组策略锁屏：配置指南

在本指南中，您将了解如何使用组策略启用 Windows 锁定屏幕。此外，我将向您展示如何禁用（排除）特定用户和计算机的锁定屏幕策略。

我将逐步创建一个策略，以在 15 分钟不活动后锁定屏幕。您可以将超时设置更改为满足您需要的任何设置。本指南适用于 Windows 10、Windows 11、Server 2012 及更高版本的操作系统。

当用户离开办公桌并忘记锁定屏幕时，锁定屏幕是一项重要的安全措施。如果发生这种情况，其他员工或未经授权的人就可以访问该用户的数据。锁屏空闲超时策略将有助于防止此安全问题。

让我们来看看。

重要提示：大多数文章都会向您展示 Windows 10 计算机的错误 GPO 设置。如果您在组策略中启用屏幕保护程序设置，它们将无法在 Windows 10 中使用。您将需要使用我在本指南中提供的 GPO 设置才能使锁定屏幕正常工作。

步骤 1：确定 GPO 位置

锁屏策略是一项计算机策略，这意味着任何登录计算机的人都会应用锁屏策略。稍后我将向您展示如何从策略中排除特定计算机。

最好将此策略应用于所有计算机，但总会有例外。我收到了排除会议室计算机、用于 24/7 监控的计算机的请求，当然总会有一些用户抱怨并希望将其禁用。这些请求均应得到高层管理人员的批准。

根据您的 OU 结构，您可以将 GPO 应用于根并让子 OU 继承该策略，或者您可以将该策略应用于特定 OU。

在此示例中，我希望该策略应用于所有计算机，因此我要将 GPO 链接到我的 ADPRO 计算机 OU。所有子 OU 将继承该策略。在步骤 4 中，我将向您展示如何从策略中排除特定计算机。

步骤 2：为锁定屏幕设置创建新的 GPO

不要将这些设置添加到默认域策略中。组策略最佳实践是不修改默认域策略，而是创建新策略。

1）打开组策略管理控制台

2）右键单击“组策略对象”，然后单击新建

为新 GPO 命名。您可以将其命名为任何您想要的名称。

GPO 已创建，但现在我们需要设置空闲超时设置。

只需要设置一项组策略设置。这是“交互式登录：计算机不活动限制”

浏览至 -> 计算机配置 -> Windows 设置 -> 安全设置 -> 本地策略 -> 安全选项

将值更改为您想要的任何值。我将时间设置为 900 秒，即 15 分钟。

步骤 3：应用锁屏 GPO 并验证其已应用

GPO 已创建并已添加策略设置。现在您只需将 GPO 链接到正确的 OU。

由于这是计算机策略，因此您必须将 GPO 应用于包含计算机帐户的 OU。如果您将 GPO 应用到仅包含用户的 OU，则锁定屏幕将不起作用。

1）在组策略管理控制台中右键单击一个OU并选择“链接现有GPO：

2) 选择您在步骤 2 中创建的 GPO，然后单击“确定”。

GPO 现已链接。

计算机上的 GPO 刷新间隔为 90 分钟。因此请记住，此策略最多可能需要 90 分钟才能应用到所有计算机。您可以通过重新启动计算机或运行 gpupdate /force 命令来立即刷新此内容。

上面的屏幕截图显示了链接到我的 ADPRO 计算机 OU 的 GPO。所有子 OU 都将继承此策略。因此，会计、HR 和 IT OU 中的计算机将应用锁屏 GPO。

如何验证锁定屏幕 GPO 是否已应用

要验证 GPO 是否已应用于计算机，您可以使用 gpresult /r windows 命令。您需要以管理员身份打开 Windows 命令提示符，否则可能无法提取计算机策略。

您可以在上面看到“锁定屏幕打开”GPO 已应用于此计算机。

步骤 4：如何从锁定屏幕策略中禁用（排除）计算机

假设您已将锁定屏幕应用于所有计算机，但现在您需要在特定计算机上禁用它。

有两种选择：

选项 1：将计算机移至新的 OU，并且不将 GPO 链接到该 OU。这很有效，我已经为几个客户使用过这种方法。

选项 2：创建安全组，添加计算机并拒绝将策略应用于该组。这是我的首选方法，因为我认为它可以防止在 OU 之间移动计算机。

我将向您展示选项 2。

1) 创建安全组并添加要禁用锁屏策略的计算机。使用描述性名称为组命名并使用描述框非常重要。

2）进入组策略管理控制台，选择GPO并单击委派选项卡，然后单击高级。

4）添加安全组并点击确定

5) 确保“读取”设置为“允许”，应用组策略设置为“拒绝”。

应该可以做到这一点。拒绝组中的计算机需要重新启动。

当您使用 gpresult /r 命令检查计算机时，策略将显示为拒绝

要拒绝任何其他计算机，您只需将它们添加到安全组即可。我发现这种方法比将计算机移动到不同的 OU 更方便。

最近修改的 GPO 报告

AD Pro 工具包包括 200 多个 Active Directory 报告，例如所有 GPO、最近创建或修改的 GPO、禁用的计算机或用户设置等等。

以下是过去 30 天内修改的 GPO 的示例报告。

下载免费试用版并创建您自己的 GPO 报告。

概括

在公司计算机上强制锁定屏幕是一个非常常见的要求。任何接受审核的公司总会被问到这项政策是否到位，无论这是一项很好的政策。享受这些排除的乐趣吧，哈哈。