需分两部分配置：一是组策略启用空闲自动锁屏（启用屏幕保护程序并设超时、启用恢复时显示登录屏幕），二是确保系统支持二次验证（使用Microsoft账户并启用Windows Hello或双重验证），二者协同实现安全闭环。

要通过组策略实现自动锁屏并配合二次身份验证，需分两部分配置：一是强制空闲后锁屏（属系统级访问控制），二是确保登录环节支持多因素认证（如windows hello或microsoft账户双重验证）。这两者不直接由同一组策略控制，但必须协同生效才能达成“自动锁屏+二次验证”的完整安全闭环。

一、组策略启用自动锁屏（空闲超时强制认证）

该配置让系统在指定无操作时间后自动进入锁屏状态，并要求输入凭证才能恢复——这是自动锁屏的核心机制。

• 打开组策略编辑器：Win + R → 输入 gpedit.msc → 回车
• 导航至：计算机配置 → 管理模板 → 控制面板 → 个性化
• 启用两项策略（缺一不可）：
  • 启用屏幕保护程序 → 设为“已启用”，并勾选“屏幕保护程序超时”，填入秒数（如300代表5分钟）
  • 在恢复时显示登录屏幕 → 设为“已启用”
• 为防用户绕过，建议同步启用：
  • “阻止更改屏幕保护程序”
  • “阻止更改屏幕保护程序超时”
• 刷新策略：以管理员身份运行 CMD，执行 gpupdate /force

二、组策略不直接提供二次验证，但需确保系统支持并启用相关基础

Windows 原生的组策略本身不管理“二次验证”（如短信、验证器App、生物识别等），它只控制“是否要求凭证”。真正的二次验证能力依赖账户类型与系统功能配置。组策略的作用是保障这些功能不被禁用。

• 必须使用 Microsoft 账户登录（非本地账户），且已在 account.microsoft.com 启用双重验证
• 启用 Windows Hello：进入“设置 → 账户 → 登录选项”，设置 PIN、指纹或面部识别——这是本地端二次验证的载体
• 检查组策略是否意外禁用关键服务（专业版/企业版）：
  • 路径：计算机配置 → 管理模板 → Windows 组件 → Windows Hello for Business
  • 确认“启用 Windows Hello for Business”未设为“已禁用”
  • 路径：计算机配置 → 管理模板 → 系统 → 智能卡
  • 避免启用“交互式登录：要求智能卡”等可能冲突的策略

三、验证与补强要点

仅靠组策略无法单独完成“二次验证”，但以下检查可确保锁屏后触发的是多因素登录界面（而非单密码）：

• 锁屏唤醒时，若看到 PIN/指纹/面部图标，说明 Windows Hello 已就绪；若只弹出密码框，需返回“登录选项”补全设置
• 动态锁（蓝牙离席自动锁屏）也依赖上述基础：需 Microsoft 账户 + Windows Hello + 手机蓝牙已连接，其开关在“设置 → 账户 → 登录选项 → 动态锁”
• 电源设置不能干扰：确认“设置 → 系统 → 电源与睡眠 → 从睡眠唤醒时要求密码”已开启，避免休眠绕过锁屏逻辑