/Pro Education/SE	Windows Enterprise E3	Windows Enterprise E5	Windows Education A3	Windows Education A5
Sí	Sí	Sí	Sí	Sí

Se puede obtener más información sobre las licencias de Windows en Información general sobre las licencias de Windows.

Configuración de una experiencia de pantalla completa

Hay varias opciones para configurar una experiencia de pantalla completa. Si necesita configurar un único dispositivo con una cuenta local, puede usar:

• PowerShell: puede usar el Set-AssignedAccess cmdlet de PowerShell para configurar una experiencia de pantalla completa mediante una cuenta estándar local.
• Configuración: use esta opción cuando necesite un método simple para configurar un único dispositivo con una cuenta de usuario estándar local.

En el caso de las personalizaciones avanzadas, puede usar el CSP de acceso asignado para configurar la experiencia de pantalla completa. El CSP le permite configurar la aplicación de pantalla completa, la cuenta de usuario y el comportamiento de la aplicación de pantalla completa. Al usar el CSP, debe crear un archivo de configuración XML que especifique la aplicación de pantalla completa y la cuenta de usuario. El archivo XML se aplica al dispositivo mediante una de las siguientes opciones:

• Una solución de mobile Administración de dispositivos (MDM), como Microsoft Intune
• Paquetes de aprovisionamiento
• PowerShell, con el proveedor WMI de puente MDM

Para obtener información sobre cómo configurar el archivo XML del iniciador de shell, consulte Creación de un archivo de configuración de acceso asignado.

Las instrucciones siguientes proporcionan detalles sobre cómo configurar los dispositivos. Seleccione la opción que mejor se adapte a sus necesidades.

Intune/CSP

Puede configurar dispositivos mediante una directiva personalizada con el CSP de AssignedAccess.

• Ajuste:./Vendor/MSFT/AssignedAccess/Configuration
• Valor: contenido del archivo de configuración XML

Asigne la directiva a un grupo que contenga como miembros los dispositivos que desea configurar.

PPKG

Use la siguiente configuración para crear un paquete de aprovisionamiento:

• Camino:AssignedAccess/AssignedAccessSettings
• Valor: Escriba la cuenta y la aplicación que desea usar para El acceso asignado, mediante el AUMID de la aplicación. Por ejemplo:
  • {"Account":"domain\user", "AUMID":"Microsoft.WindowsCalculator_8wekyb3d8bbwe!App"}

Aplique el paquete de aprovisionamiento a los dispositivos que desea configurar.

PowerShell

Para configurar un dispositivo mediante Windows PowerShell:

1. Iniciar sesión como administrador

2. Creación de la cuenta de usuario para el acceso asignado

3. Iniciar sesión como cuenta de usuario de Acceso asignado

4. Instalación de la aplicación para UWP necesaria

5. Cierre la sesión como cuenta de usuario de Acceso asignado

6. Inicie sesión como administrador y, desde un símbolo del sistema de PowerShell con privilegios elevados, use uno de los siguientes comandos:

   #Configure Assigned Access by AppUserModelID and user name
   Set-AssignedAccess -AppUserModelId <AUMID> -UserName <username>
   
   #Configure Assigned Access by AppUserModelID and user SID
   Set-AssignedAccess -AppUserModelId <AUMID> -UserSID <usersid>
   
   #Configure Assigned Access by app name and user name
   Set-AssignedAccess -AppName <CustomApp> -UserName <username>
   
   #Configure Assigned Access by app name and user SID**:
   Set-AssignedAccess -AppName <CustomApp> -UserSID <usersid>
   
   

Nota

Para configurar el acceso asignado mediante -AppName, la cuenta de usuario que escriba para Acceso asignado debe haber iniciado sesión al menos una vez.

Para más información:

• Buscar el id. de modelo de usuario de aplicación de una aplicación instalada.
• Set-AssignedAccess

Para eliminar el acceso asignado, mediante PowerShell, ejecute el siguiente cmdlet:

Clear-AssignedAccess

En el caso de las personalizaciones avanzadas que usan el archivo de configuración XML, puede usar scripts de PowerShell a través del proveedor WMI del puente MDM.

Importante

Para toda la configuración del dispositivo, el cliente del puente WMI debe ejecutarse como cuenta SYSTEM (LocalSystem).

Para probar el script de PowerShell, puede hacer lo siguiente:

1. Descarga de la herramienta psexec
2. Abra un símbolo del sistema con privilegios elevados y ejecute: psexec.exe -i -s powershell.exe
3. Ejecución del script en la sesión de PowerShell

$shellLauncherConfiguration = @"

# content of the XML configuration file

"@

$namespaceName="root\cimv2\mdm\dmmap"
$className="MDM_AssignedAccess"
$obj = Get-CimInstance -Namespace $namespaceName -ClassName $className
$obj.ShellLauncher = [System.Net.WebUtility]::HtmlEncode($shellLauncherConfiguration)
$obj = Set-CimInstance -CimInstance $obj -ErrorVariable cimSetError -ErrorAction SilentlyContinue
if($cimSetError) {
    Write-Output "An ERROR occurred. Displaying error record and attempting to retrieve error logs...`n"
    Write-Error -ErrorRecord $cimSetError[0]

    $timeout = New-TimeSpan -Seconds 30
    $stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    do{
        $events = Get-WinEvent -FilterHashtable $eventLogFilterHashTable -ErrorAction Ignore
    } until ($events.Count -or $stopwatch.Elapsed -gt $timeout) # wait for the log to be available

    if($events.Count) {
        $events | ForEach-Object {
            Write-Output "$($_.TimeCreated) [$($_.LevelDisplayName.ToUpper())] $($_.Message -replace "`n|`r")"
        }
    } else {
        Write-Warning "Timed-out attempting to retrieve event logs..."
    }

    Exit 1
}

Write-Output "Successfully applied Shell Launcher configuration"

Para obtener más información, consulte Uso de scripts de PowerShell con el proveedor de puentes WMI.

Configuración

Estos son los pasos para configurar una pantalla completa mediante la aplicación Configuración:

1. Abra la aplicación Configuración para ver y configurar un dispositivo como pantalla completa. Vaya a Cuentas > de configuración > Otros usuarios o use el siguiente acceso directo:

   Otros usuarios

2. En Configurar un quiosco, seleccione Introducción.

3. En el cuadro de diálogo Crear una cuenta , escriba el nombre de la cuenta y seleccione Siguiente.

   Nota

   Si ya hay cuentas de usuario estándar locales, el cuadro de diálogo Crear una cuenta ofrece la opción Elegir una cuenta existente

4. Elija la aplicación que se va a ejecutar cuando la cuenta de pantalla completa inicie sesión. Solo las aplicaciones que se pueden ejecutar encima de la pantalla de bloqueo están disponibles en la lista de aplicaciones entre las que elegir. Si selecciona Microsoft Edge como aplicación de quiosco, configura las siguientes opciones:

   • Si Microsoft Edge debe mostrar su sitio web a pantalla completa (señal digital) o con algunos controles del navegador disponibles (navegador público).
   • Qué dirección URL debe estar abierta cuando las cuentas de pantalla completa inician sesión
   • Cuando debe reiniciarse Microsoft Edge tras un periodo de inactividad (si selecciona ejecutarse como navegador público).

5. Seleccione Cerrar.

Cuando el dispositivo no está unido a un dominio de Active Directory o Microsoft Entra ID, el inicio de sesión automático de la cuenta de pantalla completa se configura automáticamente:

• Si desea que la cuenta de pantalla completa inicie sesión automáticamente y que la aplicación de quiosco se inicie cuando se reinicie el dispositivo, no es necesario hacer nada.
• Si no desea que la cuenta de quiosco inicie sesión automáticamente cuando se reinicie el dispositivo, deberá cambiar la configuración predeterminada antes de configurar el dispositivo como quiosco. Inicie sesión con la cuenta que desea usar como cuenta de pantalla completa. Abra Opcionesde inicio de sesión decuentas> de configuración>. Establezca la opción Utilizar mi información de inicio de sesión para finalizar automáticamente la configuración del dispositivo tras una actualización o reinicio en Desactivado. Después de cambiar la configuración, puede aplicar la configuración de pantalla completa al dispositivo.

Sugerencia

Para obtener ejemplos prácticos, consulte inicio rápido: Configuración de un quiosco con acceso asignado.

Configuración de una experiencia de usuario restringida

Para configurar una experiencia de usuario restringida con acceso asignado, debe crear un archivo de configuración XML con la configuración para la experiencia deseada. El archivo XML se aplica al dispositivo a través del CSP de acceso asignado mediante una de las siguientes opciones:

• Una solución de mobile Administración de dispositivos (MDM), como Microsoft Intune
• Paquetes de aprovisionamiento
• PowerShell, con el proveedor WMI de puente MDM

Para obtener información sobre cómo configurar el archivo XML de acceso asignado, consulte Creación de un archivo de configuración de acceso asignado.

Las instrucciones siguientes proporcionan detalles sobre cómo configurar los dispositivos. Seleccione la opción que mejor se adapte a sus necesidades.

Intune/CSP

Puede configurar dispositivos mediante una directiva personalizada con el CSP de AssignedAccess.

• Ajuste:./Vendor/MSFT/AssignedAccess/ShellLauncher
• Valor: contenido del archivo de configuración XML

Asigne la directiva a un grupo que contenga como miembros los dispositivos que desea configurar.

PPKG

Use la siguiente configuración para crear un paquete de aprovisionamiento:

• Camino:AssignedAccess/MultiAppAssignedAccessSettings
• Valor: contenido del archivo de configuración XML

Aplique el paquete de aprovisionamiento a los dispositivos que desea configurar.

PowerShell

Configure los dispositivos mediante scripts de PowerShell a través del proveedor WMI del puente MDM.

Importante

Para toda la configuración del dispositivo, el cliente del puente WMI debe ejecutarse como cuenta SYSTEM (LocalSystem).

Para probar el script de PowerShell, puede hacer lo siguiente:

1. Descarga de la herramienta psexec
2. Abra un símbolo del sistema con privilegios elevados y ejecute: psexec.exe -i -s powershell.exe
3. Ejecución del script en la sesión de PowerShell

$assignedAccessConfiguration = @"

# content of the XML configuration file

"@

$namespaceName="root\cimv2\mdm\dmmap"
$className="MDM_AssignedAccess"
$obj = Get-CimInstance -Namespace $namespaceName -ClassName $className
$obj.Configuration = [System.Net.WebUtility]::HtmlEncode($assignedAccessConfiguration)
$obj = Set-CimInstance -CimInstance $obj -ErrorVariable cimSetError -ErrorAction SilentlyContinue
if($cimSetError) {
    Write-Output "An ERROR occurred. Displaying error record and attempting to retrieve error logs...`n"
    Write-Error -ErrorRecord $cimSetError[0]

    $timeout = New-TimeSpan -Seconds 30
    $stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    do{
        $events = Get-WinEvent -FilterHashtable $eventLogFilterHashTable -ErrorAction Ignore
    } until ($events.Count -or $stopwatch.Elapsed -gt $timeout) # wait for the log to be available

    if($events.Count) {
        $events | ForEach-Object {
            Write-Output "$($_.TimeCreated) [$($_.LevelDisplayName.ToUpper())] $($_.Message -replace "`n|`r")"
        }
    } else {
        Write-Warning "Timed-out attempting to retrieve event logs..."
    }

    Exit 1
}

Write-Output "Successfully applied Assigned Access configuration"

Para obtener más información, consulte Uso de scripts de PowerShell con el proveedor de puentes WMI.

Configuración

Esta opción no está disponible mediante Configuración.

Sugerencia

Para obtener ejemplos prácticos, consulte inicio rápido: Configuración de una experiencia de usuario restringida con acceso asignado.

Experiencia del usuario

Para validar la experiencia de usuario restringida o de pantalla completa, inicie sesión con la cuenta de usuario que especificó en el archivo de configuración.

La configuración de acceso asignado surte efecto la próxima vez que el usuario de destino inicie sesión. Si esa cuenta de usuario ha iniciado sesión al aplicar la configuración, cierre la sesión y vuelva a iniciar sesión para validar la experiencia.

Nota

A partir de Windows 11, una experiencia de usuario restringida admite el uso de varios monitores.

Teclado táctil de autotrigger

El teclado táctil se desencadena automáticamente cuando se necesita una entrada y no se conecta ningún teclado físico en dispositivos táctiles. No es necesario configurar ninguna otra configuración para aplicar este comportamiento.

Sugerencia

El teclado táctil solo se desencadena al pulsar un cuadro de texto. Los clics del mouse no activan el teclado táctil. Si va a probar esta característica, use un dispositivo físico en lugar de una máquina virtual (VM), ya que el teclado táctil no se desencadena en las máquinas virtuales.

Cerrar la sesión de acceso asignado

De forma predeterminada, para salir de la experiencia de pantalla completa, presione Ctrl + Alt + Supr. La aplicación de quiosco se cierra automáticamente. Si vuelve a iniciar sesión como cuenta de acceso asignado o espera a que se agote el tiempo de espera de la pantalla de inicio de sesión, se reinicia la aplicación de pantalla completa. El tiempo de espera predeterminado es de 30 segundos, pero puede cambiar el tiempo de espera con la clave del Registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI

Para cambiar la hora predeterminada para que se reanude el acceso asignado, agregue IdleTimeOut (DWORD) y escriba los datos del valor como milisegundos en hexadecimal.

Nota

IdleTimeOut no se aplica al modo de pantalla completa de Microsoft Edge.

La secuencia de interrupción de Ctrl + Alt + Del es el valor predeterminado, pero esta secuencia se puede configurar para que sea una secuencia de claves diferente. La secuencia de ruptura utiliza los modificadores de formato + teclas. Una secuencia de interrupción de ejemplo es CTRL + ALT + A, donde CTRL + ALT son los modificadores, y A es el valor de clave. Para más información, consulte Creación de un archivo XML de configuración de acceso asignado.

Métodos abreviados de teclado

Los siguientes métodos abreviados de teclado se bloquean para las cuentas de usuario con acceso asignado:

Método abreviado de teclado	Acción
Ctrl + Cambio + Esc	Abrir administrador de tareas
GANAR + , (coma)	Inspeccionar temporalmente el escritorio
GANAR + Un	Abrir el Centro de actividades
GANAR + Alt + D	Mostrar y ocultar la fecha y hora en el escritorio
GANAR + Ctrl + F	Búsqueda de objetos de equipo en Active Directory
GANAR + D	Mostrar y ocultar el escritorio
GANAR + E	Abrir el Explorador de archivos
GANAR + F	Abrir el Centro de opiniones
GANAR + G	Abrir la Barra de juegos cuando se abre un juego
GANAR + Yo	Abrir Configuración
GANAR + J	Establecer el foco en una sugerencia de Windows cuando haya uno disponible
GANAR + O	Bloquear la orientación del dispositivo
GANAR + Q	Abrir la búsqueda
GANAR + R	Abrir el cuadro de diálogo Ejecutar
GANAR + S	Abrir la búsqueda
GANAR + Cambio + C	Abrir Cortana en modo de escucha
GANAR + X	Abrir el menú Vínculo rápido
LaunchApp1	Abra la aplicación que está asignada a esta clave.
LaunchApp2	Abra la aplicación que está asignada a esta clave. En muchos teclados de Microsoft, la aplicación es Calculator
LaunchMail	Abrir el cliente de correo predeterminado

Quitar acceso asignado

La eliminación de la experiencia de usuario restringida quita la configuración de directiva asociada a los usuarios, pero no puede revertir todas las configuraciones. Por ejemplo, se mantiene la configuración del menú Inicio.

Pasos siguientes

Revise las recomendaciones antes de implementar El acceso asignado:

Recomendaciones de acceso asignado