GPO ile Bilgisayar Kilitleme: Otomatik Ekran Kilidi

GPO ile bilgisayar kilitleme, kullanıcı bilgisayar başından ayrıldığında oturumun belirli bir hareketsizlik süresinden sonra otomatik olarak korunmasını sağlar. Domain ortamında bunu merkezi olarak uygularken benim önceliğim yalnızca ekran koruyucuyu açmak değil; politikanın doğru kullanıcı OU’suna uygulanması, parola korumasının zorunlu olması ve sonucu gpresult ile doğrulamaktır.

Amaç

Bu yapılandırmada Group Policy kullanarak domain kullanıcılarında ekran koruyucuyu etkinleştirecek, hareketsizlik süresini belirleyecek ve ekran koruyucudan dönüşte parola istenmesini zorunlu hale getireceğiz.

Ön Koşullar

• Active Directory Domain Services ve Group Policy Management Console
• GPO oluşturma ve hedef OU’ya linkleme yetkisi
• Politikanın uygulanacağı test kullanıcısı ve istemci bilgisayar
• Özel .scr kullanılacaksa istemcilerin erişebildiği güvenilir bir dosya yolu

GPO’yu Hangi OU’ya Linklemeliyim?

Bu ayarlar User Configuration altında bulunduğu için kapsamı kullanıcı nesnelerine göre planlamak gerekir. Ben yeni bir politikayı doğrudan domain root’a bağlamak yerine önce hedef kullanıcıların bulunduğu test OU’sunda doğrularım. Sonuç beklendiği gibiyse kapsam kontrollü şekilde genişletilebilir.

GPO ile Ekran Kilitleme Ayarları

Group Policy Management konsolunda hedef OU için yeni bir GPO oluşturun. Örneğin User - Screen Lock Policy. Ardından GPO’yu düzenleyip şu yolu açın:

User Configuration
  > Policies
    > Administrative Templates
      > Control Panel
        > Personalization

1. Enable screen saver

Enable screen saver ayarını Enabled yapın. Bu ayar ekran koruyucunun kullanıcı oturumunda kullanılabilmesini sağlar.

2. Screen saver timeout

Screen saver timeout ayarını Enabled yapın ve süreyi saniye cinsinden belirleyin. Örneğin 10 dakika için:

600

Üretim ortamında süreyi kurumun güvenlik politikası ve kullanıcı çalışma modeliyle birlikte belirlemek gerekir.

3. Password protect the screen saver

Password protect the screen saver ayarını Enabled yapın. Güvenlik açısından kritik ayar budur; kullanıcı ekran koruyucudan döndüğünde yeniden kimlik doğrulaması gerekir.

4. Force specific screen saver gerekli mi?

Kurumsal olarak belirli bir ekran koruyucu zorunlu tutulacaksa Force specific screen saver kullanılabilir. Örnek:

\FILESERVERCorporateKurumsal.scr

Özel bir .scr dosyası kullanıyorsanız istemcilerin dosyaya erişebildiğini ve dosyanın güvenilir kaynaktan geldiğini doğrulayın. Yalnızca otomatik ekran kilidi hedefleniyorsa özel ekran koruyucu dağıtmak her ortamda gerekli değildir.

GPO’yu İstemcide Uygulama

Test kullanıcısıyla oturum açtıktan sonra politika yenilemesini tetiklemek için:

gpupdate /force

User Configuration değişikliklerinde bazı senaryolarda oturumu kapatıp yeniden açmak gerekebilir.

GPO’nun Uygulandığını Nasıl Doğrularım?

Ben yalnızca gpupdate /force çıktısına bakıp işlemi tamamlanmış kabul etmiyorum. Önce kullanıcı tarafındaki Resultant Set of Policy sonucunu kontrol ederim:

gpresult /r /scope:user

Daha ayrıntılı HTML raporu için:

gpresult /h C:Tempgpresult.html

Raporda oluşturduğunuz GPO’nun Applied Group Policy Objects altında bulunduğunu doğrulayın.

GPO ile Bilgisayar Kilitleme Çalışmıyorsa

GPO listede görünmüyor

İlk kontrol ettiğim noktalar GPO linki, kullanıcının bulunduğu OU, Security Filtering ve varsa WMI Filtering olur. Bu politika kullanıcı ayarı olduğu için yalnız bilgisayar nesnesinin OU’suna bakmak yanıltıcı olabilir.

GPO uygulanıyor ama ekran kilitlenmiyor

Enable screen saver, Screen saver timeout ve Password protect the screen saver ayarlarının birlikte beklenen değerleri aldığını kontrol edin. Ardından gpresult raporunu ve istemcideki Group Policy event kayıtlarını inceleyin.

Özel ekran koruyucu açılmıyor

UNC yoluna kullanıcı bağlamında erişimi test edin. Dosya paylaşımı veya NTFS izinleri kullanıcı erişimine izin vermiyorsa politika uygulanmış görünse bile ekran koruyucu dosyası yüklenemez.

Güvenlik ve Best Practice

• Politikayı önce sınırlı bir test OU’sunda doğrulayın.
• Gereksiz yere domain root seviyesinde geniş kapsamlı GPO kullanmayın.
• Ekran kilidini yalnız görsel bir ekran koruyucu olarak değil, yeniden kimlik doğrulama kontrolü olarak değerlendirin.
• Özel .scr dosyalarını güvenilir ve kontrollü bir konumdan dağıtın.
• Değişiklik sonrası gpresult ve Group Policy event loglarıyla doğrulama yapın.

Sonuç

GPO ile otomatik ekran kilitleme merkezi kullanıcı güvenliği için basit fakat etkili bir kontroldür. Benim uygulama sıram; doğru OU ve scope’u belirlemek, ekran koruyucu + timeout + parola korumasını yapılandırmak, test kullanıcısında politikayı uygulamak ve son olarak gpresult ile sonucu doğrulamaktır.

İlgili Group Policy Rehberleri

• GPO Uygulanmıyor: Group Policy Troubleshooting
• Group Policy Nedir? GPO Nasıl Çalışır?
• RSoP: Resultant Set of Policy
• GPO ile Parola Politikası