Блокировка экрана компьютера при простое с помощью групповой политики

В этой статье мы рассмотрим, как настроить автоматическую блокировку экрана/сессий на компьютерах и серверах домена с помощью GPO. Блокировка экрана компьютера при бездействии — это важный элемент информационной безопасности. Пользователь, отходя ненадолго от своего рабочего места, может забыть заблокировать свой компьютер (сочетание клавиш Win+L ). В этом случае доступ к его данным может получить любой другой сотрудник или клиент, находящийся поблизости. Политика автоматической блокировки экрана позволят исправить этот недостаток. Рабочий стол пользователя через некоторое время простоя (неактивности) будет автоматически заблокирован, и, чтобы вернуться в свою сессию, пользователю нужно будет заново ввести свой доменный пароль.

Создадим и настроим доменную политику управления параметрами блокировки экрана:

1. 1. Откройте консоль управления доменными политиками Group Policy Management console ( gpmc.msc ), создайте новый объект GPO (LockScreenPolicy) и назначьте его на корень домена (или на OU с пользователями);
   2. Перейдите в режим редактирования политики и выберите секцию User Configuration ->Policies ->Administrative Templates ->Control Panel ->Personalization (Конфигурация пользователя -> Политики -> Административные шаблоны -> Панель управления -> Персонализация);
   3. В этом разделе GPO есть несколько параметров для управления экранной заставкой и настройками блокировки экрана:
      • Enable screen saver — включить экранную заставку;
      • Password protect the screen saver — требовать пароль для разблокировки компьютера;
      • Screen saver timeout – через сколько секунд неактивности нужно включить экранную заставку и заблокировать компьютер;
      • Force specific screen saver – можно указать файл скринсейвера, которые нужно использовать. Чаще всего это scrnsave.scr (с помощью GPO можно сделать скринсейвер в виде слайдшоу);
      • Prevent changing screen saver – запретить пользователям менять настройки экранной заставки.

• Включите все политики и задайте необходимое время неактивности компьютера в политики Screen saver timeout. Я указал 300 . Это значит, что сессии пользователей будет автоматически блокироваться через 5 минут;
• Дождитесь обновления настроек групповых политики на клиентах или обновите их вручную командой ( gpupdate /force ). После применение GPO в интерфейсе Windows настройки экранной заставки и блокировки экрана станут недоступными для изменения, а сессия пользователя автоматически блокироваться после 5 минут неактивности (для диагностики применения gpo можно использовать утилиту gpresult и статью по ссылке).

В некоторых случаях вам может понадобится настроить различные политики блокировки для разных групп пользователей. Например, для офисных работников нужно блокировать экран через 10 минут, а на компьютерах операторов производства экран не должен блокироваться никогда. Для реализации такой стратегии вы можете использовать GPO Security Filtering (см. пример с групповыми политиками ограничением доступа к USB устройствам) или возможности Item Level Targeting в GPP. Рассмотрим второй вариант подробнее.

Вы можете настроить параметры блокировки компьютеров не с помощью отдельных параметров GPO, а через реестр. Вместо рассмотренной выше политики вы можете через GPO распространить на компьютеры пользователей параметры реестра. Рассмотренным выше политикам соответствуют следующие параметры реестра в ветке HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop:

• Password protect the screen save – параметр типа REG_SZ с именем ScreenSaverIsSecure = 1;
• Screen saver timeout – параметр типа REG_SZ с именем ScreenSaveTimeout = 300;
• Force specific screen saver – параметр типа REG_SZ с именем ScreenSaveActive = 1 и SCRNSAVE.EXE = scrnsave.scr.

Создайте в домене группу пользователей ( SPB-not-lock-desktop ), для которых нужно отменить действие политики блокировки и наполните ее пользователями. Создайте в секции GPO (User Configuration -> Preferences -> Windows Settings -> Registry рассмотренные выше параметры реестра). Для каждого параметра и с помощью Item Level Targeting укажите, что политика не должна применяться для определенной группы безопасности (the user is not a member of the security group SPB-not-lock-desktop).

Секреты реестра. Часть 1.

HKEY_CLASSES_ROOT
HKCR содержит два типа данных. Первый является ассоциациями файлов, которые связывают различные типы файлов с программами, которые могут их открывать, печатать и редактировать. Второй является регистрациями классов для объектов Component Object Model (COM — компонентная модель объектов). С точки зрения настроек, этот корневой ключ является одним из наиболее интересных в реестре потому, что он позволяет вам изменить огромное число правил поведения системы. Этот корневой ключ также является самым большим в реестре, занимая большую часть места, потребляемого реестром. До выхода Windows 2000 HKCR был ссылкой на ключ HKLM\SOFTWARE\Classes, но сейчас этот корневой ключ стал значительно сложнее. Чтобы создать HKCR, операционная система объединяет два ключа: HKLM\SOFTWARE\Classes, который содержит ассоциации файлов и регистрацию классов по умолчанию; и HKCU\Software\Classes, который содержит пользовательские ассоциации файлов и регистрацию классов. HKCU\Software\Classes на самом деле является ссылкой на HKU\SID Classes, о котором вы узнали в разделе «HKEY_USERS». Если одно и то же значение имеется в обеих ветвях, то значение из HKCU\Software\Classes имеет более высокий приоритет и преобладает над значением из HKLM\SOFTWARE\Classes. Этот новый алгоритм объединения имеет несколько преимуществ.
• Программы могут регистрировать общекомпьютерные и пользовательские ассоциации файлов и классы программ. (Один пользователь может иметь ассоциации файлов, которых нет у других пользователей этого компьютера). Это, вероятно, самое большое преимущество объединения.
• Пользователи, которые пользуются одним компьютером, могут использовать две различные программы для того, чтобы редактировать один и тот же тип файлов, не оказывая при этом влияния друг на друга.
• Из-за того, что пользовательские ассоциации файлов и регистрации классов находятся в профиле пользователя, они с помощью использования блуждающих профилей пользователей могут передаваться с компьютера на компьютер вслед за пользователем.
• IT-профессионалы могут ограничить доступ к HKLM\SOFTWARE\Classes, не помешав при этом пользователям изменять HKCU\ Software\Classes и увеличивая тем самым безопасность реестра, не ограничивая возможности пользователя по изменению ассоциаций файлов.
Создайте новый ключ в корне ключа HKCR, и Windows XP на самом деле создаст его в HKLM\SOFTWARE\Classes. Windows XP не предоставляет пользовательского интерфейса, кроме редактора реестра, чтобы добавлять регистрацию классов в HKCU\Software\Classes потому, что его назначение – это позволить программам регистрировать пользовательские классы программ. Когда вы редактируете существующий класс программ, изменения отразятся в HKLM или HKCU в зависимости от того, где на самом деле этот класс программ находится. Если класс программ существует в обеих ветвях, то Windows XP изменяет только версию из HKCU.
Заметьте, что HKCR имеет такое значение, что ему посвящено отдельное приложение. Приложение А «Ассоциации файлов» описывает этот корневой ключ более подробно. Вы узнаете, как он связывает расширения файлов с типами файлов, как Windows XP регистрирует объекты COM, и какие подключи являются наиболее интересными для внесения изменений в настройки.

Запретить выход из системы из меню Пуск. Чтобы изменения вступили в силу, необходимо перезагрузиться.
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
DWORD StartMenuLogoff, значение 1 — удаляет кнопку из меню

HKLM\SOFTWARE\Microsoft\MediaPlayer\Settings\MP3Encoding
Минимальный битрейт:
LowRate:DWORD = 56000, равно 56 Кбит
Средний битрейт:
MediumRate:DWORD = 64000, равно 64 Кбит
Средний-высокий битрейт:
MediumHighRate:DWORD = 128000, равно 128 Кбит
Максимальный битрейт:
HighRate:DWORD = 192000, равно 192 Кбит

Или создай reg-файл следующего содержания:

Код:
Regedit 4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MediaPlayer\Settings]
[HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\MediaPlayer\Settings\MP3Encoding]
«LowRate»=dword:0000dac0
«MediumRate»=dword:0000fa00
«MediumHighRate»=dword:0001f400
«HighRate»=dword:0002ee00

В реестре включится встроенный MP3 кодек, максимальный битрейт 192Кб.

Security\Desktop and Explorer

HKEY_CLASSES_ROOT\\NeverShowExt
Чтобы все расширения (даже скрытые) были видны в проводнике, необходимо удалить все значения NeverShowExt в реестре, в ветке HKEY_CLASSES_ROOT предварительно скопировав ветку. Можно использовать следующий рег файл:

REGEDIT4
[HKEY_CLASSES_ROOT\DocShortcut]
«NeverShowExt»=-
[HKEY_CLASSES_ROOT\InternetShortcut]
«NeverShowExt»=-
[HKEY_CLASSES_ROOT\lnkfile]
«NeverShowExt»=-
[HKEY_CLASSES_ROOT\piffile]
«NeverShowExt»=-
[HKEY_CLASSES_ROOT\SHCmdFile]
«NeverShowExt»=-
[HKEY_CLASSES_ROOT\ShellScrap]
«NeverShowExt»=-

для восстановления по умолчанию

REGEDIT4
[HKEY_CLASSES_ROOT\DocShortcut]
«NeverShowExt»=»»
[HKEY_CLASSES_ROOT\InternetShortcut]
«NeverShowExt»=»»
[HKEY_CLASSES_ROOT\lnkfile]
«NeverShowExt»=»»
[HKEY_CLASSES_ROOT\piffile]
«NeverShowExt»=»»
[HKEY_CLASSES_ROOT\SHCmdFile]
«NeverShowExt»=»»
[HKEY_CLASSES_ROOT\ShellScrap]
«NeverShowExt»=»»

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\SecureDesktop
Анти snooping пользователей. Конфликтует с некоторыми программами.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 0 = отключить защиту)

HKEY_CURRENT_USER\Control Panel\Desktop\\MUILanguagePending
Настройки языка. Код (ID) языка, используемого для отображения меню и диалоговых окон системы, индивидуален для каждого пользователя и хранится в реестре в ветке HKEY_CURRENT_USER\Control Panel\Desktop\MultiUILanguageId. Когда пользователь меняет язык системы в региональных настройках, ID нового языка сохраняется в ветке HKEY_CURRENT_USER\Control Panel\Desktop\MUILanguagePending и вступает в силу только при следующем входе пользователя в систему, после чего оба ключа принимают одинаковое значение.
Тип: REGSZ;
Значение: (любое допустимое)

HKEY_CURRENT_USER\Control Panel\Desktop\\MultiUILanguageId
Настройки языка. Код (ID) языка, используемого для отображения меню и диалоговых окон системы, индивидуален для каждого пользователя и хранится в реестре в ветке HKEY_CURRENT_USER\Control Panel\Desktop\MultiUILanguageId. Когда пользователь меняет язык системы в региональных настройках, ID нового языка сохраняется в ветке HKEY_CURRENT_USER\Control Panel\Desktop\MUILanguagePending и вступает в силу только при следующем входе пользователя в систему, после чего оба ключа принимают одинаковое значение.
Тип: REGSZ;
Значение: (любое допустимое)

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoFileAssociate
Отключить возможность изменения ассоциаций типа файлов. На вкладке «Тип файлов» в окне «Свойства папки» все кнопки будут не задействованы.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = отключить кнопки)

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoFolderOptions
Скрыть пункт меню «Свoйcтва пaпки» в «Проводнике» и в «Панели инструментов». Необходима перезагрузка.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoFileMenu
Скрыть меню «Файл» в «Проводнике». Необходима перезагрузка.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoViewContextMenu
Контекстное меню, которое обычно появляется, когда Вы щелкаете правой кнопкой мыши на «Рабочем столе» или в правом окне «Проводника».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\EnforceShellExtensionSecurity
Рaзpeшить иcпoльзoвaниe тoлькo пoльзoвaтeльcкиx или зapeгиcтpиpoвaнныx pacшиpeний.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = включить) Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoDrives
Скрывает значки, представляющие выбранные диски, из папок «Мой компьютер» и «Проводник». A: 1, B: 2, C: 4, D: 8, E: 16, F: 32, G: 64, H: 128, I: 256, J: 512, K: 1024, L: 2048, M: 4096, N: 8192, O: 16384, P: 32768, Q: 65536, R: 131072, S: 262144, T: 524288, U: 1048576, V: 2097152, W: 4194304, X: 8388608, Y: 16777216, Z: 33554432, ALL: 67108863. Также будут скрыты эти значки и в стандартных окнах открытия и сохранения файлов. Тем не менее, пользователь по-прежнему имеет доступ к этим дискам через команду «Выполнить» или печатая вручную адрес в адресной строке проводника.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; чтобы к примеру скрыть диски А: и D:, значение должно быть 9 = 1 + 8) Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoViewOnDrive
Зaпpeтить дocтyп к диcкaм чepeз «Moй кoмпьютep» (не скрывая их). A: 1, B: 2, C: 4, D: 8, E: 16, F: 32, G: 64, H: 128, I: 256, J: 512, K: 1024, L: 2048, M: 4096, N: 8192, O: 16384, P: 32768, Q: 65536, R: 131072, S: 262144, T: 524288, U: 1048576, V: 2097152, W: 4194304, X: 8388608, Y: 16777216, Z: 33554432, ALL: 67108863.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; чтобы к примеру запретить доступ к дискам А и D, значение должно быть 9 = 1 + 8) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoHardwareTab
Скрыть вклaдкy «Oбopyдoвaниe»
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoDFSTab
Скрыть вкладку «DFS» (Distributed File System), что позволит предотвратить изменение свойств локальных сетевых ресурсов DFS пользователями
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoSecurityTab
Скрыть вкладку «Безопасность».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoDesktop
Возможность скрытия всех элементов на рабочем столе. Будут доступны только «Панель задач» и меню кнопки «Пуск».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\N onEnum\\<450D8FBA-AD25-11D0-98A8-0800361B1103>
Этот параметр скрывает значок «Мои документы» на «Рабочем столе», в окне «Проводника» Windows, в программах, которые используют окно «Проводника» и в стандартном диалоге «Открыть».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\N onEnum\\<645FF040-5081-101B-9F08-00AA002F954E>
Этот параметр скрывает значок «Корзины» на «Рабочем столе», в окне «Проводника» Windows, в программах, которые используют окна «Проводника» Windows и в стандартном диалогового окне открытия файлов.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoPropertiesMyDocuments
Параметр скрывает команду «Свойства» в контекстном меню папки «Мои документы».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoPropertiesMyComputer
Скрыть кoмaндy «Cвoйcтвa» в кoнтeкcтнoм мeню папки «Moй кoмпьютep».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoNetHood
Скрыть знaчoк «Ceтeвoe oкpyжeниe» на «Рaбoчeм cтoле».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoCloseDragDropBands
Запретить пepeтacкивaниe и зaкpытиe вcex пaнeлeй инcтpyмeнтoв нa «Пaнeли зaдaч».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = запретить) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoMovingBands
Параметр запрещает пользователям настраивать длину панелей инструментов «Рабочего стола». Кроме того, пользователи не могут изменить расположение различных элементов или панелей инструментов на закрепленных панелях инструментов.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = запретить) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\S ystem\\WallpaperStyle
Управление размещением обоев.
Тип: REGSZ;
Значение: (по умолчанию параметра нет; 0 = по центру; 1 = плиткой; 2 = растянуть на весь экран) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop\\ScreenSaveActive
Включaeт экpaнныe зacтaвки «Рaбoчeгo cтoлa».
Тип: REGSZ;
Значение: (по умолчанию параметра нет; 1 = включить) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop\\SCRNSAVE.EXE
Путь к файлу экранной заставки, который будет задействован при значении = 1 параметра ScreenSaveActive.
Тип: REGSZ;
Значение: (по умолчанию параметра нет; путь к файлу) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop\\ScreenSaverIsSecure
Защита паролем любых экранных заставок. Также не дает пользователям изменять установки защиты паролем.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = включить) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop\\ScreenSaveTimeOut
Задает интервал времени бездействия пользователя перед тем, как будет запущена экранная заставка.
Тип: REGSZ;
Значение: (по умолчанию параметра нет; 1 — 86400 секунд) Групповая политика.

———————————————————————————
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\\fAllowToGetHelp
Отправка приглашения удаленному помощнику.
Тип: REGDWORD;
Значение: (0 = отключить; 1 = включить) Свойства системы.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\A dvanced\\ClassicViewState
Пoмнить пapaмeтpы oтoбpaжeния кaждoй пaпки.
Тип: REGDWORD;
Значение: (0 = помнить; 1 = не запоминать) Свойства папки > Вид

———————————————————————————
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Directory\Background\shellex\Conte xtMenuHandlers\New\\(default)
Если удалить значение данного параметра то из контекстного меню проводника исчезнет пункт «Создать».
Тип: REGSZ;
Значение: (по умолчанию = )

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoPropertiesRecycleBin
Скрыть кoмaнду «Cвoйcтвa» в кoнтeкcтнoм мeню «Kopзины».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.