GPOでWindowsの自動ロック画面を有効にする方法｜非アクティブ時のセッション保護設定

はじめに：なぜ画面の自動ロックが必要なのか

本記事では、グループポリシー（GPO）を使用して、ドメインに参加しているコンピューターやサーバーに対し、一定時間操作がない場合に画面（セッション）を自動的にロックする設定方法を解説します。ユーザーが不在の際に画面をロックしておくことは、情報セキュリティの観点から非常に重要な対策です。

ユーザーが短時間席を離れるとき、Win + Lキーによるデスクトップのロックを忘れることがあります。この場合、近くにいる他の従業員や来訪者がそのままデータへアクセスできてしまい、情報漏洩のリスクにつながります。自動ロックポリシーを適用すれば、一定時間アイドル状態が続いた後にデスクトップが自動的にロックされ、作業を再開するにはドメインのパスワード再入力が必要になるため、このような穴を確実に塞ぐことができます。

GPOで画面ロックポリシーを作成・構成する手順

それでは、画面ロックを管理するためのドメイングループポリシーを作成していきましょう。

1. グループポリシーの作成とリンク：グループポリシー管理コンソール（gpmc.msc）を開き、新しいGPOオブジェクト（例：LockScreenPolicy）を作成し、ドメインのルートまたはUsers OUにリンクします。
2. ポリシーの編集：作成したポリシーを編集し、ユーザーの構成 → ポリシー → 管理用テンプレート → コントロールパネル → 個人設定 へ移動します。

利用できる主なポリシー設定

このGPOセクションには、スクリーンセーバーと画面ロックに関連する以下の設定項目があります。

• スクリーンセーバーを有効にする（Enable screen saver）
• パスワードによるスクリーンセーバーの保護（Password protect the screen saver）：ロック解除時にパスワード入力を求める
• スクリーンセーバーのタイムアウト（Screen saver timeout）：秒単位で無操作時間を指定し、経過後にスクリーンセーバーを起動してコンピューターをロックする
• 特定のスクリーンセーバーを強制する（Force specific screen saver）：使用するスクリーンセーバーファイルを指定。通常は scrnsave.scr を使用（GPOを使えばスライドショー型のスクリーンセーバーも作成可能）
• スクリーンセーバーの変更を禁止する（Prevent changing screen saver）：ユーザーによる設定変更を防止

4. すべてのポリシーを「有効」にし、スクリーンセーバーのタイムアウトでアイドル時間を設定します。ここでは300（秒）を入力しました。これは、5分間操作がないとユーザーセッションが自動的にロックされることを意味します。
5. クライアント側でポリシーが更新されるのを待つか、次のコマンドで手動更新します：gpupdate /force。GPOが適用されると、Windowsの画面からスクリーンセーバーやロック設定を変更できなくなり、5分間の無操作でセッションがロックされるようになります（GPOの適用状況を診断するには、gpresultツールが便利です）。

「対話型ログオン：コンピューターの無操作制限」ポリシー

Windows Server 2012／Windows 8以降では、コンピューター側のセキュリティポリシーとして、無操作状態が続いた後にロックするまでの時間を個別に設定できる項目が用意されています。Interactive logon: Machine inactivity limit（対話型ログオン：コンピューターの無操作制限）というポリシーで、コンピューターの構成 → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション から確認できます。

ユーザーグループごとに異なるロックポリシーを適用する

ケースによっては、ユーザーグループごとに異なるロックポリシーを適用したいこともあるでしょう。たとえば、一般のオフィスワーカーの画面は10分でロックする一方、生産現場やSCADAオペレーターの画面は絶対にロックしない、といった要件です。このような戦略を実現するには、GPOのセキュリティフィルター（USBデバイスへのアクセス制限をGPOで行う例などを参照）や、GPP（グループポリシー基本設定）の項目レベルのターゲット設定（Item Level Targeting）を活用できます。ここでは後者について詳しく見ていきます。

レジストリで画面ロックを管理する

GPOの管理用テンプレートを使わず、レジストリでロック設定を構成し、そのレジストリ設定をGPO経由で各ユーザーのコンピューターに配布することも可能です。前述のポリシーに対応するレジストリ値は以下の通りで、保存場所は HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop です。

• パスワードによるスクリーンセーバーの保護：REG_SZ型の値 ScreenSaverIsSecure = 1
• スクリーンセーバーのタイムアウト：REG_SZ型の値 ScreenSaveTimeout = 300
• 特定のスクリーンセーバーを強制する：REG_SZ型の値 ScreenSaveActive = 1 および SCRNSAVE.EXE = scrnsave.scr

特定グループだけ画面ロックを除外する方法

まず、画面ロックポリシーを適用したくないユーザー向けのドメインセキュリティグループ（例：grp_not-lock-prod）を作成し、対象ユーザーを追加します。次に、対応するGPOセクション（ユーザーの構成 → 基本設定 → Windowsの設定 → レジストリ）で上記のレジストリ値を作成します。さらに項目レベルのターゲット設定を使い、各パラメーターに対して「特定のセキュリティグループ（grp_not-lock-prod）に所属していないユーザーにのみ適用する」という条件を設定します。

加えて、REG_SZ型で値が 0 の4つの追加レジストリパラメーターを作成し、grp_not-lock-prodグループに対しては画面ロックを強制的に無効化する必要があります。これを怠ると、以前に設定されたレジストリ値をGPOが上書きできず、意図した動作になりません。