Конфигурация экрана блокировки групповой политики
В этом руководстве вы узнаете, как использовать групповые политики для создания политики экрана блокировки. Кроме того, я покажу вам, как отключить (исключить) политику экрана блокировки для конкретных пользователей и компьютеров.
В этом примере я создам политику, которая блокирует экран через 15 минут активности. Вы можете изменить настройки таймаута на те, которые соответствуют вашим потребностям. Этот гид будет работать на Windows 10, Windows 11, Server 2012 и более поздних операционных системах.
Содержание
Как включить групповую политику экрана блокировки
- Шаг 1. Определите расположение GPO
- Шаг 2. Создайте новую групповую политику
- Шаг 3. Примените групповую политику экрана блокировки
Как включить групповую политику экрана блокировки
Шаг 1. Определите расположение GPO
Политика экрана блокировки является политикой компьютера, это значит, что каждый, кто входит в систему, будет подвержен политике экрана блокировки. Позже я покажу вам, как исключить определенные компьютеры из этой политики.
Лучше всего применять эту политику ко всем компьютерам, но, конечно, всегда будут исключения. У меня были запросы на исключение компьютеров в конференц-залах, компьютеров, которые используются для круглосуточного мониторинга, а также, конечно, всегда есть несколько пользователей, которые жалуются и хотят отключить эту функцию. Все эти запросы должны быть одобрены высшим руководством.
В зависимости от вашей структуры OU вы можете применить GPO к корневому OU и позволить дочерним OU унаследовать политику или применить политику к конкретным OU.
В этом примере я хочу, чтобы политика применялась ко всем компьютерам, поэтому я собираюсь связать GPO с моим OU компьютеров ADPRO. Все дочерние OU унаследуют политику. На шаге 4 я покажу вам, как исключить определенные компьютеры из этой политики.
Шаг 2: Создайте новую групповую политику
Не добавляйте эти настройки в политику домена по умолчанию. Это лучшая практика групповой политики — не изменять политику домена по умолчанию и вместо этого создать новую.
1. Откройте консоль управления групповыми политиками
2. Щелкните правой кнопкой мыши на «Объекты групповой политики» и выберите «Создать»
Дайте новому GPO имя. Например, я назвал свой GPO “Компьютер – Экран блокировки”.
ГПО создано, но теперь нам нужно настроить параметры времени ожидания.
Существует только одна настройка групповой политики, которую необходимо установить. Это «Интерактивный вход: предел неактивности машины».
Перейдите в -> Конфигурация компьютера -> Настройки Windows -> Настройки безопасности -> Локальные политики -> Параметры безопасности
Измените значение на любое, которое вы хотите. Я установил свое значение на 900 секунд, что равно 15 минутам.
Шаг 3: Примените групповую политику экрана блокировки
GPO создан и настройки политики включены. Теперь вам нужно просто связать GPO с правильным OU.
Поскольку это политика компьютера, вы должны применить GPO к OU, который содержит учетные записи компьютеров. Если вы примените GPO только к OU с пользователями, экран блокировки работать не будет.
1. В консоли управления групповыми политиками щелкните правой кнопкой мыши по организационной единице и выберите «Привязать существующую групповую политику:
2. Выберите GPO, который вы создали на шаге 2, и нажмите ОК.
ГПО теперь подключен.
Интервал обновления GPO составляет 90 минут на компьютере. Поэтому имейте в виду, что для применения этой политики ко всем компьютерам может потребоваться до 90 минут. Вы можете мгновенно обновить это, перезагрузив компьютер или запустив команду gpupdate /force.
Ниже приведен скриншот, показывающий GPO, связанный с моим OU компьютеров ADPRO. Все под-OU будут наследовать эту политику. Таким образом, компьютеры в OU бухгалтерии, HR и ИТ получат применённую политику экрана блокировки.
Как проверить, что политика групповой безопасности для блокировки экрана применена
Чтобы проверить, применена ли групповая политика к компьютеру, вы можете использовать команду gpresult /r. Вам нужно открыть командную строку Windows от имени администратора, иначе она может не отобразить политики компьютера.
Вы можете видеть, что выше политика группы «Компьютер - Экран блокировки» применена к этому компьютеру.
Как отключить экран блокировки для отдельных компьютеров
Допустим, у вас есть политика управления группами (GPO) блокировки экрана, примененная ко всем компьютерам, но теперь вам нужно отключить ее на определенных компьютерах.
Есть два варианта:
- Вариант 1: Переместите компьютеры в новую организационную единицу и не связывайте групповую политику с этой организационной единицей. Это работает, и я использовал этот метод для нескольких клиентов.
- Вариант 2: Создайте группу безопасности, добавьте компьютеры и запретите применение политики к этой группе. Это мой предпочтительный метод, так как я думаю, что он предотвращает перемещение компьютеров между организационными единицами.
Я собираюсь показать вам вариант 2.
1. Создайте группу безопасности и добавьте в неё компьютеры, для которых вы хотите отключить политику экранной блокировки. Очень важно дать группе описательное название и использовать поле для описания.
2. Откройте консоль управления групповыми политиками, выберите GPO, нажмите вкладку делегирования, затем нажмите на Расширенные.
4. Добавьте группу безопасности и нажмите ОК
5. Убедитесь, что для чтения установлено значение «Разрешить», а групповая политика применения — «Запретить».
Это должно сработать. Компьютеры в вашей группе запрета необходимо будет перезагрузить.
Когда вы проверяете компьютер с помощью команды gpresult /r, политика будет указана как отказано
Чтобы запретить доступ к дополнительным компьютерам, вам просто нужно добавить их в группу безопасности. Я нахожу этот метод более удобным, чем перемещение компьютеров между разными организационными единицами.
Применение экранной блокировки на компьютерах компании является очень распространенным требованием. Любая компания, которая проходит аудит, всегда будет спрашивать, существует ли эта политика, хотя это хорошая политика для внедрения. Удачи с этими исключениями.