必须在计算机配置和用户配置双层面协同控制，启用“阻止更改屏幕保护程序”及超时策略、统一启用屏保并设超时与密码锁屏，同时检查gpo优先级避免覆盖。

要真正限制域用户更改屏幕保护程序，不能只靠单一策略，必须在计算机配置和用户配置两个层面协同控制，尤其注意策略优先级与生效路径。关键在于“禁改”+“统管”+“防绕过”三重保障。

核心策略：禁用用户端修改入口

这是最直接的限制手段，让个性化设置里的屏保选项变灰不可用：

• 路径：用户配置 → 管理模板 → 控制面板 → 个性化
• 启用策略：阻止更改屏幕保护程序（设为“已启用”）
• 同步启用：阻止更改屏幕保护程序超时（同样设为“已启用”）
• 注意：这两项必须同时启用，否则用户仍可通过修改等待时间间接绕过统一管理

配套策略：统一启用并锁定屏保行为

仅禁止修改还不够，需主动下发标准配置，避免用户端因策略未定义而回退到默认自由状态：

• 路径：用户配置 → 管理模板 → 控制面板 → 个性化
• 启用：启用屏幕保护程序（设为“已启用”）
• 配置：屏幕保护程序超时（秒）（如填300，即5分钟）
• 可选但推荐：强制使用特定屏幕保护程序（如ssbezier.scr），并指定其路径

安全加固：确保密码锁屏强制生效

很多环境忽略了这点——即使启用了屏保，若没强制认证，用户一动鼠标就直接返回桌面，形同虚设：

• 路径：用户配置 → 管理模板 → 控制面板 → 个性化
• 启用：在恢复时显示登录屏幕（设为“已启用”）
• 该策略触发的是系统级锁屏（等效 Win+L），要求输入域账户密码才能继续
• 务必确认该策略未被“计算机配置”下同名策略覆盖（域环境中以计算机配置优先级更高）

防冲突检查：确认无高优先级策略覆盖

域环境下，GPO继承顺序可能导致本地或OU级设置被上级策略覆盖：

• 运行 gpresult /h gpreport.html 查看实际生效的策略来源
• 重点检查：计算机配置 → 管理模板 → 控制面板 → 个性化 下是否存在同名策略
• 若计算机配置中存在“阻止更改屏幕保护程序”且为“已启用”，则用户配置的任何设置均无效
• 建议：将计算机配置中相关策略统一设为“未配置”，由用户配置集中管理