必须同时启用“启用屏幕保护程序”和“在恢复时显示登录屏幕”两项策略，前者设置超时时间（如300秒），后者强制锁屏认证；还需禁用本地覆盖、调整电源设置并刷新组策略。

在windows域环境中，通过组策略强制启用屏幕保护程序并要求恢复时输入密码，是保障终端安全的重要措施。关键在于正确配置两个策略：启用屏保、并强制其带密码保护，二者缺一不可。

启用屏幕保护程序并设置等待时间

该策略决定系统空闲多久后启动屏保，本身不触发锁屏，但为后续密码保护提供前提。

• 路径：计算机配置 → 管理模板 → 控制面板 → 个性化
• 策略名：启用屏幕保护程序 → 设置为“已启用”
• 同时配置：屏幕保护程序超时（秒） → 建议设为300（5分钟）或更短
• 注意：此处仅启动屏保，若未启用密码保护，用户移动鼠标即可直接返回桌面

强制恢复时使用登录凭据（关键步骤）

这是实现“密码强制锁定”的核心策略。它让系统在屏保退出时跳转至锁屏界面（Win+L效果），而非直接返回桌面。

• 路径：计算机配置 → 管理模板 → 控制面板 → 个性化
• 策略名：在恢复时显示登录屏幕 → 设置为“已启用”
• 该策略生效后，屏保结束时自动调用Windows锁屏机制，必须输入域账户密码才能继续操作
• 若此策略未启用，即使屏保运行中，用户轻触鼠标/键盘仍可绕过认证直接进入桌面

补充建议与常见问题

仅靠上述两项策略可能在部分场景下失效，需配合检查：

• 禁用本地屏保设置覆盖：在相同策略路径下，启用“阻止更改屏幕保护程序”和“阻止更改屏幕保护程序超时”，防止用户手动关闭
• 确认电源设置不干扰：检查“计算机配置 → 管理模板 → 系统 → 电源管理 → 交互式设置”中，“当计算机空闲时允许待机”应设为“已禁用”，避免待机/休眠绕过屏保逻辑
• 策略刷新与验证：客户端执行 gpupdate /force 后，注销再登录；或等待默认90分钟刷新周期。可通过 gpresult /h report.html 查看实际应用的策略

不复杂但容易忽略的是：两个策略必须同时启用且位于同一策略容器（计算机配置），用户配置路径下的同类策略对域控下发无效。一旦配置完成，所有受管终端将在空闲后自动锁屏并强制认证。