เปิดใช้งาน Windows Lock Screen หลังจากไม่มีการใช้งานผ่าน GPO
ในบทความนี้ เราจะแสดงวิธีกำหนดค่าการล็อกหน้าจออัตโนมัติ (เซสชัน) บนคอมพิวเตอร์โดเมนหรือเซิร์ฟเวอร์โดยใช้ Group Policy การล็อกหน้าจอคอมพิวเตอร์เมื่อผู้ใช้ไม่ได้ใช้งาน (ไม่ได้ใช้งาน) เป็นองค์ประกอบด้านความปลอดภัยของข้อมูลที่สำคัญ ผู้ใช้อาจลืมล็อกเดสก์ท็อป (ด้วยแป้นพิมพ์ลัด
Win + L) เมื่อเขาจำเป็นต้องออกจากที่ทำงานเป็นระยะเวลาสั้นๆ ในกรณีนี้ พนักงานหรือลูกค้ารายอื่นที่อยู่ใกล้เคียงจะสามารถเข้าถึงข้อมูลของเขาได้ นโยบายล็อคหน้าจออัตโนมัติจะแก้ไขข้อบกพร่องนี้ หลังจากไม่มีการใช้งาน (ไม่ได้ใช้งาน) สักระยะหนึ่ง เดสก์ท็อปของผู้ใช้จะถูกล็อคโดยอัตโนมัติ และผู้ใช้จะต้องป้อนรหัสผ่านโดเมนอีกครั้งเพื่อกลับสู่เซสชัน
มาสร้างและกำหนดค่านโยบายกลุ่มของโดเมนเพื่อจัดการตัวเลือกการล็อกหน้าจอ:
เปิดคอนโซลการจัดการนโยบายกลุ่ม (
gpmc.msc) สร้างวัตถุ GPO ใหม่ (LockScreenPolicy) และเชื่อมโยงกับรากของโดเมน (หรือกับ Users OU)
แก้ไขการแก้ไขนโยบายและไปที่ การกำหนดค่าผู้ใช้ -> นโยบาย -> เทมเพลตการดูแลระบบ -> แผงควบคุม - > การปรับเปลี่ยนในแบบของคุณ;
มีตัวเลือกบางอย่างในการจัดการโปรแกรมรักษาหน้าจอและการตั้งค่าการล็อกหน้าจอในส่วน GPO:
เปิดใช้งานโปรแกรมรักษาหน้าจอ
รหัสผ่านป้องกันโปรแกรมรักษาหน้าจอ — แจ้งให้ป้อนรหัสผ่านเพื่อปลดล็อกคอมพิวเตอร์
หมดเวลาของโปรแกรมรักษาหน้าจอ - ตั้งเวลาเป็นวินาทีเมื่อโปรแกรมรักษาหน้าจอจะเปิดใช้งานและคอมพิวเตอร์จะถูกล็อคหากผู้ใช้ไม่ได้ใช้งาน
บังคับเฉพาะโปรแกรมรักษาหน้าจอ - คุณสามารถระบุไฟล์โปรแกรมรักษาหน้าจอที่จะใช้ได้ บ่อยที่สุดก็คือ
scrnsave.scr(คุณสามารถสร้างภาพพักหน้าจอสไลด์โชว์โดยใช้ GPO)
ป้องกันการเปลี่ยนโปรแกรมรักษาหน้าจอ - ป้องกันไม่ให้ผู้ใช้เปลี่ยนการตั้งค่าโปรแกรมรักษาหน้าจอ
เปิดใช้งานนโยบายทั้งหมดและตั้งค่าเวลาว่างของคอมพิวเตอร์ในนโยบายการหมดเวลาของโปรแกรมรักษาหน้าจอ ฉันป้อน 300 หมายความว่าเซสชันของผู้ใช้จะถูกล็อคโดยอัตโนมัติหลังจากผ่านไป 5 นาที
รอจนกว่าการตั้งค่า Group Policy จะอัปเดตบนไคลเอ็นต์หรือรีเฟรชด้วยตนเองโดยใช้คำสั่ง:
gpupdate /force. หลังจากใช้ GPO แล้ว การตั้งค่าโปรแกรมรักษาหน้าจอและการล็อกหน้าจอจะได้รับการปกป้องจากการแก้ไขในส่วนติดต่อของ Windows และเซสชันผู้ใช้จะถูกล็อกเมื่อไม่มีการใช้งานเป็นเวลา 5 นาที (เพื่อวินิจฉัยว่ามีการใช้ GPO อย่างไร คุณสามารถใช้เครื่องมือ gpresult และ บทความตามลิงค์นี้)
ใน Windows Server 2012/Windows 8 หรือใหม่กว่า มีนโยบายความปลอดภัยคอมพิวเตอร์แยกต่างหากซึ่งจะกำหนดเวลาที่คอมพิวเตอร์จะไม่ทำงานหลังจากที่ล็อกไว้ นโยบายนี้เรียกว่า การเข้าสู่ระบบแบบโต้ตอบ: ขีดจำกัดการไม่ใช้งานของเครื่อง และคุณจะพบได้ในการกำหนดค่าคอมพิวเตอร์ -> การตั้งค่า Windows -> การตั้งค่าความปลอดภัย -> นโยบายท้องถิ่น -> ตัวเลือกความปลอดภัย
ในบางกรณี คุณอาจต้องกำหนดค่านโยบายการล็อกที่แตกต่างกันสำหรับกลุ่มผู้ใช้ต่างๆ ตัวอย่างเช่น ควรล็อกหน้าจอของพนักงานในสำนักงานหลังจากผ่านไป 10 นาที และไม่ควรล็อกหน้าจอของฝ่ายผลิตหรือผู้ปฏิบัติงาน SCADA ในการใช้กลยุทธ์ดังกล่าว คุณอาจใช้การกรองความปลอดภัยของ GPO (ดูตัวอย่างที่มีการจำกัดการเข้าถึงอุปกรณ์ USB โดยใช้ GPO) หรือการกำหนดเป้าหมายระดับรายการใน GPP ลองศึกษารายละเอียดเพิ่มเติมในภายหลัง
คุณสามารถกำหนดการตั้งค่าการล็อกคอมพิวเตอร์โดยใช้รีจิสทรีแทน GPO และนำการตั้งค่ารีจิสทรีที่เกี่ยวข้องไปใช้กับคอมพิวเตอร์ของผู้ใช้ผ่าน GPO พารามิเตอร์รีจิสทรีต่อไปนี้ตรงกับนโยบายที่กล่าวถึงข้างต้น ซึ่งจะอยู่ใน HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop:
รหัสผ่านป้องกันโปรแกรมรักษาหน้าจอ คือพารามิเตอร์ REG_SZ ที่มีชื่อ ScreenSaverIsSecure=1
Screen SaveTimeout เป็นพารามิเตอร์ REG_SZ ที่มีชื่อ ScreenSaveTimeout=300
บังคับเฉพาะโปรแกรมรักษาหน้าจอ คือพารามิเตอร์ REG_SZ ที่มีชื่อ ScreenSaveActive=1 และ SCNRNSAVE.EXE=scrnsave.scr
สร้างกลุ่มความปลอดภัยโดเมน (
grp_not-lock-prod) ที่คุณต้องการปิดใช้งานนโยบายการล็อกหน้าจอและเพิ่มผู้ใช้เข้าไป สร้างพารามิเตอร์รีจิสทรีที่อธิบายข้างต้นในส่วน GPO ที่เกี่ยวข้อง (การกำหนดค่าผู้ใช้ -> ค่ากำหนด -> การตั้งค่า Windows -> รีจิสทรี แข็งแรง>). ใช้ การกำหนดเป้าหมายระดับรายการ ตั้งค่าสำหรับแต่ละพารามิเตอร์ที่นโยบายจะต้องไม่ใช้กับกลุ่มความปลอดภัยเฉพาะ (ผู้ใช้ไม่ใช่สมาชิกของกลุ่มความปลอดภัย
grp_not-lock-prod).
นอกจากนี้ คุณจะต้องสร้างพารามิเตอร์รีจิสทรีเพิ่มเติมอีก 4 รายการด้วยค่า REG_SZ 0 ซึ่งจะปิดใช้งานการล็อกหน้าจอแบบบังคับสำหรับกลุ่ม grp_not-lock-prod (มิฉะนั้น GPO ของคุณจะไม่เขียนทับค่ารีจิสทรีที่ตั้งค่าไว้ก่อนหน้านี้) .