组策略实现终端自动锁屏需启用“启用屏幕保护程序”和“在恢复时显示登录屏幕”两项计算机配置策略，并禁用待机、阻止用户修改屏保设置，确保空闲时中断会话并强制身份认证。
组策略在终端桌面锁定与屏幕超时设置中，核心目标是让空闲设备自动进入受控锁屏状态——不是简单黑屏，而是真正中断会话、强制身份认证。这需要计算机配置路径下两个策略协同生效，再配合电源与覆盖限制措施，才能稳定落地。
必须启用的两项基础策略
这两项都位于：计算机配置 → 管理模板 → 控制面板 → 个性化
- 启用屏幕保护程序：设为“已启用”，并同步指定“屏幕保护程序超时（秒）”，例如填入300（5分钟）。该设置仅触发屏保画面，不自动锁屏，但为后续认证提供启动条件。
- 在恢复时显示登录屏幕：设为“已启用”。这是真正实现锁屏的关键开关，启用后屏保退出即调用系统锁屏机制（等效 Win+L），必须输入域账号密码才能继续操作。
防止策略被绕过的加固配置
仅靠上述两项，在部分终端上仍可能失效，需补充以下控制：
- 启用阻止更改屏幕保护程序和阻止更改屏幕保护程序超时：防止用户通过控制面板关闭屏保或延长等待时间。
- 禁用待机干扰：在计算机配置 → 管理模板 → 系统 → 电源管理 → 交互式设置中，将“当计算机空闲时允许待机”设为“已禁用”。否则设备可能直接休眠，跳过屏保逻辑，导致锁屏失效。
- 避免路径混淆：所有相关策略必须配置在“计算机配置”容器内。“用户配置”路径下的同类策略对域控下发无效，不可混用。
策略部署与效果验证要点
配置完成后，需确保策略准确下发并生效：
- 在域控制器打开 gpmc.msc，新建或编辑 GPO，按上述路径完成设置；将 GPO 链接到目标计算机所在的 OU。
- 客户端执行 gpupdate /force 强制刷新；或等待默认 90 分钟周期更新。
- 验证是否生效：gpresult /r 查看 GPO 应用状态；rsop.msc 检查“个性化”策略是否显示“已启用”；也可手动空闲等待，观察是否准时启动屏保并强制跳转登录界面。
注意区分“熄屏”与“锁屏”的本质差异
屏幕关闭（熄屏）≠ 锁屏。前者属于电源设置，仅关闭显示器，系统仍在运行，任意按键即可唤醒且无需认证；后者才是安全机制，依赖屏保+登录屏幕组合实现会话中断与身份核验。
- 建议将电源设置中的“关闭显示器时间”设为 ≥ 屏保超时时间，避免出现“黑屏却不锁屏”的中间态。
- 若需更高强度控制，可额外启用交互式登录：计算机不活动限制（路径：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项），设定空闲阈值后自动断开会话。
