One of the things that I’m battling for years – lock screen on Windows Server 2012/2016/2019.
It is lovely feature for enhanced security, and I recommend living with it in production environment, but for my testing scenarios, I get quickly annoyed by it.
I usually do multiple things in my test labs – reading something, watching a tutorial, and then I want to quickly try new PowerShell trick or some new option I learned – I look at my screen, and surprise – every one of my lab machines is locked – that tricks gets old fast if you are often distracted while testing and learning.
So, for every one of my new test labs I have few things that I configure first, one of them is disabling Turn Off Display Setting via Group Policy.
I’m doing this on my Windows Server 2019 lab on DC (domain controller) via Domain Group Policy.
Open search and type – gpmc.msc
Group Policy Management will be opened. Right click on Default Domain Policy* and click on Edit
*I would recommend creating new containers (OUs) when adding new group policy rules.
From Computer Configuration choose | Policies | Administrative Templates | System | Power Management | Video and Display Settings | double click on Turn off the display (plugged in) setting
Select Enabled and under Options: Turn Off the Display enter 0 (zero) – this will disable Auto lock. Confirm with Apply | Ok. Close all the windows.
On another machine which is part of the domain in my lab I opened command prompt and run – gpupdate /force
After refreshing of the Group Policy finished, I opened Control Panel | Power Options | and clicked on Change plan settings on my preferred power plan, and here we are, turn off the display is disabled.
By setting this option through group policy I automatically set this option on all my machines in the lab (of course machine needs to be part of the domain).
Disclaimer
В этой статье мы рассмотрим, как настроить автоматическую блокировку экрана/сессий на компьютерах и серверах домена с помощью GPO. Блокировка экрана компьютера при бездействии — это важный элемент информационной безопасности. Пользователь, отходя ненадолго от своего рабочего места, может забыть заблокировать свой компьютер (сочетание клавиш
Win+L
). В этом случае доступ к его данным может получить любой другой сотрудник или клиент, находящийся поблизости. Политика автоматической блокировки экрана позволят исправить этот недостаток. Рабочий стол пользователя через некоторое время простоя (неактивности) будет автоматически заблокирован, и, чтобы вернуться в свою сессию, пользователю нужно будет заново ввести свой доменный пароль.
Создадим и настроим доменную политику управления параметрами блокировки экрана:
-
- Откройте консоль управления доменными политиками Group Policy Management console (
gpmc.msc
), создайте новый объект GPO (LockScreenPolicy) и назначьте его на корень домена (или на OU с пользователями);
- Перейдите в режим редактирования политики и выберите секцию User Configuration -> Policies -> Administrative Templates -> Control Panel -> Personalization (Конфигурация пользователя -> Политики -> Административные шаблоны -> Панель управления -> Персонализация);
- В этом разделе GPO есть несколько параметров для управления экранной заставкой и настройками блокировки экрана:
- Enable screen saver — включить экранную заставку;
- Password protect the screen saver — требовать пароль для разблокировки компьютера;
- Screen saver timeout – через сколько секунд неактивности нужно включить экранную заставку и заблокировать компьютер;
- Force specific screen saver – можно указать файл скринсейвера, которые нужно использовать. Чаще всего это
scrnsave.scr
(с помощью GPO можно сделать скринсейвер в виде слайдшоу); - Prevent changing screen saver – запретить пользователям менять настройки экранной заставки.
- Откройте консоль управления доменными политиками Group Policy Management console (
- Включите все политики и задайте необходимое время неактивности компьютера в политики Screen saver timeout. Я указал
300
. Это значит, что сессии пользователей будет автоматически блокироваться через 5 минут; - Дождитесь обновления настроек групповых политики на клиентах или обновите их вручную командой (
gpupdate /force
). После применение GPO в интерфейсе Windows настройки экранной заставки и блокировки экрана станут недоступными для изменения, а сессия пользователя автоматически блокироваться после 5 минут неактивности (для диагностики применения gpo можно использовать утилиту gpresult и статью по ссылке).
Начиная с Windows Server 2012/Windows 8 есть отдельная политика безопасности компьютера, в которой задается период неактивности компьютера, после которого его нужно блокировать. Политика называется setting Interactive logon: Machine inactivity limit и находится в разделе GPO Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options. 
В некоторых случаях вам может понадобится настроить различные политики блокировки для разных групп пользователей. Например, для офисных работников нужно блокировать экран через 10 минут, а на компьютерах операторов производства экран не должен блокироваться никогда. Для реализации такой стратегии вы можете использовать GPO Security Filtering (см. пример с групповыми политиками ограничением доступа к USB устройствам) или возможности Item Level Targeting в GPP. Рассмотрим второй вариант подробнее.
Вы можете настроить параметры блокировки компьютеров не с помощью отдельных параметров GPO, а через реестр. Вместо рассмотренной выше политики вы можете через GPO распространить на компьютеры пользователей параметры реестра. Рассмотренным выше политикам соответствуют следующие параметры реестра в ветке HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop:
- Password protect the screen save – параметр типа REG_SZ с именем ScreenSaverIsSecure = 1;
- Screen saver timeout – параметр типа REG_SZ с именем ScreenSaveTimeout = 300;
- Force specific screen saver – параметр типа REG_SZ с именем ScreenSaveActive = 1 и SCRNSAVE.EXE = scrnsave.scr.
Создайте в домене группу пользователей (
SPB-not-lock-desktop
), для которых нужно отменить действие политики блокировки и наполните ее пользователями. Создайте в секции GPO (User Configuration -> Preferences -> Windows Settings -> Registry рассмотренные выше параметры реестра). Для каждого параметра и с помощью Item Level Targeting укажите, что политика не должна применяться для определенной группы безопасности (the user is not a member of the security group SPB-not-lock-desktop).
Также придется создать еще 4 параметра реестра со значениями REG_SZ 0, которые принудительно отключают блокировку экрана для группы SPB-not-lock-desktop (иначе, политики не будут перезатирать установленные ранее значения).
После установки и настройки Windows server 2019, пришло время обратить внимание на управление доменом. Благодаря созданному механизму управления доменом, можно настроить сразу большое количество компьютеров, пользователей. Для этого достаточно освоить механизм управления объектами групповых политик. В данном случае с помощью GPO (Group Policy Object) обеспечим включение заставки на компьютере пользователя после 20 минут бездействия, отключим монитор через 40 минут, если не будет никаких действий пользователя и изменим политику паролей.
Включение экранной заставки через определенное количество времени бездействия пользователя обеспечит прежде всего безопасность компьютера, когда человек отошел или куда-нибудь уехал, ушел с работы. Переходя в режим заставки компьютер обезопасит различные данные на компьютере, такие как документы, файлы, почту, а также установленные программы и т.п. Доступ к компьютеру, благодаря включению этой функции, будет ограничен (необходимо ввести логин и пароль для входа на компьютер). Но при этом следует учесть, что время до включения этой заставки должно быть разумным, никому не хочется постоянно вводить пароль, например, через каждые 2 минуты.
Включение монитора после 40 минут бездействия пользователя поможет прежде всего сэкономить электроэнергию в компании. Если компьютеров в компании много, то экономия будет весомая. Все ведущие компании стараются заботиться об экономии электроэнергии не только с позиции экономии средств, но и с позиции уменьшения нагрузки на планету. Время выключения монитора выбираем разумно, чтобы было удобно пользователю (постоянно выключающиеся и включающиеся мониторы доставляют неудобства в работе, да и просто раздражают).
Разумное изменение политики паролей позволит не так сильно напрягать пользователя постоянными сменами пароля, что влечет за собой увеличение наклеенных маркеров с паролями на мониторах, но позволит улучшить стойкость пароля.
- Включение экранной заставки после 20 минут бездействия пользователя
- Выключение монитора после 40 минут бездействия пользователя
- Изменение политики паролей
- применение созданных групповых политик
- проверка на компьютере пользователя применения групповых политик
Включение экранной заставки (с обязательным вводом пароля) после 20 минут бездействия пользователя
1. Нажимаем «Пуск«, далее «Диспетчер серверов«.
2. В новом окне выбираем «Средства«, в появившемся списке «Управление групповой политики«.
3. Нажимаем правой клавишей мыши на «Объекты групповой политики«, далее «Создать«.
4. В появившемся окне задаём имя групповой политики, нажимаем «ОК«.
5. Для изменения групповой политики нажимаем правой клавишей мыши, далее «Изменить«.
6. Переходим в раздел Конфигурация пользователя — Политики — Административные шаблоны — Панель управления — Персонализация.
7. Устанавливаем следующие параметры:
- Включение заставки — Включено.
- Защита заставки с помощью пароля — Включено.
- Тайм-аут экранной заставки — Включено. Время включения в секундах перед включения заставки — Секунды: 1200.
Выключение монитора после 40 минут бездействия пользователя
1. Переходим в раздел Конфигурация пользователя — Политики — Административные шаблоны — Система — Управление электропитанием — Параметры дисплея и видео.
2. Выбираем «Отключить дисплей (питание от сети)«, меняем следующие параметры:
- Включено.
- Отключить дисплей (в секундах): 2400
Изменение политики паролей
1. Для изменения политики паролей создаём новую групповую политику. Для этого правой клавишей мыши на «Объекты групповой политики» — «Создать«.
2. Задаём имя нового объекта групповой политики, далее нажимаем «ОК«.
3. Далее правой клавишей на вновь созданную политику — «Изменить«. Переходим в раздел Конфигурация компьютера — Политики — Конфигурация Windows — Параметры безопасности — Политика паролей. Изменяем следующие параметры:
- Максимальный срок действия пароля — 180 дн.
- Минимальная длина пароля — 8 зн.
- Минимальный срок действия пароля — 0 дн.
- Пароль должен отвечать требованиям сложности — Включен.
Применение созданных групповых политик
Для применения вновь созданных групповых политик, необходимо связать политики с объектами домена.
1. Для этого выбираем весь домен или нужное подразделение в домене, нажимаем на нем правой клавишей мыши, далее «Связать существующий объект групповой политики«.
2. В появившемся окне выбираем необходимый объект групповой политики, далее «ОК«.
3. После того, как все политики привязаны к соответствующим объектам домена, открываем командную строку и выполняем следующую команду для немедленного применения групповых политик в домене:
gpupdate /force
Проверка применения групповой политики на компьютере пользователя
1. Для проверки применения созданных групповых политик заходим под доменным логином и паролем пользователя на компьютере, входящим в состав домена. В поиске набираем rsop.msc. Далее переходим к тем параметрам групповой политики, которые были настроены и смотрим изменения в политике.
Посмотреть видео — изменение экранной заставки, отключение монитора, изменение политики паролей с помощью GPO можно здесь:
- Windows server 2019 — установка и настройка WSUS, создание и настройка GPO
- Windows server 2019 — добавление и удаление компьютера в домене
- Windows server 2019 — переименование администратора домена, изменение формата выводимого имени пользователя
- Windows server 2019 — установка и настройка Active Directory, DNS, DHCP
- Windows server 2019 — создание и удаление пользователя, группы, подразделения в домене
- Windows server 2019 — установка и настройка сервера печати, разворачивание МФУ с помощью GPO
by Aleksandar Ognjanovic
Aleksandar’s main passion is technology. With a solid writing background, he is determined to bring the bleeding edge to the common user. With a keen eye, he always… read more
Updated on
XINSTALL BY CLICKING THE DOWNLOAD
FILE
For obvious security reasons, your Windows Server will, by default and after some time of inactivity, turn off the screen and lock the computer. And, although there’s a security risk if you are working in a crowded environment, some users do not want to lock screen on Windows Server. If you want to disable lock screen on Windows Server, check the steps below.
How do I stop the server from locking when idle?
1. Disable the ‘Turn off the display’ feature in Power Options
- Open Control Panel from the Start Menu.
- Select Power Options.
- Click Change plan settings.
- Under the Turn off the display, select Never.
- After that, you won’t have issues with the display turning off and the server automatically logging you out of the session with the lock screen.
Enable the Remote Desktop on Windows Server 2019 and get help from a tech-savvy friend with these steps.
2. Use Group Policy
- Alternatively, you can open the Group Policy Editor and disable the lock screen there. To do so, search for Group Policy in the Windows Search bar. Open GPE there.
- Once there, navigate to Computer Configuration > Policies > Administrative Templates > System > Power Management >Video and Display Settings. Alternatively, on newer versions, you should navigate to Computer Configuration > Administrative Templates > System > Power Management >Video and Display Settings.
- Once there, double-click on the Turn off the display (plugged in) feature.
- Make sure that the option is disabled.
- Confirm changes and reboot your Windows Server.
After that, the lock screen on Windows Server is disabled. If you, of course, want to do quite the opposite and enable it, follow back the steps and either change the screen-off timeout or enable the option in the Group Policy Editor.
With that said, we can wrap it up. In case you have any questions or suggestions, feel free to tell us in the comments section below. We look forward to your feedback.
RELATED STORIES YOU SHOULD CHECK OUT:
- FIX: Windows Server won’t update because download gets stuck
- Windows Server 2016 start and update buttons often don’t work
- Windows Server 2008 and 2008 R2 end of support coming in July
Последнее обновление Ноя 12, 2021
Чтобы исправить различные проблемы с ПК, мы рекомендуем DriverFix: это программное обеспечение будет поддерживать ваши драйверы в рабочем состоянии, тем самым защищая вас от распространенных компьютерных ошибок и сбоев оборудования. Проверьте все свои драйверы сейчас за 3 простых шага:
- Загрузите DriverFix (проверенный файл загрузки).
- Нажмите «Начать сканирование», чтобы найти все проблемные драйверы.
- Нажмите «Обновить драйверы», чтобы получить новые версии и избежать сбоев в работе системы.
- DriverFix в этом месяце скачали 502 786 читателей.
По очевидным причинам безопасности ваш Windows Server по умолчанию и после некоторого времени бездействия отключает экран и блокирует компьютер. И хотя есть риск для безопасности, если вы работаете в многолюдной среде, некоторые пользователи не хотят блокировать экран на Windows Server. Если вы хотите отключить экран блокировки на Windows Server, выполните следующие действия.
Как отключить блокировку сервера в режиме ожидания?
1 Отключите функцию «Выключить дисплей» в параметрах электропитания.
- Откройте панель управления из меню «Пуск».
- Выберите Параметры питания.
- Щелкните Изменить настройки плана.
- В разделе «Отключить дисплей» выберите «Никогда».
- После этого у вас не будет проблем с отключением дисплея, и сервер автоматически выйдет из сеанса с помощью экрана блокировки.
![Как отключить экран блокировки на Windows Server [ОБЪЯСНЕНИЕ]](https://howto.mediadoma.com/wp-content/uploads/2021/03/post-79861-6050eaa9973ce.png)
![Как отключить экран блокировки на Windows Server [ОБЪЯСНЕНИЕ]](https://howto.mediadoma.com/wp-content/uploads/2021/03/post-79861-6050eaaac3322.png)
Включите удаленный рабочий стол в Windows Server 2019 и получите помощь от технически подкованного друга, выполнив следующие действия.
Источник записи: windowsreport.com
One of the things that I’m battling for years – lock screen on Windows Server 2012/2016/2019.
It is lovely feature for enhanced security, and I recommend living with it in production environment, but for my testing scenarios, I get quickly annoyed by it.
I usually do multiple things in my test labs – reading something, watching a tutorial, and then I want to quickly try new PowerShell trick or some new option I learned – I look at my screen, and surprise – every one of my lab machines is locked – that tricks gets old fast if you are often distracted while testing and learning.
So, for every one of my new test labs I have few things that I configure first, one of them is disabling Turn Off Display Setting via Group Policy.
I’m doing this on my Windows Server 2019 lab on DC (domain controller) via Domain Group Policy.
Open search and type – gpmc.msc
Group Policy Management will be opened. Right click on Default Domain Policy* and click on Edit
*I would recommend creating new containers (OUs) when adding new group policy rules.
From Computer Configuration choose | Policies | Administrative Templates | System | Power Management | Video and Display Settings | double click on Turn off the display (plugged in) setting
Select Enabled and under Options: Turn Off the Display enter 0 (zero) – this will disable Auto lock. Confirm with Apply | Ok. Close all the windows.
On another machine which is part of the domain in my lab I opened command prompt and run – gpupdate /force
After refreshing of the Group Policy finished, I opened Control Panel | Power Options | and clicked on Change plan settings on my preferred power plan, and here we are, turn off the display is disabled.
By setting this option through group policy I automatically set this option on all my machines in the lab (of course machine needs to be part of the domain).
Disclaimer
После установки и настройки Windows server 2019, пришло время обратить внимание на управление доменом. Благодаря созданному механизму управления доменом, можно настроить сразу большое количество компьютеров, пользователей. Для этого достаточно освоить механизм управления объектами групповых политик. В данном случае с помощью GPO (Group Policy Object) обеспечим включение заставки на компьютере пользователя после 20 минут бездействия, отключим монитор через 40 минут, если не будет никаких действий пользователя и изменим политику паролей.
Включение экранной заставки через определенное количество времени бездействия пользователя обеспечит прежде всего безопасность компьютера, когда человек отошел или куда-нибудь уехал, ушел с работы. Переходя в режим заставки компьютер обезопасит различные данные на компьютере, такие как документы, файлы, почту, а также установленные программы и т.п. Доступ к компьютеру, благодаря включению этой функции, будет ограничен (необходимо ввести логин и пароль для входа на компьютер). Но при этом следует учесть, что время до включения этой заставки должно быть разумным, никому не хочется постоянно вводить пароль, например, через каждые 2 минуты.
Включение монитора после 40 минут бездействия пользователя поможет прежде всего сэкономить электроэнергию в компании. Если компьютеров в компании много, то экономия будет весомая. Все ведущие компании стараются заботиться об экономии электроэнергии не только с позиции экономии средств, но и с позиции уменьшения нагрузки на планету. Время выключения монитора выбираем разумно, чтобы было удобно пользователю (постоянно выключающиеся и включающиеся мониторы доставляют неудобства в работе, да и просто раздражают).
Разумное изменение политики паролей позволит не так сильно напрягать пользователя постоянными сменами пароля, что влечет за собой увеличение наклеенных маркеров с паролями на мониторах, но позволит улучшить стойкость пароля.
- Включение экранной заставки после 20 минут бездействия пользователя
- Выключение монитора после 40 минут бездействия пользователя
- Изменение политики паролей
- применение созданных групповых политик
- проверка на компьютере пользователя применения групповых политик
Включение экранной заставки (с обязательным вводом пароля) после 20 минут бездействия пользователя
1. Нажимаем «Пуск«, далее «Диспетчер серверов«.
2. В новом окне выбираем «Средства«, в появившемся списке «Управление групповой политики«.
3. Нажимаем правой клавишей мыши на «Объекты групповой политики«, далее «Создать«.
4. В появившемся окне задаём имя групповой политики, нажимаем «ОК«.
5. Для изменения групповой политики нажимаем правой клавишей мыши, далее «Изменить«.
6. Переходим в раздел Конфигурация пользователя — Политики — Административные шаблоны — Панель управления — Персонализация.
7. Устанавливаем следующие параметры:
- Включение заставки — Включено.
- Защита заставки с помощью пароля — Включено.
- Тайм-аут экранной заставки — Включено. Время включения в секундах перед включения заставки — Секунды: 1200.
Выключение монитора после 40 минут бездействия пользователя
1. Переходим в раздел Конфигурация пользователя — Политики — Административные шаблоны — Система — Управление электропитанием — Параметры дисплея и видео.
2. Выбираем «Отключить дисплей (питание от сети)«, меняем следующие параметры:
- Включено.
- Отключить дисплей (в секундах): 2400
Изменение политики паролей
1. Для изменения политики паролей создаём новую групповую политику. Для этого правой клавишей мыши на «Объекты групповой политики» — «Создать«.
2. Задаём имя нового объекта групповой политики, далее нажимаем «ОК«.
3. Далее правой клавишей на вновь созданную политику — «Изменить«. Переходим в раздел Конфигурация компьютера — Политики — Конфигурация Windows — Параметры безопасности — Политика паролей. Изменяем следующие параметры:
- Максимальный срок действия пароля — 180 дн.
- Минимальная длина пароля — 8 зн.
- Минимальный срок действия пароля — 0 дн.
- Пароль должен отвечать требованиям сложности — Включен.
Применение созданных групповых политик
Для применения вновь созданных групповых политик, необходимо связать политики с объектами домена.
1. Для этого выбираем весь домен или нужное подразделение в домене, нажимаем на нем правой клавишей мыши, далее «Связать существующий объект групповой политики«.
2. В появившемся окне выбираем необходимый объект групповой политики, далее «ОК«.
3. После того, как все политики привязаны к соответствующим объектам домена, открываем командную строку и выполняем следующую команду для немедленного применения групповых политик в домене:
gpupdate /force
Проверка применения групповой политики на компьютере пользователя
1. Для проверки применения созданных групповых политик заходим под доменным логином и паролем пользователя на компьютере, входящим в состав домена. В поиске набираем rsop.msc. Далее переходим к тем параметрам групповой политики, которые были настроены и смотрим изменения в политике.
Посмотреть видео — изменение экранной заставки, отключение монитора, изменение политики паролей с помощью GPO можно здесь:
- Windows server 2019 — установка и настройка WSUS, создание и настройка GPO
- Windows server 2019 — добавление и удаление компьютера в домене
- Windows server 2019 — переименование администратора домена, изменение формата выводимого имени пользователя
- Windows server 2019 — установка и настройка Active Directory, DNS, DHCP
- Windows server 2019 — создание и удаление пользователя, группы, подразделения в домене
- Windows server 2019 — установка и настройка сервера печати, разворачивание МФУ с помощью GPO
by Aleksandar Ognjanovic
Aleksandar’s main passion is technology. With a solid writing background, he is determined to bring the bleeding edge to the common user. With a keen eye, he always… read more
Published on September 7, 2019
For obvious security reasons, your Windows Server will, by default and after some time of inactivity, turn off the screen and lock the computer. And, although there’s a security risk if you are working in a crowded environment, some users do not want to lock screen on Windows Server. If you want to disable lock screen on Windows Server, check the steps below.
How do I stop the server from locking when idle?
1. Disable the ‘Turn off the display’ feature in Power Options
- Open Control Panel from the Start Menu.
- Select Power Options.
- Click Change plan settings.
- Under the Turn off the display, select Never.
- After that, you won’t have issues with the display turning off and the server automatically logging you out of the session with the lock screen.
Enable the Remote Desktop on Windows Server 2019 and get help from a tech-savvy friend with these steps.
2. Use Group Policy
- Alternatively, you can open the Group Policy Editor and disable the lock screen there. To do so, search for Group Policy in the Windows Search bar. Open GPE there.
- Once there, navigate to Computer Configuration > Policies > Administrative Templates > System > Power Management >Video and Display Settings. Alternatively, on newer versions, you should navigate to Computer Configuration > Administrative Templates > System > Power Management >Video and Display Settings.
- Once there, double-click on the Turn off the display (plugged in) feature.
- Make sure that the option is disabled.
- Confirm changes and reboot your Windows Server.
After that, the lock screen on Windows Server is disabled. If you, of course, want to do quite the opposite and enable it, follow back the steps and either change the screen-off timeout or enable the option in the Group Policy Editor.
With that said, we can wrap it up. In case you have any questions or suggestions, feel free to tell us in the comments section below. We look forward to your feedback.
RELATED STORIES YOU SHOULD CHECK OUT:
- FIX: Windows Server won’t update because download gets stuck
- Windows Server 2016 start and update buttons often don’t work
- Windows Server 2008 and 2008 R2 end of support coming in July
Still having issues? Fix them with this tool:
SPONSORED
If the advices above haven’t solved your issue, your PC may experience deeper Windows problems. We recommend downloading this PC Repair tool (rated Great on TrustPilot.com) to easily address them. After installation, simply click the Start Scan button and then press on Repair All.
Newsletter
by Aleksandar Ognjanovic
Aleksandar’s main passion is technology. With a solid writing background, he is determined to bring the bleeding edge to the common user. With a keen eye, he always… read more
Published on September 7, 2019
For obvious security reasons, your Windows Server will, by default and after some time of inactivity, turn off the screen and lock the computer. And, although there’s a security risk if you are working in a crowded environment, some users do not want to lock screen on Windows Server. If you want to disable lock screen on Windows Server, check the steps below.
How do I stop the server from locking when idle?
1. Disable the ‘Turn off the display’ feature in Power Options
- Open Control Panel from the Start Menu.
- Select Power Options.
- Click Change plan settings.
- Under the Turn off the display, select Never.
- After that, you won’t have issues with the display turning off and the server automatically logging you out of the session with the lock screen.
Enable the Remote Desktop on Windows Server 2019 and get help from a tech-savvy friend with these steps.
2. Use Group Policy
- Alternatively, you can open the Group Policy Editor and disable the lock screen there. To do so, search for Group Policy in the Windows Search bar. Open GPE there.
- Once there, navigate to Computer Configuration > Policies > Administrative Templates > System > Power Management >Video and Display Settings. Alternatively, on newer versions, you should navigate to Computer Configuration > Administrative Templates > System > Power Management >Video and Display Settings.
- Once there, double-click on the Turn off the display (plugged in) feature.
- Make sure that the option is disabled.
- Confirm changes and reboot your Windows Server.
After that, the lock screen on Windows Server is disabled. If you, of course, want to do quite the opposite and enable it, follow back the steps and either change the screen-off timeout or enable the option in the Group Policy Editor.
With that said, we can wrap it up. In case you have any questions or suggestions, feel free to tell us in the comments section below. We look forward to your feedback.
RELATED STORIES YOU SHOULD CHECK OUT:
- FIX: Windows Server won’t update because download gets stuck
- Windows Server 2016 start and update buttons often don’t work
- Windows Server 2008 and 2008 R2 end of support coming in July
Still having issues? Fix them with this tool:
SPONSORED
If the advices above haven’t solved your issue, your PC may experience deeper Windows problems. We recommend downloading this PC Repair tool (rated Great on TrustPilot.com) to easily address them. After installation, simply click the Start Scan button and then press on Repair All.
Newsletter
В этой статье мы рассмотрим, как настроить автоматическую блокировку экрана/сессий на компьютерах и серверах домена с помощью GPO. Блокировка экрана компьютера при бездействии — это важный элемент информационной безопасности. Пользователь, отходя ненадолго от своего рабочего места, может забыть заблокировать свой компьютер (сочетание клавиш
Win+L
). В этом случае доступ к его данным может получить любой другой сотрудник или клиент, находящийся поблизости. Политика автоматической блокировки экрана позволят исправить этот недостаток. Рабочий стол пользователя через некоторое время простоя (неактивности) будет автоматически заблокирован, и, чтобы вернуться в свою сессию, пользователю нужно будет заново ввести свой доменный пароль.
Создадим и настроим доменную политику управления параметрами блокировки экрана:
-
- Откройте консоль управления доменными политиками Group Policy Management console (
gpmc.msc
), создайте новый объект GPO (LockScreenPolicy) и назначьте его на корень домена (или на OU с пользователями); - Перейдите в режим редактирования политики и выберите секцию User Configuration -> Policies -> Administrative Templates -> Control Panel -> Personalization (Конфигурация пользователя -> Политики -> Административные шаблоны -> Панель управления -> Персонализация);
- В этом разделе GPO есть несколько параметров для управления экранной заставкой и настройками блокировки экрана:
- Enable screen saver — включить экранную заставку;
- Password protect the screen saver — требовать пароль для разблокировки компьютера;
- Screen saver timeout – через сколько секунд неактивности нужно включить экранную заставку и заблокировать компьютер;
- Force specific screen saver – можно указать файл скринсейвера, которые нужно использовать. Чаще всего это
scrnsave.scr
(с помощью GPO можно сделать скринсейвер в виде слайдшоу); - Prevent changing screen saver – запретить пользователям менять настройки экранной заставки.
- Откройте консоль управления доменными политиками Group Policy Management console (
- Включите все политики и задайте необходимое время неактивности компьютера в политики Screen saver timeout. Я указал
300
. Это значит, что сессии пользователей будет автоматически блокироваться через 5 минут; - Дождитесь обновления настроек групповых политики на клиентах или обновите их вручную командой (
gpupdate /force
). После применение GPO в интерфейсе Windows настройки экранной заставки и блокировки экрана станут недоступными для изменения, а сессия пользователя автоматически блокироваться после 5 минут неактивности (для диагностики применения gpo можно использовать утилиту gpresult и статью по ссылке).
Начиная с Windows Server 2012/Windows 8 есть отдельная политика безопасности компьютера, в которой задается период неактивности компьютера, после которого его нужно блокировать. Политика называется setting Interactive logon: Machine inactivity limit и находится в разделе GPO Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options.
В некоторых случаях вам может понадобится настроить различные политики блокировки для разных групп пользователей. Например, для офисных работников нужно блокировать экран через 10 минут, а на компьютерах операторов производства экран не должен блокироваться никогда. Для реализации такой стратегии вы можете использовать GPO Security Filtering (см. пример с групповыми политиками ограничением доступа к USB устройствам) или возможности Item Level Targeting в GPP. Рассмотрим второй вариант подробнее.
Вы можете настроить параметры блокировки компьютеров не с помощью отдельных параметров GPO, а через реестр. Вместо рассмотренной выше политики вы можете через GPO распространить на компьютеры пользователей параметры реестра. Рассмотренным выше политикам соответствуют следующие параметры реестра в ветке HKEY_CURRENT_USERSoftwarePoliciesMicrosoftWindowsControl PanelDesktop:
- Password protect the screen save – параметр типа REG_SZ с именем ScreenSaverIsSecure = 1;
- Screen saver timeout – параметр типа REG_SZ с именем ScreenSaveTimeout = 300;
- Force specific screen saver – параметр типа REG_SZ с именем ScreenSaveActive = 1 и SCRNSAVE.EXE = scrnsave.scr.
Создайте в домене группу пользователей (
SPB-not-lock-desktop
), для которых нужно отменить действие политики блокировки и наполните ее пользователями. Создайте в секции GPO (User Configuration -> Preferences -> Windows Settings -> Registry рассмотренные выше параметры реестра). Для каждого параметра и с помощью Item Level Targeting укажите, что политика не должна применяться для определенной группы безопасности (the user is not a member of the security group SPB-not-lock-desktop).
Также придется создать еще 4 параметра реестра со значениями REG_SZ 0, которые принудительно отключают блокировку экрана для группы SPB-not-lock-desktop (иначе, политики не будут перезатирать установленные ранее значения).
В большинстве организаций, применяющих в своей ИТ инфраструктуре локальные стандарты и регламенты информационной безопасности, уделяется отдельное внимание вопросу блокировки консолей рабочих станций пользователей при наступлении некоторого периода бездействия. Например, в качестве обязательного требования для большинства категорий пользователей может выставляться блокировка рабочего стола компьютера при отсутствии пользовательской активности более 15 минут. В управляемой среде Active Directory в доменных групповых политиках администраторам предоставляется ряд параметров, позволяющих централизованно настроить пользовательскую среду для форсированного применения механизма блокировки рабочего стола посредствам срабатывания программы — хранителя экрана (screen saver), или как её ещё называют, экранной заставки.
Эти параметры расположены в разделе групповой политики:
User Configuration > Policies > Administrative Templates > Control Panel > Personalization
Вот типичный возможный пример таких настроек:
Password protect the screen saver = Enable
Screen saver timeout = Enable (900 Seconds)
Force specific screen saver = scrnsave.scr
В данном примере включено обязательный запуск конкретного файла экранной заставки (scrnsave.scr) при простое более 15 минут с требованием ввода пароля пользователя при попытке последующего доступа к рабочему столу.
В системе, где применены данные параметры GPO, все настройки экранной заставки для пользователя становятся недоступными для изменений.
На практике встречается ситуация, когда за компьютером работает сменный суточный персонал, которому постоянно необходимо в режиме наблюдения видеть рабочий стол компьютера. При этом такой персонал может даже иметь несколько рабочих столов компьютеров, за которыми требуется наблюдение и не требуется интерактивное взаимодействие с клиентской ОС. Для такого рода пользователей нужен несколько иной подход с точки зрения автоматической блокировки компьютеров при простое.
Для обеспечения настроек экранной заставки для сменного персонала и для всех остальных пользователей мы можем создать две отдельные групповые политики – одна с обязательным срабатыванием экранной заставки, другая — без него. Но с использованием механизмов настройки реестра с помощью Group Policy Preferences (GPP) мы сможем гибко объединить эти настройки внутри одной групповой политики.
Для того, чтобы задействовать механизмы GPP для данной задачи, мы воспользуемся параметрами реестра, которые изменяются стандартными Административными шаблонами, указанными нами ранее. Сопоставим указанные ранее параметры GPO с ключами реестра которые они изменяют в клиентской системе:
Политика: Password protect the screen saver
Куст реестра: HKEY_CURRENT_USER
Ветка: SoftwarePoliciesMicrosoftWindowsControl PanelDesktop
Ключ: ScreenSaverIsSecure REG_SZ = 1
Политика: Screen saver timeout
Куст реестра: HKEY_CURRENT_USER
Ветка: SoftwarePoliciesMicrosoftWindowsControl PanelDesktop
Ключ: ScreenSaveTimeout REG_SZ = 900
Значение «900» означает количество секунд от момента начала бездействия до срабатывания экранной заставки (15 минут простоя)
Политика: Force specific screen saver
Куст реестра: HKEY_CURRENT_USER
Ветка: SoftwarePoliciesMicrosoftWindowsControl PanelDesktop
Ключ: ScreenSaveActive REG_SZ = 1
Ключ: SCRNSAVE.EXE REG_SZ = scrnsave.scr
Эксперименты с применением этой политики показали, что ключ реестра ScreenSaveActive добавляется лишь на системах Windows XP, а после отключения этой политики, он из реестра корректно не удаляется. Опытным путём удалось выяснить, что отсутствие этого ключа не вносит никаких изменений, поэтому будем рассматривать его как рудиментарный элемент и исключим из наших настроек GPP.
Итак, в групповой политике, действующей на наших пользователей, переведём три перечисленных параметра в состояние Not configured (если они ранее были настроены), а в разделе политики User Configuration > Preferences > Windows Settings > Registry создадим логическую группу, в которой будут храниться наши настройки, например ScreenSaver.
Внутри этой группы создадим две подгруппы настроек — Enabled и Disabled, в которых соответственно будут хранится настройки для включения и отключения форсированного применения экранной заставки. В нашем примере важно, чтобы параметры включения обрабатывались перед параметрами отключения.
В группе Enabled создадим три правила для создания/обновления ранее перечисленных ключей пользовательского реестра. Нацеливание (Item-level targeting) для этой группы использовать не будем, то есть эти параметры реестра будут применяться для всех пользователей.
В группе Disabled создадим три правила для удаления этих же ключей реестра. Группа Disabled будет иметь нацеливание на специально созданную доменную группу безопасности, в которую будут включены все пользователи, для которых нужно отключить форсированное применение экранной заставки.
Таким образом, логика обработки параметров реестра будет заключаться в обязательном включении экранной заставки для всех пользователей за исключением тех, кто включён в специальную группу безопасности. То есть при включении какого-либо пользователя в данную группу, из его пользовательского реестра будут удаляться ключи форсированной настройки экранной заставки, и он самостоятельно сможет, например, отключить её вовсе, так как в ОС диалоговые элементы пользовательского интерфейса станут доступными.
