Habilitar la pantalla de bloqueo de Windows después de la inactividad a través de GPO

En este artículo, mostraremos cómo configurar el bloqueo automático de pantalla (sesión) en computadoras de dominio o servidores que usan la Política de grupo. Bloquear la pantalla de la computadora cuando el usuario está inactivo (ocioso) es un elemento importante de seguridad de la información. El usuario puede olvidarse de bloquear su escritorio (con el atajo de teclado

Win + L

) cuando necesita ausentarse del lugar de trabajo por un corto tiempo. En este caso, cualquier otro empleado o cliente que se encuentre cerca puede acceder a sus datos. La política de pantalla de bloqueo automático solucionará este defecto. Después de un tiempo de inactividad (inactivo), el escritorio del usuario se bloqueará automáticamente y el usuario deberá volver a ingresar su contraseña de dominio para volver a la sesión.

Vamos a crear y configurar una política de grupo de dominio para administrar las opciones de bloqueo de pantalla:

1. Abra la consola de administración de directivas de grupo (

   gpmc.msc

   ), cree un nuevo objeto GPO (LockScreenPolicy) y vincúlelo a la raíz del dominio (o a la unidad organizativa Usuarios);

   

2. Edite la edición de políticas y vaya a Configuración de usuario -> Políticas -> Plantillas administrativas -> Panel de control -> Personalización;

3. Hay algunas opciones para administrar la configuración del protector de pantalla y el bloqueo de pantalla en la sección GPO:

   • Habilitar protector de pantalla

   • Proteger con contraseña el protector de pantalla : solicita ingresar una contraseña para desbloquear una computadora

   • Tiempo de espera del protector de pantalla: establece el tiempo en segundos cuando se habilitará un protector de pantalla y una computadora se bloqueará si un usuario está inactivo

   • Forzar protector de pantalla específico: puede especificar un archivo de protector de pantalla para usar. Lo más frecuente es

     scrnsave.scr

     (puede hacer un protector de pantalla de presentación de diapositivas usando GPO)

   • Evitar cambiar el protector de pantalla: evita que los usuarios cambien la configuración del protector de pantalla

4. Habilite todas las políticas y configure un tiempo de inactividad de la computadora en la política Tiempo de espera del protector de pantalla. Ingresé 300. Significa que las sesiones de los usuarios se bloquearán automáticamente después de 5 minutos;

   

5. Espere hasta que la configuración de la directiva de grupo se actualice en los clientes o actualícela manualmente con el comando:

   gpupdate /force

   . Después de que se haya aplicado el GPO, la configuración del protector de pantalla y el bloqueo de pantalla estarán protegidas contra la edición en la interfaz de Windows, y las sesiones de usuario se bloquearán en 5 minutos de inactividad (para diagnosticar cómo se aplica el GPO, puede usar la herramienta gpresult y el artículo siguiendo este enlace).

En algunos casos, es posible que deba configurar diferentes políticas de bloqueo para diferentes grupos de usuarios. Por ejemplo, las pantallas de los trabajadores de oficina deben bloquearse después de 10 minutos, y las pantallas de los operadores de producción o SCADA nunca deben bloquearse. Para implementar una estrategia de este tipo, puede utilizar el filtrado de seguridad de GPO (consulte el ejemplo con la restricción de acceso a dispositivos USB mediante GPO) o la orientación a nivel de elemento en GPP. Estudiemos esto último con más detalle.

Puede configurar los ajustes de bloqueo de la computadora usando el registro en lugar de GPO e implementar la configuración de registro correspondiente en las computadoras de los usuarios a través de GPO. Los siguientes parámetros de registro coinciden con las políticas discutidas anteriormente. Se encuentran en HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop:

• Proteger con contraseña el protector de pantalla es un parámetro REG_SZ con el nombre ScreenSaverIsSecure=1

• Tiempo de espera del protector de pantalla es un parámetro REG_SZ con el nombre ScreenSaveTimeout=300

• Forzar protector de pantalla específico es un parámetro REG_SZ con el nombre ScreenSaveActive=1 y SCRNSAVE.EXE=scrnsave.scr

Cree un grupo de seguridad de dominio (

grp_not-lock-prod

) para el que desea deshabilitar la política de bloqueo de pantalla y agregarle usuarios. Cree los parámetros de registro descritos anteriormente en la sección GPO correspondiente (Configuración de usuario -> Preferencias -> Configuración de Windows -> Registro). Con la orientación a nivel de elemento, establezca para cada parámetro que la política no se debe aplicar para el grupo de seguridad específico (el usuario no es miembro del grupo de seguridad

grp_not-lock-prod

).