Windows-Kiosk-PC mit Intune einrichten

In diesem Blogbeitrag möchte ich erklären, wie du einen modernen Kiosk-PC einrichtest. In Unternehmen gibt es viele Anwendungsfälle, in denen du dem Benutzer keinen vollständigen Zugriff auf Windows geben möchtest. Es sollen nur eine oder ausgewählte Anwendungen erlaubt sein. Typische Anwendungsfälle wären:

• ein Gerät, das ein Video in einem Verkaufsraum abspielt
• ein Gerät, das für die Schulung einer Anwendung verwendet wird
• ein Terminal, an dem jemand Feedback geben kann

und viele mehr …

Was ist ein Kiosk-PC

Ein Kiosk-PC ist ein PC, der in einem Modus läuft, in dem die Rechte und Möglichkeiten des Benutzers eingeschränkt sind. Typischerweise wird nur eine Anwendung angezeigt, die nicht beendet oder geschlossen werden kann. Dies wird als Single-Kiosk-Modus bezeichnet. Es gibt aber auch einen Multi-Kiosk-Modus, in dem du eine Auswahl zuvor definierter Anwendungen hast. Normalerweise meldet sich an diesen Geräten kein Benutzer an, da dies über eine automatische Anmeldung mit einem lokalen Benutzer erfolgt. Es ist aber auch möglich, sich über ein AAD-Konto zu authentifizieren.

Was sind die Voraussetzungen

Um einen Kiosk-PC einzurichten, sind folgende Voraussetzungen erforderlich:

• Intune-Umgebung (Setup a Windows Autopilot test lab)
• Windows 10 1809 oder neuer
• TPM 2.0 (Hardware ist erforderlich)

Los geht’s

Zunächst müssen wir eine dynamische Gruppe für die Geräte erstellen.

Wähle dazu im linken Menü des Intune Admin Centers Gruppen aus und erstelle eine neue dynamische Gerätegruppe mit einem Filter für den Gruppen-Tag. Eine ausführliche Erklärung, wie das geht, findest du unter setup a windows autopilot test lab. Ich habe für meine Gruppe den folgenden Filter verwendet:

(device.devicePhysicalIds -any _ -eq "[OrderID]:KioskPC")

Hinweis: Du kannst auch einen anderen Namen für den Gruppen-Tag wählen, ersetze einfach KioskPC durch einen anderen Namen.

Dadurch werden automatisch alle Geräte mit dem Gruppen-Tag “Kiosk PC” zur Gruppe hinzugefügt. Du kannst diesen Gruppen-Tag beim Hochladen des Geräte-Hashes angeben, ihn aber auch im Intune Admin Center unter Geräte -> Geräte registrieren -> Geräte ändern.

Du kannst den Geräte-Hash mit den folgenden PowerShell-Befehlen hochladen (wenn das Gerät nicht registriert ist, drücke in der OOBE Shift F10):

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Unrestricted
Install-Script -Name Get-WindowsAutoPilotInfo
Get-WindowsAutoPilotInfo.ps1 -GroupTag KioskPC -online

Als nächsten Schritt benötigen wir ein neues Bereitstellungsprofil für den Kiosk-PC.

Navigiere dazu im Intune Admin Center zu Geräte -> Geräte registrieren -> Bereitstellungsprofile.

• Wähle Profil erstellen -> Windows PC
• Gib einen Namen für das Bereitstellungsprofil ein und klicke auf Weiter
• Wähle “Self-Deploying (Preview)” als Bereitstellungsmodus
• Wähle die übrigen Einstellungen so, wie du sie möchtest. In meinem Beispiel gebe ich den Geräten einen benutzerdefinierten Hostnamen, der mit K für Kiosk beginnt, gefolgt von der Seriennummer.
• Klicke auf Weiter

• Füge die zuvor erstellte Gruppe über Gruppe hinzufügen hinzu
• Klicke auf Weiter
• Klicke auf Erstellen

Die Gerätekonfiguration erstellen

• Navigiere im Intune Admin Center zu Geräte -> Konfigurationsprofile
• Klicke auf Profil erstellen
• Wähle Windows 10 and later als Plattform und Templates als Profiltyp
• Wähle Kiosk
• Gib einen Namen ein

Jetzt müssen wir entscheiden, ob wir einen Single-App-Kiosk-PC oder einen Multi-App-Kiosk-PC haben möchten. In diesem Blog erkläre ich beides. Wir beginnen mit dem Single-App-Kiosk-PC. Wenn du einen Multi-App-Kiosk-PC einrichten möchtest, kannst du dieses Kapitel überspringen.

Single-App-Kiosk-Modus

Wie oben beschrieben, wird in diesem Modus nur eine App im Vollbild gestartet und sie kann nicht beendet werden. Um dies zu konfigurieren, erstellen wir ein neues Konfigurationsprofil. Du kannst zwischen Edge, dem Kiosk-Browser oder einer Store-App wählen. Win32-Apps können hier nicht ausgewählt werden.

Zuerst wählen wir Single app, full screen kiosk. Wenn dies ausgewählt ist, erscheinen weitere Konfigurationselemente, die ich jetzt erklären werde.

• User logon type: Hier kannst du das Verhalten der Anmeldung konfigurieren. Bei der automatischen Anmeldung ist keine Anmeldung mit einem Benutzer erforderlich (es wird ein Standardbenutzer mit dem Namen Kiosk verwendet) und die App startet direkt nach dem Booten. Dies ist nützlich für PCs in öffentlichen Umgebungen, sodass keine Interaktion erforderlich ist, um die App nach einem Neustart zu starten. Alternativ kannst du einen lokalen Benutzer für die Anmeldung erstellen oder einen Microsoft Entra ID-Benutzer auswählen.

• Application type: Hier kannst du den Edge-Browser, Legacy Edge oder den Kiosk-Browser wählen. Es ist auch möglich, eine Store-App auszuwählen. Was ist der Unterschied zwischen dem Kiosk-Browser und Edge? Der Kiosk-Browser basiert auf dem Edge-Browser, bietet aber mehr Einstellungen, die in Kiosk-Umgebungen nützlich sein können. Hier kannst du z. B. einen End-Session-Button anzeigen, der die Browserdaten löscht und zur Startseite zurückkehrt. Oder du kannst auch die Navigationsschaltflächen ausblenden. Zusätzlich kannst du eine CSV-Datei mit erlaubten URLs in den Kiosk-Browser hochladen. Im Store-App-Modus kannst du jede App auswählen, die zuvor über den Windows Store for Business in Intune importiert wurde. Beim Edge-Browser hast du die folgenden 2 Optionen zur Auswahl:

  • Public Browsing (InPrivat): Benutzer können öffentlich surfen und mehrere Tabs öffnen
  • Digital/Interactive Signage (InPrivate): Öffnet eine URL im Vollbildmodus und zeigt nur den Inhalt dieser Website an.

• Specify Maintenance Window for App Restarts: Einige Apps müssen neu gestartet werden, um die App-Installation oder die Installation von Updates abzuschließen. Mit dieser Funktion kannst du das Wartungsfenster für diesen Neustart planen.

Dies ist meine Konfiguration. Du kannst die Konfigurationen so einstellen, wie du sie für deinen Anwendungsfall benötigst.

• Klicke auf Weiter
• Weise dieses Konfigurationsprofil der Gruppe zu, die wir am Anfang dieses Blogs erstellt haben

• Klicke auf Weiter
• Füge die zuvor erstellte Gruppe über Gruppe hinzufügen hinzu
• Klicke auf Weiter
• Klicke auf Erstellen

Jetzt haben wir alles konfiguriert, was wir benötigen, und können mit der Bereitstellung unserer Testmaschine über Windows Autopilot beginnen.

Was uns auffällt, ist, dass für den Autopilot-Prozess keine Authentifizierung erforderlich ist wie bei einem Standard-PC, der Prozess startet direkt. Das ist das Self-Deploying, das wir im Bereitstellungsprofil konfiguriert haben.

Multi-App-Kiosk-Modus

Nachdem wir uns den Single-App-Kiosk-Modus angesehen haben, schauen wir uns nun den Multi-App-Modus an. Dieser Modus bietet eine größere Auswahl an Anwendungstypen, die wir verwenden können. Fangen wir an. Auch hier müssen wir ein neues Konfigurationsprofil mit dem Kiosk-Template erstellen, wie oben beschrieben.

Hier wählen wir diesmal Multi App Kiosk. Die Konfigurationsoptionen unterscheiden sich diesmal etwas. Auch hier versuche ich, dir all diese Optionen zu erklären.

• Target Windows 10 in S mode device: Der S-Modus ist ein spezifischer Windows-10-Modus, der vorkonfiguriert ist, um sicherer zu sein. Du kannst nur Apps aus dem MS Store ausführen.
  • Yes: Win32-Apps werden dadurch ausgeschlossen. Store-Apps und AUMID-Apps sind im Kiosk-Profil erlaubt.
  • No: Store-Apps, Win32-Apps und AUMID-Apps sind im Kiosk-Profil erlaubt.
• User logon type: Hier kannst du das Verhalten der Anmeldung konfigurieren. Bei der automatischen Anmeldung ist keine Anmeldung mit einem Benutzer erforderlich (es wird ein Standardbenutzer mit dem Namen Kiosk verwendet) und die App startet direkt nach dem Booten. Dies ist nützlich für PCs in öffentlichen Umgebungen, sodass keine Interaktion erforderlich ist, um die App nach einem Neustart zu starten. Alternativ kannst du einen lokalen Benutzer für die Anmeldung erstellen oder einen Microsoft Entra ID-Benutzer auswählen. Es gibt auch den HoloLense-Besucher, aber dieser ist für unsere Workplace-Konfiguration nicht interessant.
• Browser and Applications:
  • Browser: Hier hast du Edge Legacy und den Kiosk-Browser. Mit dem Kiosk-Browser kannst du eine Standardseite festlegen. Dies ist mit Edge nicht möglich. Mit dem Kiosk-Browser hast du viel mehr Konfigurationsmöglichkeiten. Schade, dass Edge Chromium hier nicht verfügbar ist.
  • Applications: Hier hast du die Wahl zwischen Store-App, Win32-App und AUMID. Bei Store-Apps kannst du jede App auswählen, die zuvor über den Windows Store for Business in Intune importiert wurde. Win32 ist eine normale Desktop-App, die ebenfalls über Intune installiert werden kann. Um eine solche App anzubieten, musst du den Pfad der App angeben, um sie zu starten. Die AUMID ist eine ID, die für jede auf einem Gerät installierte Anwendung vergeben wird. Wie du diese ID findest, wird in der Microsoft-Dokumentation erklärt.
• Use alternative Start layout: Diese Option bietet die Möglichkeit, eine XML-Datei hochzuladen, mit der die Position der Apps im Startmenü konfiguriert werden kann.
  Um dieses Layout zu erstellen, richtest du ein Testgerät ein, auf dem die gewünschten Anwendungen installiert sind. Konfiguriere das Startmenü so, wie du es haben möchtest. Öffne eine PowerShell-Konsole und gib den folgenden Befehl ein: Export-StartLayout -UseDesktopApplicationID -Path layout.xml
  Du erhältst eine XML, die du anpassen und hochladen kannst.
• Windows Taskbar: Möglichkeit, die Taskleiste auszublenden
• Allow access to Download folder: Möglichkeit, den Download-Ordner zu sperren
• Specify Maintenance Window for App Restarts: Einige Apps müssen neu gestartet werden, um die Installation von Updates abzuschließen. Mit dieser Funktion kannst du das Wartungsfenster für diesen Neustart planen.

Dies sind die Einstellungen, die ich für meinen Test ausgewählt habe:

• Klicke auf Weiter
• Füge die zuvor erstellte Gruppe über Gruppe hinzufügen hinzu
• Klicke auf Weiter
• Klicke auf Erstellen

Jetzt hast du alle Informationen, die du benötigst, um einen Kiosk-PC einzurichten. Je nach Anwendungsfall hast du die Möglichkeit, einen Single- oder Multi-App-Modus auszuwählen. Die Erfahrung für den Benutzer ist wirklich gut.

Bleib gesund, Cheers
Jannik