必须在计算机配置路径下启用“启用屏幕保护程序”和“在恢复时显示登录屏幕”两项策略，前者设超时（如300秒），后者强制退出屏保时跳转登录界面；同时禁用待机、阻止用户修改、避免混用用户配置路径。
要通过组策略在ad域环境中统一下发屏保与锁定时间，核心是让所有终端空闲指定时长后自动启动屏保，并在退出屏保时强制跳转至登录界面（即真正锁屏），而非直接返回桌面。这需要计算机配置路径下的两个策略协同生效，缺一不可。
必须启用的两项关键策略
这两项策略都位于：计算机配置 → 管理模板 → 控制面板 → 个性化
- 启用屏幕保护程序：设为“已启用”，并同步配置“屏幕保护程序超时（秒）”——例如填入300（5分钟）。该设置仅触发屏保画面，不自动锁屏。
- 在恢复时显示登录屏幕：设为“已启用”。这是实现“密码强制锁定”的开关，启用后屏保结束会调用系统锁屏机制（等效于按 Win+L），必须输入域账号密码才能继续操作。
防止用户绕过策略的加固项
仅启用上述两项，在部分终端上仍可能被手动覆盖或受电源设置干扰，建议补充以下配置：
- 启用阻止更改屏幕保护程序和阻止更改屏幕保护程序超时：防止用户在控制面板中关闭或延长等待时间。
- 检查电源管理策略：计算机配置 → 管理模板 → 系统 → 电源管理 → 交互式设置中，“当计算机空闲时允许待机”应设为“已禁用”。否则设备进入待机状态会跳过屏保逻辑，导致锁屏失效。
- 避免混用用户配置路径：同类策略若在“用户配置”下设置，对域控下发无效；务必全部配置在“计算机配置”容器内。
策略部署与验证步骤
- 在域控制器打开gpmc.msc，新建或编辑GPO，按上述路径完成配置。
- 将GPO链接到目标计算机所在的组织单位（OU），确保应用范围准确。
- 客户端执行gpupdate /force立即刷新策略；或等待默认90分钟自动更新。
- 验证是否生效：运行gpresult /r确认GPO已应用；再运行rsop.msc查看“个性化”策略是否显示“已启用”状态。
注意锁屏与熄屏的区别
屏幕关闭（熄屏）≠ 锁屏。Windows中“关闭显示器”属于电源设置，仅黑屏但系统仍在运行、未认证即可唤醒；而组策略中的屏保+登录屏幕才是真正的安全锁屏。建议将“屏幕关闭时间”设为≥屏保超时时间，避免出现黑屏却不锁屏的中间态。
