GPO aracılığıyla Hareketsizlikten Sonra Windows Kilit Ekranını Etkinleştirin

Bu yazıda, Grup İlkesi kullanan etki alanı bilgisayarlarında veya sunucularda otomatik ekran (oturum) kilidinin nasıl yapılandırılacağını göstereceğiz. Kullanıcı aktif değilken (boşta) bilgisayar ekranının kilitlenmesi önemli bir bilgi güvenliği unsurudur. Kullanıcı masaüstünü kilitlemeyi unutabilir (klavye kısayoluyla

Win + L

) işyerinden kısa süreliğine ayrılması gerektiğinde. Bu durumda, yakındaki herhangi bir çalışan veya müşteri verilerine erişebilir. Otomatik kilit ekranı politikası bu kusuru giderecektir. Bir süre işlem yapılmadığında (boşta), kullanıcının masaüstü otomatik olarak kilitlenir ve kullanıcının oturuma geri dönmek için etki alanı parolasını yeniden girmesi gerekir.

Ekran kilidi seçeneklerini yönetmek için bir etki alanı Grup İlkesi oluşturalım ve yapılandıralım:

1. Grup İlkesi Yönetimi konsolunu açın (

   gpmc.msc

   ), yeni bir GPO nesnesi (LockScreenPolicy) oluşturun ve bunu etki alanı köküne (veya Kullanıcılar OU'ya) bağlayın;

   

2. İlke düzenlemesini düzenleyin ve Kullanıcı Yapılandırması -> Politikalar -> Yönetim Şablonları -> Denetim Masası'na gidin - > Kişiselleştirme;

3. GPO bölümünde ekran koruyucu ve ekran kilidi ayarlarını yönetmek için bazı seçenekler vardır:

   • Ekran koruyucuyu etkinleştir

   • Ekran koruyucuyu parolayla koruyun — bir bilgisayarın kilidini açmak için parola girmenizi ister

   • Ekran koruyucu zaman aşımı - bir ekran koruyucunun etkinleştirileceği ve bir kullanıcı etkin değilse bilgisayarın kilitleneceği süreyi saniye cinsinden ayarlar

   • Belirli bir ekran koruyucuyu zorla - kullanılacak bir ekran koruyucu dosyası belirtebilirsiniz. En sık

     scrnsave.scr

     (GPO kullanarak bir slayt gösterisi ekran koruyucusu yapabilirsiniz)

   • Ekran koruyucuyu değiştirmeyi engelle - kullanıcıların ekran koruyucu ayarlarını değiştirmesini engeller

4. Tüm politikaları etkinleştirin ve Ekran koruyucu zaman aşımı politikasında bir bilgisayar boşta kalma süresi ayarlayın. 300 girdim. Bu, kullanıcı oturumlarının 5 dakika sonra otomatik olarak kilitleneceği anlamına gelir;

   

5. İstemcilerde Grup İlkesi ayarları güncellenene kadar bekleyin veya şu komutla manuel olarak yenileyin:

   gpupdate /force

   . GPO uygulandıktan sonra, ekran koruyucu ve ekran kilidi ayarları Windows arabiriminde düzenlenmeye karşı korunacak ve kullanıcı oturumları 5 dakikalık işlem yapılmadığında kilitlenecektir (GPO'nun nasıl uygulandığını teşhis etmek için gpresult aracını kullanabilirsiniz ve Bu bağlantıyı takip eden makale).

Bazı durumlarda, farklı kullanıcı grupları için farklı kilit ilkeleri yapılandırmanız gerekebilir. Örneğin ofis çalışanlarının ekranları 10 dakika sonra kilitlenmeli, üretim veya SCADA operatörlerinin ekranları kesinlikle kilitlenmemelidir. Böyle bir stratejiyi uygulamak için GPO Güvenlik Filtrelemesini (GPO kullanan USB cihazlarına erişimi kısıtlama örneğine bakın) veya GPP'de Öğe Düzeyinde Hedeflemeyi kullanabilirsiniz. İkincisini daha ayrıntılı olarak inceleyelim.

GPO yerine kayıt defterini kullanarak bilgisayar kilidi ayarlarını yapılandırabilir ve karşılık gelen kayıt defteri ayarlarını GPO aracılığıyla kullanıcıların bilgisayarlarına dağıtabilirsiniz. Aşağıdaki kayıt defteri parametreleri, yukarıda tartışılan ilkelerle eşleşir. HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop konumunda bulunurlar:

• Ekran koruyucuyu parolayla korur, ScreenSaverIsSecure=1 adlı bir REG_SZ parametresidir

• Ekran koruyucu zaman aşımı, ScreenSaveTimeout=300 adlı bir REG_SZ parametresidir

• Güçle özel ekran koruyucu, ScreenSaveActive=1 ve SCRNSAVE.EXE=scrnsave.scr adlı bir REG_SZ parametresidir

Bir etki alanı güvenlik grubu oluşturun (

grp_not-lock-prod

) için ekran kilidi ilkesini devre dışı bırakmak ve kullanıcıları buna eklemek istiyorsunuz. Yukarıda ilgili GPO bölümünde açıklanan kayıt defteri parametrelerini oluşturun (Kullanıcı Yapılandırması -> Tercihler -> Windows Ayarları -> Kayıt Defteri güçlü>). Öğe Düzeyinde Hedefleme'yi kullanarak, her parametre için politikanın belirli güvenlik grubuna uygulanmaması gerektiğini ayarlayın (kullanıcı, güvenlik grubunun üyesi değildir)

grp_not-lock-prod

).