Windows 11 のキオスクモード、ちゃんと使いこなせてる？

やっほー、しぃちゃんだよ！今日は「Windows 11 をキオスク端末にする方法」っていう、地味だけどすっごく実用的なニュースを見つけたから紹介するね！

なにが発表されたの？

今回のネタ元は「JP Windows Support」だよ。マイクロソフト社員の方が書いている、Windows のサポート情報を届けてくれるブログなの。今回は Windows 11 でキオスク（決まったアプリしか使えない端末）を構成する方法を、実際の設定例つきで詳しく解説してくれているんだ。

なぜ重要なの？

受付端末やデジタルサイネージ、店頭の案内端末みたいに「これ以外のアプリは絶対に触らせたくない」場面って結構あるよね。そういう端末を普通の Windows PC のまま置いておくと、変なアプリを起動されたり設定を変えられたりするリスクがあるの。

キオスク機能を使えば、許可したアプリだけが動く専用端末にできるから、メンテナンスの手間を減らしつつ、どの端末でも同じ体験を提供できるようになるんだって。地味に見えて、現場の運用コストを左右する大事な話なの。

これで何が変わるの？

キオスクを構成すると、サインインしたユーザーは指定されたアプリしか使えなくなるよ。設定ミスや誤操作でシステムを壊される心配が減るし、管理側は「この端末は常にこの状態」って前提で運用できるから、サポート対応もラクになるはず。IT 管理者が展開・運用の設計をするときの選択肢が明確に整理された、という感じの記事だね。

深く潜ってみよう

記事では、キオスクの実現方法として大きく 2 つが紹介されているよ。

• Assigned Access — 許可したアプリを全画面で動かす「シングルアプリ」と、スタートメニューから複数アプリを選べる「マルチアプリ」の 2 パターンがある。UWP アプリや Edge に対応していて、Windows 11 Pro でも使えるのがポイント
• Shell Launcher — エクスプローラーそのものを、指定した Win32 / UWP アプリに置き換える仕組み。ただし Pro エディションでは使えず、Enterprise / Education / IoT Enterprise が対象だよ

どちらも設定方法は共通していて、まず構成内容を XML ファイルとして作成し、それを MDM Bridge WMI Provider 経由で端末に反映する流れなの。ローカル端末に直接適用する場合は、SYSTEM 権限の PowerShell から MDM_AssignedAccess クラスの Configuration（Assigned Access の場合）や ShellLauncher（Shell Launcher の場合）プロパティに、XML の内容を HTML エンコードして流し込む形になる。管理者権限だけでは足りず SYSTEM 権限が必須、という注意点も書かれていたよ。

Edge をキオスクアプリにする場合は、起動引数で細かく挙動を変えられるのも面白いところ。

• --kiosk <URL> — 指定した URL をキオスクモードで開く
• --edge-kiosk-type=fullscreen — 全画面表示（デジタルサイネージ向け）
• --edge-kiosk-type=public-browsing — InPrivate 相当の公共端末向けモード
• --kiosk-idle-timeout-minutes=<分> — 無操作が続いたときに自動リセットするまでの時間

Intune で配布する場合は、標準の「キオスク」テンプレートだと Windows 11 では意図通りに動かないことがあるため、カスタムプロファイルで OMA-URI を直接指定するやり方が推奨されている。Assigned Access なら ./Vendor/MSFT/AssignedAccess/Configuration、Shell Launcher なら ./Vendor/MSFT/AssignedAccess/ShellLauncher という URI に、XML ファイルの中身を文字列として設定する形だよ。

AUMID（アプリの識別子）を調べたいときは、こんな PowerShell コマンドが使えるみたい。

Get-StartApps | Where-Object { $_.Name -like "*Edge*" }
Get-AppxPackage | Select-Object Name, PackageFamilyName

注意点も丁寧にまとめられていて、Shell Launcher は指定アプリ以外の起動を自動では禁止してくれないから、キーボードショートカットやファイルを開くダイアログ経由で他のアプリを起動されてしまう可能性があるんだって。AppLocker やグループポリシーとの併用で防ぐ必要があるみたい。あと、キオスクユーザーは端末のコンソールからのサインインが必須で、リモートデスクトップ経由だとキオスク体験そのものが使えない点にも要注意だよ。

うまく動かないときは、Microsoft-Windows-AssignedAccess のイベントログ（既定では無効）や、Intune 配布時なら Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider のログを見ると、XML のスキーマエラーなどが記録されているそうなの。

まとめ

• Windows 11 のキオスク化には「Assigned Access」と「Shell Launcher」の 2 方式があり、対応エディションと得意分野が違う
• 設定は XML ファイルを作り、SYSTEM 権限の PowerShell か Intune のカスタムプロファイル（OMA-URI）経由で反映する
• Edge キオスクは起動引数でフルスクリーン表示や InPrivate 化、無操作タイムアウトなどを細かく調整できる
• Shell Launcher は迂回されるリスクがあるので、AppLocker などとの併用が前提

受付端末やデジタルサイネージ、店頭端末なんかを管理している IT 担当者さんにとっては、そのまま手順書として使えそうな内容だよ！