Отключение заставки windows 10 через групповые политики

В этой статье мы рассмотрим, как настроить автоматическую блокировку экрана/сессий на компьютерах и серверах домена с помощью GPO. Блокировка экрана компьютера при бездействии — это важный элемент информационной безопасности. Пользователь, отходя ненадолго от своего рабочего места, может забыть заблокировать свой компьютер (сочетание клавиш
Win+L
). В этом случае доступ к его данным может получить любой другой сотрудник или клиент, находящийся поблизости. Политика автоматической блокировки экрана позволят исправить этот недостаток. Рабочий стол пользователя через некоторое время простоя (неактивности) будет автоматически заблокирован, и, чтобы вернуться в свою сессию, пользователю нужно будет заново ввести свой доменный пароль.

Создадим и настроим доменную политику управления параметрами блокировки экрана:

1. 1. Откройте консоль управления доменными политиками Group Policy Management console (
      gpmc.msc
      ), создайте новый объект GPO (LockScreenPolicy) и назначьте его на корень домена (или на OU с пользователями);
   2. Перейдите в режим редактирования политики и выберите секцию User Configuration -> Policies -> Administrative Templates -> Control Panel -> Personalization (Конфигурация пользователя -> Политики -> Административные шаблоны -> Панель управления -> Персонализация);
   3. В этом разделе GPO есть несколько параметров для управления экранной заставкой и настройками блокировки экрана:
      • Enable screen saver — включить экранную заставку;
      • Password protect the screen saver — требовать пароль для разблокировки компьютера;
      • Screen saver timeout – через сколько секунд неактивности нужно включить экранную заставку и заблокировать компьютер;
      • Force specific screen saver – можно указать файл скринсейвера, которые нужно использовать. Чаще всего это
        scrnsave.scr
        (с помощью GPO можно сделать скринсейвер в виде слайдшоу);
      • Prevent changing screen saver – запретить пользователям менять настройки экранной заставки.

• Включите все политики и задайте необходимое время неактивности компьютера в политики Screen saver timeout. Я указал
  300
  . Это значит, что сессии пользователей будет автоматически блокироваться через 5 минут;
• Дождитесь обновления настроек групповых политики на клиентах или обновите их вручную командой (
  gpupdate /force
  ). После применение GPO в интерфейсе Windows настройки экранной заставки и блокировки экрана станут недоступными для изменения, а сессия пользователя автоматически блокироваться после 5 минут неактивности (для диагностики применения gpo можно использовать утилиту gpresult и статью по ссылке).

Начиная с Windows Server 2012/Windows 8 есть отдельная политика безопасности компьютера, в которой задается период неактивности компьютера, после которого его нужно блокировать. Политика называется setting Interactive logon: Machine inactivity limit и находится в разделе GPO Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options.

В некоторых случаях вам может понадобится настроить различные политики блокировки для разных групп пользователей. Например, для офисных работников нужно блокировать экран через 10 минут, а на компьютерах операторов производства экран не должен блокироваться никогда. Для реализации такой стратегии вы можете использовать GPO Security Filtering (см. пример с групповыми политиками ограничением доступа к USB устройствам) или возможности Item Level Targeting в GPP. Рассмотрим второй вариант подробнее.

Вы можете настроить параметры блокировки компьютеров не с помощью отдельных параметров GPO, а через реестр. Вместо рассмотренной выше политики вы можете через GPO распространить на компьютеры пользователей параметры реестра. Рассмотренным выше политикам соответствуют следующие параметры реестра в ветке HKEY_CURRENT_USERSoftwarePoliciesMicrosoftWindowsControl PanelDesktop:

• Password protect the screen save – параметр типа REG_SZ с именем ScreenSaverIsSecure = 1;
• Screen saver timeout – параметр типа REG_SZ с именем ScreenSaveTimeout = 300;
• Force specific screen saver – параметр типа REG_SZ с именем ScreenSaveActive = 1 и SCRNSAVE.EXE = scrnsave.scr.

Создайте в домене группу пользователей (
SPB-not-lock-desktop
), для которых нужно отменить действие политики блокировки и наполните ее пользователями. Создайте в секции GPO (User Configuration -> Preferences -> Windows Settings -> Registry рассмотренные выше параметры реестра). Для каждого параметра и с помощью Item Level Targeting укажите, что политика не должна применяться для определенной группы безопасности (the user is not a member of the security group SPB-not-lock-desktop).

Также придется создать еще 4 параметра реестра со значениями REG_SZ 0, которые принудительно отключают блокировку экрана для группы SPB-not-lock-desktop (иначе, политики не будут перезатирать установленные ранее значения).

Помогла ли Вам статья?

Используя групповые политики (GPO), можно не только изменять огромное количество настроек компьютеров в сети, управлять возможными действиями сотрудниками в домене, а также можно улучшить безопасность в сети. Включим с помощью GPO экранную заставку после 22 минут бездействия пользователя и выключим экран монитора после 45 минут бездействия пользователя.

Это значит, что если человек не будет производить никаких действий на компьютере, то через 22 минуты компьютер заблокируется (включится заставка). И для того, чтобы продолжить работу, надо будет ввести логин и пароль. Это необходимо, если например человек ушел куда-нибудь и забыл заблокировать компьютер. А выключение монитора, через 45 минут бездействия пользователя, поможет сократить количество электроэнергии, которое использует монитор. Время можно выбрать любое, но надо понимать, что слишком частое блокирование компьютера, например через 2 минуты бездействия, приведёт в конечном итоге к нервному стрессу того, кто работает за этим компьютером. Если же наоборот, блокировать вычислительную машину, например, через 12 часов, то это действие будет иметь мало смысла. Поэтому будет правильно выбрать разумное время блокировки. Тогда это не будет напрягать работающего, будет повышена общая безопасность. Также в масштабах нескольких сотен компьютеров, это будет ощутимая экономия электроэнергии, что выльется в экономию финансов и для природы тоже полезно.

Включаем с помощью групповых политик экранную заставку через 22 минуты.

1. Нажимаем «Пуск«, далее «Администрирование«.

2. В следующем окне выбираем «Управление групповой политикой«.

3. Лучше создать отдельную групповую политику, но можно править и дефолтную групповую политику. Рекомендуется документировать все изменения, произведенные в групповой политике. В открывшемся окне, раскрываем дерево домена и выбираем «Default Domain Poliсy«. Нажимаем на неё правой клавшией мыши, далее «Изменить«.

4. В новом окне открываем дерево: «Конфигурация пользователя — Политики — Административные шаблоны — Панель управления — Персонализация«. В окне справа выбираем:

• Включение заставки — Включено.
• Защита заставки с помощью пароля — Включено.
• Тайм-аут экранной заставки — Включено — 1320 секунд.

5. Включение заставки — включено. В комментарии можно записать, что этим действием мы включаем экранную заставку. Далее «ОК«.

6. Защита заставки с помощью пароля — Включено. Когда компьютер будет заблокирован, то разблокировать его можно будет только с помощью логина и пароля. Нажимаем «ОК«

7. Тайм-аут экранной заставки — Включено. Секунды — 1320 секунд. Таким образом заставка появится через 22 минуты бездействия пользователя.

Отключение монитора через 45 минут после бездействия пользователя.

Дальше будем изменять поведение монитора. Задача сделать так, чтобы через 45 минут бездействия пользователя, управление электропитанием монитора должно выключаться.

9. Открываем в редакторе управления групповой политики: Конфигурация компьютера — Политики — Административные шаблоны — Система — Управление электропитанием — Параметры дисплея и видео. Изменяем:

• Отключить дисплей (питание от сети) — Включено.
• Отключить дисплей (в секундах) — 2700.

10. Отключить дисплей (питание от сети) — Включено. Отключить дисплей в секундах — 2700. Таким образом через 45 минут бездействия пользователя отлючится дисплей. Далее «ОК«.

11. Для незамедлительного применения групповых политик открываем командную строку и набираем: gpupdate /force. 

 В результате этих несложных действий мы добиваемся необходимого нам поведения экранной заставки (включение заставки через 22 минуты бездействия пользователя) и электропитания монитора (выключится через 45 минут бездействия).

Посмотреть видео можно здесь:

 Также читайте:

Установка Windows server 2012

Windows server 2012 — установка роли Active Directory

Архивирование и восстановление GPO Windows Server 2012

Создание пользователя в домене Windows Server 2012

WSUS — удаление ненужных обновлений

Создание архива сервера Windows 2012

Создание и подключение общего сетевого ресурса в домене Windows Server 2012