空闲会话等于把权限让出去
无人看管的已登录会话，任何能走到那台机器前的人都能直接操作，甚至借已登录身份访问其他系统。对服务器而言更常见的是跳板机上挂着十几个空闲的远程桌面会话。让空闲会话自动锁屏，是成本最低的会话控制手段。
基本信息
| 适用平台 | Windows 客户端与服务器 |
|---|---|
| 机器级配置 | 交互式登录的计算机不活动限制（秒） |
| 用户级配置 | 屏保超时与恢复时显示登录屏幕 |
| 基线 | 空闲不超过 15 分钟自动锁屏 |
典型使用场景
- 办公终端合规：屏幕保护与自动锁屏是最基础的终端控制项
- 跳板机治理：避免长时间挂起的管理会话被他人接管
- 行业终端：前台设备需要更快锁屏，通常配置更短的超时
- 审计核查：确认策略已通过组策略统一落地，而非逐台手工设置
策略与核查
策略与核查
# 查看机器级不活动限制（单位：秒）
# 路径：计算机配置 → 安全设置 → 本地策略 → 安全选项 → 交互式登录: 计算机不活动限制
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' | Select-Object InactivityTimeoutSecs
# 用户侧屏保相关项（按需核查）
Get-ItemProperty 'HKCU:\Control Panel\Desktop' | Select-Object ScreenSaveActive, ScreenSaveTimeOut, ScreenSaverIsSecure配置项读法
| 配置项 | 含义 | 注意点 |
|---|---|---|
| InactivityTimeoutSecs | 机器级空闲锁定秒数 | 对已存在的会话需重新登录后生效 |
| ScreenSaveActive | 屏保是否启用 | 仅启用屏保不等于锁定 |
| ScreenSaveTimeOut | 屏保触发秒数 | 应小于等于锁屏要求 |
| ScreenSaverIsSecure | 恢复时要求登录 | 不勾选等于没锁，两项必须一起配 |
服务器与跳板机尤其要开：管理员同时挂着多个空闲会话是常态风险，一旦有人物理接触或通过其他会话接入，就等于直接接管。
只配屏保不勾选恢复时显示登录屏幕，等于没锁：两个设置必须一起配置，并在变更后实测确认解锁行为。
落地后要抽查实际行为：在测试终端上等待超时时间，确认屏幕锁定且需要重新认证，比查看策略配置更接近事实。