เปิดใช้งานหน้าจอล็อกอัตโนมัติหลังจากไม่ได้ใช้งานผ่าน GPO

ในบทความนี้เราจะแสดงวิธีกำหนดค่าการล็อกหน้าจอ (เซสชัน) อัตโนมัติบนคอมพิวเตอร์หรือเซิร์ฟเวอร์ในโดเมนโดยใช้ Group Policy การล็อกหน้าจอเมื่อผู้ใช้ไม่ได้ทำงาน (Idle) เป็นองค์ประกอบสำคัญของความปลอดภัยข้อมูล ผู้ใช้อาจลืมล็อกเดสก์ท็อป (ด้วยปุ่มลัด Win + L) เมื่อต้องจากที่ทำงานชั่วคราว ในกรณีนี้ พนักงานหรือลูกค้าคนอื่นใกล้เคียงอาจเข้าถึงข้อมูลของเขาได้ นโยบายล็อกหน้าจออัตโนมัติจะแก้ไขข้อบกพร่องนี้ หลังจากไม่ได้ใช้งานเป็นระยะเวลาหนึ่ง เซสชันเดสก์ท็อปของผู้ใช้จะถูกล็อกอัตโนมัติ และผู้ใช้จะต้องป้อนรหัสผ่านโดเมนใหม่เพื่อกลับสู่เซสชัน

มาสร้างและกำหนดค่า Group Policy โดเมนเพื่อจัดการตัวเลือกการล็อกหน้าจอ:

1. เปิดคอนโซล Group Policy Management (gpmc.msc) สร้างออบเจ็กต์ GPO ใหม่ (LockScreenPolicy) และเชื่อมโยงกับรูทโดเมน (หรือ OU Users);
   
2. แก้ไขนโยบายและไปที่ User Configuration -> Policies -> Administrative Templates -> Control Panel -> Personalization;
3. มีตัวเลือกจัดการการตั้งค่าหน้าจอเซฟและล็อกหน้าจอในส่วน GPO:
   • Enable screen saver
   • Password protect the screen saver — กำหนดให้ป้อนรหัสผ่านเพื่อปลดล็อกคอมพิวเตอร์
   • Screen saver timeout – กำหนดเวลาเป็นวินาทีเมื่อหน้าจอเซฟจะเปิดใช้งานและคอมพิวเตอร์จะถูกล็อกหากผู้ใช้ไม่ได้ทำงาน
   • Force specific screen saver – คุณสามารถระบุไฟล์หน้าจอเซฟที่จะใช้ บ่อยครั้งคือ scrnsave.scr (คุณสามารถทำหน้าจอเซฟสไลด์โชว์ด้วย GPO)
   • Prevent changing screen saver – ป้องกันไม่ให้ผู้ใช้เปลี่ยนการตั้งค่าหน้าจอเซฟ
4. เปิดใช้งานนโยบายทั้งหมดและกำหนดเวลาว่างของคอมพิวเตอร์ในนโยบาย Screen saver timeout ผมใส่ 300 หมายความว่าเซสชันผู้ใช้จะถูกล็อกอัตโนมัติหลังจาก 5 นาที;
   
5. รอจนกว่าการตั้งค่า Group Policy จะอัปเดตบนไคลเอนต์ หรือรีเฟรสด้วยตนเองด้วยคำสั่ง: gpupdate /force หลังจาก GPO ถูกนำไปใช้ การตั้งค่าหน้าจอเซฟและล็อกหน้าจอจะถูกป้องกันไม่ให้แก้ไขในอินเทอร์เฟซ Windows และเซสชันผู้ใช้จะถูกล็อกใน 5 นาทีของการไม่ได้ใช้งาน (เพื่อวินิจฉัยว่า GPO ถูกนำไปใช้อย่างไร คุณสามารถใช้เครื่องมือ gpresult และบทความที่ลิงก์นี้)

ใน Windows Server 2012/Windows 8 หรือใหม่กว่า มีนโยบายความปลอดภัยของคอมพิวเตอร์แยกต่างหากที่กำหนดเวลาที่คอมพิวเตอร์ไม่ได้ทำงานก่อนที่จะถูกล็อก นโยบายชื่อ Interactive logon: Machine inactivity limit และคุณสามารถพบได้ใน Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options.

ในบางกรณี คุณอาจต้องกำหนดค่านโยบายล็อกที่แตกต่างกันสำหรับกลุ่มผู้ใช้ที่ต่างกัน ตัวอย่างเช่น หน้าจอของพนักงานสำนักงานควรล็อกหลัง 10 นาที และหน้าจอของผู้ปฏิบัติงานผลิตหรือ SCADA operators ไม่ควรล็อกเลย ในการนำกลยุทธ์ดังกล่าวไปใช้ คุณอาจใช้ GPO Security Filtering (ดูตัวอย่างการจำกัดการเข้าถึง USB ด้วย GPO) หรือ Item Level Targeting ใน GPP มาศึกษารายละเอียดของวิธีหลังนี้

คุณสามารถกำหนดค่าการตั้งค่าการล็อกคอมพิวเตอร์โดยใช้ Registry แทน GPO และปรับใช้การตั้งค่า Registry ที่เกี่ยวข้องไปยังคอมพิวเตอร์ของผู้ใช้ผ่าน GPO พารามิเตอร์ Registry ต่อไปนี้ตรงกับนโยบายที่กล่าวมาข้างต้น ตั้งอยู่ใน HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop:

• Password protect the screen saver เป็นพารามิเตอร์ REG_SZ ชื่อ ScreenSaverIsSecure = 1
• Screen saver timeout เป็นพารามิเตอร์ REG_SZ ชื่อ ScreenSaveTimeout = 300
• Force specific screen saver เป็นพารามิเตอร์ REG_SZ ชื่อ ScreenSaveActive = 1 และ SCRNSAVE.EXE = scrnsave.scr