GPO के माध्यम से निष्क्रियता के बाद Windows लॉक स्क्रीन इनेबल करें

इस लेख में हम दिखाएंगे कि Group Policy का उपयोग करके डोमेन कंप्यूटर या सर्वर पर ऑटोमैटिक स्क्रीन (सेशन) लॉक कैसे कॉन्फिगर करें। यूजर के निष्क्रिय (idle) होने पर कंप्यूटर स्क्रीन को लॉक करना सूचना सुरक्षा का एक महत्वपूर्ण तत्व है। यूजर को जब थोड़े समय के लिए कार्यस्थल छोड़ना पड़ता है, तो वह अपना डेस्कटॉप लॉक करना (कीबोर्ड शॉर्टकट Win + L के साथ) भूल सकता है। इस मामले में, पास में मौजूद कोई अन्य कर्मचारी या क्लाइंट उसके डेटा तक पहुंच सकता है। ऑटो-लॉक स्क्रीन पॉलिसी इस कमी को दूर करेगी। निष्क्रियता (idle) के कुछ समय बाद, यूजर का डेस्कटॉप ऑटोमैटिकली लॉक हो जाएगा, और सेशन पर वापस आने के लिए यूजर को अपना डोमेन पासवर्ड दोबारा दर्ज करना होगा।

आइए स्क्रीन लॉक ऑप्शन को मैनेज करने के लिए एक डोमेन Group Policy बनाएं और कॉन्फिगर करें:

1. Group Policy Management कंसोल (gpmc.msc) खोलें, एक नया GPO ऑब्जेक्ट बनाएं (LockScreenPolicy) और इसे डोमेन रूट (या Users OU) से लिंक करें;
2. पॉलिसी एडिट करें और User Configuration → Policies → Administrative Templates → Control Panel → Personalization पर जाएं;
3. GPO सेक्शन में स्क्रीन सेवर और स्क्रीन लॉक सेटिंग्स को मैनेज करने के कुछ ऑप्शन हैं:
   • Enable screen saver
   • Password protect the screen saver — कंप्यूटर अनलॉक करने के लिए पासवर्ड मांगता है
   • Screen saver timeout — सेकंड में समय सेट करता है जब स्क्रीन सेवर इनेबल होगा और यूजर के निष्क्रिय होने पर कंप्यूटर लॉक होगा
   • Force specific screen saver — उपयोग किए जाने वाले स्क्रीन सेवर फाइल को स्पेसिफाई कर सकते हैं। अक्सर यह scrnsave.scr होता है (GPO का उपयोग करके स्लाइडशो स्क्रीन सेवर बना सकते हैं)
   • Prevent changing screen saver — यूजर्स को स्क्रीन सेवर सेटिंग्स बदलने से रोकता है
4. सभी पॉलिसी इनेबल करें और Screen saver timeout पॉलिसी में कंप्यूटर आइडल टाइम सेट करें। मैंने 300 दर्ज किया है। इसका मतलब है कि यूजर सेशन 5 मिनट की निष्क्रियता के बाद ऑटोमैटिकली लॉक हो जाएंगे;
5. क्लाइंट पर Group Policy सेटिंग्स अपडेट होने तक प्रतीक्षा करें या मैन्युअली gpupdate /force कमांड से रिफ्रेश करें। GPO लागू होने के बाद, स्क्रीन सेवर और स्क्रीन लॉक सेटिंग्स Windows इंटरफेस में एडिटिंग से प्रोटेक्टेड होंगी, और यूजर सेशन 5 मिनट की निष्क्रियता में लॉक हो जाएंगे (GPO कैसे लागू होता है इसका निदान करने के लिए, आप gpresult टूल का उपयोग कर सकते हैं)।

Windows Server 2012/Windows 8 या नए में, एक अलग कंप्यूटर सिक्योरिटी पॉलिसी है जो कंप्यूटर निष्क्रियता समय सेट करती है जिसके बाद यह लॉक हो जाता है। पॉलिसी को Interactive logon: Machine inactivity limit कहा जाता है और आप इसे Computer Configuration → Windows Settings → Security Settings → Local Policies → Security Options में पा सकते हैं।

कुछ मामलों में, आपको अलग-अलग यूजर ग्रुप के लिए अलग-अलग लॉक पॉलिसी कॉन्फिगर करने की आवश्यकता हो सकती है। उदाहरण के लिए, ऑफिस वर्कर्स की स्क्रीन 10 मिनट बाद लॉक होनी चाहिए, और प्रोडक्शन या SCADA ऑपरेटर्स की स्क्रीन कभी लॉक नहीं होनी चाहिए। ऐसी रणनीति लागू करने के लिए, आप GPO Security Filtering (USB डिवाइस तक पहुंच को GPO का उपयोग करके प्रतिबंधित करने के उदाहरण देखें) या GPP में Item Level Targeting का उपयोग कर सकते हैं। आइए बाद वाले को विस्तार से देखें।

आप GPO के बजाय रजिस्ट्री का उपयोग करके कंप्यूटर लॉक सेटिंग्स कॉन्फिगर कर सकते हैं, और संबंधित रजिस्ट्री सेटिंग्स को GPO के माध्यम से यूजर्स के कंप्यूटर पर डेप्लॉय कर सकते हैं। निम्न रजिस्ट्री पैरामीटर ऊपर चर्चा की गई पॉलिसी से मेल खाते हैं। वे HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop में स्थित हैं:

• Password protect the screen saver एक REG_SZ पैरामीटर है जिसका नाम ScreenSaverIsSecure = 1 है
• Screen saver timeout एक REG_SZ पैरामीटर है जिसका नाम ScreenSaveTimeout = 300 है
• Force specific screen saver एक REG_SZ पैरामीटर है जिसका नाम ScreenSaveActive = 1 और SCRNSAVE.EXE = scrnsave.scr है

एक डोमेन सिक्योरिटी ग्रुप बनाएं (grp_not-lock-prod) जिसके लिए आप स्क्रीन लॉक पॉलिसी डिसेबल करना चाहते हैं और उसमें यूजर्स जोड़ें। संबंधित GPO सेक्शन (User Configuration → Preferences → Windows Settings → Registry) में ऊपर वर्णित रजिस्ट्री पैरामीटर बनाएं। Item Level Targeting का उपयोग करके, प्रत्येक पैरामीटर के लिए सेट करें कि पॉलिसी विशिष्ट सिक्योरिटी ग्रुप के लिए लागू नहीं होनी चाहिए (यूजर सिक्योरिटी ग्रुप grp_not-lock-prod का सदस्य नहीं है)।

आपको REG_SZ मान 0 के साथ 4 अतिरिक्त रजिस्ट्री पैरामीटर भी बनाने होंगे, जो ग्रुप grp_not-lock-prod के लिए स्क्रीन लॉक को जबरन डिसेबल करते हैं (अन्यथा, आपका GPO पहले से सेट रजिस्ट्री मानों को ओवरराइट नहीं करेगा)।