Как ограничить пользователя: Только одна программа — всё остальное скрыто

Представьте: сотрудник должен работать только в одной программе — например, в 1С, CRM, биллинге или кассовом ПО. При этом он не должен видеть:

• Рабочий стол
• Панель задач
• Проводник
• Панель управления
• Сеть, принтеры, командную строку

Цель — создать упрощённое рабочее место, где пользователь видит только ярлык нужной программы и больше ничего. Это называется киоск-режим (kiosk mode) или ограниченный интерфейс.

В этой статье — пошаговая настройка через Групповые политики (GPO) в Active Directory.

Шаг 1: Создайте группу пользователей

В Active Directory создайте группу, например:

Имя: Kiosk_Users
Группа: Security Group
Расположение: OU=Groups,DC=corp,DC=local
    

Добавьте в неё пользователей, которых хотите ограничить.

Шаг 2: Создайте OU и примените GPO

1. Создайте OU, например: OU=Kiosk, DC=corp, DC=local.
2. Переместите туда компьютеры или пользователей (лучше — компьютеры).
3. Создайте новую GPO: Restrict to Single App.
4. Привяжите её к OU Kiosk.

Шаг 3: Полная блокировка интерфейса Windows

Откройте редактор GPO и настройте следующие параметры.

Шаг 4: Запуск только одной программы (киоск-режим)

Теперь настроим, чтобы при входе пользователя автоматически запускалась нужная программа — и ничего больше.

@echo off
taskkill /f /im explorer.exe
start "" "C:\Program Files\MyApp\app.exe"
        

Stop-Process -Name explorer -Force
Start-Process "C:\Program Files\MyApp\app.exe"
        

Альтернатива: Assigned Access (только Windows 10/11 Pro и Enterprise)

Если у вас современные ОС — используйте встроенный режим Assigned Access.

1. Откройте: Settings → Accounts → Family & other users.
2. В разделе Assigned Access выберите пользователя.
3. Укажите приложение (например, Chrome, 1С, Edge, ваше приложение).

Пользователь при входе увидит только это приложение. Выход — только через Ctrl+Alt+Del или перезагрузку.

Через GPO это можно настроить по пути:

User Configuration → Administrative Templates → System → Logon → 
Assign a default user to automatically log on at logon screen
    

и использовать с AssignedAccess в XML-конфигурации (сложнее, но мощно).

Шаг 5: Тестирование

1. Добавьте тестового пользователя в группу Kiosk_Users.
2. Войдите под ним на компьютер из OU Kiosk.
3. Проверьте:
   • Нет панели задач
   • Нет рабочего стола
   • Нет доступа к cmd, реестру, панели управления
   • Автоматически запустилась нужная программа
4. Выполните gpupdate /force и перезагрузите, если что-то не сработало.

Заключение

Теперь вы можете:

• Ограничить пользователей одной программой
• Скрыть весь интерфейс Windows
• Обеспечить безопасность и фокус на задаче
• Масштабировать это на сотни компьютеров через GPO

Такой подход отлично подходит для:

• Call-центров
• Кассовых мест
• Обучающих стендов
• Автоматизированных рабочих мест

Групповые политики — ваш главный инструмент контроля в домене. Используйте их с умом!