«Режим киоска» в Windows 11

Для работы режима киоска в Windows 11 достаточно редакции Pro; более продвинутые сценарии (Shell Launcher и т.п.) требуют Enterprise или Education.​

Какую редакцию выбрать

• Минимум для киоска (Assigned Access / Single‑app kiosk):
  Windows 11 Pro, Enterprise или Education; в Home режим назначенного доступа/киоска не поддерживается.​

• Если нужен только один UWP‑клиент или Edge в полноэкранном режиме (single‑app kiosk):
  Windows 11 Pro вполне достаточно.​

• Если планируется сложный многоприложенный киоск, замена оболочки (Shell Launcher) и корпоративное управление через Intune/MDM:
  Лучше использовать Windows 11 Enterprise или Education, так как Shell Launcher и расширенные опции рекомендованы именно для этих редакций.​

Кратко по версиям и ограничениям

• Режим киоска (Assigned Access) доступен, начиная с Windows 11 версии 21H2 (Build 22000) и выше.​

• В Windows 11 есть два основных варианта:

  • Single‑app kiosk — одно приложение (UWP или Edge) во весь экран.​

  • Multi‑app kiosk — набор разрешённых приложений, с блокировкой всего остального, лучше поддерживается в Pro/Enterprise/Education через MDM.​

Если нужна простая стойка/терминал под одно приложение или веб‑страницу, оптимальный выбор: Windows 11 Pro (любой актуальный релиз, не Home).​

Assigned Access vs Shell Launcher

Assigned Access подходит для простых киосков с UWP-приложениями (одно или несколько) или Microsoft Edge, блокируя доступ к остальной системе без замены оболочки.​
Shell Launcher заменяет explorer.exe на любое Win32-приложение, обеспечивая полный контроль, но требует Enterprise/Education и сложной настройки через XML или PowerShell.​

Сравнение методов

Рекомендация по предпочтению

Без указания сценария (одно UWP-приложение или custom Win32?) предпочитается Assigned Access за простоту в Pro-редакции и достаточную защиту для большинства киосков. Уточните тип приложения и управление (локально/MDM), чтобы выбрать точно.

Для слабого железа идеально подходит Windows 11 IoT Enterprise LTSC 2024

Для слабого железа идеально подходит Windows 11 IoT Enterprise LTSC 2024 (или H2 24H2), которая поддерживает киоск-режимы (Assigned Access, Shell Launcher, multi-app) и имеет минимальные требования: 1 ГГц 2 ядра, 2 ГБ RAM (опционально), 16 ГБ хранилища (опционально SSD), без обязательного TPM/Secure Boot.​

Сравнение редакций для слабого ПК

Рекомендация

Выбирайте Windows 11 IoT Enterprise LTSC 2024 — она оптимизирована для киосков на старом железе (POS, signage), лицензия для OEM/корпоративного использования, киоск настраивается через Intune/MDM или локально. Для Pro хватит Assigned Access, но IoT легче и надежнее на слабом ПК.

Можно ли установить на обычный ПК

Windows 11 IoT Enterprise LTSC 2024 и LTSC можно установить на обычный потребительский ПК технически — ISO монтируется, ставится с Rufus (обходит TPM/Secure Boot), работает стабильно на x64-процессорах с SSE4.​

Лицензионные ограничения

• IoT Enterprise LTSC: Предназначена для embedded/специальных устройств (киоски, POS, signage), лицензия через OEM-дистрибьюторов или Volume Licensing для корпораций; на домашнем ПК — неофициально, без активации (ePKEA) или с пиратским ключом, риски отсутствия поддержки.​

• LTSC (Enterprise LTSC): Только для бизнеса/спец. устройств, не для потребителей; установка возможна, но Microsoft блокирует активацию на non-qualified hardware.​

Рекомендации для киоска на слабом ПК

• Используйте IoT LTSC для киоска — она легкая, поддерживает Assigned Access/Shell Launcher, 10 лет обновлений безопасности.​

• Скачайте ISO из Microsoft Evaluation Center/VLSC, активируйте корпоративным ключом; для теста — пробная 90-дневная версия.​

• Альтернатива: Tiny11 (неофициальная) на базе Pro, но с рисками стабильности в киоске.

Наиболее безопасный способ: Assigned Access (Single-App Kiosk)

Для киоска с одним приложением используйте Assigned Access в Windows 11 Pro/IoT Enterprise — создайте отдельного локального пользователя, заблокируйте его на UWP-приложении или Edge, без замены shell. Это проще и безопаснее Shell Launcher, минимизирует поверхность атаки.​

Шаги настройки (локально, без MDM)

1. Подготовка: Установите целевое UWP-приложение из Microsoft Store или Edge. Создайте нового локального пользователя (Настройки > Accounts > Other users > Add account > «I don’t have this person’s sign-in info» > «Add a user without a Microsoft account»).​

2. Включите Assigned Access: Войдите под админом, Параметры > Accounts > Family & other users > Assigned access > Choose kiosk app > выберите приложение (UWP или msedge.exe для веб-киоска).​

3. Запуск: Выйдите, войдите под киоск-пользователем — система заблокируется на приложении. Выход: Ctrl+Alt+Shift (по умолчанию).​

Усиление безопасности

Для MDM/Intune (максимальная безопасность)

Настройте через Microsoft Intune: Devices > Configuration profiles > Windows 10+ > Kiosk > Single app/Edge kiosk — централизованное управление, автообновления, аудит. Рекомендуется для киосков в продакшене. Тестируйте на виртуалке перед деплоем.​​

Решение киоска без домена (локально, в рабочей группе)

Да, Assigned Access (Single-App Kiosk) работает полностью автономно без Azure AD/домена — настраивается локально через Настройки для любого пользователя в Pro/IoT Enterprise. Идеально для изолированных киосков без интернета/MDM.​

Пошаговая настройка (5 минут)

1. Создайте киоск-пользователя:
   Параметры > Accounts > Other users > Add account > «Я не имею данных для входа» > «Добавить пользователя без учетной записи Microsoft» → имя KioskUser, пароль.​

2. Установите приложение:
   Установите UWP-приложение из Microsoft Store (или Edge для веб-киоска) под администратором.​

3. Настройте Assigned Access:
   Параметры > Accounts > Family & other users > Assigned access > «Выбрать приложение для киоска» → выберите KioskUser → выберите приложение (из списка установленных UWP/Edge).​

4. Запуск: Выйдите из админа, войдите под KioskUser — система заблокируется на приложении. Выход: Ctrl+Alt+Shift.​

Усиление безопасности локально

PowerShell-скрипт для быстрой настройки

Получите AppID командой Get-StartApps. Тестируйте на виртуалке — работает стабильно без домена.

Выход из киоск-режима (Assigned Access)

Стандартный способ: Ctrl + Alt + Shift — откроется экран блокировки, введите пароль администратора.​

Альтернативные методы выхода

Если Ctrl+Alt+Shift не работает

1. PowerShell восстановление:
   Войдите в Recovery (Shift+Restart с экрана киоска) → Command Prompt →

   text

   net user KioskUser /delete
bcdedit /deletevalue {default} safeboot


   Перезагрузитесь — киоск отключен.​

2. Отключить Assigned Access из-под киоска:
   Если есть доступ к Ctrl+Alt+Shift, войдите админом → Параметры > Accounts > Assigned access > «Отключить».​

3. Для полной защиты: Настройте BIOS-пароль + отключите USB/доступ к Recovery в gpedit.msc.​

Тест: После настройки всегда проверяйте выход — стандартный hotkey надежен на 99% случаев.

DameWare Remote для киоска

Да, DameWare Remote Support (SolarWinds) можно использовать для просмотра/управления киоском — агент (Mini Remote Control) устанавливается как служба под админом, работает поверх Assigned Access без прерывания режима. Поддерживает screen share, file transfer, reboot, даже на заблокированных устройствах в локальной сети или через VPN. Требует установки агента заранее (бесплатный 14-дневный trial, затем ~$300/лицензия).​​

Как настроить DameWare

1. Установка: Под админом скачайте DameWare MRC/DRS, установите агент на киоск-ПК как «unattended» (всегда онлайн).​

2. Доступ: С консоли техподдержки (DameWare Central) подключитесь по IP/имени хоста — увидите киоск-экран в реальном времени, управляйте (view/control).​​

3. Для киоска: В Assigned Access агент не блокируется, если настроен в автозагрузку; firewall разрешите порты 6129/6130/6132/6133.​

Альтернативы DameWare/Intune Remote Help

Рекомендация

Для киоска Splashtop — лучшая альтернатива: проще DameWare, дешевле Intune, не требует домена, unattended для мониторинга. Установите trial и протестируйте на виртуалке — подключение за 1 мин без выхода из киоска.

Настройка DameWare для киоска в Assigned Access

DameWare Remote Support (DRS) или Mini Remote Control (MRC) позволяет просматривать/управлять киоском без прерывания режима — агент работает как системная служба под админом, независимо от Assigned Access. Установите под администратором до активации киоска.​

Пошаговая настройка

1. Скачайте и установите DameWare:
   Перейдите на solarwinds.com/dameware, скачайте DRS/MRC (trial 14 дней). Установите на киоск-ПК под админом с опцией «Install as a service» (unattended access).​

2. Настройте агент на киоске:
   Запустите DameWare Mini Remote Service (dwrcs.exe) → Tools > Options > Security → Установите пароль/ключ шифрования. Включите «Allow remote connections» и «Start service on boot». Разрешите в Firewall порты 6129 (TCP/UDP), 6130, 6132, 6133.​

3. Автозапуск перед киоском:
   Добавьте в Task Scheduler: Trigger «At log on» для админа → Action: Запуск «C:\Program Files (x86)\DameWare Development\DWRCS\MRC.exe» /service. Убедитесь, что служба «DameWare Mini Remote Control» в services.msc установлена как Automatic.​

4. Активируйте киоск:
   Настройте Assigned Access как обычно (Параметры > Accounts > Assigned access). Агент DameWare продолжит работать в фоне — киоск не блокирует системные службы.​

5. Подключение с консоли:
   На другом ПК установите DameWare Administration (центральная консоль) → Add computer по IP/имени киоска → Connect. Выберите «View only» или «Full control» — увидите экран киоска в реальном времени.​​

Усиление безопасности и troubleshooting

Тест: После настройки перезагрузите киоск, войдите в Assigned Access, подключитесь удаленно — экран виден, управление возможно (reboot, file transfer). Для продакшена купите лицензию (~$300/техник)

DameWare в рабочей группе (без домена/AD)

Да, DameWare полностью работает в рабочей группе — использует прямое подключение по IP/имени хоста, аутентификация агента через встроенный пароль/ключ, не требует Active Directory или домена. Идеально для изолированных киосков.​

Установка и настройка без домена

1. Установка агента на киоск (под админом):
   Скачайте DameWare MRC с solarwinds.com → Установите → Install Mode: «Install as a service» (служба dwrcs.exe запускается от SYSTEM).

   text

   C:\Program Files (x86)\DameWare Development\DWRCS\MRC.exe /INSTALL /ALLOWREMOTE


2. Настройка агента:
   Запустите MRC.exe → Tools > Options > Security:

   • Установите Admin password (для подключения)

   • Encryption: 256-bit AES

   • Permissions: Full control (или View only)

   • Startup: Automatic​

3. Firewall (обязательно):

   text

   netsh advfirewall firewall add rule name="DameWare" dir=in action=allow protocol=TCP localport=6129,6130,6132,6133
netsh advfirewall firewall add rule name="DameWareUDP" dir=in action=allow protocol=UDP localport=6129


4. Автозапуск службы:
   services.msc → DameWare Mini Remote Control → Startup type: Automatic → Start. Работает до/во время Assigned Access.​

Подключение из рабочей группы

PowerShell-автоматизация установки

Проверка работоспособности

Готово за 5 минут: После настройки подключитесь по IP с любого ПК в сети — увидите киоск-экран без прерывания Assigned Access. Бесплатный trial 14 дней, затем $300/техник.

Нужен ли админский доступ для DameWare

Для установки агента DameWare — ДА, нужен админский доступ.
Агент (служба dwrcs.exe) устанавливается от SYSTEM/админа, настраивается firewall и автозапуск — это делается один раз под администратором ДО активации киоска.​

Для подключения/управления киоском — НЕТ, админ не требуется.
После установки DameWare использует встроенный пароль агента для аутентификации — подключаетесь по IP с обычного ПК без ввода учетных данных Windows.​

Сравнение доступа

Практический workflow

Исключения (без админа совсем)

Если нет физического доступа к киоску для установки:

• PDQ Deploy (если агент уже есть)

• PSRemoting (Enable-PSRemoting -SkipNetworkProfileCheck)

• Group Policy (только домен)

Для рабочей группы стандарт: Установите агент под админом заранее → управляйте киоском без админ-доступа бесконечно.

Настройка Assigned Access (Single-App Kiosk)

Assigned Access блокирует пользователя на одном UWP-приложении или Edge — настраивается локально за 3 минуты в Windows 11 Pro/IoT Enterprise без домена.​

Пошаговая настройка

1. Создайте киоск-пользователя:

   text

   Параметры > Accounts > Other users > Добавить учетную запись
> "У меня нет данных для входа этого человека" > "Добавить пользователя без учетной записи Microsoft"


   Имя: KioskUser, пароль: SecurePass123!​

2. Установите приложение:
   Под админом установите UWP-приложение из Microsoft Store или Microsoft Edge. Запустите 1 раз для регистрации.​

3. Получите AppID (для PowerShell):

   powershell

   Get-StartApps | Where-Object {$_.Name -like "*Edge*" -or $_.Name -like "*YourApp*"}


   Скопируйте AppID (например: Microsoft.MicrosoftEdge_8wekyb3d8bbwe!MicrosoftEdge).​

4. Настройте Assigned Access:

   text

   Параметры > Accounts > Семья и другие пользователи > Назначенный доступ
> "Выбрать приложение для киоска" > KioskUser > Выберите приложение из списка


   Или PowerShell:

   powershell

   $Config = @"
<AssignedAccessConfiguration xmlns="http://schemas.microsoft.com/AssignedAccess/2017/config">
<Profiles>
<Profile Id="{A5D1F3E7-1234-5678-9ABC-DEF012345678}">
<AllAppsList>
<AllowedApps>
<App DesktopAppPath="Microsoft.MicrosoftEdge_8wekyb3d8bbwe!MicrosoftEdge" />
</AllowedApps>
</AllAppsList>
<Taskbar ShowTaskbar="false" />
</Profile>
</Profiles>
<Configs>
<Config>
<Account>.\KioskUser</Account>
<DefaultProfile Id="{A5D1F3E7-1234-5678-9ABC-DEF012345678}" />
</Config>
</Configs>
</AssignedAccessConfiguration>
"@
$Config | Out-File -FilePath "$env:LOCALAPPDATA\Microsoft\Windows\Shell\AssignedAccessConfiguration.xml" -Encoding UTF8


5. Активация: Выйдите из админа, войдите под KioskUser — киоск запустится. Выход: Ctrl+Alt+Shift + пароль админа.​

Проверка и усиление

Готово: Киоск работает изолированно. DameWare/Intune подключаются поверх без прерывания. Тестируйте на виртуалке!

Настройка киоска на один сайт (Edge + Firewall)

Да, можно ограничить киоск на один сайт комбинацией Edge в режиме киоска (Assigned Access) и Windows Firewall. Edge автоматически работает в режиме InPrivate с защитой, а firewall блокирует весь трафик кроме разрешенного IP-адреса.​

Способ 1: Edge Kiosk Mode (самый простой)

1. Создайте киоск-пользователя и установите Edge:

   text

   Параметры > Accounts > Other users > Добавить КиоскUser
Edge установится автоматически


2. Настройте Assigned Access с Edge:

   text

   Параметры > Accounts > Семья и другие пользователи > Назначенный доступ
> Выберите KioskUser > Microsoft Edge


3. Конфигурация Edge в режиме киоска (PowerShell под админом):

   powershell

   # Установите URL для киоска


   reg add "HKLM\SOFTWARE\Policies\Microsoft\Edge" /v KioskModeNavigation /t REG_SZ /d "https://example.com"


   # Отключите новые табы (Digital Signage режим)


   reg add "HKLM\SOFTWARE\Policies\Microsoft\Edge" /v RestrictOnInstanceLevel /t REG_DWORD /d 1


   # Включите выход через End Session button


   reg add "HKLM\SOFTWARE\Policies\Microsoft\Edge" /v ShowHomeButton /t REG_DWORD /d 1


4. Тест: Выйдите из админа, войдите под KioskUser — Edge откроет только один сайт в полноэкранном режиме.​

Способ 2: Edge + Windows Firewall (максимальная защита)

Найдите IP-адрес сайта:

Скопируйте IP (например, 93.184.216.34).

Настройте Firewall — блокируйте всё, кроме одного IP:

Способ 3: Hosts File (простой, без доменов)

Способ 4: Edge URL Block Policy (для Intune/локально)

Сравнение методов

Выход из PDF на сенсорном экране в Edge Kiosk

На сенсорном экране без клавиатуры и мыши нужны сенсорные жесты или кнопки на экране для навигации и выхода. По умолчанию Edge Kiosk блокирует UI-элементы, но можно настроить кнопки выхода.​

Способ 1: Сенсорные жесты в Edge

Проблема: Эти жесты только для навигации по сайту, не выход из киоска.​

Способ 2: Кнопка выхода на сайте (лучший)

Добавьте на ваш сайт (HTML) заметную кнопку выхода:

Способ 3: Горячая клавиша сенсорной панели (для клавиатур)

Если есть сенсорная клавиатура на экране (Onscreen Keyboard):

Пользователь может вывести клавиатуру жестом (от нижнего края экрана) → ввести Ctrl+Alt+Shift → выход.​

Способ 4: Shell Launcher с Exit Button (для полного контроля)

Если использовать Shell Launcher вместо Assigned Access:

Создайте приложение (C#/WPF) с кнопкой выхода на сенсорный экран.​

Рекомендация для сенсорного киоска

1. Добавьте на сайт красную кнопку выхода (правый нижний угол, 80×80 пикселей) → при нажатии отправляет запрос на админский сервер или закрывает браузер.

2. Если нет доступа к сайту: Включите сенсорную клавиатуру + используйте Ctrl+Alt+Shift через нее.

3. Для максимальной защиты: Используйте Shell Launcher с собственным приложением + сенсорная кнопка выхода.​

Тест: На виртуалке с включенным сенсорным вводом (Hyper-V) протестируйте жесты и кнопку выхода перед деплоем на реальный киоск.

Полезные ссылки

• Windows 11 24H2 IoT Enterprise LTSC – что за зверь, и чем он хорош?